Confiance
Sous-traitants
Dernière mise à jour : 09/11/2026
ARAO fait appel aux 14 prestataires ci-dessous pour fournir le service. Chacun ne reçoit que les données nécessaires à sa tâche. Les partenaires publicitaires, qui ne sont pas de simples sous-traitants, ont leur rubrique à part. Les traitements eux-mêmes sont décrits dans la politique de confidentialité et, pour les données de votre entreprise, dans l’annexe de traitement des données.
Hébergement
- Base de données et fichiers déposés : Supabase, Paris (France) (région AWS eu-west-3).
- Automatisations et traitements des documents : Serveurs exploités par l’éditeur (n8n, Stirling PDF, robot de récupération des DCE, lecteur OCR), France (instance de secours sur un serveur privé virtuel Hostinger situé en France).
- Site et application web : Vercel, France (Paris) (fichiers de l’application, diffusés par le réseau mondial de Vercel ; aucune donnée de dossier n’y est stockée).
Liste des sous-traitants
Supabase
Supabase Pte. Ltd. (Singapour)
- Finalité
- Base de données, comptes, stockage des fichiers et fonctions serveur
- Données
- Comptes, profil de l’entreprise, dossiers d’appels d’offres, documents déposés, livrables
- Intervention
- En continu ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- Paris (France), région AWS eu-west-3
- Garanties
- Accord de traitement avec clauses contractuelles types ; données stockées dans la région choisie (Paris)
- Vérifié le
- 30/09/2026
Vercel
Vercel Inc. (États-Unis)
- Finalité
- Hébergement du site et, avec votre accord, mesure d’audience
- Données
- Adresse IP et pages consultées (journaux techniques) ; statistiques de visite si vous les acceptez
- Intervention
- En continu ; personnes concernées : visiteurs du site et utilisateurs d’ARAO
- Lieu de traitement
- France (Paris) ; fichiers du site diffusés par le réseau mondial de Vercel
- Garanties
- Data Privacy Framework (certification active) et clauses contractuelles types de l’accord de traitement
- Conservation chez le fournisseur
- Mesure d’audience sans cookie : visiteur reconnu par une empreinte valable une journée
- Vérifié le
- 01/10/2026
OpenAI
OpenAI Ireland Ltd. (Irlande)
- Finalité
- Modèles d’IA : analyse du DCE, Go/No-Go, mémoire technique, chiffrage, recherche dans vos documents
- Données
- Extraits des documents du dossier et de votre base de connaissance ; dans vos documents, noms des salariés de « Moyens humains » et des personnes repérées remplacés par des jetons
- Intervention
- Selon la fonction utilisée ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- Europe (projet OpenAI en résidence des données en Europe)
- Garanties
- Accord de traitement avec OpenAI Ireland ; transferts vers ses sociétés affiliées hors UE encadrés par des clauses contractuelles types
- Conservation chez le fournisseur
- Journaux de contrôle des abus : 30 jours au plus
- Entraînement des modèles
- Les données envoyées à l’API d’OpenAI ne servent pas à entraîner ses modèles.
- Vérifié le
- 30/09/2026
Mistral AI
Mistral AI SAS (France)
- Finalité
- Lecture des documents numérisés (reconnaissance de texte) : bordereaux de prix au format PDF, devis et tarifs (reçus des fournisseurs ou déposés sur un dossier) et documents de plus de 40 pages déposés à la main sur un dossier ; secours du lecteur auto-hébergé de l’éditeur pour tous les autres documents
- Données
- Pages des documents déposés
- Intervention
- Selon la fonction utilisée ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- France
- Garanties
- Société française, données traitées dans l’Union européenne, accord de traitement
- Conservation chez le fournisseur
- 30 jours au plus (contrôle des abus)
- Entraînement des modèles
- Les données envoyées à Mistral AI ne servent pas à entraîner ses modèles.
