Liste des sous-traitants

Dernière mise à jour : 23 septembre 2026 (version 1.0)

1. À quoi sert cette page

Reponse est un service publié et exploité par la société Shmore (voir section 22). Lorsque vous utilisez Reponse, nous traitons pour votre compte des données personnelles qui vous appartiennent ou qui appartiennent à vos clients : vous êtes responsable de traitement, nous sommes sous-traitant au sens de l'article 28 du RGPD.

Pour fournir le service, nous faisons appel à des prestataires techniques qui traitent eux aussi ces données. Ce sont des sous-traitants ultérieurs. Cette page en donne la liste telle qu'elle est arrêtée à la date indiquée en tête. Elle est mise à jour selon la procédure décrite en section 2.

Cette page a trois fonctions :

1. Elle constitue l'autorisation générale écrite prévue à l'article 28.2 du RGPD : en acceptant notre contrat de sous-traitance des données (DPA), publié à l'adresse https://reponse.ai/fr/legal/dpa, vous autorisez le recours aux sous-traitants listés ici.
2. Elle peut être annexée telle quelle à ce contrat de sous-traitance. La version faisant foi est celle publiée à l'adresse de cette page à la date indiquée en tête.
3. Elle vous permet de suivre les changements et, le cas échéant, de vous y opposer selon la procédure décrite en section 2.

Cette page ne remplace pas la politique de confidentialité (https://reponse.ai/fr/legal/privacy), qui décrit les traitements dont nous sommes nous-mêmes responsables (compte, facturation, site web). Elle ne remplace pas non plus les mentions légales (https://reponse.ai/fr/legal) ni les conditions générales de vente applicables au service (https://reponse.ai/fr/legal/cgv).

2. Comment vous êtes informé d'un changement

Nous pouvons ajouter, remplacer ou retirer un sous-traitant, par exemple pour des raisons techniques, de sécurité, de coût ou de continuité de service.

**Publication.** La liste en vigueur est celle publiée sur cette page, avec la date de dernière mise à jour indiquée en tête et l'inscription correspondante au journal des versions en section 21. Nous ne notifions pas individuellement chaque client des changements apportés à cette liste : si vous souhaitez suivre ces changements, consultez cette page et le journal des versions.

**Autorisation générale.** En utilisant le service, vous donnez l'autorisation générale prévue à l'article 28.2 du RGPD pour les sous-traitants listés sur cette page à la date indiquée en tête, ainsi que pour ceux qui y seront ajoutés par la suite selon la même procédure de publication.

3. Comment lire les tableaux

Chaque tableau indique, pour chaque sous-traitant :

• Sous-traitant : le nom du prestataire. La raison sociale et la ville de l'entité contractante sont précisées sous chaque tableau.
• Rôle dans le service : la fonction qu'il assure. Nous cherchons à limiter les données transmises à chaque sous-traitant à celles nécessaires à cette fonction.
• Catégories de données : les types de données personnelles susceptibles d'être traités.
• Pays de traitement : le pays ou la région où les données sont hébergées ou traitées.
• Transfert hors UE : le mécanisme juridique applicable lorsque des données sortent de l'Union européenne. Voir la section 6.

Nous distinguons deux catégories :

• les sous-traitants systématiques (section 4), qui sont susceptibles d'intervenir pour tout client, quel que soit le plan utilisé, y compris le plan gratuit. Certains d'entre eux n'interviennent toutefois que si la fonction correspondante est utilisée : par exemple les fournisseurs de modèles d'intelligence artificielle lorsqu'une fonction d'IA est utilisée, ou Stripe pour les seuls espaces encore facturés par Stripe (section 4.3) ;
• les sous-traitants activables (section 5), qui n'interviennent que si vous activez vous-même l'intégration correspondante depuis votre espace de travail.

