Sous-traitants
Toutes les sociétés qui interviennent dans le fonctionnement de Typoza, ce qui leur est transmis, où elles hébergent, et sur quelle base légale.
Dernière mise à jour : 27 septembre 2026 — Cette date est calculée à partir de la liste de nos sous-traitants. Elle change dès que cette liste change.
Cette page existe aussi en anglais ; en cas de différence, la version française fait foi.
La liste
Vercel
Hébergement
- Données transmises
- L'adresse IP et l'en-tête d'agent utilisateur de chaque requête, dans les journaux d'accès
- Le contenu servi : la vitrine, la documentation, les écrans de l'application et les sites des ateliers
- Les variables d'environnement des projets, dont les clés des autres tiers
- Les noms de domaine que les ateliers branchent, pour les servir et leur délivrer un certificat
- Hébergement
- États-Unis (Vercel Inc.), diffusion par un réseau mondial de points de présence ; les fonctions s'exécutent à Paris (cdg1)
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs · L'application · Le site de Typoza · Le site public d'un atelier
- Entité juridique
- Vercel Inc.
Prisma Postgres
Base de données
- Données transmises
- Les comptes : nom, adresse e-mail, mot de passe haché, sessions
- Les ateliers, leurs membres et leurs réglages
- Les articles, pages, brouillons et versions — l'intégralité des textes
- Les abonnés de la Lettre, les conversations avec les lecteurs et le journal d'activité
- Les statistiques de lecture, sans identifiant de lecteur
- Hébergement
- ** à confirmer ** — région choisie à la création des bases de production et de pré-production
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Prisma Data, Inc.
Vercel Blob
Stockage des fichiers
- Données transmises
- Les fichiers téléversés dans un atelier : images, et leurs variantes redimensionnées
- Les pièces jointes des conversations avec les lecteurs, dans un magasin privé
- Les sauvegardes d'atelier, chiffrées, dans le même magasin privé : le contenu, les membres avec leur adresse e-mail, et — si le propriétaire l'a coché — les abonnés de la Lettre avec la leur
- Hébergement
- États-Unis (Vercel Inc.). Région des magasins : ** à confirmer **
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs · L'application · Le site public d'un atelier
- Entité juridique
- Vercel Inc.
Vercel Analytics
Mesure d'audience
- Données transmises
- Horodatage, URL et chemin dynamique de la page consultée
- Référent et paramètres de requête filtrés
- Pays, région et ville déduits de l'adresse IP
- Système et version, navigateur et version, type d'appareil, version du script
- Hébergement
- États-Unis (Vercel Inc.)
- Base légale
- Intérêt légitime
- Où il intervient
- L'application · Le site de Typoza
- Entité juridique
- Vercel Inc.
Vercel Speed Insights
Mesure d'audience
- Données transmises
- Route et URL de la page mesurée
- Débit réseau déclaré par le navigateur (4g, slow-2g…)
- Navigateur, type d'appareil, système, pays sur deux lettres
- La mesure de performance et le sélecteur de l'élément qu'elle désigne
- Hébergement
- États-Unis (Vercel Inc.)
- Base légale
- Intérêt légitime
- Où il intervient
- L'application · Le site de Typoza
- Entité juridique
- Vercel Inc.
Upstash
Limitation de débit et cache partagé
- Données transmises
- Des compteurs de débit : l'identifiant interne d'un compte, ou l'adresse IP de qui remplit un formulaire public, et le nombre d'essais sur la fenêtre en cours
- La carte publique des ateliers, gardée quelques minutes : slug, domaines vérifiés, thème, adresses publiées
- Aucun texte d'article, aucun message, aucune adresse e-mail
- Hébergement
- ** à confirmer ** — région choisie à la création de la base Upstash
- Base légale
- Intérêt légitime
- Où il intervient
- Nos serveurs
- Entité juridique
- Upstash, Inc.
