Annexe II du contrat de sous-traitance : sous-traitants ultérieurs

Liste des sous-traitants ultérieurs à la date de publication. La première partie recense les sous-traitants ultérieurs qui traitent ou peuvent traiter des Données du Client ; la seconde, les services de données publiques que la Plateforme interroge et qui ne sont pas des sous-traitants ultérieurs. La colonne « Données du Client ? » répond oui, non ou possible, avec la raison. Les lignes 5 et 6 (Sentry) figurent par souci de transparence : Hodeitek traite les rapports d'erreur en tant que responsable du traitement (clause 2.2) et Sentry est son prestataire pour ce traitement, et non un sous-traitant ultérieur du Client.

Cette annexe fait partie du contrat de sous-traitance de la bêta et de ses conditions.

1.Première partie. Sous-traitants ultérieurs

N° et fournisseur: 1. OVHcloud (OVH SAS)
Service: Managed Kubernetes, Managed PostgreSQL et Object Storage ; journaux techniques dans OVHcloud Logs Data Platform (Graylog, GELF sur TLS). L'inférence d'IA par la même entité (OVHcloud AI Endpoints) figure séparément, à la ligne 7
Finalité: Héberger la Plateforme, la base de données et les fichiers téléversés
Lieu du traitement: Gravelines, France (UE) ; journaux en gra2 (Gravelines), rétention d'1 an
Données reçues: Toutes les Données du Client stockées ; dans les journaux techniques, identifiant de tenant, identifiant d'utilisateur, hash salé de l'IP, route, pays, et le texte et le contexte de chaque ligne
Données du Client ?: Oui. Elle héberge la base de données, les fichiers et le calcul où sont traitées toutes les Données du Client
Garantie de transfert: Dans l'EEE : pas de transfert

N° et fournisseur: 2. Aiven Oy (Helsinki, Finlande ; numéro d'entreprise 2795743-5), sous-traitant ultérieur (Hodeitek → OVHcloud → Aiven) : exploite le service OVHcloud Managed PostgreSQL. Hodeitek contracte avec OVHcloud et OVHcloud recourt à Aiven
Service: Plateforme qui exploite le PostgreSQL géré d'OVHcloud, exploitée à distance par Aiven.
Finalité: Exploiter la base de données gérée
Lieu du traitement: UE (France, Gravelines ; les sauvegardes gérées aussi à Strasbourg, France : Annexe I, I.2)
Données reçues: Les mêmes Données du Client que la base de données de la ligne 1, dans la mesure où Aiven y a accès
Données du Client ?: Possible. La base de données contient toutes les Données du Client, et Aiven peut avoir à les traiter, à distance, pour exploiter le service
Garantie de transfert: Serveurs dans l'UE ; pour tout traitement en dehors de l'EEE, clauses contractuelles types au titre de la décision d'exécution (UE) 2021/914, selon l'accord de traitement de données d'Aiven

N° et fournisseur: 3. Cloudflare, Inc.
Service: DNS, réseau de distribution, pare-feu et terminaison TLS ; vérification anti-bots Turnstile du Trust Center public ; API de domaines personnalisés (custom hostnames) des Trust Center
Finalité: Acheminer et protéger le trafic de la Plateforme
Lieu du traitement: Réseau mondial ; entité aux États-Unis
Données reçues: Tout le trafic en transit, que Cloudflare voit en clair puisqu'elle termine le TLS en bordure et le rouvre vers l'origine avec un TLS mutuel (y compris les Données du Client qui circulent dans chaque requête), avec l'IP et les données techniques du navigateur. Turnstile : le jeton et l'IP du visiteur. API de domaines personnalisés : le nom d'hôte que le client veut associer à son Trust Center
Données du Client ?: Oui (terminaison TLS : elle voit le contenu des requêtes). Possible pour Turnstile (IP des visiteurs du Trust Center public). Non pour l'API de domaines personnalisés (un nom d'hôte, en principe non personnel)
Garantie de transfert: EU-U.S. Data Privacy Framework tant que Cloudflare, Inc. figure comme participante active et, s'il cesse de s'appliquer, clauses contractuelles types (décision (UE) 2021/914)