4. Sous-traitants systématiques

4.1 Hébergement et infrastructure

Entités contractantes :

• Supabase : Supabase, Inc. (États-Unis)
• Netlify : Netlify, Inc., San Francisco (Californie, États-Unis)

4.2 Modèles d'intelligence artificielle

Le service fait appel aux offres API payantes de trois fournisseurs de modèles. Chaque tâche (classification, extraction, rédaction, réponse de l'agent, analyse d'image) est rattachée à un niveau de modèle, et chaque niveau à un modèle précis. À la date de mise à jour de cette page, toutes les requêtes de génération et le calcul des représentations vectorielles (embeddings) utilisées pour la recherche dans la base de connaissance sont adressés à OpenAI. Google et Mistral sont intégrés au service et peuvent recevoir tout ou partie des requêtes lorsqu'une tâche leur est attribuée ; ce changement sera reporté au journal des versions. Voir la section 10 pour les précisions sur ce traitement.

Entités contractantes :

• OpenAI : OpenAI Ireland Limited, Dublin (Irlande), avec traitement par OpenAI, L.L.C., San Francisco (États-Unis)
• Google : Google Ireland Limited, Dublin (Irlande), ou Google LLC, Mountain View (États-Unis), selon les conditions applicables à l'API Gemini
• Mistral : Mistral AI SAS, Paris (France)

4.3 Paiement

La facturation de Reponse passe par Shopify (Shopify App Pricing). Stripe n'intervient plus que dans les deux cas ci-dessous.

Entité contractante : Stripe Payments Europe Limited, Dublin (Irlande).

Périmètre : la première ligne ne concerne que les espaces de travail encore facturés par Stripe. La seconde ligne relève d'une fonction activée par le marchand et suit à ce titre le régime décrit en section 5.

Les données de carte sont saisies dans la page de paiement hébergée par Stripe ou dans son formulaire de paiement intégré, et ne transitent pas par nos serveurs.

Précision : pour les données de paiement qu'il collecte et conserve pour son propre compte, notamment au titre de ses obligations réglementaires de lutte contre la fraude et le blanchiment, Stripe est susceptible d'agir comme responsable de traitement indépendant et non comme notre sous-traitant.

4.4 E-mails

Entités contractantes :

• Resend : Plus Five Five, Inc. (États-Unis), qui exploite Resend
• Amazon SES : Amazon Web Services EMEA SARL, Luxembourg, avec transferts possibles vers Amazon Web Services, Inc. (États-Unis)

Les événements de remise nous sont renvoyés par Resend sous forme de webhooks signés selon le schéma de signature Svix. Nous vérifions cette signature nous-mêmes, sans appeler ni transmettre de données à Svix : Svix n'est donc pas notre sous-traitant.

4.5 Mesure d'audience produit

Entité contractante : PostHog, Inc. (États-Unis).

Dans le navigateur, la mesure d'audience est soumise au bandeau de consentement : aucun événement n'est transmis à PostHog tant que vous n'avez pas accepté. Votre choix est conservé dans votre navigateur sous la clé `cookie_consent`, avec sa date (`cookie_consent_at`) et la version du bandeau (`cookie_consent_version`) ; il vaut six mois, puis le bandeau vous est de nouveau présenté. Il peut être modifié à tout moment. Les événements techniques envoyés par nos serveurs ne dépendent pas de ce bandeau. Le détail figure dans la politique cookies (https://reponse.ai/fr/legal/cookies).

4.6 Enrichissement des fiches produit

Entité contractante : Jina AI GmbH, Berlin (Allemagne).

5. Sous-traitants activés uniquement à votre demande

Les prestataires ci-dessous n'interviennent que si vous activez l'intégration correspondante depuis votre espace de travail (pour Shopify : en installant l'application Reponse sur votre boutique). L'activation vaut instruction de votre part de transmettre les données concernées, et ces données ne leur sont transmises que dans le cadre de l'intégration activée.

Entités contractantes :

• Shopify : Shopify International Limited, Dublin (Irlande), avec Shopify Inc., Ottawa (Canada)
• Klaviyo : Klaviyo, Inc., Boston (États-Unis)
• Notion : Notion Labs, Inc., San Francisco (États-Unis)
• TikTok Shop : TikTok
• Meta Platforms Ireland Ltd : Meta Platforms Ireland Limited, Dublin (Irlande)

Lorsque vous activez une intégration, le prestataire concerné peut également agir comme responsable de traitement pour ses propres finalités, dans le cadre de la relation contractuelle que vous avez directement avec lui. Cette relation ne relève pas de notre contrat de sous-traitance.

