Annexe 3 : liste des sous-traitants ultérieurs
Version du 24 septembre 2026
La présente liste constitue l’Annexe 3 de l’accord de traitement des données à caractère personnel conclu entre DCNG SRL, éditrice de la plateforme Onelia, et chacun de ses clients. Elle est mise à jour selon la procédure prévue à l’article 9 de cet accord : toute adjonction ou tout remplacement d’un sous-traitant ultérieur est communiqué par courriel à l’administrateur du compte de chaque client et publié à l’adresse ci-dessus au moins quinze jours avant la prise d’effet, le client disposant de ce délai pour formuler une objection motivée à l’adresse privacy@dcng.be. Les mises à jour de la présente liste ne modifient pas le texte de l’accord et n’appellent aucune nouvelle acceptation.
Sauf mention contraire, les données à caractère personnel sont traitées au sein de l’Union européenne. Lorsqu’un transfert vers un pays tiers est identifié, le mécanisme de transfert applicable est indiqué : clauses contractuelles types de la Commission européenne, ci-après « CCT », ou certification au Data Privacy Framework UE-États-Unis, ci-après « DPF », le cas échéant cumulés.
1. Sous-traitants ultérieurs intervenant dans la fourniture du Service
| Sous-traitant ultérieur | Rôle | Données concernées | Lieu de traitement et transfert | Cadre contractuel |
|---|---|---|---|---|
| Supabase Pte. Ltd (Singapour), groupe Supabase Inc. (États-Unis), infrastructure Amazon Web Services | Base de données, authentification, stockage des fichiers et logique serveur : hébergement principal de l’ensemble des Données du Client | Toutes les catégories de l’Annexe 1 | Union européenne, région Irlande ; le stockage et le traitement principal sont contractuellement limités à la région choisie. Accès à distance éventuel depuis un pays tiers encadré par CCT | Accord de traitement signé, CCT, SOC 2 type 2, ISO/IEC 27001. Prestataires en cascade : liste annexée à l’accord de traitement du prestataire |
| Journey Mobile, Inc. (PowerSync) (États-Unis) | Service de synchronisation hors connexion de l’application mobile : les données synchronisées vers les appareils y transitent et y sont mises en tampon | Données synchronisées vers l’application mobile | Union européenne : instance dédiée en région Irlande. Accès éventuel depuis les États-Unis encadré par CCT | Accord de traitement contresigné, CCT. Liste des prestataires en cascade : powersync.com/legal/subprocessors |
| OVH SAS (OVHcloud) (France) | Hébergement du portail web app.onelia.be sur serveur privé virtuel, du site onelia.be, du domaine et des boîtes de messagerie, dont la boîte de support ; mise à disposition de la page de réponse aux invitations d’agenda et relais du flux d’agenda | Toutes les données affichées ou saisies au portail, en transit ; données figurant dans les signalements de support ; jetons figurant dans les adresses d’abonnement d’agenda, dans les journaux du serveur | Union européenne (France) | Accord de traitement incorporé aux conditions du prestataire ; certifications ISO/IEC 27001, 27017 et 27018 |
| Cloudflare, Inc. | Stockage des copies de sauvegarde des fichiers, chiffrées par Onelia avant envoi, dépôt temporaire des exports de restitution et diffusion des médias publics du site | Sauvegardes de fichiers sous forme chiffrée, noms de fichiers compris ; exports de restitution en clair, purgés après sept jours | Union européenne : juridiction de stockage fixée sur les espaces de stockage concernés | Accord de traitement incorporé aux conditions du prestataire, CCT |
| GitHub, Inc. (groupe Microsoft) | Exécution automatisée des tâches de sauvegarde et de génération des exports de restitution | Transit des données de sauvegarde et des exports en mémoire des serveurs d’exécution pendant la tâche, avant chiffrement et stockage ; conservation des artefacts chiffrés de sauvegarde pendant nonante jours | Transit possible hors de l’Union européenne, l’infrastructure d’exécution ne permettant pas de sélectionner une région ; transfert encadré par CCT et par la certification DPF de Microsoft | Accord de traitement incorporé au contrat client du prestataire, souscrit au nom de DCNG SRL |
| MINDBAZ SAS (Sweego), 19 rue d’Amiens, 59800 Lille (France), RCS 893 278 382 | Envoi des courriels transactionnels du Service, en ce compris les documents joints, les notifications, les courriels de connexion et les alertes ; réception des réponses des clients finaux aux invitations d’agenda | Adresses électroniques des destinataires, contenus des courriels et pièces jointes contenant l’identité des clients finaux ; adresse électronique et réponse des clients finaux invités | Union européenne (France) : hébergement auprès de prestataires établis en France ; aucun transfert vers un pays tiers | Accord de traitement incorporé aux conditions du prestataire, version du 15 juillet 2026 ; journaux conservés trente jours ; prestataires en cascade tous établis dans l’Union européenne |
