Sous-traitants et prestataires
Dernière mise à jour : 07/10/2026
Cette page fait partie de l’accord de traitement des données (annexe 3) et complète la politique de confidentialité. Zekeez annonce tout ajout ou remplacement d’un sous-traitant auquel il recourt directement au moins trente jours à l’avance, par e-mail aux titulaires de compte et par la mise à jour de cette page (section 6). Un changement parmi les propres sous-traitants de ses sous-traitants est reporté ici et annoncé dans les cinq jours ouvrés où Zekeez en est informé.
Le Data Privacy Framework, cité plusieurs fois ci-dessous, est le cadre de protection des données entre l’Union européenne et les États-Unis reconnu par la Commission européenne le 10 juillet 2023 : les entreprises américaines qui y adhèrent sont réputées offrir une protection adéquate.
1. Sous-traitants qui traitent les données de votre espace
Ils peuvent traiter les données de vos locataires, garants et contacts, pour le compte de Zekeez et sur ses instructions.
| Prestataire | Service rendu | Données concernées | Lieu de traitement | Garanties |
|---|---|---|---|---|
| Google Cloud France SARL, 8 rue de Londres, 75009 Paris (groupe Google) | hébergement de l’application (Cloud Run), base de données (Cloud Firestore), stockage des documents (Cloud Storage), journaux techniques (Cloud Logging), tâches planifiées | toutes les données de l’espace | application : Belgique (europe-west1) ; base de données : Belgique (europe-west1) ; documents : Belgique (europe-west1) ; journaux des requêtes : Belgique (europe-west1) ; journaux d’audit d’administration de la plateforme (actions de l’équipe, sans contenu des espaces) : emplacement mondial de Google | Cloud Data Processing Addendum ; engagement contractuel de localisation des données au repos pour l’application, la base de données, les documents et les journaux des requêtes ; accès depuis des pays tiers encadré par le Data Privacy Framework (Google LLC certifiée) et les clauses contractuelles types |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris | lecture assistée des documents importés ; catégorisation des transactions bancaires | contenu des documents soumis à la lecture assistée ; libellé, date et montant des transactions à classer, avec un répertoire de l’espace : nom et rôle des contacts ; désignation, statut, locataires, bien et loyer charges comprises des baux ; nom des bailleurs | Union européenne (point d’accès européen, seul utilisé) ; certains sous-traitants de Mistral AI peuvent intervenir ponctuellement depuis d’autres pays (section 1 bis) | accord de traitement des données de Mistral AI ; clauses contractuelles types pour les transferts hors de l’Union ; entraînement des modèles sur ces données désactivé ; Mistral AI conserve les données transmises trente jours au plus, pour son propre compte, afin de détecter les usages abusifs de son service (voir section 3) |
| Sendinblue SAS (Brevo), 9-17 rue Salneuve, 75017 Paris | envoi des e-mails : ceux que vous adressez à vos locataires, les e-mails du service, et l’acheminement vers notre messagerie des messages que vous nous envoyez depuis l’application ; ouvertures et clics comptés en mode anonyme, sans être rattachés à un destinataire (politique cookies) | adresse e-mail, nom, objet et contenu du message, pièces jointes (quittances, relevés) | Union européenne (France, Belgique) ; certains sous-traitants de Brevo peuvent accéder aux données depuis les États-Unis (section 1 bis) | accord de traitement des données de Brevo (annexe 3 de ses conditions) ; Brevo traite en outre pour son propre compte une partie de ces données (section 3) |
Personnes extérieures à Zekeez ayant accès à la base de production, pour la maintenance et le développement du logiciel (toutes les données de l’espace) : un développeur indépendant établi au Canada, qui intervient sous contrat de sous-traitance et engagement de confidentialité (identité communiquée sur demande à contact@zekeez.com). Ce transfert repose sur la décision d’adéquation de la Commission européenne relative au Canada (décision 2002/2/CE), et à défaut sur des clauses contractuelles types.