6. Transferts hors de l'Union européenne

Certains sous-traitants listés ci-dessus traitent des données en dehors de l'Union européenne, notamment aux États-Unis et, pour Shopify, au Canada.

Pour les transferts vers les États-Unis, les transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, et à défaut sur les clauses contractuelles types de la Commission européenne (décision d'exécution 2021/914) prévues par les conditions de traitement des données du prestataire. Pour le Canada, le transfert repose sur la décision d'adéquation adoptée par la Commission européenne.

Nous ne revendiquons aucune certification ni aucun label de conformité. Nous ne garantissons pas que les données restent en permanence dans l'Union européenne, sauf mention contraire expresse dans les tableaux ci-dessus.

Sur demande écrite à hello@reponse.ai, nous communiquons au client les informations dont nous disposons sur le mécanisme de transfert applicable à un sous-traitant donné.

7. Localisation des données au repos et en transit

Cette section est distincte de la question du mécanisme de transfert traitée en section 6 : elle porte sur l'endroit où les données se trouvent physiquement.

• Données au repos (base de données principale, fichiers, sauvegardes) : hébergées chez Supabase, région AWS eu-west-1 (Irlande, UE). Les sauvegardes sont conservées dans la même région.
• Données en transit : les échanges entre le navigateur, notre application et nos sous-traitants sont chiffrés (TLS).
• Copies temporaires : des pages et réponses publiques peuvent être mises en cache par le réseau de distribution de contenu de Netlify, et les messages en cours d'envoi transitent par les files d'attente du prestataire d'e-mail, le temps de leur traitement.

Nous n'affirmons pas que l'ensemble des traitements est localisé dans l'Union européenne : les sous-traitants qui traitent des données hors de l'Union sont signalés dans les tableaux des sections 4 et 5.

8. Engagements imposés à nos sous-traitants

Conformément à l'article 28.4 du RGPD, notre règle est de nous assurer que chaque sous-traitant ultérieur est soumis à des obligations de protection des données substantiellement équivalentes à celles qui nous lient à vous, notamment :

1. traiter les données uniquement sur instruction documentée et pour la finalité prévue ;
2. garantir la confidentialité des personnes autorisées à accéder aux données ;
3. mettre en œuvre des mesures techniques et organisationnelles appropriées ;
4. nous assister en cas de demande d'exercice des droits ou de violation de données ;
5. supprimer ou restituer les données au terme de la prestation.

Lorsque ces obligations résultent des conditions standard du fournisseur plutôt que d'un accord négocié, c'est ce document standard qui s'applique.

Nous restons responsables envers vous de l'exécution de leurs obligations par nos sous-traitants ultérieurs, dans les limites prévues par le contrat conclu avec vous.

9. Mesures de sécurité

Nous ne revendiquons aucune certification, aucun audit externe et aucun label de sécurité.

Les mesures techniques et organisationnelles mises en œuvre au titre de l'article 32 du RGPD sont les suivantes :

• accès aux données : seul le dirigeant de Shmore, Vincent Redor, accède aux données clients, depuis la France, et uniquement lorsque c'est nécessaire à l'exploitation du service ou lorsque le client le demande pour une demande de support ;
• chiffrement : les données sont chiffrées en transit (TLS) et au repos (Supabase) ;
• cloisonnement : les données de chaque espace de travail sont cloisonnées au niveau de la base de données (Row Level Security) ;
• authentification : l'authentification à deux facteurs est activée sur les comptes d'administration des outils d'exploitation (Supabase, Netlify, GitHub, Shopify Partner) ;
• sauvegardes : sauvegardes quotidiennes de la base de données par Supabase, conservées 7 jours dans la même région (eu-west-1, Irlande) ;
• violations de données : information du client selon la section 13.

