Fournisseurs et sous-traitants ultérieurs

Traduction de courtoisie. En cas de divergence, le texte italien prévaut.

Ce document énumère les Fournisseurs auxquels Business Gates S.r.l. (ci-après BGates) fait appel pour fournir le Service BGates : ce que fait chacun d’eux, quelles données personnelles il reçoit, où il se trouve, en quelle qualité il les traite et — lorsque les données sortent de l’Espace économique européen — sur quelle garantie repose cette sortie.

Il concerne le modèle GT PRO 4G et le Service qui y est associé. Il ne concerne pas les modèles précédents qui fonctionnent uniquement par SMS, ni le canal Bluetooth.

C’est un document d’information : il se lit, il ne s’accepte pas. Mais il n’est pas seulement informatif dans les relations avec le Client : il fait partie intégrante de l’Accord sur le traitement des données personnelles (/dpa) par renvoi, au sens de l’art. 28, par. 2, du Règlement (UE) 2016/679 (« RGPD »). L’autorisation générale de recourir à des sous-traitants ultérieurs que le Client donne par cet Accord se rapporte à la liste que tu trouves ici, dans sa version en vigueur.

Si tu veux savoir à quelles fins nous traitons les données et ce que tu peux demander, lis la Politique de confidentialité (/privacy). Si tu veux savoir combien de temps nous les conservons, lis la Politique de conservation des données (/conservazione).

1. Comment lire cette liste

Rôle. Un Fournisseur peut se trouver dans trois positions différentes, et la différence n’est pas formelle :

• sous-traitant (art. 28 du RGPD) : il traite des données pour notre compte, uniquement sur nos instructions, et ne peut pas les utiliser pour lui-même. Lorsque les données sont celles dont le Client est Responsable du traitement — les Numéros autorisés, le Répertoire embarqué, le Journal des ouvertures de son Accès —, ce Fournisseur est sous-traitant ultérieur au sens de l’Accord sur le traitement des données ;
• sous-traitant pour des traitements dont BGates est Responsable du traitement : il traite pour notre compte des données dont nous décidons (sécurité, diagnostic de l’Appareil, facturation). Ce n’est pas un sous-traitant ultérieur du Client, et il n’apparaît pas comme tel dans l’Accord sur le traitement des données ;
• Responsable du traitement autonome : il décide lui-même des finalités et des moyens de son propre traitement, pour ses propres obligations ou finalités. Nous ne pouvons pas lui donner d’instructions sur cette partie.

Garantie pour le transfert. Elle ne s’applique qu’à ceux qui traitent des données hors de l’Espace économique européen. Elle peut être : une décision d’adéquation — pour les États-Unis, l’inscription sur la liste du Data Privacy Framework (cadre de protection des données UE–États-Unis) (art. 45 du RGPD) ; des clauses contractuelles types adoptées par la Commission européenne (art. 46, par. 2, point c), du RGPD), accompagnées d’une évaluation du transfert ; ou aucune, et dans ce cas nous l’écrivons. La section 7 explique comment nous complétons cette colonne.

Mise à jour le. C’est la date à laquelle nous avons vérifié la ligne. Une ligne non vérifiée ne reste pas sans date : on écrit ce qui manque.

Quand une donnée manque, nous l’écrivons. Lorsqu’une ligne n’a pas encore été vérifiée, le tableau le dit avec ses propres mots — « non vérifié », « aucune en place » — au lieu de laisser un vide qui ressemblerait à une confirmation. La section 11 rassemble tous les points encore ouverts.

2. Fournisseurs qui traitent des données pour le compte du Client (sous-traitants ultérieurs)

Ce sont ceux qui touchent aux données dont le Client est Responsable du traitement : les Numéros autorisés, les noms et les numéros qui passent dans les Invitations, le contenu des conversations d’assistance, le Journal des ouvertures dans la mesure où il se trouve sur leurs systèmes.

Deux faits qui concernent ces lignes et qui ne tiennent pas dans une cellule.

Le texte de certaines notifications push contient aujourd’hui le numéro de téléphone de celui qui a demandé à être autorisé par un QR code permanent. Ce numéro passe par le service de notification. La décision prise est de le retirer du texte : une notification qui dit « Nouvelle demande d’autorisation — ouvre l’app » te donne la même information sans faire sortir le numéro d’un tiers.

L’envoi des SMS de secours utilise aujourd’hui une connexion non chiffrée vers la passerelle du fournisseur. C’est un fait, et nous l’écrivons : le passage à une connexion chiffrée fait partie des points ouverts de la section 11.

3. Fournisseurs pour des traitements dont BGates est Responsable du traitement

Ce ne sont pas des sous-traitants ultérieurs du Client : ils traitent des données à des fins que nous décidons (facturation, connectivité de l’Appareil, diagnostic du réseau, statistiques du site). Nous les énumérons ici parce que celui qui lit a le droit de savoir où aboutissent ses données, et non parce que la chaîne de l’art. 28 les inclut.

Sur beaconDB. Il ne reçoit que les identifiants de la cellule, jamais l’identifiant de l’Appareil, le numéro de série ou des données d’identification.

Tu peux nous demander de désactiver la position par cellule pour ton Appareil : écris à info@bgates.it. Le diagnostic du réseau perd en précision, le Service continue de fonctionner.