1 bis. Leurs propres sous-traitants
| Sous-traitant de Zekeez | Ses sous-traitants susceptibles d’accéder aux données | Lieu | Garanties |
|---|---|---|---|
| Google Cloud France SARL | Google LLC et les autres sociétés du groupe Google, et les prestataires de support qu’il désigne, listés sur cloud.google.com/terms/subprocessors ; pour Firebase, la liste de firebase.google.com/terms/subprocessors, dont Fastly, Inc. (réseau de diffusion de Firebase Hosting) | pays indiqués sur ces listes, dont les États-Unis | Data Privacy Framework ; clauses contractuelles types |
| Sendinblue SAS (Brevo) | OVH (hébergement) ; Google Cloud (hébergement) ; Cloudflare, Inc. (réseau de diffusion et pare-feu) ; Zendesk, Inc. (assistance) ; Omni (tableaux de bord) | France pour OVH ; Belgique pour Google Cloud ; États-Unis et Union européenne pour Cloudflare, Zendesk et Omni | Data Privacy Framework ; clauses contractuelles types ; règles d’entreprise contraignantes (Zendesk) |
| Mistral AI SAS | les sociétés du groupe Mistral AI, dont Mistral Compute (infrastructure) ; Microsoft (infrastructure Azure) ; CoreWeave Inc. (calcul des réponses) ; Kong Inc. (passerelle d’accès) ; Cloudflare Inc. (acheminement et protection du trafic) ; Functional Software, Inc. — Sentry (suivi des erreurs) ; CrowdStrike Inc. et Wiz Inc. (sécurité). Liste tenue par Mistral AI sur trust.mistral.ai/subprocessors, relevée le 1ᵉʳ octobre 2026 | France ; Suède et Norvège (Microsoft) ; Espace économique européen (CoreWeave, Kong, Sentry, Wiz) ; Espace économique européen et États-Unis (CrowdStrike) ; au plus près de l’appelant, dans le monde entier (Cloudflare) | clauses contractuelles types |
2. Sous-traitants qui ne traitent que les données de votre compte
| Prestataire | Service rendu | Données concernées | Lieu de traitement | Garanties |
|---|---|---|---|---|
| Google Cloud France SARL — Firebase Authentication, service exécuté par Google LLC | authentification des utilisateurs | adresse e-mail, empreinte du mot de passe, nom, photo et identifiant Google en cas de connexion avec Google, adresse IP et navigateur de connexion (aucune donnée de locataire) ; les sauvegardes du service sont purgées au plus tard 180 jours après la suppression d’un compte | États-Unis | Cloud Data Processing Addendum ; Data Privacy Framework et clauses contractuelles types |
| Google Cloud France SARL — Firebase Hosting | distribution du site zekeez.com et des fichiers de l’application | adresse IP des visiteurs | réseau mondial, dont les États-Unis (Fastly, Inc.) | Firebase Data Processing and Security Terms ; Data Privacy Framework et clauses contractuelles types |
| Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irlande | encaissement des abonnements, factures, portail de facturation | identité de facturation du bailleur, e-mail, moyen de paiement, historique des paiements | Union européenne, États-Unis et autres pays où interviennent les filiales et sous-traitants de Stripe (liste : stripe.com/legal/service-providers) | accord de traitement des données de Stripe ; Data Privacy Framework (Stripe, LLC) et clauses contractuelles types |
| Google Cloud France SARL — Google Workspace | messagerie de l’équipe (contact@zekeez.com) | messages que vous nous adressez, y compris depuis la bulle d’aide de l’application | centres de données de Google, dans l’Union européenne et hors de l’Union, dont les États-Unis | Cloud Data Processing Addendum ; Data Privacy Framework (Google LLC) et clauses contractuelles types |
3. Prestataires qui agissent pour leur propre compte
Ces entreprises ne sont pas, pour les traitements ci-dessous, des sous-traitants de Zekeez : elles traitent les données sous leur propre responsabilité, selon leurs conditions et leur politique de confidentialité.