N° et fournisseur: 4. Resend (États-Unis ; entité contractante : Plus Five Five, Inc. (opère sous le nom de Resend), 2261 Market Street #5039, San Francisco, CA, États-Unis, selon le DPA et les conditions d'utilisation du fournisseur, consultés le 2026-10-14)
Service: API de courrier électronique transactionnel, appelée depuis n8n
Finalité: Envoyer les courriels de la Plateforme : invitations, alertes, avis, invitations aux questionnaires et avis de vulnérabilités aux fournisseurs
Lieu du traitement: États-Unis (traitement principal, selon son DPA) ; région d'envoi : eu-west-1 (Irlande), mesurée par l'API de Resend et consignée par la console (2026-10-14). Amazon Web Services, Inc. figure comme fournisseur d'hébergement et d'envoi sur la page des sous-traitants ultérieurs de Resend (mise à jour le 27-08-2026, vérifiée le 2026-10-06)
Données reçues: Adresse électronique et nom du destinataire (utilisateurs du Client et contacts de fournisseurs) et contenu de l'avis
Données du Client ?: Oui. Elle reçoit nom et adresse électronique de personnes et le texte des avis qui contiennent des données du Client
Garantie de transfert: Resend est une entreprise américaine et son DPA indique que son traitement principal s'effectue aux États-Unis (clause 6.1). Garanties selon ce DPA : clauses contractuelles types de la décision (UE) 2021/914, module deux et, si le Client est sous-traitant, module trois (clause 6.2), et adhésion déclarée au EU-U.S. DPF (clause 11.1).

N° et fournisseur: 5. Functional Software, Inc. (Sentry), pour la console, l'API publique et le serveur MCP (prestataire de Hodeitek en tant que responsable du traitement ; pas un sous-traitant ultérieur du Client)
Service: Surveillance des erreurs (navigateur, serveur et edge de la console ; API publique et serveur MCP)
Finalité: Diagnostiquer les erreurs techniques de la Plateforme, finalité propre de Hodeitek en tant que responsable du traitement (clause 2.2)
Lieu du traitement: Stockage dans la région UE de Sentry. Accès possibles depuis les États-Unis par Functional Software, Inc.
Données reçues: Rapports d'erreur filtrés (sans utilisateur, cookies ni en-têtes ; adresses électroniques, IP et secrets du texte masqués) ; traces de performance échantillonnées ; journaux de l'application avec une liste fermée d'attributs (tenant, requête, pays, route, état), sans identifiant d'utilisateur ni empreinte d'IP ; relecture d'écran uniquement en cas d'erreur et masquée. Voir le détail ci-dessous
Données du Client ?: Pas en tant que sous-traitant ultérieur : Hodeitek traite ces rapports en tant que responsable du traitement (clause 2.2). Possible. Le texte libre des messages et des traces peut contenir des noms ou des données du Client que le filtre ne reconnaît pas (il retire adresses électroniques, IP, jetons et secrets, pas les noms). La liste fermée d'attributs des journaux n'inclut pas de données de personnes
Garantie de transfert: Région de stockage : pas de transfert. Accès depuis les États-Unis : EU-U.S. DPF et, s'il ne s'applique pas, clauses contractuelles types, modules 2 et 3, selon le DPA public de Sentry v5.1.0 (29-05-2024), https://sentry.io/legal/dpa/

