Sous-traitants
Toutes les sociétés qui interviennent dans le fonctionnement de Typoza, ce qui leur est transmis, où elles hébergent, et sur quelle base légale.
Dernière mise à jour : 14 octobre 2026 — Cette date est calculée à partir de la liste de nos sous-traitants. Elle change dès que cette liste change.
Cette page existe aussi en anglais ; en cas de différence, la version française fait foi.
La liste
Vercel
Hébergement
- Données transmises
- L'adresse IP et l'en-tête d'agent utilisateur de chaque requête, dans les journaux d'accès
- Le contenu servi : la vitrine, la documentation, les écrans de l'application, l'API publique, le serveur MCP et les sites des ateliers
- Les variables d'environnement des projets, dont les clés des autres tiers
- Les noms de domaine que les ateliers branchent, pour les servir et leur délivrer un certificat
- Quand un formulaire part — s'inscrire ou se connecter, s'abonner, commenter, écrire, signaler : des signaux du navigateur, que Vercel BotID examine pour écarter les robots qui se font passer pour des personnes ; son analyse poussée, quand elle est activée, est confiée à Kasada, sous-traitant de Vercel aux États-Unis. Rien ne s'affiche, et aucun profil n'est gardé
- Hébergement
- États-Unis (Vercel Inc.), diffusion par un réseau mondial de points de présence ; les fonctions s'exécutent à Paris (cdg1), à côté de la base, sauf celles de la vitrine et de la documentation — formulaires de connexion et d'aide compris —, qui s'exécutent dans la région la plus proche du visiteur : Paris (cdg1), Washington (iad1), Portland (pdx1), Singapour (sin1) ou Sydney (syd1)
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs · L'application · Le site de Typoza · Le site public d'un atelier
- Entité juridique
- Vercel Inc.
Prisma Postgres
Base de données
- Données transmises
- Les comptes : nom, adresse e-mail, mot de passe haché, sessions
- Les ateliers, leurs membres et leurs réglages
- Les articles, pages, brouillons et versions — l'intégralité des textes
- Les abonnés de la Lettre, les conversations avec les lecteurs et le journal d'activité
- Les réactions, commentaires et signalements des lecteurs, avec l'adresse qu'ils ont confirmée ou laissée
- Les statistiques de lecture, sans identifiant de lecteur
- Hébergement
- ** à confirmer ** — région choisie à la création des bases de production et de pré-production
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Prisma Data, Inc.
Vercel Blob
Stockage des fichiers
- Données transmises
- Les fichiers téléversés dans un atelier : images, et leurs variantes redimensionnées
- Les pièces jointes des conversations avec les lecteurs, dans un magasin privé
- Les sauvegardes d'atelier, chiffrées, dans le même magasin privé : le contenu, les membres avec leur adresse e-mail, et — si le propriétaire l'a coché — les abonnés de la Lettre avec la leur
- Les captures d'écran jointes aux demandes d'aide, dans le même magasin privé, réencodées sans leurs métadonnées
- Les factures et les avoirs de Typoza, en PDF, dans le même magasin privé : le nom de l'acheteur, son adresse postale, son adresse e-mail et son numéro fiscal, gardés dix ans
- Hébergement
- États-Unis (Vercel Inc.). Région des magasins : ** à confirmer **
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Vercel Inc.
Vercel Sandbox
Sauvegarde de nuit
- Données transmises
- Chaque nuit, le temps de la sauvegarde : une copie de toute la base — comptes, textes, abonnés, statistiques — lue sur une machine que Vercel crée pour l'occasion, chiffrée sur elle, puis restaurée sur une base jetable de la même machine pour prouver qu'elle se restaure
- Les fichiers des deux magasins, recopiés la même nuit : les images telles quelles, les fichiers privés chiffrés sur la machine
- Ces copies, gardées six mois au plus sur un disque de Vercel que seule la sauvegarde monte et qu'aucune application ne lit : la base chiffrée, les fichiers privés chiffrés, les images telles quelles
- Rien d'autre n'est gardé une fois le passage fini : la machine est détruite sans qu'aucune image de son propre disque soit prise, et son journal ne porte que des comptes, jamais une donnée
- Hébergement
- États-Unis (Vercel Inc.) ; la machine et le disque des sauvegardes sont à Paris (cdg1), à côté de la base
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Vercel Inc.