| Google Ireland Limited / Google LLC (Firebase Cloud Messaging) | Acheminement des notifications push vers les appareils Android et iOS | Jetons d’appareil et textes des notifications, réduits au numéro du document et à l’horaire, à l’exclusion du nom des clients finaux | Service mondial sans localisation garantie ; transfert encadré par la certification DPF de Google et par CCT | Conditions de traitement et de sécurité des données Firebase |
| Apple Distribution International Ltd (Apple Push Notification service) | Acheminement des notifications push vers les appareils iOS | Jetons d’appareil et textes des notifications, réduits au numéro du document et à l’horaire | Service mondial ; transfert encadré par la certification DPF d’Apple | Contrat de licence du programme pour développeurs Apple et conditions applicables au service de notification |
| Functional Software, Inc. (Sentry) | Collecte des rapports d’erreurs techniques de l’application et du portail | Aucune donnée à caractère personnel par configuration ; mentionné à titre de transparence | Union européenne | Accord de traitement incorporé aux conditions du prestataire |
| BRBX BV (Recommand) (Belgique) | Opérateur d’accès au réseau Peppol : émission des factures électroniques structurées, vérification de l’identité de l’entreprise, annuaire | Données de facturation des factures émises comprenant identité, adresses et montants ; données d’identification du représentant légal du Client lors de l’activation, fournies directement par celui-ci au prestataire | Union européenne | Accord de traitement incorporé aux conditions du prestataire. Prestataires en cascade : recommand.eu/en/legal/subprocessors, dont Didit pour la vérification d’identité. Actif uniquement pour les clients qui activent la facturation électronique |
| KEPTAGO LTD (Geoapify) (Chypre) | Fourniture des fonds de carte affichés dans l’application mobile | Adresse IP de l’appareil et zones de carte consultées ; aucune adresse de client final n’est transmise | Union européenne et Espace économique européen exclusivement | Accord de traitement incorporé aux conditions du prestataire |
2. Services publics consultés, hors sous-traitance
Pour la vérification des numéros de taxe sur la valeur ajoutée et des données d’entreprise ainsi que pour la suggestion et le géocodage d’adresses situées en France et au Luxembourg, le Service interroge des services publics officiels : le système VIES de la Commission européenne, la Banque-Carrefour des Entreprises, la Base Adresse Nationale et le géoportail de l’État luxembourgeois. Les données saisies sont transmises en requête à ces services, qui les traitent sous leur propre responsabilité ; rien n’y est stocké par Onelia. Les adresses belges sont traitées au moyen d’une base d’adresses hébergée par Onelia et ne sont transmises à aucun tiers. Ces services ne sont pas des sous-traitants ultérieurs d’Onelia et sont mentionnés à titre de transparence.
3. Destinataires choisis par le Client, hors sous-traitance
Les fournisseurs d’agenda auxquels un Utilisateur choisit d’abonner son planning, notamment Google, Microsoft et Apple, ne sont pas des sous-traitants ultérieurs d’Onelia. Onelia met un fichier d’agenda à disposition derrière une adresse contenant un secret et c’est le logiciel d’agenda choisi par l’Utilisateur qui vient le lire ; Onelia n’adresse aucune donnée de sa propre initiative à ces fournisseurs et n’entretient avec eux aucune relation contractuelle. Ils sont des destinataires du Client au sens de l’article 4, point 9), du RGPD, dans les conditions décrites à l’article 6 de l’Accord. Cette qualification serait à réexaminer si le Service venait à pousser lui-même les données vers ces services, notamment au moyen d’une synchronisation bidirectionnelle.
4. Outils propres à l’éditeur, hors périmètre
La sonde externe de disponibilité, qui n’appelle qu’un point de contrôle public renvoyant un statut de fonctionnement, et la sonde de veille de la marque, qui n’envoie que des termes de recherche à une base publique, ne traitent aucune donnée à caractère personnel des clients et ne figurent pas à la présente liste. Ils sont mentionnés au registre interne des traitements d’Onelia.