La présente liste recense les sous-traitants auxquels MarketFrame, éditrice de Critéa, a recours pour fournir le service. Elle fait partie de l'Accord de traitement des données (DPA), accessible à l'adresse critéa.fr/dpa (article 7). Tout projet d'ajout ou de remplacement d'un sous-traitant, ou d'extension significative des données qu'il traite, est notifié aux clients par email au moins 30 jours avant sa mise en œuvre ; chaque client peut s'y opposer dans ce délai, dans les conditions de l'article 7 du DPA. Les transferts hors de l'Union européenne sont décrits à l'article 12 du DPA et à la section 5 de la Politique de confidentialité.
Supabase
Société : Supabase, Inc., société de droit américain Prestation : Hébergement de la base de données, authentification des comptes, stockage des fichiers déposés, et exécution des fonctions de traitement du service (lecture des documents, pseudonymisation, préparation de la visite, appréciation générale). Données concernées : Toutes les données du service : comptes, contenus d'évaluation, documents déposés, journaux. Contenus d'évaluation : Oui. Localisation : Union européenne : Irlande (région eu-west-1), pour le stockage comme pour l'exécution des fonctions de traitement. Garanties encadrant les transferts : Données hébergées et traitées dans l'Union européenne. Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire, pour le cas d'un accès depuis les États-Unis. Sur la liste depuis le : 4 juillet 2026
Netlify
Société : Netlify, Inc., société de droit américain Prestation : Hébergement du site et exécution du serveur de l'application : réception des requêtes, extraction du texte des fichiers bureautiques déposés, première couche de pseudonymisation des notes. Données concernées : Données qui transitent par l'application, dont les contenus d'évaluation, sans stockage durable de ces contenus. Contenus d'évaluation : Oui, en transit. Localisation : Serveur d'exécution dans l'Union européenne : Irlande (région eu-west-1). Les pages publiques du site sont diffusées par un réseau mondial. Garanties encadrant les transferts : Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire. Sur la liste depuis le : 4 juillet 2026
Mistral AI
Société : Mistral AI, société de droit français Prestation : Repérage des noms de personnes pour la pseudonymisation des contenus utilisés par les fonctions d'IA : notes, commentaires, textes extraits des documents Word, Excel, PDF et autres formats pris en charge, et autres champs libres transmis. Ce repérage complète le masquage des autres identifiants effectué par Critéa. Reconnaissance de texte (OCR) des PDF et des images. Pour les organismes, depuis le 21 octobre 2026 : lecture de leurs documents internes et des pièces jointes à leurs registres, et repérage des noms dans leur dossier d'accréditation, pour l'audit à blanc ; depuis le 26 octobre 2026, ce dossier comprend un échantillon de leurs évaluations. Données concernées : Fichiers PDF et images déposés pour leur lecture ; texte extrait des documents Word, Excel et autres formats pris en charge, ainsi que notes, commentaires et autres champs libres utilisés par les fonctions d'IA. Ces contenus peuvent contenir des noms de personnes avant leur masquage. Pour l'audit à blanc d'un organisme : ses documents internes (PDF, images), les pièces jointes à ses registres et le texte de son dossier d'accréditation, dont un échantillon de ses évaluations (dates, délais du rapport, composition de l'équipe, déclarations d'impartialité, vérifications avant mission, relectures, nombre d'accompagnés traceurs et répartition des cotes, sans aucun texte saisi, chaque évaluation étant désignée par un pseudonyme). Contenus d'évaluation : Oui. Localisation : Union européenne. Garanties encadrant les transferts : Aucun transfert hors de l'Union européenne. Sur la liste depuis le : 4 juillet 2026
Anthropic
Société : Anthropic, PBC, société de droit américain Prestation : Mise en forme des commentaires, analyse préparatoire des documents et rédaction de l'appréciation générale, assistées par IA. Pour les organismes, depuis le 21 octobre 2026 : audit à blanc de leur dossier d'accréditation. Données concernées : Texte préalablement pseudonymisé : notes de visite, texte extrait des documents, cotes décidées par l'évaluateur. Pour l'audit à blanc d'un organisme : son dossier d'accréditation (registres, liste des intervenants qualifiés, retours de satisfaction, texte de ses documents internes et des pièces jointes, et, depuis le 26 octobre 2026, un échantillon de ses évaluations (dates, délais du rapport, composition de l'équipe, déclarations d'impartialité, vérifications avant mission, relectures, nombre d'accompagnés traceurs et répartition des cotes, sans aucun texte saisi, chaque évaluation étant désignée par un pseudonyme)), entièrement pseudonymisé, les noms des personnes et des évaluations y étant remplacés par des pseudonymes, et ses réponses aux questions de l'audit. Contenus d'évaluation : Oui, après pseudonymisation. Localisation : États-Unis. Garanties encadrant les transferts : Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire. Les données transmises ne sont pas utilisées pour entraîner ses modèles. Sur la liste depuis le : 4 juillet 2026