N° et fournisseur: 6. Functional Software, Inc. (Sentry), pour l'agent de poste (prestataire de Hodeitek en tant que responsable du traitement ; pas un sous-traitant ultérieur du Client)
Service: Surveillance des erreurs de l'agent installé sur les postes du Client
Finalité: Diagnostiquer les défaillances de l'agent, finalité propre de Hodeitek en tant que responsable du traitement (clause 2.2)
Lieu du traitement: Région UE de Sentry. Accès possibles depuis les États-Unis comme à la ligne précédente
Données reçues: Uniquement erreurs et défaillances : message et trace filtrés, version, environnement, système d'exploitation et version du noyau, architecture. L'IP de la connexion du poste parvient aux serveurs de Sentry ; avec l'option du projet qui empêche de stocker l'IP et la règle de nettoyage des données de Sentry qui supprime la localisation déduite, l'événement stocké ne conserve ni l'IP ni la ville (mesuré le 2026-10-06). Cette règle est une configuration de Sentry et non du code
Données du Client ?: Pas en tant que sous-traitant ultérieur : Hodeitek traite ces rapports en tant que responsable du traitement (clause 2.2). Possible. Les observations de l'agent ne vont pas à Sentry et le nom du poste et du compte sont masqués, mais le texte d'une erreur peut contenir des données que le filtre ne reconnaît pas ; l'IP de la connexion parvient à Sentry même si elle n'est pas stockée
Garantie de transfert: Idem ligne précédente

N° et fournisseur: 7. OVH SAS (France), la même entité que la ligne 1
Service: OVHcloud AI Endpoints (inférence d'IA), une API compatible avec celle d'OpenAI, via n8n, dans les cinq flux avec modèle : HodeiAI, CISO virtuel, rédaction de politiques (l'analyse de couverture n'atteint pas le modèle), analyse de risque des analyses de fournisseurs et classification des nouveautés réglementaires (voir le détail ci-dessous). Conditions du service : Annexe 10 (« AI Endpoints ») des Conditions particulières des services Public Cloud d'OVHcloud (OVHcloud Public Cloud, Appendix 10 (26-08-2026), pp. 52-53). Sous-traitants ultérieurs d'OVH : ceux de son propre contrat de sous-traitance ; l'Annexe 10 ne les mentionne pas
Finalité: HodeiAI, CISO virtuel, rapports, rédaction de politiques et une partie de l'analyse de risque des analyses de fournisseurs
Lieu du traitement: UE (France, Gravelines, selon la documentation du service d'OVH), page du service mise à jour le 03-02-2026, non contractuelle ; le contrat ne fixe pas de région. Selon le contrat, le service ne stocke pas les requêtes ni les données, même temporairement, sauf pour l'API Batch, que HodeiShield n'utilise pas, et OVHcloud ne les réutilise pas, y compris pour entraîner des modèles (OVHcloud Public Cloud, Appendix 10 (26-08-2026), pp. 52-53). Rétention propre de Hodeitek des conversations : 90 jours
Données reçues: HodeiAI et CISO virtuel : la question, les 20 derniers messages, le contexte du tenant et les résultats des outils que consulte l'agent (fournisseurs, risques, preuves, conformité), pseudonymisés. Politiques : le référentiel, la catégorie, le ton, la langue et le nom de l'organisation pour rédiger la politique, pseudonymisés. Analyses de fournisseurs : domaine, type, score, constatations et données de Shodan en clair, avec pour seule substitution un remplacement par motifs d'adresse électronique, téléphone, IBAN et DNI/NIE. Nouveautés réglementaires : uniquement des sources publiques
Données du Client ?: Oui, tant que le tenant a HodeiAI activé (tous les flux sauf les nouveautés réglementaires dépendent de cet interrupteur). Non pour la classification des nouveautés réglementaires (uniquement des textes publics)
Garantie de transfert: Dans l'EEE : OVH SAS est établie en France et l'emplacement du service est l'UE (France, Gravelines, selon la documentation du service d'OVH) ; il n'y a aucun transfert international.

