Juridique
Sous-traitants concernés par le DPA utilisés pour exploiter les services cloud de Capgo, avec finalité du traitement, localisation et mécanisme de transfert.
Cette liste contient les sous-traitants engagés par Capgo, exploité par Digital Shift OÜ et CodepushGo, LLC, pour la fourniture des services cloud Capgo. Elle fait partie de l’Accord de traitement des données.
Les sous-traitants listés traitent les données des clients pour le compte de Capgo, y compris les données de compte, les métadonnées d’application, les métadonnées de bundle, les identifiants d’appareil, les fichiers source soumis pour les builds natifs, les artefacts de build, les données de workflow et les données de livraison transmises via les services cloud.
Ces services ne sont pas considérés comme des sous-traitants Capgo dans la liste du DPA, sauf si Capgo agit explicitement en tant que sous-traitant.
Pour la publication sur les stores, Capgo agit en tant qu’intermédiaire API vers les comptes développeur du client. Apple et Google sont des responsables de traitement indépendants, ayant une relation contractuelle directe avec le client.
Services utilisés par Capgo pour ses propres besoins, comme les paiements, l'e-mail, l'analytics produit, le support, le monitoring des erreurs ou la qualité interne de code. Exemples actuels : Stripe, Bento, PostHog, CodeRabbit, SonarCloud.
Les plateformes de CI du client (par exemple GitHub Actions, GitLab CI ou Bitbucket Pipelines) et le contrôle de source s'exécutent dans l'environnement du client. Capgo ne lie pas les dépôts de code source du client et ne récupère pas de code source depuis GitHub ou d'autres hôtes pour le compte du client. Les clients appellent Capgo depuis leur CI avec des tokens API ; les bundles, les entrées de Native Build et les artefacts sont soumis via l'Capgo CLI ou API. Ces fournisseurs sont régis par la relation du client avec eux, et non en tant que sous-traitants DPA de Capgo pour l'accès aux dépôts.
Les destinations de webhook ou autres services tiers configurés par le client relèvent de la relation du client avec ces fournisseurs, sauf si Capgo agit explicitement comme sous-traitant pour cette intégration.
Capgo informera les clients au moins 30 jours avant le recours prévu à un nouveau sous-traitant ou avant une modification substantielle d'un sous-traitant existant, sauf si une exigence urgente de sécurité, de disponibilité ou une obligation légale impose d'agir plus rapidement.
Les clients peuvent s’opposer à l’ajout ou à la modification d’un sous-traitant pour des motifs raisonnables liés à la protection des données, conformément à l’accord de traitement des données.
Les données clients traitées par Capgo en tant que sous-traitant peuvent transiter par les prestataires suivants.
| Nom | Finalité / catégories de données traitées | Lieu de traitement | Mécanisme de transfert |
|---|---|---|---|
| Supabase, Inc. | Base de données principale, authentification, données de compte, métadonnées d'application, métadonnées de bundle et identifiants d'appareil. | Londres, Royaume-Uni | Adequacy UK pour l’hébergement au Royaume-Uni ; clauses contractuelles types (CCT) de l’UE le cas échéant |
| Cloudflare, Inc. | Edge CDN, runtime Workers, Durable Objects, stockage R2, services de sécurité et livraison des live updates. Sur opt-in du client, diagnostics des logs de build assistés par IA via Cloudflare Workers AI ; les logs sont traités le temps de la requête et ne sont pas conservés à des fins d'entraînement. | Monde, y compris les États-Unis | Cadre de confidentialité des données UE-États-Unis (certifié DPF) ; clauses contractuelles types de l'UE (CCT) en cas de repli |
| Google Cloud | Répliques de lecture de base de données et infrastructure régionale pour la disponibilité et la latence du service. | Hong Kong, Tokyo, Sydney, Johannesburg, Milan, Djeddah, Mumbai, São Paulo et Columbus | Clauses contractuelles types de l'UE (CCT) ; décisions d'adéquation le cas échéant ; DPF/CCT UE-États-Unis pour le traitement aux États-Unis |
| Scaleway SAS | Infrastructure de build, y compris les runners de build macOS, les artefacts de build, les fichiers source nécessaires aux builds natifs et les données de workflow. | Paris, France, UE | Adéquation (UE) |
| Date | Modification |
|---|---|
| 2026-10-05 | Retrait de GitHub, Inc. de la liste des sous-traitants du DPA. Capgo ne propose pas de connexion de repository ni de récupération du code source depuis le GitHub du client ; la CI du client envoie des données à Capgo avec des tokens API. Précision sur la CI client et la gestion du code source dans la section « Non couvert par cette liste ». |
| 2026-06-04 | Réécriture : liste des sous-traitants limitée aux données clients traitées par Capgo en tant que sous-traitant ; destinataires côté responsable de traitement et services d'ingénierie internes séparés de la liste des sous-traitants du DPA. |
| 2026-06-04 | Périmètre Cloudflare clarifié : diagnostic des logs de build assisté par IA (opt-in) via Cloudflare Workers AI. |
| 2026-05-29 | Dernière mise à jour : précision sur l'emplacement de Supabase, liste des régions Google Cloud, ajout de PostHog et Scaleway, retrait de PlanetScale, Sentry et Depot. |