OpenAI
Société : OpenAI (contrat conclu avec OpenAI Ireland Limited) Prestation : Recherche, dans le référentiel de la HAS, des fiches apparentées au critère travaillé (calcul d'empreintes sémantiques). Données concernées : Notes de visite préalablement pseudonymisées. Contenus d'évaluation : Oui, après pseudonymisation. Localisation : États-Unis. Garanties encadrant les transferts : Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire. Les données transmises ne sont pas utilisées pour entraîner ses modèles. Sur la liste depuis le : 4 juillet 2026
Resend
Société : Resend, Inc., société de droit américain Prestation : Envoi des emails du service : codes de connexion, invitations, notifications, confirmations de rendez-vous. Pour la gestion des organismes, depuis le 21 octobre 2026 : messages aux contacts et évaluateurs, demandes et codes de signature, questionnaires de satisfaction et rappels. Données concernées : Adresse email et nom du destinataire, contenu des messages (une invitation mentionne le nom de l'établissement évalué), journaux d'envoi. Pour la gestion des organismes : les textes rédigés par l'organisme, les références de documents, les liens d'accès aux documents ou à la signature, les codes de signature et les motifs de refus communiqués par email. Les fichiers restent hébergés par Supabase et sont proposés par lien. Resend conserve les messages et les journaux 30 jours. Contenus d'évaluation : Pas de constats d'évaluation transmis par les fonctions de gestion. Le nom de l'établissement, les références de mission et le texte des messages saisis par l'organisme peuvent figurer dans les emails ; l'organisme doit limiter ce texte aux informations nécessaires. Localisation : Envoi depuis l'Union européenne (Irlande) ; contenu des messages, journaux d'envoi et données de compte stockés aux États-Unis. Garanties encadrant les transferts : Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire, et certification du prestataire au cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d'adéquation (UE) 2023/1795). Sur la liste depuis le : 4 juillet 2026
Stripe
Société : Stripe Payments Europe, Limited (Irlande) et Stripe, Inc. (États-Unis) Prestation : Encaissement des paiements (abonnements et recharges de crédits). Données concernées : Identité de facturation (raison sociale, adresse, SIREN, numéro de TVA), adresse email, moyen de paiement, montants. Contenus d'évaluation : Non. Localisation : Union européenne et États-Unis. Garanties encadrant les transferts : Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire. Sur la liste depuis le : 4 juillet 2026
Pennylane
Société : Pennylane, société de droit français Prestation : Établissement, transmission et conservation des factures, et tenue de la comptabilité ; plateforme agréée pour la facturation électronique. Données concernées : Identité de facturation (raison sociale, adresse, SIREN, numéro de TVA) et montants facturés. Contenus d'évaluation : Non. Localisation : Union européenne (France). Garanties encadrant les transferts : Aucun transfert hors de l'Union européenne. Sur la liste depuis le : 7 septembre 2026
Société : Google Ireland Limited et Google LLC (États-Unis) Prestation : Connexion optionnelle « avec Google », agenda et visioconférence des rendez-vous. Données concernées : Pour un rendez-vous : nom, adresse email, créneau, téléphone et message s'ils sont renseignés, y compris les informations professionnelles du formulaire reprises dans ce message (profil, organisme et, selon le parcours, fonction ou expérience). Pour la connexion avec Google : identifiant de compte Google. Contenus d'évaluation : Non. Localisation : Union européenne et États-Unis. Garanties encadrant les transferts : Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire. Sur la liste depuis le : 4 juillet 2026
HubSpot
Société : HubSpot Ireland Limited et HubSpot, Inc. (États-Unis) Prestation : Gestion de la relation commerciale de MarketFrame : suivi des personnes qui prennent rendez-vous ou téléchargent une ressource sur le site. Données concernées : Nom, prénom, adresse email, téléphone, organisme, fonction et profil professionnel déclarés dans les formulaires de rendez-vous et de téléchargement, choix de consentement, ressource demandée, créneau du rendez-vous et message libre de rendez-vous, repris dans le suivi commercial de cette demande. Contenus d'évaluation : Non. Localisation : Union européenne (Allemagne) ; accès possible depuis les États-Unis par le prestataire. Garanties encadrant les transferts : Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire, complétées par sa certification au cadre de protection des données UE–États-Unis (Data Privacy Framework). Sur la liste depuis le : 26 octobre 2026
Upstash
