Sous-traitants et destinataires (liste publique)

Version 2026-09-20-draft-1.

Cette liste publique ne contient pas les pièces contractuelles confidentielles. Elle ne prouve pas qu'un DPA a été accepté sur le compte Fidelon.

Inventaire au 20 septembre 2026

### Supabase

Utilisé pour la base et l'authentification (projet distant actif). DPA public consulté. Entité contractante, région réelle, sous-traitants, sauvegardes, accès support et transferts : non vérifiés sur le compte Fidelon.

### Vercel

Hébergeur observé pour `fidelon.vercel.app`. Contrat, localisation des fonctions, journaux et options analytics du compte : non audités ici. Aucun SDK `@vercel/analytics` dans l'application.

### E-mails sortants

Aucun fournisseur d'envoi d'e-mail n'est utilisé. Les invitations de compte, d'équipe et les liens de récupération sont générés dans l'interface pour être copiés et transmis manuellement.

### SMS

Adapter `SmsProvider` dans le code. Premier transport prévu : Bird, **pending** (secrets absents, pas d'envoi réel) pour les notifications métier. Supabase Auth génère et vérifie les OTP, mais son transport SMS n'est pas encore raccordé à Bird. Le raccordement prévu passe par le Send SMS Hook de Supabase Auth, sans journaliser le code ni le transmettre aux workflows n8n de notifications métier. Aucun SMS promotionnel n'est actif.

### PassKit

Pour préparer ou synchroniser une carte Apple/Google Wallet, l'identifiant de carte, le solde, le QR et, si le client l'a renseigné, son nom d'affichage peuvent être transmis à PassKit. L'e-mail, le téléphone et la date d'anniversaire ne sont pas transmis par ce flux. Région `pub1`/`pub2` n'est pas une preuve juridique de localisation; les conditions et garanties de transfert restent à vérifier.

### Apple et Google Wallet

Prévoir leurs conditions propres lorsque le Wallet sera activé. Ce ne sont pas automatiquement des sous-traitants de Fidelon.

### Non intégrés

Make, monitoring tiers, analytics web, IA, Stripe : non présentés comme actifs.

Ce texte est un document de préparation. Il ne constitue pas une attestation de conformité RGPD, une certification, ni un contrat signé. Les durées, prix, médiateurs, DPO et numéros d'entreprise absents ne sont pas remplacés par des valeurs fictives.

Les qualifications encore ouvertes (compte client commun, régime consommateur du service gratuit avec marketing, Data Act, DSA, accessibilité, NIS2, CRA) sont décrites dans QUALIFICATION-LEGALE.md. Elles ne sont pas tranchées par ce document.