Vercel Analytics
Mesure d'audience
- Données transmises
- Horodatage, URL et chemin dynamique de la page consultée
- Référent et paramètres de requête filtrés
- Pays, région et ville déduits de l'adresse IP
- Système et version, navigateur et version, type d'appareil, version du script
- Hébergement
- États-Unis (Vercel Inc.)
- Base légale
- Intérêt légitime
- Où il intervient
- L'application · Le site de Typoza
- Entité juridique
- Vercel Inc.
Vercel Speed Insights
Mesure d'audience
- Données transmises
- Route et URL de la page mesurée
- Débit réseau déclaré par le navigateur (4g, slow-2g…)
- Navigateur, type d'appareil, système, pays sur deux lettres
- La mesure de performance et le sélecteur de l'élément qu'elle désigne
- Hébergement
- États-Unis (Vercel Inc.)
- Base légale
- Intérêt légitime
- Où il intervient
- L'application · Le site de Typoza
- Entité juridique
- Vercel Inc.
Upstash
Limitation de débit et cache partagé
- Données transmises
- Des compteurs de débit : l'identifiant interne d'un compte, l'adresse IP de qui remplit un formulaire public, ou l'empreinte (SHA-256) d'une adresse e-mail, jamais l'adresse elle-même — et le nombre d'essais sur la fenêtre en cours
- La carte publique des ateliers, gardée quelques minutes : slug, domaines vérifiés, thème, adresses publiées
- Aucun texte d'article, aucun message, aucune adresse e-mail
- Hébergement
- ** à confirmer ** — région choisie à la création de la base Upstash
- Base légale
- Intérêt légitime
- Où il intervient
- Nos serveurs
- Entité juridique
- Upstash, Inc.
Better Stack
Page d'état et sondes de disponibilité
- Données transmises
- La page d'état, status.typoza.com, que Better Stack sert : comme tout site, elle voit l'adresse IP et le navigateur de qui l'ouvre
- Ses sondes ouvrent les pages publiques de Typoza de l'extérieur, comme un visiteur sans compte : rien de personnel ne passe, dans un sens ni dans l'autre
- Chaque heure, un appel de nos serveurs qui dit que la surveillance a tourné, et rien d'autre
- Hébergement
- Union européenne, pour l'essentiel (Better Stack, Inc., États-Unis)
- Base légale
- Intérêt légitime
- Où il intervient
- Nos serveurs
- Entité juridique
- Better Stack, Inc.
Resend
Envoi et réception d'e-mails
- Données transmises
- L'adresse e-mail du destinataire et son nom
- Le contenu du message envoyé : vérification d'adresse, invitation, alerte de quota
- Le contenu de la Lettre d'un atelier : titres, extraits et liens de ses articles
- L'état de remise : envoyé, remis, rejeté, retardé, signalé comme indésirable
- Le courrier reçu à nos adresses : expéditeur, objet, corps du message et fiche des pièces jointes
- Ce qu'un lecteur écrit sous un article : le lien qui confirme sa réaction ou son commentaire, l'avis de réponse qu'il a demandé, et le passage que l'un et l'autre citent
- La modération d'un commentaire : le motif d'un refus ou d'un retrait et le commentaire cité, à son auteur ; l'accusé de réception et la décision d'un signalement, au lecteur qui a laissé son adresse
- Les e-mails d'accompagnement du fondateur : le prénom, le nom d'un atelier, le titre d'un brouillon, un nom de domaine ou un nombre d'abonnés, selon l'e-mail ; et les réponses qu'on lui adresse
- Une demande d'aide à l'équipe de Typoza : son accusé de réception, à l'adresse qui l'a écrite, et la demande entière avec son contexte, à l'équipe
- Le relevé mensuel des recettes, au fondateur et aux comptables de l'équipe : les totaux du mois, avec le livre des recettes joint — chaque paiement et chaque remboursement, sa date, son montant, son numéro de facture et le nom du client (à défaut, son adresse e-mail)
- Hébergement
- Irlande (région eu-west-1) ; Resend, Inc. est une société américaine
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Resend, Inc.