- Vérifié le
- 09/10/2026
PDF.co
Artifex Software, Inc. (États-Unis)
- Finalité
- Mise en page PDF du rapport Go/No-Go et du mémoire technique
- Données
- Contenu du rapport ou du mémoire à mettre en page
- Intervention
- Selon la fonction utilisée ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- États-Unis (AWS, Oregon)
- Garanties
- Accord de traitement
- Conservation chez le fournisseur
- Fichiers supprimés au bout d’une heure
- Vérifié le
- 01/10/2026
CloudConvert
Lunaweb GmbH (Allemagne)
- Finalité
- Conversion de documents (Word, Excel, PDF)
- Données
- Documents à convertir
- Intervention
- Selon la fonction utilisée ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- Allemagne
- Garanties
- Société allemande, accord de traitement
- Conservation chez le fournisseur
- Fichiers supprimés au plus tard 24 heures après la conversion
- Vérifié le
- 01/10/2026
Microsoft 365 (OneDrive, Excel)
Microsoft Ireland Operations Ltd. (Irlande)
- Finalité
- Calcul et contrôle des bordereaux de prix au format Excel
- Données
- Bordereaux de prix et justificatifs de chiffrage
- Intervention
- Selon la fonction utilisée ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- Europe
- Garanties
- Accord de protection des données de Microsoft (clauses contractuelles types, Data Privacy Framework), frontière des données de l’UE
- Vérifié le
- 01/10/2026
Stripe
Stripe Payments Europe, Ltd. (Irlande)
- Finalité
- Paiement des abonnements et des packs de crédits, factures
- Données
- Nom, adresse de facturation, e-mail, moyen de paiement (saisi chez Stripe), historique des paiements
- Intervention
- Si vous le choisissez ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- Irlande et États-Unis
- Garanties
- Data Privacy Framework (Stripe, LLC) et clauses contractuelles types de l’accord de traitement
- Vérifié le
- 30/09/2026
Hostinger
Hostinger International Ltd. (Chypre)
- Finalité
- Messagerie (envoi des e-mails ; boîtes de l’éditeur qui reçoivent les demandes de contact et de configuration initiale, les réponses des fournisseurs et des plateformes) et serveur de secours
- Données
- Adresse e-mail, contenu des e-mails de notification, messages des formulaires de contact et de configuration initiale, réponses des fournisseurs consultés
- Intervention
- En continu ; personnes concernées : utilisateurs d’ARAO et prospects
- Lieu de traitement
- Europe
- Garanties
- Accord de traitement, clauses contractuelles types hors de l’Espace économique européen
- Vérifié le
- 01/10/2026
Calendly
Calendly LLC (États-Unis)
- Finalité
- Prise de rendez-vous de démonstration
- Données
- Nom, e-mail, entreprise et réponses saisies lors de la prise de rendez-vous
- Intervention
- Avec votre accord ; personnes concernées : prospects
- Lieu de traitement
- États-Unis
- Garanties
- Data Privacy Framework (certification active), clauses contractuelles types en relais
- Vérifié le
- 30/09/2026
Notion
Notion Labs, Inc. (États-Unis)
- Finalité
- Suivi commercial des demandes de contact et des nouveaux inscrits
- Données
- Nom, e-mail, téléphone, entreprise et message des demandes de contact ; nom, e-mail et entreprise des nouveaux inscrits
- Intervention
- En continu ; personnes concernées : prospects et utilisateurs d’ARAO
- Lieu de traitement
- États-Unis
- Garanties
- Clauses contractuelles types de l’accord de traitement
- Vérifié le
- 30/09/2026
Telegram
Telegram Messenger Inc.
- Finalité
- Alerte de l’équipe ARAO (nouvelle demande de contact, e-mail laissé dans le simulateur de ROI, nouvel inscrit, incident de traitement, paiement d’un abonnement ou d’un pack de crédits ouvert, abouti, refusé ou abandonné, demande d’essai)
- Données
- Nom, e-mail et entreprise d’un prospect ou d’un nouvel inscrit, calcul du simulateur de ROI ; identifiant du dossier en cas d’incident ; nom de l’entreprise, formule et montant d’un paiement ; nom de l’entreprise, activité déclarée et pré-contrôle d’une demande d’essai
- Intervention
- En continu ; personnes concernées : prospects et utilisateurs d’ARAO
- Lieu de traitement
- Pays-Bas pour les comptes créés dans l’Espace économique européen ; partage possible au sein du groupe Telegram hors UE
- Garanties
- Aucun accord de traitement proposé par Telegram
- Vérifié le
- 30/09/2026
Google
Google Ireland Ltd. (Irlande), responsable de traitement de votre compte Google
- Finalité
- Connexion avec un compte Google
- Données
- Nom, adresse e-mail et identifiant du compte Google
- Intervention
- Si vous le choisissez ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- Infrastructure mondiale de Google
- Garanties
- Data Privacy Framework (Google LLC)
- Vérifié le
- 30/09/2026
Microsoft
Microsoft Ireland Operations Ltd. (Irlande), responsable de traitement de votre compte Microsoft
- Finalité
- Connexion avec un compte Microsoft
- Données
- Nom, adresse e-mail et identifiant du compte Microsoft
- Intervention
- Si vous le choisissez ; personnes concernées : utilisateurs d’ARAO
- Lieu de traitement
- Infrastructure mondiale de Microsoft
- Garanties
- Data Privacy Framework (Microsoft Corporation)
- Vérifié le
- 30/09/2026
Partenaires publicitaires
Ils ne reçoivent des données qu’avec votre accord à la publicité. Ce ne sont pas de simples sous-traitants : ils sont responsables de leurs propres traitements. Leur rôle est décrit dans la rubrique « Cookies et traceurs » de la politique de confidentialité.
