DPA et sous-traitants ultérieurs
Dernière mise à jour: octobre 2026
Ceci est une traduction. La version anglaise prévaut. English
Vue d'ensemble
Cette page décrit la manière dont zn (« usezn ») traite des données personnelles pour le compte de ses clients, et énumère les sous-traitants ultérieurs auxquels nous faisons appel. Elle complète notre Politique de confidentialité et notre Politique de sécurité. Les clients peuvent conclure avec nous un accord de traitement des données (DPA) sur demande : contactez hello@usezn.com.
Rôles
Client (responsable de traitement) : vous décidez des entrées que vous envoyez à l'API et restez responsable de vos propres utilisateurs et applications.
zn (sous-traitant) : nous analysons les entrées et produisons des enregistrements de preuve uniquement pour fournir le service décrit dans nos Conditions d'utilisation et notre Politique de confidentialité.
Polar (responsable de traitement indépendant) : en tant que Merchant of Record (vendeur officiel qui encaisse les paiements), Polar traite les données de paiement et fiscales selon ses propres conditions de confidentialité. zn ne reçoit pas les données complètes des cartes de paiement.
Données que nous traitons pour votre compte
- Entrées de l'API : évaluées en mémoire volatile et non conservées, quel que soit le plan (Free, Pro, Scale et Team), en dehors du Contributor Mode. En Contributor Mode (option à activer volontairement, proposée avec certaines subventions pour startups et pour la recherche), un extrait expurgé de chaque entrée analysée (les 1 000 premiers caractères, avec masquage automatique des adresses e-mail, jetons bearer, clés API et longues chaînes hexadécimales) est conservé avec son enregistrement de preuve pendant 90 jours au maximum et utilisé pour améliorer les modèles de détection de zn.
- Enregistrements de preuve : identifiant de preuve aléatoire, ainsi que verdict, score de confiance, règle, latence, horodatage et métadonnées de requête (hachage SHA-256 et taille de l'entrée à partir du 12 octobre 2026 à 12 h 24 UTC ; préfixe de la clé API, endpoint, hôte de l'en-tête Origin, famille et version du client ; jamais le User-Agent brut ni l'adresse IP) ; aucune copie de l'entrée en dehors du Contributor Mode. Les enregistrements de preuve expirent automatiquement au bout de 90 jours, quel que soit l'endpoint qui les a créés ; ils sont exportables au format CSV ou JSON.
- Données de compte et d'utilisation : adresse e-mail, nom d'entreprise facultatif, métadonnées des clés API, nombre d'appels et indicateurs de latence.
- Données de facturation : gérées par Polar en tant que Merchant of Record.
Sous-traitants ultérieurs
| Sous-traitant ultérieur | Finalité | Catégories de données |
|---|---|---|
| Amazon Web Services (AWS) | Hébergement cloud, stockage d'objets et services de base de données gérés (régions US East : Virginie du Nord et Ohio) | Données de compte, métadonnées d'utilisation, enregistrements de preuve et extraits d'entrées du Contributor Mode |
| Auth0 | Authentification et gestion des identités | Adresse e-mail du compte et identifiants de connexion |
| Polar | Paiements, facturation, gestion fiscale et Merchant of Record | Données de facturation traitées par Polar selon ses propres conditions de confidentialité |
| Amazon SES | Envoi d'e-mails transactionnels | Adresse e-mail et métadonnées des messages |
Transferts internationaux
Lorsque des données personnelles provenant de l'EEE ou du Royaume-Uni sont transférées vers un sous-traitant ultérieur situé en dehors de ces zones, nous nous appuyons sur les clauses contractuelles types du sous-traitant ultérieur et/ou sur un mécanisme d'adéquation applicable, tel que le EU-US Data Privacy Framework (cadre de protection des données UE-États-Unis) lorsque le sous-traitant ultérieur y est certifié. Les accords conclus avec les sous-traitants ultérieurs comprennent des obligations de confidentialité, de sécurité et de protection des données.
Mesures de sécurité
Les mesures techniques et organisationnelles comprennent TLS 1.3 en transit, le chiffrement AES-256 au repos (géré par AWS), le stockage des clés API sous forme hachée et chiffrée avec KMS, des contrôles d'accès selon le principe du moindre privilège, et l'expiration automatique des enregistrements de preuve au bout de 90 jours. Nous fonctionnons sur AWS, dont les centres de données détiennent les certifications SOC 2 Type II et ISO 27001. zn lui-même n'est pas encore certifié SOC 2 ni ISO ; la feuille de route de conformité est publiée sur notre page Politique de sécurité.
Modifications des sous-traitants ultérieurs
Nous tenons cette page à jour. Si vous avez conclu un DPA avec nous et que nous ajoutons un sous-traitant ultérieur qui traite des données personnelles, nous vous en informerons par e-mail afin que vous puissiez vous y opposer dans les conditions prévues par l'accord.
Demandes des personnes concernées
Nous aidons nos clients à répondre aux demandes des personnes concernées portant sur les données que nous traitons pour leur compte. Envoyez les demandes à hello@usezn.com.
Contact
Pour la conclusion d'un DPA, les questions relatives aux sous-traitants ultérieurs ou toute demande juridique, contactez hello@usezn.com. Nous sommes établis en Europe et répondons en anglais ou en espagnol.