Resend
Envoi et réception d'e-mails
- Données transmises
- L'adresse e-mail du destinataire et son nom
- Le contenu du message envoyé : vérification d'adresse, invitation, alerte de quota
- Le contenu de la Lettre d'un atelier : titres, extraits et liens de ses articles
- L'état de remise : envoyé, remis, rejeté, retardé, signalé comme indésirable
- Le courrier reçu à nos adresses : expéditeur, objet, corps du message et fiche des pièces jointes
- Ce qu'un lecteur écrit sous un article : le lien qui confirme sa réaction ou son commentaire, l'avis de réponse qu'il a demandé, et le passage que l'un et l'autre citent
- La modération d'un commentaire : le motif d'un refus ou d'un retrait et le commentaire cité, à son auteur ; l'accusé de réception et la décision d'un signalement, au lecteur qui a laissé son adresse
- Hébergement
- Irlande (région eu-west-1) ; Resend, Inc. est une société américaine
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Resend, Inc.
Stripe
Paiement
- Données transmises
- L'adresse e-mail et le nom du titulaire du compte
- Les coordonnées bancaires, saisies chez Stripe et jamais reçues par Typoza
- L'adresse de facturation et le pays, pour le calcul de la taxe
- L'historique des abonnements, factures et remboursements
- Hébergement
- Irlande et États-Unis
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs · L'application
- Entité juridique
- Stripe Payments Europe, Limited (Irlande) et Stripe, Inc. (États-Unis)
Anthropic
Rédaction assistée
- Données transmises
- Le fragment de texte soumis à la reformulation, et le contexte que l'éditeur y joint
- La consigne de rédaction choisie
- Pour le résumé d'une semaine signalée par la détection d'abus, demandé par l'équipe Typoza et payé par elle : les comptes de la semaine, sans aucun texte ni aucun nom
- Aucun identifiant de compte, aucun nom, aucune adresse e-mail
- Hébergement
- États-Unis (Anthropic, PBC)
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Anthropic, PBC
GitHub
Connexion par compte tiers
- Données transmises
- À la connexion : le nom public, l'adresse e-mail et l'URL d'avatar du compte GitHub
- L'adresse IP du navigateur, qui atteint GitHub pour afficher l'avatar
- Aucun texte, aucun contenu d'atelier
- Hébergement
- États-Unis (GitHub, Inc.)
- Base légale
- Consentement
- Où il intervient
- Nos serveurs · L'application
- Entité juridique
- GitHub, Inc. (groupe Microsoft)
Geoapify
Cartographie
- Données transmises
- L'adresse postale du siège social d'un atelier, au moment où son propriétaire l'enregistre
- Les coordonnées qui en résultent, pour demander l'image de la carte
- L'adresse IP de nos serveurs, jamais celle d'un lecteur
- Aucune donnée de lecteur : l'image est servie depuis notre stockage
- Hébergement
- Union européenne — centres de données Hetzner, répartition Bunny CDN pour les appels .eu ; société de droit chypriote
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- KEPTAGO LTD, Paphos, Chypre
Have I Been Pwned
Vérification des mots de passe fuités
- Données transmises
- Les cinq premiers caractères de l'empreinte SHA-1 d'un mot de passe, à l'inscription et au changement de mot de passe
- Rien d'autre : ni le mot de passe, ni son empreinte entière, ni une adresse e-mail, ni un identifiant de compte
- L'appel part de notre serveur, jamais du navigateur : l'adresse IP transmise est la nôtre
- Hébergement
- Servi par le réseau Cloudflare — la réponse vient d'un cache, relevé à Francfort le 18 septembre 2026. Le corpus lui-même est stocké chez Microsoft Azure, ouest des États-Unis
- Base légale
- Intérêt légitime
- Où il intervient
- Nos serveurs
- Entité juridique
- Superlative Enterprises Pty Ltd (ABN 62 085 442 020), Australie
Firebase Cloud Messaging
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Chrome a attribuée à l'appareil, qui identifie cet appareil auprès de Google
- Le message chiffré, que Google achemine sans pouvoir le lire : ni le titre, ni la phrase, ni le lien ne lui sont lisibles
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Google LLC), infrastructure mondiale
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Google LLC
Mozilla Push Service
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Firefox a attribuée à l'appareil
- Le message chiffré, acheminé sans pouvoir être lu
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Mozilla Corporation)
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Mozilla Corporation
Apple Push Notification service
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Safari a attribuée à l'appareil
- Le message chiffré, acheminé sans pouvoir être lu
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Apple Inc.), infrastructure mondiale
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Apple Inc.