Meta
Meta Platforms Ireland Ltd. (Irlande), responsable conjoint avec nous de la collecte, puis seul responsable de ses propres usages
- Finalité
- Mesure de nos annonces sur Facebook et Instagram, et choix des personnes à qui les montrer
- Données
- Adresse IP, navigateur, identifiant du cookie, adresse des pages publiques consultées, conversions (inscription, demande d’essai, rendez-vous, contact, e-mail du simulateur), jamais votre e-mail ni votre nom
- Intervention
- Avec votre accord ; personnes concernées : visiteurs du site et prospects
- Lieu de traitement
- Infrastructure mondiale de Meta
- Garanties
- Data Privacy Framework (Meta Platforms, Inc.)
- Conservation chez le fournisseur
- Cookie _fbp : 3 mois
- Vérifié le
- 02/11/2026
Google Ads
Google Ireland Limited (Irlande), responsable de traitement de ce qu’elle reçoit pour Google Ads
- Finalité
- Mesure de nos annonces sur la recherche Google et YouTube, et choix des personnes à qui les montrer
- Données
- Adresse IP, navigateur, identifiant du cookie, identifiant du clic sur l’annonce, adresse et titre des pages publiques consultées, conversions (inscription, demande d’essai, rendez-vous, contact, e-mail du simulateur), jamais votre e-mail ni votre nom
- Intervention
- Avec votre accord ; personnes concernées : visiteurs du site et prospects
- Lieu de traitement
- Infrastructure mondiale de Google
- Garanties
- Data Privacy Framework (Google LLC)
- Conservation chez le fournisseur
- Cookies _gcl_* et _gac_* : 90 jours, IDE : 13 mois
- Vérifié le
- 04/11/2026
TikTok
TikTok Technology Limited (Irlande) et TikTok Information Technologies UK Limited, qui indiquent traiter ce qu’elles reçoivent par le pixel en responsables conjoints avec nous
- Finalité
- Mesure de nos annonces sur TikTok, et choix des personnes à qui les montrer
- Données
- Adresse IP, navigateur, identifiant du cookie, identifiant du clic sur l’annonce, adresse des pages publiques consultées, nombre de clics et de défilements sur ces pages, visite d’au moins 10 secondes ou d’au moins deux pages, conversions (inscription, demande d’essai, rendez-vous, contact, e-mail du simulateur), jamais votre e-mail ni votre nom
- Intervention
- Avec votre accord ; personnes concernées : visiteurs du site et prospects
- Lieu de traitement
- Stockage aux États-Unis, en Malaisie et à Singapour ; accès à distance depuis d’autres pays du groupe TikTok, dont la Chine
- Garanties
- Clauses contractuelles types, selon la politique de confidentialité de TikTok
- Conservation chez le fournisseur
- Cookies _ttp, ttcsid et ttclid : 13 mois après leur dernière utilisation
- Vérifié le
- 09/11/2026
Évolution de la liste
Cette liste est mise à jour à chaque changement de prestataire ; sa date figure en tête de page. Les entreprises clientes sont prévenues d’un ajout ou d’un remplacement avant qu’il prenne effet, dans les conditions de l’annexe de traitement des données. Les mesures de sécurité d’ARAO sont décrites sur la page Sécurité.