Société : Upstash, Inc., société de droit américain Prestation : Limitation du nombre de tentatives et d'envois sur les actions sensibles du service (notamment connexion, inscription, prise de rendez-vous, dépôt de documents, invitations). Données concernées : Adresse IP, adresse email ou son empreinte, et identifiant de compte, conservés au plus 24 heures puis effacés automatiquement. Contenus d'évaluation : Non. Localisation : Union européenne : Irlande (région eu-west-1). Garanties encadrant les transferts : Données hébergées dans l'Union européenne. Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à l'accord de traitement du prestataire, pour le cas d'un accès depuis les États-Unis. Sur la liste depuis le : 4 juillet 2026
Historique des modifications de la liste
• 4 juillet 2026 : Première publication de la liste, en annexe du DPA : Supabase, Netlify, Mistral AI, Anthropic, OpenAI, Stripe, Resend, Google, Upstash. • 2 septembre 2026 : Upstash : mise en service ; données traitées précisées (adresse email et identifiant de compte, en plus de l'adresse IP) et durée de conservation indiquée. • 7 septembre 2026 : Ajout de Pennylane (établissement, transmission et conservation des factures). • 19 septembre 2026 : Publication de la liste sur une page dédiée, avec la date d'ajout de chaque sous-traitant. Informations corrigées : Resend stocke le contenu des messages et ses journaux aux États-Unis ; Netlify exécute le serveur de l'application, en Irlande ; Supabase exécute aussi les fonctions de traitement, en Irlande ; Mistral AI traite les données dans l'Union européenne (et non « en France »). • 20 octobre 2026 : Mistral AI : clarification de la description du traitement existant. Le repérage des noms pour la pseudonymisation concerne les documents de tous les formats pris en charge, les notes, les commentaires et les autres champs libres utilisés par les fonctions d'IA. La reconnaissance de texte (OCR) concerne les PDF et les images. Aucun nouveau traitement ni nouvelle catégorie de données n'est ajouté. • 20 octobre 2026 : Mistral AI : les textes issus de Word et Excel sont désormais cités explicitement. Le repérage des noms par Mistral est distingué du masquage des autres identifiants effectué par Critéa. Le fonctionnement du traitement reste identique. • 20 octobre 2026 : Projet d'extension des emails Resend aux outils de gestion des organismes : contacts professionnels, messages de l'organisme, références et liens de documents, codes de signature, motifs de refus et questionnaires. Mise en œuvre après information des clients par email et expiration du préavis de 30 jours prévu au DPA ; aucune date d'envoi de cette information n'est attestée par cette liste. • 21 octobre 2026 : Projet d'extension d'Anthropic et de Mistral AI à l'audit à blanc des organismes. Mistral AI : lecture (OCR) de leurs documents internes et des pièces jointes à leurs registres, et repérage des noms dans tout leur dossier d'accréditation. Anthropic : ce dossier (registres, liste des intervenants qualifiés, retours de satisfaction, texte des documents) et leurs réponses, entièrement pseudonymisés, les noms étant remplacés par des pseudonymes ; aucun fichier ne lui est transmis. Mise en œuvre après information des clients par email et expiration du préavis de 30 jours prévu au DPA ; aucune date d'envoi de cette information n'est attestée par cette liste. • 21 octobre 2026 : En vigueur depuis le 21 octobre 2026 : l'extension des emails Resend aux outils de gestion des organismes (annoncée le 20 octobre 2026) et l'extension d'Anthropic et de Mistral AI à l'audit à blanc des organismes (annoncée le 21 octobre 2026), telles que décrites ci-dessus. Elles ne concernent que les comptes des organismes évaluateurs. • 26 octobre 2026 : Ajout de HubSpot (suivi commercial des personnes qui prennent rendez-vous ou téléchargent une ressource sur le site). Ne concerne ni les données des comptes clients ni aucun contenu d'évaluation. • 26 octobre 2026 : Extension d'Anthropic et de Mistral AI, pour l'audit à blanc des organismes, à un échantillon de leurs évaluations (dates, délais du rapport, composition de l'équipe, déclarations d'impartialité, vérifications avant mission, relectures, nombre d'accompagnés traceurs et répartition des cotes, sans aucun texte saisi, chaque évaluation étant désignée par un pseudonyme). L'échantillon est pris parmi les évaluations que l'organisme peut déjà consulter dans Critéa ; aucun commentaire, aucune note ni aucun nom n'est transmis. En vigueur depuis le 26 octobre 2026. • 1er novembre 2026 : Correction d'omissions dans la description de traitements existants : Google Agenda reçoit aussi, lorsqu'ils sont renseignés, le téléphone et le message du rendez-vous, avec les informations professionnelles du formulaire qui y sont reprises ; HubSpot reprend le message libre dans le suivi commercial de la demande. Aucun nouveau destinataire, flux ou usage n'est ajouté par cette correction. Cette entrée ne constitue ni une preuve d'information antérieure ni l'annonce d'un nouveau préavis. • 2 novembre 2026 : Upstash : description mise à jour. La limitation couvre les actions sensibles du service, dont les invitations, comptées aussi par destinataire sous l'empreinte de son adresse email ; durée de conservation indiquée au plus 24 heures. Aucune autre catégorie de données n'est ajoutée.