N° et fournisseur: 8. Microsoft Corporation (Microsoft 365), avec Microsoft Ireland Operations Ltd. comme représentant dans l'EEE
Service: Boîtes de messagerie d'assistance, de sécurité et de protection des données (info@hodeitek.com, security@hodeitek.com, privacy@hodeitek.com)
Finalité: Traiter par courriel les demandes d'assistance et les communications de sécurité
Lieu du traitement: Irlande (UE), dans l'EEE (EU Data Boundary) ; accès ponctuels de Microsoft Corporation (États-Unis)
Données reçues: Uniquement ce que le Client écrit ou joint dans le message, s'il envoie des Données du Client par ce canal ; en outre, l'adresse électronique et le nom de l'expéditeur
Données du Client ?: Possible. L'assistance par courriel peut recevoir des Données du Client si le participant les colle ou les joint
Garantie de transfert: Dans l'EEE pour le stockage ; les accès ponctuels depuis les États-Unis reposent sur le EU-U.S. DPF et, à défaut, sur les Clauses contractuelles types

N° et fournisseur: 9. UptimeRobot s. r. o. (Bratislava, Slovaquie, UE)
Service: Page d'état et avis d'incidents et de maintenance par e-mail à toute personne qui s'abonne : status.hodeishield.com, page d'état publique d'UptimeRobot, avec les incidents et les avis publiés par Hodeitek
Finalité: Informer de l'état du service et des incidents, et notifier par e-mail les abonnés
Lieu du traitement: Principal dans l'UE et secondaire aux États-Unis, dans des centres de données exploités par ses sous-traitants ultérieurs (DPA d'UptimeRobot, Annexe 1 et clause 11.1)
Données reçues: Si quelqu'un s'abonne aux avis, son adresse e-mail, qu'UptimeRobot conserve dans sa base de données et que le titulaire de la page ne peut pas voir (politique de confidentialité d'UptimeRobot) ; pour les visiteurs de la page, l'adresse IP et les journaux d'utilisation (DPA, Annexe 1). Les moniteurs ne vérifient que des adresses publiques de la Plateforme
Données du Client ?: Possible. Un abonné peut être un utilisateur du Client ; la page ne reçoit aucune donnée de l'espace de travail.
Garantie de transfert: L'entité est dans l'UE. Pour ce qui est traité aux États-Unis ou dans d'autres pays tiers, clauses contractuelles types (décision (UE) 2021/914), module deux ou trois selon le rôle du client (DPA d'UptimeRobot, clauses 11.2 et 11.3). UptimeRobot ne déclare pas adhérer au EU-U.S. DPF

2.Destinations choisies par le Client (ne sont pas des sous-traitants ultérieurs)

Les services vers lesquels le Client dirige des données de son propre chef ne sont pas des sous-traitants ultérieurs de Hodeitek : les destinations d'alertes (Slack, Microsoft Teams, PagerDuty, Opsgenie, webhooks propres, SIEM au format CEF, Jira et ServiceNow) et les fournisseurs d'identité pour l'authentification unique (Google, Microsoft Entra, Okta, OneLogin ou un fournisseur propre). Le Client choisit la destination, la configure et en répond ; Hodeitek n'envoie que ce que le Client configure. L'avis de la console le dit de la même manière.

3.Stripe et Holded : figurent dans la liste de la console et ne reçoivent pas de Données du Client

Stripe et Holded sont des sous-traitants de Hodeitek pour encaisser et facturer l'abonnement, uniquement lorsqu'il est souscrit en ligne. Ils ne reçoivent que des données de facturation, que Hodeitek traite en qualité de responsable du traitement, et rien de l'espace de travail (fournisseurs, preuves, utilisateurs). Ils ne sont pas des sous-traitants ultérieurs de ce contrat et n'ont donc pas de ligne dans la première partie. La facturation est désactivée tant que BILLING_ENABLED ne vaut pas true, et la bêta est gratuite.

4.Seconde partie. Sources de données publiques (ne sont pas des sous-traitants ultérieurs)

Cette liste est distincte de la première partie. La console la présente à part, sous le titre « Sources publiques de sécurité et service de logos » : des services de données publiques auxquels le moteur d'automatisation (n8n) envoie des identifiants de ce qui est analysé, et non des comptes d'utilisateurs. Ils ne sont pas des sous-traitants ultérieurs. Ils sont déclarés pour que le Client sache ce qui sort de la Plateforme : un domaine d'entreprise n'est généralement pas une donnée à caractère personnel, mais il le devient s'il identifie une personne physique, et l'ensemble de ce qui est consulté révèle quels fournisseurs et quels logiciels le Client utilise. Ce contrat n'indique pas où ces services traitent les données : ce ne sont pas des sous-traitants ultérieurs et ils ne reçoivent que ce qu'indique le tableau.

