Vercel — diffusion du site
Vercel Inc. diffuse les pages du site et son réseau de distribution peut traiter des données techniques de navigation, notamment l’adresse IP, le navigateur, l’heure et la page demandée. Le projet est configuré dans la région de Paris, mais le réseau et les opérations du fournisseur restent internationaux
Le contenu de la déclaration, le NIR, les circonstances de l’accident et les documents ne sont pas envoyés à une route métier Vercel. Le navigateur communique directement avec le backend Supabase. Cette séparation est contrôlée automatiquement et doit être préservée
Le DPA Vercel applicable aux offres Pro et Enterprise prévoit des transferts vers les États-Unis et d’autres pays, encadrés notamment par les clauses contractuelles types de 2021 lorsque celles-ci sont requises
Supabase — compte, traitement et stockage privés
Supabase Pte. Ltd fournit l’authentification, les fonctions backend, la base PostgreSQL et le stockage privé. Le projet utilisé par le service est configuré dans la région AWS Paris eu-west-3 pour le stockage et le traitement principaux
Supabase peut recevoir les données du compte, le contenu chiffré de la déclaration, les documents privés, les statuts et les journaux nécessaires au service. Les données structurées sensibles sont chiffrées par l’application avant leur enregistrement et les documents restent dans un espace privé
Le DPA Supabase version 1 du 1er août 2026 couvre les données concernant la santé, autorise des sous-traitants ultérieurs et incorpore les clauses contractuelles types pour les transferts auxquels elles s’appliquent. La région Paris ne signifie pas que tout accès, support ou sous-traitement reste nécessairement dans l’Espace économique européen
Stripe — paiement et facturation
Stripe Payments Europe, Limited fournit le paiement, les abonnements, les factures, le calcul des taxes et la prévention de la fraude. Stripe peut recevoir l’identité du payeur, ses coordonnées de facturation, son numéro de TVA, le montant, l’offre choisie et les données de paiement nécessaires. Smart Data Pay ne stocke pas les numéros de carte
Le DPA Stripe fait partie du contrat Stripe. Il prévoit des traitements mondiaux, notamment un transfert vers Stripe, LLC aux États-Unis. Son addendum de transfert prévoit le cadre UE–États-Unis relatif à la protection des données lorsqu’il est applicable, puis les clauses contractuelles types comme mécanisme de remplacement
Le registre officiel du Département du commerce américain, consulté le 15 septembre 2026, affiche Stripe, LLC comme participant actif au cadre UE–États-Unis pour les données professionnelles et non professionnelles, avec une prochaine certification due le 11 mai 2027
Resend — emails transactionnels
Plus Five Five, Inc., qui exploite Resend, envoie les codes de connexion, les messages de suivi et les demandes de contact. Resend reçoit l’adresse email, le modèle de message et une référence technique. Pour une demande de contact, le nom, l’adresse email et le texte saisi sont aussi transmis ; le formulaire demande explicitement de ne communiquer aucune information concernant un salarié, sa santé ou son accident. Les emails de suivi automatisés n’incluent ni NIR, détail médical ni document de déclaration
Resend indique que ses opérations principales sont situées aux États-Unis. Son DPA incorpore les clauses contractuelles types pour les transferts hors Espace économique européen. Le registre officiel consulté le 15 septembre 2026 affiche Resend, exploité par PLUS FIVE FIVE, comme participant actif au cadre UE–États-Unis pour les données non professionnelles, tout en précisant que sa recertification est en cours d’examen. Ce statut doit être revérifié avant l’ouverture du service
Paraf — signature électronique facultative
Paraf, service édité par KAZAC SAS en France, est prévu uniquement lorsque l’utilisateur choisit l’envoi pour signature électronique. Le PDF et l’adresse du signataire seraient alors transmis à Paraf. Le signataire n’aurait pas besoin de créer un compte
Cette intégration n’est pas activée. Aucune donnée DAT n’est transmise à Paraf tant que ses contrôles de sécurité, ses sous-traitants, ses transferts et le parcours de restitution du document signé ne sont pas validés de bout en bout
Services publics consultés pendant la saisie
Des services publics sont interrogés pour éviter les ressaisies : API Recherche d’entreprises pour le SIRET, Géoplateforme IGN pour les suggestions d’adresse, API Géo pour la commune et API Annuaire de l’administration pour la CPAM compétente
Seules les informations nécessaires à chaque recherche sont envoyées. Le nom du salarié, son NIR, les circonstances de l’accident et le dossier complet ne sont pas transmis à ces services. Les suggestions d’adresse personnelle ne démarrent qu’après une action explicite de l’utilisateur
Évolution de la liste
Smart Data Pay réexamine cette liste lors de l’ajout ou du remplacement d’un prestataire. Lorsqu’un changement concerne le traitement effectué pour le compte d’un client, celui-ci est informé selon les modalités prévues par l’accord de sous-traitance afin de pouvoir exercer son droit d’objection
Les listes des prestataires ultérieurs publiées par Vercel, Supabase, Stripe et Resend évoluent indépendamment. Leurs pages officielles font foi pour leur composition à jour. Une région européenne réduit certains transferts, mais ne permet jamais d’affirmer, à elle seule, qu’aucune donnée ne sort de l’Union européenne