StackLégal en 3 lignes :
• Un pack RGPD pour SaaS (CGU, DPA, confidentialité) : 39 € une fois, 22 langues
• 3 outils gratuits : scanner de cookies, widget sous-traitants, API
• Textes sourcés (CNIL, RGPD), construits en public

Testez votre site 👇
stacklegal.eu/rgpd/scanner-c…

Fiche du jour : Cloudflare.

– Entité : Cloudflare, Inc., USA
– Usage : DNS, CDN, WAF
– Données : réseau mondial, cookies parfois traités aux US
– Transfert : Data Privacy Framework

Dans votre liste : Cloudflare, Inc., CDN/sécurité, mondial, DPF.

stacklegal.eu/rgpd/cloudflare

Fiche du jour : Resend.

– Entité : Plus Five Five, Inc., USA
– Usage : e-mails transactionnels
– Données : traitées et stockées aux États-Unis
– Transfert : Data Privacy Framework

Dans votre liste : Plus Five Five, Inc. (Resend), e-mails, US, DPF. Le nom légal, pas la marque.

Un grand compte vous demande votre liste de sous-traitants RGPD ?

Partez de ce que votre site charge déjà : analytics, chat, paiement, polices, CDN, emailing. Chacun est un sous-traitant potentiel à déclarer (art. 28).

Scan gratuit de votre site : stacklegal.eu/rgpd/scanner-c…

Fiche du jour : Intercom.

– Entité : Intercom, Inc., USA
– Par défaut : hébergé aux États-Unis
– Transfert : Data Privacy Framework
– Option : hébergement UE (AWS Dublin)

Dans votre liste : Intercom, support client, US ou UE, DPF.

stacklegal.eu/rgpd/intercom

Fiche du jour : HubSpot.

– Entité : HubSpot, Inc., USA
– Transfert : inscrit au Data Privacy Framework
– Deux rôles : sous-traitant pour votre CRM, responsable pour l'enrichissement et le code de suivi

Dans votre liste : HubSpot, CRM, US, DPF. Le suivi passe par le bandeau.

Un client grand compte vous envoie « son » DPA à signer lundi ? Avant de signer, comparez-le à un DPA art. 28 : objet, durée, mesures de sécurité, liste des sous-traitants, délai d'objection, sort des données en fin de contrat.

Exemple gratuit : stacklegal.eu/dpa-exemple

Fiche du jour : Mistral.

– Entité : Mistral AI, Paris
– Données : hébergées dans l'UE par défaut
– Exception : le point d'API américain héberge aux États-Unis

Dans votre liste : Mistral AI, inférence IA, région UE, prompts envoyés à l'API.

stacklegal.eu/rgpd/mistral

Fiche du jour : Anthropic.

– Entité : Anthropic PBC, USA
– Données : stockées aux États-Unis
– Pas inscrit au DPF : clauses contractuelles types

Un prompt avec un nom ou un ticket client, c'est une donnée personnelle : l'API Claude va dans votre liste de sous-traitants.

Un client vous demande votre liste de sous-traitants ? Partez de ce que votre site charge déjà : analytics, chat, polices, vidéo, paiement. Chaque outil qui reçoit des données de vos visiteurs doit y figurer.

Scan gratuit de votre site : stacklegal.eu/rgpd/scanner-c…

Fiche du jour : Supabase.

– Entité : Supabase Pte. Ltd., Singapour
– Données : dans la région choisie à la création du projet
– Pas inscrit au DPF, base du transfert non affichée

Dans votre liste : base et auth, région du projet, comptes et e-mails.

stacklegal.eu/rgpd/supabase

Fiche du jour : Sentry.

– Entité : Functional Software, Inc. (Sentry), USA
– Données : États-Unis, sauf lieu de stockage choisi
– Transfert : DPF UE–USA actif

Une stack trace contient souvent des e-mails ou des IP : Sentry a sa place dans votre liste de sous-traitants.

Un client vous envoie son DPA à signer ? Vérifiez 4 points :
– sous-traitants listés en annexe
– délai pour s'opposer à un nouveau
– délai de notification d'une violation
– pays des données + base du transfert

Exemple de DPA gratuit : stacklegal.eu/dpa-exemple

Fiche du jour : OpenAI.

– Client dans l'EEE : l'entité est OpenAI Ireland Ltd
– Mais les données sont traitées aux USA et dans d'autres pays
– OpenAI n'est pas inscrit au DPF : la base du transfert se vérifie dans le DPA

stacklegal.eu/rgpd/openai

Fiche du jour : Brevo.

– Entité : Sendinblue SAS, Paris
– Hébergement : OVH et Google Cloud, France et Belgique
– Transferts mentionnés : États-Unis (DPF actif) et Inde

Français ne veut pas dire sans transfert. Dans votre liste : entité, finalité, pays, mécanisme.

Démo du jeudi : on passe un SaaS connu au scanner gratuit, sans rien juger.

Cette semaine : notion.com

Résultat : note A. Aucun traceur tiers chargé avant consentement dans la première réponse de la page d'accueil.

Voilà ce qu'on trouve, et ce que ça ne dit pas.

Ce que ça montre : la page d'accueil ne pose rien avant le choix du visiteur.

Ce que ça ne montre pas : la liste des sous-traitants. Hébergement, e-mails, support, IA tournent côté serveur. Aucun scan de site ne les voit.

Si un client vous demande votre liste de sous-traitants, le site est le point de départ, pas la fin.

Scannez le vôtre gratuitement :
stacklegal.eu/rgpd/scanner-c…

Puis ajoutez ce que votre back-end appelle.

Fiche du jour : Vercel.

– Sous-traitant : Vercel Inc. (USA), DPA public pour les plans Pro et Enterprise
– Installations principales aux USA (AWS, Azure, Google Cloud)
– Transfert : DPF actif

Dans votre liste : hébergement, CDN, transfert US via DPF.

stacklegal.eu/rgpd/vercel

Fiche du jour : Stripe.

– Entité UE : Stripe Payments Europe, Ltd
– Transfert vers Stripe, LLC (USA) : DPF actif
– Rôle double : sous-traitant, mais responsable indépendant pour fraude et LCB-FT

Dans votre liste de sous-traitants : entité, finalité, transfert US, DPF.

Un client vous demande votre liste de sous-traitants RGPD ?

Commencez par votre site : chaque script tiers chargé à l'ouverture (analytics, chat, pixel) envoie l'IP à un prestataire.

Le scan gratuit repère les connus :
stacklegal.eu/rgpd/scanner-c…

Hébergeur, e-mails, IA : à ajouter