Juridique
Sous-traitants concernés par le DPA utilisés pour exploiter les services cloud de Capgo, incluant la finalité du traitement, la localisation et le mécanisme de transfert.
Cette liste contient les sous-traitants auxquels Capgo fait appel, exploité par Digital Shift OÜ et CodepushGo, LLC, pour la fourniture des services cloud Capgo. Elle fait partie de l'accord de traitement des données (DPA).
Les sous-traitants listés traitent les données des clients pour le compte de Capgo, notamment les données de compte, les métadonnées d'application, les métadonnées de bundle, les identifiants d'appareil, les fichiers sources envoyés pour les Native Build, les artefacts de build, les données de workflow et les données de livraison transmises via les services cloud.
Ces services ne sont pas considérés comme des sous-traitants Capgo pour la liste du DPA, à moins que Capgo n'agisse explicitement en tant que sous-traitant.
Pour la publication sur les stores, Capgo agit comme un intermédiaire API vers les comptes développeurs du client. Apple et Google sont des responsables du traitement indépendants ayant une relation contractuelle directe avec le client.
Services utilisés par Capgo pour ses propres besoins métier, tels que les paiements, l'e-mail, l'analytics produit, le support, la surveillance des erreurs ou la qualité interne de code. Les exemples actuels incluent Stripe, Bento, PostHog, CodeRabbit, SonarCloud.
Les plateformes de CI du client (par exemple GitHub Actions, GitLab CI ou Bitbucket Pipelines) et le contrôle de source s'exécutent dans l'environnement du client. Capgo ne lie pas les dépôts de code source du client et ne récupère pas de code source depuis GitHub ou d'autres hôtes pour le compte du client. Les clients appellent Capgo depuis leur CI avec des tokens API ; les bundles, les entrées de Native Build et les artefacts sont envoyés via l'Capgo CLI ou API. Ces fournisseurs sont régis par la relation du client avec eux, et non en tant que sous-traitants DPA de Capgo pour l'accès aux dépôts.
Les destinations de webhook ou autres services tiers configurés par le client sont régis par la relation du client avec ces fournisseurs, à moins que Capgo n'agisse explicitement en tant que sous-traitant pour cette intégration.
Capgo informera les clients au moins 30 jours avant l'engagement prévu d'un nouveau sous-traitant ou d'un changement substantiel d'un sous-traitant existant, à moins qu'une exigence urgente de sécurité, de disponibilité ou légale ne nécessite une action plus rapide.
Les clients peuvent s'opposer à l'ajout ou au changement d'un sous-traitant pour des motifs légitimes liés à la protection des données, conformément au Data Processing Agreement.
Les données clients traitées par Capgo en tant que sous-traitant peuvent transiter par les prestataires suivants.
| Nom | Finalité / catégories de données traitées | Lieu de traitement | Mécanisme de transfert |
|---|---|---|---|
| Supabase, Inc. | Base de données principale, authentification, données de compte, métadonnées d'application, métadonnées de bundle et identifiants d'appareil. | Londres, Royaume-Uni | Adéquation du Royaume-Uni pour l'hébergement au Royaume-Uni ; Clauses contractuelles types (CCT) de l'UE le cas échéant |
| Cloudflare, Inc. | Edge CDN, runtime Workers, Durable Objects, stockage R2, services de sécurité et livraison de live updates. Avec l'accord du client, diagnostics des logs de build assistés par IA via Cloudflare Workers AI ; les logs sont traités pour la requête et ne sont pas conservés pour l'entraînement. | Monde entier, y compris les USA | Cadre de protection des données EU-US (certifié DPF) ; Clauses contractuelles types de l'UE (SCC) en recours |
| Google Cloud | Réplicas de lecture de base de données et infrastructure régionale pour la disponibilité et la latence du service. | Hong Kong, Tokyo, Sydney, Johannesburg, Milan, Jeddah, Mumbai, Sao Paulo et Columbus | Clauses contractuelles types (SCC) de l'UE ; décisions d'adéquation le cas échéant ; DPF/SCC UE-États-Unis pour le traitement aux USA |
| Scaleway SAS | Infrastructure de build, incluant les runners de build macOS, les artefacts de build, les fichiers sources nécessaires aux Native Build et les données de workflow. | Paris, France, UE | Adéquation (UE) |
| Date | Modification |
|---|---|
| 2026-10-05 | Retrait de GitHub, Inc. de la liste des sous-traitants du DPA. Capgo ne propose pas de liaison de dépôt ni de récupération du code source depuis le GitHub du client ; la CI du client envoie les données à Capgo avec des tokens API. Clarification de la CI client et de la gestion du code source dans la section « Non couvert par cette liste ». |
| 2026-06-04 | Liste des sous-traitants limitée aux données clients traitées par Capgo en tant que sous-traitant ; les destinataires côté responsable de traitement et les services d'ingénierie internes sont séparés de la liste des sous-traitants du DPA. |
| 2026-06-04 | Périmètre Cloudflare clarifié : diagnostic des logs de build assisté par IA (opt-in) via Cloudflare Workers AI. |
| 2026-05-29 | Mise à jour précédente : localisation de Supabase clarifiée, régions Google Cloud listées, ajout de PostHog et Scaleway, retrait de PlanetScale, Sentry et Depot. |