Seconde partie. Sources de données publiques (ne sont pas des sous-traitants ultérieurs)
Source	Pourquoi elle est consultée	Ce qu'elle reçoit	Données à caractère personnel ?
Shodan (`api.shodan.io`)	Mesurer l'exposition publique des fournisseurs du Client (résolution DNS et données publiques du serveur), y compris dans l'analyse publique de domaines, avec un identifiant de Hodeitek	Le domaine du fournisseur et l'adresse IP vers laquelle il se résout, lors de l'analyse d'un fournisseur du Client et lors des nouvelles analyses programmées	Possible, uniquement si le domaine identifie une personne physique (par exemple, un indépendant). Il révèle quels fournisseurs le Client analyse
Have I Been Pwned (`haveibeenpwned.com`)	Détecter si un domaine de fournisseur figure dans des fuites publiques, au moyen du catalogue public des fuites (`/api/v3/breaches?Domain=`)	Uniquement le domaine du fournisseur (paramètre `Domain`) et l'en-tête `user-agent: HodeiShield/1.0`. Aucune adresse électronique ni aucune autre donnée à caractère personnel des clients n'est envoyée.	Possible, uniquement si le domaine identifie une personne physique. C'est pourquoi il n'est pas un sous-traitant : il ne reçoit pas de données à caractère personnel des clients pour le compte de Hodeitek
OSV.dev (`api.osv.dev`)	Recouper les composants des SBOM que téléverse le Client avec des vulnérabilités connues	L'identifiant de paquet (purl : nom, version et écosystème) de chaque composant, sans le tenant qui l'a téléversé	Non. C'est en revanche une information confidentielle du Client (quel logiciel il utilise ou son fournisseur utilise)
Logo.dev (`img.logo.dev`)	Obtenir le logo d'un fournisseur, d'un éditeur ou d'un connecteur	Le domaine du fournisseur, de l'éditeur ou du connecteur	Possible, uniquement si le domaine identifie une personne physique
NVD (`services.nvd.nist.gov`)	Rechercher les CVE des actifs logiciels (API REST 2.0, par CPE)	Le nom CPE du produit logiciel de l'actif (fournisseur, produit, version), dans le paramètre `cpeName`, sans le tenant	Information d'inventaire du Client (quel logiciel il utilise), de même nature que les identifiants que reçoit OSV.dev.
FIRST EPSS (`api.first.org`)	Obtenir la probabilité d'exploitation de chaque CVE	Les identifiants CVE	Non
CISA (catalogue des vulnérabilités exploitées connues)	Télécharger une liste publique	Rien du Client	Non
Bulletins réglementaires (BOE, EUR-Lex, BCE, EBA, ESMA, EDPB, Commission européenne et INCIBE)	Télécharger des listes publiques pour classer les nouveautés réglementaires	Rien du Client	Non

5.Détail d'OVHcloud AI Endpoints

Détail d'OVHcloud AI Endpoints
Flux	Dépend de l'interrupteur HodeiAI	Pseudonymisé	Données du Client
HodeiAI et ses rapports, résumé du tableau de bord et réponses du Trust Center	Oui	Oui, la requête et les résultats des outils	Oui
CISO virtuel	Oui	Oui	Oui
Rédaction de politiques	Oui	Oui	Oui
Analyse de couverture des politiques	Oui	Oui (parvient pseudonymisée à n8n)	N'atteint pas OVHcloud AI Endpoints
Analyse de risque des analyses de fournisseurs	Oui, par l'indicateur `ai_analysis`	Non : requête non pseudonymisée, seulement un remplacement par motifs dans le texte que reçoit le modèle	Oui : domaine, constatations et données de Shodan du fournisseur
Classification des nouveautés réglementaires	Non (texte public)	Inutile	Non : uniquement des sources publiques