| Prestataire | Rôle | Quand |
|---|---|---|
| Powens SAS, 84 rue Beaubourg, 75003 Paris, établissement de paiement agréé par l’ACPR (CIB 16948) | service d’information sur les comptes bancaires : vous vous authentifiez chez Powens, qui transmet à Zekeez les données de vos comptes avec votre consentement ; données hébergées dans l’Union européenne | si vous connectez un compte bancaire ; les logos des banques affichés dans le Service sont aussi chargés depuis les serveurs de Powens, qui reçoivent alors l’adresse IP de votre navigateur |
| Stripe | lutte contre la fraude, prévention des pertes, obligations réglementaires des prestataires de services de paiement, amélioration de ses services | si vous souscrivez un abonnement |
| Sendinblue SAS (Brevo) | statistiques de son service et défense de ses droits, à partir d’une partie des données des e-mails qu’il achemine | à chaque envoi d’e-mail |
| Mistral AI SAS, 15 rue des Halles, 75001 Paris | surveillance des usages abusifs de son service : conserve au plus trente jours les données qui lui sont transmises (documents lus, opérations à classer et répertoire de l’Espace) | à chaque lecture assistée ou catégorisation |
| L’avocat auquel votre demande est transmise, dont le nom vous est indiqué avant l’envoi | consultation juridique, sous sa seule responsabilité | si vous demandez une mise en relation depuis un bail |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande | authentification par votre compte Google | si vous vous inscrivez ou vous connectez avec votre compte Google |
4. Services de données publiques interrogés
Le Service interroge des services de données publiques, sans contrat de sous-traitance. Ils reçoivent ce qui suit, et le traitent sous leur propre responsabilité :
| Service | Opérateur | Ce qui est transmis |
|---|---|---|
| API Adresse, service de géocodage de la Base Adresse Nationale | Institut national de l’information géographique et forestière (IGN), 73 avenue de Paris, 94160 Saint-Mandé | l’adresse en cours de saisie et l’adresse IP de votre navigateur, pour vous proposer des adresses complètes |
| API Recherche d’entreprises | direction interministérielle du numérique (DINUM) | la dénomination ou le numéro SIREN saisi, par nos serveurs, pour préremplir une fiche de société |
| DBnomics, qui republie les indices de l’INSEE | CEPREMAP, association, 48 boulevard Jourdan, 75014 Paris | l’indice demandé et l’adresse IP de votre navigateur ; aucune donnée saisie dans le Service |
5. Export et changement de fournisseur
Cette section donne les informations prévues par les articles 26 et 28 du règlement (UE) 2023/2854 (« Data Act »). La procédure est décrite à l’article 13 des conditions générales d’utilisation.
Ce qui s’exporte, et comment. Depuis vos réglages, l’export de l’espace produit une archive ZIP qui contient :
- un fichier JSON par type d’objet (bailleurs, immeubles et lots, baux, contacts, documents, appels de loyer et règlements, révisions, comptes et transactions bancaires, catégories et règles de catégorisation, règles d’automatisation, e-mails envoyés, journal d’activité) ;
- un fichier de description, qui donne pour chaque fichier la signification et le format de chaque champ (dates au format ISO 8601, montants en euros, identifiants internes qui relient les objets entre eux) ;
- vos documents, dans leur format d’origine (PDF, JPEG, PNG, WebP, DOCX).
Les transactions, les rapports locatifs, l’historique des transactions bancaires et les factures s’exportent aussi en CSV ou en PDF depuis les écrans concernés.
Limites techniques connues. Aucun format standard n’existe pour les données de gestion locative : un autre logiciel ne pourra reprendre l’archive qu’en faisant correspondre ses champs aux siens. Les connexions bancaires ne se transfèrent pas : le consentement donné à Powens vaut pour Zekeez seul, et le nouveau fournisseur devra faire reconnecter vos comptes. Les règles d’automatisation sont exportées sous forme de description ; elles ne s’exécutent pas ailleurs.
Où se trouve l’infrastructure. Le Service est exploité sur l’infrastructure de Google Cloud France SARL, société de droit français filiale d’un groupe américain, dans les régions indiquées à la section 1. Pour limiter l’accès des autorités d’un pays tiers aux données qui ne sont pas personnelles, comme aux autres : chiffrement des données en transit et au repos, contrôle des accès décrit à l’annexe 2 de l’accord de traitement des données, et engagements contractuels de l’hébergeur sur la localisation des données et le traitement des demandes des autorités publiques.
6. Historique des modifications
| Date | Modification |
|---|---|
| 07/10/2026 | publication de la liste |