Stripe
Paiement
- Données transmises
- L'adresse e-mail et le nom du titulaire du compte
- Les coordonnées bancaires, saisies chez Stripe et jamais reçues par Typoza
- L'adresse de facturation et le pays, pour le calcul de la taxe
- L'historique des abonnements, factures et remboursements
- Hébergement
- Irlande et États-Unis
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs · L'application
- Entité juridique
- Stripe Payments Europe, Limited (Irlande) et Stripe, Inc. (États-Unis)
Anthropic
Rédaction assistée
- Données transmises
- Selon la fonction appelée depuis l'éditeur, et rien d'autre : le passage à réécrire ; les quatre cents derniers mots avant le curseur, pour la complétion ; le titre d'un article et ses cinq cents premiers mots, pour la proposition de titre et d'accroche
- Pour le texte alternatif d'une image : l'image, et sa légende si vous en avez écrit une
- La consigne de rédaction choisie
- Pour le résumé d'une semaine signalée par la détection d'abus, demandé par l'équipe Typoza et payé par elle : les comptes de la semaine, sans aucun texte ni aucun nom
- Pour TypozAI, le robot de l'aide, interrogé depuis le tableau de bord ou la vitrine : la question, les questions et réponses précédentes de la même conversation (six au plus), les pages de la documentation qui y répondent, et, depuis le tableau de bord, l'écran et l'offre de l'atelier
- Aucun identifiant de compte, aucun nom, aucune adresse e-mail
- Hébergement
- États-Unis (Anthropic, PBC)
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- Anthropic, PBC
GitHub
Connexion par compte tiers
- Données transmises
- À la connexion : le nom public, l'adresse e-mail et l'URL d'avatar du compte GitHub
- L'adresse IP du navigateur, qui atteint GitHub pour afficher l'avatar
- Aucun texte, aucun contenu d'atelier
- Hébergement
- États-Unis (GitHub, Inc.)
- Base légale
- Consentement
- Où il intervient
- Nos serveurs · L'application
- Entité juridique
- GitHub, Inc. (groupe Microsoft)
Geoapify
Cartographie
- Données transmises
- L'adresse postale du siège social d'un atelier, au moment où son propriétaire l'enregistre
- Les coordonnées qui en résultent, pour demander l'image de la carte
- L'adresse IP de nos serveurs, jamais celle d'un lecteur
- Aucune donnée de lecteur : l'image est servie depuis notre stockage
- Hébergement
- Union européenne — centres de données Hetzner, répartition Bunny CDN pour les appels .eu ; société de droit chypriote
- Base légale
- Exécution du contrat
- Où il intervient
- Nos serveurs
- Entité juridique
- KEPTAGO LTD, Paphos, Chypre
Have I Been Pwned
Vérification des mots de passe fuités
- Données transmises
- Les cinq premiers caractères de l'empreinte SHA-1 d'un mot de passe, à l'inscription et au changement de mot de passe
- Rien d'autre : ni le mot de passe, ni son empreinte entière, ni une adresse e-mail, ni un identifiant de compte
- L'appel part de notre serveur, jamais du navigateur : l'adresse IP transmise est la nôtre
- Hébergement
- Servi par le réseau Cloudflare — la réponse vient d'un cache, relevé à Francfort le 18 septembre 2026. Le corpus lui-même est stocké chez Microsoft Azure, ouest des États-Unis
- Base légale
- Intérêt légitime
- Où il intervient
- Nos serveurs
- Entité juridique
- Superlative Enterprises Pty Ltd (ABN 62 085 442 020), Australie
Firebase Cloud Messaging
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Chrome a attribuée à l'appareil, qui identifie cet appareil auprès de Google
- Le message chiffré, que Google achemine sans pouvoir le lire : ni le titre, ni la phrase, ni le lien ne lui sont lisibles
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Google LLC), infrastructure mondiale
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Google LLC
Mozilla Push Service
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Firefox a attribuée à l'appareil
- Le message chiffré, acheminé sans pouvoir être lu
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Mozilla Corporation)
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Mozilla Corporation
Apple Push Notification service
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Safari a attribuée à l'appareil
- Le message chiffré, acheminé sans pouvoir être lu
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Apple Inc.), infrastructure mondiale
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Apple Inc.
Windows Push Notification Services
Notifications sur appareil
- Données transmises
- L'adresse d'inscription que Microsoft Edge a attribuée à l'appareil
- Le message chiffré, acheminé sans pouvoir être lu
- L'adresse IP de notre serveur, et la date de chaque envoi
- Hébergement
- États-Unis (Microsoft Corporation), infrastructure mondiale
- Base légale
- Consentement
- Où il intervient
- Nos serveurs
- Entité juridique
- Microsoft Corporation
Ce qui ne touche pas vos lecteurs
La colonne « où il intervient » n'est pas décorative. Le navigateur d'un lecteur de votre atelier ne s'adresse qu'à une seule société, Vercel : à son hébergement, qui sert les pages, et à son stockage, qui sert les images. Les deux outils de mesure du tableau n'apparaissent que sur le site de Typoza, sa documentation et l'application ; sur votre site, la seule mesure est la nôtre, sans cookie.