6.Détail de Sentry

Console, API publique et serveur MCP :

sendDefaultPii: false dans le navigateur, le serveur, l'edge, l'API et le serveur MCP.
Filtre beforeSend : supprime l'utilisateur, les cookies et les en-têtes de la requête ; côté serveur et edge, supprime en outre les clés portant un nom de donnée à caractère personnel dans extra et tags, et masque enfin dans le texte les formes de secrets, les jetons dans les URL, les adresses électroniques et les adresses IP. Il ne reconnaît pas les noms de personnes à l'intérieur du texte d'une erreur.
Journaux envoyés à Sentry (enableLogs: true) : une liste fermée d'attributs (tenantId, requestId, cfRay, country, component, level, route, durationMs, statusCode, method, status, errorCode), uniquement sous forme de texte, de nombre ou de booléen ; tout le reste est écarté, et le message et les textes passent par le filtre de secrets et d'adresses électroniques. L'identifiant d'utilisateur et l'empreinte salée de l'IP ne sortent pas vers Sentry ; ils vont en revanche aux journaux internes et à OVHcloud Logs Data Platform (ligne 8).
Relecture de session : jamais dans les sessions normales ; en production, uniquement en cas d'erreur, avec maskAllText, maskAllInputs et blockAllMedia et avec blocage des éléments portant des liens d'accès.
Traces de performance échantillonnées (10 % en production dans le navigateur et l'edge ; échantillonnage par route côté serveur) et profils serveur à 10 %.
Envoi depuis le navigateur par un relais propre (POST /monitoring) qui ne transmet qu'à un hôte d'ingestion de l'UE et aux projets de la liste autorisée, et qui ne transmet pas à la destination les en-têtes du navigateur (seulement le type de contenu et l'encodage), de sorte que Sentry voit l'IP du serveur de la console et non celle de l'utilisateur.
L'API publique (api/) et le serveur MCP n'envoient que des erreurs, sans requête, utilisateur, fils d'Ariane ni journaux, également par le relais ; sans interrupteur de projets renseigné, le relais les rejette.
Comment le désactiver : seul Hodeitek peut le faire, au déploiement. Sentry n'envoie rien avec SENTRY_ENVIRONMENT=development, mais le démarrage en production exige un DSN configuré et le DSN du navigateur est fixé à la compilation de l'image. Il n'y a pas d'interrupteur par client.

Agent :

Le DSN est incorporé lors de la compilation des binaires officiels à partir d'un secret de CI ; c'est pourquoi les binaires publiés font des signalements par défaut.
Il n'envoie que des erreurs, des paniques et certaines anomalies internes de l'agent ; sans sessions, traces, journaux ni métriques.
Comment le désactiver, dans les versions publiées `v2.12.2` et `v2.12.3` : (1) fichier marqueur /etc/hodei-shield/telemetry-off sous Linux et macOS ou %ProgramData%\Hodei-Shield\telemetry-off sous Windows, qui prévaut sur tout DSN et survit aux mises à jour ; (2) HODEI_SENTRY_DSN avec la valeur off, false, 0, no, none, disabled ou vide. C'est documenté dans les guides d'installation de l'agent. Sous Windows, le service ne voit pas une nouvelle variable de machine avant le redémarrage du poste ; le fichier marqueur est donc recommandé.
Dans `v2.12.1`, il n'y a pas de fichier marqueur : la désactivation se faisait par une variable HODEI_SENTRY_DSN ayant une valeur qui n'est pas un DSN valide (par exemple off), et le nom du poste pouvait figurer dans le texte des fils d'Ariane.
Localisation approximative : Sentry déduit le pays et la ville à partir de l'IP de la connexion après la sortie de l'événement du poste ; aucun code de l'agent ne peut l'empêcher. La règle de nettoyage des données du projet hodeishield-agent qui la supprime est une configuration de Sentry, mesurée le 2026-10-06, et non du code.
Les modules chargés sous Windows sont envoyés par nom de fichier et identifiant de débogage, sans répertoire.