Nous nous engageons à ne communiquer, en réponse à une question de sécurité, que des éléments effectivement mis en œuvre et vérifiables.

10. Traitement par les modèles d'intelligence artificielle

Lorsqu'une fonction d'IA est utilisée, le contenu des conversations et les éléments de contexte nécessaires (base de connaissance, extraits de catalogue et de commandes, instructions du marchand) sont transmis au fournisseur de modèle auquel la tâche est attribuée (voir section 4.2) pour produire la réponse.

Nous n'entraînons pas de modèle sur les données de nos clients. Nous utilisons les offres API payantes d'OpenAI, de Google (Gemini) et de Mistral, pour lesquelles les données transmises ne sont pas utilisées pour entraîner les modèles, selon les conditions de chaque fournisseur. Les requêtes et les réponses peuvent être conservées par le fournisseur jusqu'à 30 jours au maximum. Nous ne sommes pas en mesure de garantir le comportement de chaque fournisseur au-delà de ses propres engagements contractuels.

Nous recommandons de ne pas transmettre à l'agent de données sensibles au sens de l'article 9 du RGPD.

11. Durées de conservation applicables au service et répercutées chez nos sous-traitants

Les durées ci-dessous sont celles applicables au service. Les journaux et copies temporaires propres à chaque prestataire suivent en outre les conditions de ce prestataire.

• compte : durée du contrat, puis 30 jours ;
• conversations, fiches CRM et tickets : 3 ans après le dernier contact avec la personne concernée, et au plus tard jusqu'à la suppression prévue en fin de contrat (section 15) ;
• journaux techniques : 12 mois ;
• données de facturation et pièces comptables : 10 ans.

**Sauvegardes et copies de secours.** Une donnée supprimée de la base active peut subsister temporairement dans les sauvegardes. Les sauvegardes sont quotidiennes, conservées 7 jours dans la région eu-west-1 (Irlande), et effacées au fil de leur rotation : une donnée supprimée en disparaît au plus tard 30 jours après sa suppression.

12. Audit et documentation, article 28.3.h du RGPD

Sur demande écrite à hello@reponse.ai, nous mettons à votre disposition les informations dont nous disposons pour démontrer le respect de nos obligations d'article 28, notamment la présente liste, les mesures de sécurité décrites en section 9 et les informations sur les mécanismes de transfert mentionnées en section 6.

Modalités d'audit : un audit prend d'abord la forme d'un questionnaire écrit, au plus une fois par an. Une inspection n'a lieu que si les réponses au questionnaire sont insuffisantes ; elle est annoncée avec un préavis de 30 jours, est réalisée aux frais du client, et l'auditeur est tenu à la confidentialité. Nous ne publions pas de rapport de transparence.

13. Violations de données, articles 28.3.f et 33 du RGPD

En cas de violation de données personnelles traitées pour votre compte, nous nous engageons à vous en informer sans retard injustifié après en avoir pris connaissance, afin de vous permettre de remplir vos propres obligations de notification.

• Délai de notification : au plus tard 72 heures après en avoir pris connaissance.
• Canal : e-mail à l'adresse des administrateurs de l'espace de travail.
• Contenu : nature de la violation, catégories et volume approximatif de données et de personnes concernées, conséquences probables, mesures prises ou envisagées, point de contact.

Il vous appartient, en qualité de responsable de traitement, de décider de la notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

Le point de contact pour toute question relative à une violation est hello@reponse.ai, avec l'objet « Protection des données ».

14. Assistance à l'exercice des droits des personnes concernées, article 28.3.e du RGPD

Les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité relatives aux données que nous traitons pour votre compte doivent vous être adressées : vous êtes responsable de traitement.

Si nous recevons directement une telle demande concernant des données traitées pour votre compte, nous n'y répondons pas nous-mêmes sur le fond. Nous la transmettons à l'administrateur de l'espace de travail concerné et nous en informons la personne demandeuse.