Cette frontière est appliquée par le code, pas par une consigne : un test refuse sur une page publique tout sous-traitant autre que l'hébergeur ou un stockage de fichiers, un autre lit l'arborescence du projet et refuse qu'un outil de mesure y soit monté, et un test de navigateur échoue dès qu'une page publique appelle une adresse extérieure.
La carte de votre page de contact est le cas où cette frontière a été décidée plutôt que constatée. Une carte glissante aurait fait charger ses fonds de plan par le navigateur de chacun de vos lecteurs, donc envoyé leur adresse IP chez un cartographe, sur une page qui est la vôtre. L'image est donc rendue une fois, chez nous, au moment où vous enregistrez votre adresse ; vos lecteurs reçoivent un fichier image, comme une photo d'article. Le cartographe ne voit que l'adresse de votre siège, celle que vous venez de choisir de publier.
Hors Vercel, Prisma Postgres et Upstash, qui gardent pour nous ce que nous gardons, une exception, et une seule : notre prestataire d'envoi. Si votre atelier propose une Lettre, les personnes qui s'y abonnent lui confient leur adresse, qu'il doit bien connaître pour livrer le message ; de même le lecteur qui réagit ou commente, celui qui signale un commentaire en laissant son adresse, et la personne qui vous écrit depuis votre page de contact. C'est le seul autre sous-traitant que vos lecteurs touchent, il ne les touche que s'ils l'ont demandé, et il ne reçoit rien d'autre que ce qu'il faut pour porter le courrier.
Quatre services que nous ne choisissons pas
Google, Mozilla, Apple et Microsoft figurent dans ce tableau au titre des notifications sur appareil. Ils sont les seuls que nous n'avons pas choisis : c'est votre navigateur qui désigne le sien, et nous n'avons ni le moyen ni l'envie de vous en imposer un autre.
Aucun des quatre n'est contacté tant que vous n'avez pas activé les notifications sur un appareil. Et quand ils le sont, ils acheminent sans lire : le texte d'une notification est chiffré avec une clé que seul votre appareil possède. Ils reçoivent une adresse d'inscription, une date et l'adresse de notre serveur — jamais ce qui est écrit.
Comment cette page reste vraie
Cette liste n'est pas écrite dans la page. Elle est écrite une seule fois, dans le code du produit, et la page l'affiche. Deux listes divergent toujours, et c'est celle que personne ne relit qui reste en ligne.
- Une dépendance ajoutée au produit doit être rattachée à un sous-traitant, ou déclarée sans appel sortant. Sinon, la vérification automatique échoue et la version ne part pas en production.
- Un serveur extérieur autorisé à recevoir quoi que ce soit depuis votre navigateur doit correspondre à une ligne de ce tableau. Sinon, même refus.
- Un nouveau moyen de connexion — se connecter avec un compte tiers — doit avoir sa ligne avant d'être activé. Sinon, même refus.
- La date de mise à jour affichée en tête de page est calculée à partir de ce tableau : personne ne la saisit, donc personne ne peut oublier de la changer.
- Cette vérification a deux limites, et les taire serait malhonnête : elle ne voit ni un service dont l'adresse n'est connue qu'au moment de l'appel, ni un appel que nos serveurs font sans dépendance qui lui soit propre. Les quatre services de notification sont dans le premier cas — c'est votre navigateur qui donne l'adresse ; le cartographe, la vérification des mots de passe fuités et celle des numéros de TVA, dans le second. Ils sont inscrits ici à la main, et c'est une relecture humaine qui en répond.
Ce qui n'y figure pas, et pourquoi
Les services dont vous intégrez un contenu dans un article — une vidéo, un message public — ne sont pas nos sous-traitants : c'est vous qui les choisissez, article par article. Confidentialité explique ce qu'ils voient de vos lecteurs.
Chaque société du tableau ci-dessus a une région d'hébergement. Tant qu'elle n'a pas été vérifiée, le tableau dit « à confirmer » plutôt que de donner une réponse plausible.