Windows Push Notification Services
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Microsoft Edge a attribuée à l'appareil
- Le message chiffré, acheminé sans pouvoir être lu
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Microsoft Corporation), infrastructure mondiale
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Microsoft Corporation
Ce qui ne touche pas vos lecteurs
La colonne « où il intervient » n'est pas décorative. Le navigateur d'un lecteur de votre atelier ne s'adresse qu'à une seule société, Vercel : à son hébergement, qui sert les pages, et à son stockage, qui sert les images. Les deux outils de mesure du tableau n'apparaissent que sur le site de Typoza, sa documentation et l'application ; sur votre site, la seule mesure est la nôtre, sans cookie.
Cette frontière est appliquée par le code, pas par une consigne : un test refuse sur une page publique tout sous-traitant autre que l'hébergeur ou un stockage de fichiers, un autre lit l'arborescence du projet et refuse qu'un outil de mesure y soit monté, et un test de navigateur échoue dès qu'une page publique appelle une adresse extérieure.
La carte de votre page de contact est le cas où cette frontière a été décidée plutôt que constatée. Une carte glissante aurait fait charger ses fonds de plan par le navigateur de chacun de vos lecteurs, donc envoyé leur adresse IP chez un cartographe, sur une page qui est la vôtre. L'image est donc rendue une fois, chez nous, au moment où vous enregistrez votre adresse ; vos lecteurs reçoivent un fichier image, comme une photo d'article. Le cartographe ne voit que l'adresse de votre siège, celle que vous venez de choisir de publier.
Hors Vercel, Prisma Postgres et Upstash, qui gardent pour nous ce que nous gardons, une exception, et une seule : si votre atelier propose une Lettre, les personnes qui s'y abonnent confient leur adresse à notre prestataire d'envoi, qui doit bien la connaître pour livrer le message. C'est le seul autre sous-traitant que vos lecteurs touchent, il ne les touche que s'ils l'ont demandé, et il ne reçoit rien d'autre que ce qu'il faut pour porter le courrier.
Quatre services que nous ne choisissons pas
Google, Mozilla, Apple et Microsoft figurent dans ce tableau au titre des notifications sur appareil. Ils sont les seuls que nous n'avons pas choisis : c'est votre navigateur qui désigne le sien, et nous n'avons ni le moyen ni l'envie de vous en imposer un autre.
Aucun des quatre n'est contacté tant que vous n'avez pas activé les notifications sur un appareil. Et quand ils le sont, ils acheminent sans lire : le texte d'une notification est chiffré avec une clé que seul votre appareil possède. Ils reçoivent une adresse d'inscription, une date et l'adresse de notre serveur — jamais ce qui est écrit.
Comment cette page reste vraie
Cette liste n'est pas écrite dans la page. Elle est écrite une seule fois, dans le code du produit, et la page l'affiche. Deux listes divergent toujours, et c'est celle que personne ne relit qui reste en ligne.
- Une dépendance ajoutée au produit doit être rattachée à un sous-traitant, ou déclarée sans appel sortant. Sinon, la vérification automatique échoue et la version ne part pas en production.
- Un serveur extérieur autorisé à recevoir quoi que ce soit depuis votre navigateur doit correspondre à une ligne de ce tableau. Sinon, même refus.
- Un nouveau moyen de connexion — se connecter avec un compte tiers — doit avoir sa ligne avant d'être activé. Sinon, même refus.
- La date de mise à jour affichée en tête de page est calculée à partir de ce tableau : personne ne la saisit, donc personne ne peut oublier de la changer.
- Cette vérification a une limite, et la taire serait malhonnête : elle ne voit pas un service dont l'adresse n'est connue qu'au moment de l'appel. Les quatre services de notification sont dans ce cas — c'est votre navigateur qui donne l'adresse. Ils sont inscrits ici à la main, et c'est une relecture humaine qui en répond.
Ce qui n'y figure pas, et pourquoi
Les services dont vous intégrez un contenu dans un article — une vidéo, un message public — ne sont pas nos sous-traitants : c'est vous qui les choisissez, article par article. Confidentialité explique ce qu'ils voient de vos lecteurs.
Chaque société du tableau ci-dessus a une région d'hébergement nommée. Si l'une ne pouvait un jour être vérifiée, le tableau dirait « à confirmer » plutôt que de donner une réponse plausible.