Nous vous assistons, dans la mesure du possible et compte tenu de la nature du traitement, par les fonctions disponibles dans le produit et, si nécessaire, par un traitement manuel sur demande à hello@reponse.ai (par exemple un export des données d'une personne ou leur suppression). Cette assistance est gratuite dans les cas courants ; au-delà, elle fait l'objet d'un devis préalable.

15. Fin du contrat et sort des données, article 28.3.g du RGPD

À la fin du contrat :

• restitution : sur demande écrite à hello@reponse.ai, nous vous fournissons un export de vos données au format CSV ou JSON, dans un délai de 30 jours à compter de la demande ;
• suppression : les données sont supprimées 30 jours après la fin du contrat, sous réserve des sauvegardes mentionnées en section 11, effacées au fil de leur rotation et au plus tard 30 jours après, et des données que nous devons conserver au titre d'une obligation légale, notamment comptable.

Si vous souhaitez récupérer vos données, formulez votre demande d'export avant l'expiration de ce délai de 30 jours.

16. Personnes concernées finales, clients des marchands

Si vous êtes un client final d'une boutique utilisant Reponse et que vous souhaitez exercer vos droits sur vos données, adressez-vous au marchand auprès duquel vous avez commandé ou avec lequel vous avez échangé. C'est lui qui est responsable de traitement. Nous n'agissons que sur ses instructions et nous ne pouvons pas, de notre propre initiative, modifier ou supprimer ses données.

Si vous nous écrivez directement à hello@reponse.ai, nous transmettons votre demande au marchand concerné et nous vous en informons, sans traiter la demande sur le fond.

17. Personnel de Reponse, sociétés affiliées et prestataires d'assistance

Seul le dirigeant de Shmore, Vincent Redor, accède aux données traitées pour votre compte, depuis la France, dans le cadre de l'exploitation, du support et de la maintenance du service. Il est tenu à la confidentialité. Il n'accède à votre espace de travail pour le support qu'à votre demande.

Shmore n'a ni filiale ni société affiliée accédant aux données.

Shmore n'a ni salarié, ni prestataire de support externalisé, ni sous-traitant de développement, ni freelance accédant aux données. Si de tels intervenants venaient à exister, ils seraient ajoutés à cette page selon la procédure de la section 2.

18. Réclamations et autorité de contrôle

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, www.cnil.fr.

19. Contact

Pour toute question sur cette liste ou pour demander une copie de la documentation relative à un sous-traitant :

• e-mail général : hello@reponse.ai
• support : support@reponse.ai
• point de contact protection des données : hello@reponse.ai, avec l'objet « Protection des données »
• délégué à la protection des données : aucun n'a été désigné ; le point de contact ci-dessus est l'interlocuteur unique
• adresse postale : Shmore, 26 Thubert, 44118 La Chevrolière, France

20. Droit applicable et juridiction compétente

Cette page et l'annexe contractuelle qu'elle constitue sont régies par le droit français, comme le contrat principal.

Juridiction compétente : juridictions compétentes de Nantes, comme prévu par les conditions générales de vente.

21. Journal des versions et accès aux versions antérieures

Toute modification ultérieure est ajoutée à ce tableau, avec la nature du changement (ajout, remplacement, retrait) et le sous-traitant concerné.

Les versions antérieures sont conservées afin de permettre d'établir l'état de la liste à une date donnée. Sur demande écrite à hello@reponse.ai, nous fournissons la version en vigueur à une date déterminée, dans la limite des archives dont nous disposons.

22. Éditeur du service

Reponse (reponse.ai) est édité par la société Shmore, SAS au capital de 1 000 euros, dont le siège social est situé 26 Thubert, 44118 La Chevrolière, France, immatriculée au RCS de Nantes sous le numéro 990 895 971.

Numéro de TVA intracommunautaire : FR26990895971

Directeur de la publication : Vincent Redor

Hébergeur du site et de l'application : Netlify, Inc., San Francisco (Californie, États-Unis).

Les mentions légales complètes sont disponibles à l'adresse https://reponse.ai/fr/legal.

Cette page est rédigée en français et en anglais. En cas de divergence entre les deux versions, la version française prévaut.