4. Tiers que ton navigateur contacte directement

Cette ligne est différente des autres : aucune donnée ne passe par nous. C’est ton navigateur qui se connecte au tiers, et ce qui parvient au tiers, c’est ton adresse IP avec les données techniques de la requête.

La carte doit se trouver derrière un geste. C’est ainsi que le Service est conçu : la carte ne se charge pas d’elle-même, un encadré apparaît avec le bouton « Afficher la carte » et ce n’est que si tu le touches que ton navigateur contacte OpenStreetMap.

6. Fournisseurs qui n’apparaissent pas dans cette liste, et pourquoi

Nous communiquons en outre des données, lorsque c’est obligatoire, aux autorités qui en font la demande dans les cas prévus par la loi. Les autorités ne sont pas des Fournisseurs : chaque demande est vérifiée et enregistrée avant d’être traitée.

Nous ne vendons pas de données, nous ne les cédons à personne pour les fins propres de tiers, et il n’y a aucun outil de mesure du comportement des utilisateurs sur nos pages : aucune statistique de tiers, aucun compteur publicitaire, aucun service de collecte des erreurs.

7. Transferts hors de l’Espace économique européen

Nos serveurs sont en Allemagne. Certains Fournisseurs traitent toutefois des données aux États-Unis : le canal WhatsApp en aval de l’acheminement, le fournisseur des paiements, les services de notification push et, seulement pour qui accepte les statistiques du site, Google Analytics.

Sur quelle base. Vers une organisation américaine inscrite sur la liste du Data Privacy Framework du Département du commerce des États-Unis, le transfert repose sur la décision d’exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023 (art. 45 du RGPD), et ne nécessite pas les instruments de l’art. 46. La décision est en vigueur : elle a été confirmée en première instance par le Tribunal de l’Union européenne le 3 septembre 2025 (affaire T-553/23), et le pourvoi est pendant. Vers une organisation non inscrite, le transfert repose sur les clauses contractuelles types adoptées par la Commission (art. 46, par. 2, point c), du RGPD), accompagnées d’une évaluation du transfert.

Les clauses contractuelles types restent en vigueur même avec les Fournisseurs inscrits : on ne les résilie pas au motif que « de toute façon, il y a la décision d’adéquation ». Si la décision était annulée, le transfert resterait couvert sans interruption.

Comment nous contrôlons les garanties. L’inscription sur la liste du Data Privacy Framework se contrôle entité par entité sur la liste officielle ; la dernière vérification date du 22 septembre 2026. Les clauses contractuelles types restent en tout état de cause en vigueur, de sorte que le transfert reste couvert même si l’inscription venait à disparaître.

Tu peux nous demander une copie des garanties qui s’appliquent à un transfert déterminé en écrivant à info@bgates.it : nous te répondons dans un délai d’un mois.

8. Les accords avec les Fournisseurs

Avec chaque Fournisseur qui traite des données pour notre compte, il doit exister un accord sur le traitement au sens de l’art. 28 du RGPD, et nous imposons par contrat à chaque sous-traitant ultérieur les mêmes obligations que celles que l’Accord sur le traitement des données nous impose envers le Client (art. 28, par. 4). Nous répondons envers le Client de l’inexécution de nos sous-traitants ultérieurs comme de la nôtre.

netcup GmbH. L’accord sur le traitement de netcup (Auftragsverarbeitungsvertrag, AVV) est disponible dans l’espace client du fournisseur et doit y être signé. Les serveurs qui hébergent le Service se trouvent à Nuremberg, en Allemagne : pour l’hébergement, il n’y a aucun transfert hors de l’Espace économique européen, et aucune garantie de l’art. 46 n’est nécessaire pour cette ligne.

9. Combien de temps les données sont conservées

Les durées de conservation figurent toutes dans la Politique de conservation des données (/conservazione), qui prévaut sur tout chiffre indiqué ailleurs. Ne figurent ici que celles qui concernent ce qui passe par un Fournisseur, parce que c’est la question qui se pose en lisant cette liste.

Combien de temps les données restent chez le Fournisseur, c’est le contrat avec ce Fournisseur qui le fixe.

10. Comment cette liste change, et comment tu es prévenu

Ajouter ou remplacer un Fournisseur qui traite des données pour le compte du Client est une modification substantielle. La procédure est la suivante, et elle s’applique aussi lorsque seul change le pays dans lequel un Fournisseur déjà présent traite les données :

1. Préavis de 15 jours. Nous écrivons au Client à l’adresse e-mail du Compte, en lui indiquant qui arrive ou qui change, ce qu’il traitera, où et avec quelle garantie pour le transfert. Au même moment, nous publions la nouvelle version de ce document, avec la nouvelle date.
2. Opposition. Dans ces 15 jours, le Client peut s’opposer par écrit, pour des motifs liés à la protection des données. Nous recherchons de bonne foi une solution alternative dans un délai de 30 jours ; si nous n’en trouvons pas, le Client peut résilier la partie du Service concernée ou l’Abonnement sans pénalités, avec le remboursement de la part payée et non utilisée.
3. Jusqu’à l’expiration du préavis, nous ne confions pas à ce Fournisseur les données du Client, sauf si cela rend impossible la fourniture du Service : dans ce cas, nous le déclarons dans la communication, afin que le choix soit éclairé.
4. Remplacement urgent. Si un Fournisseur cesse son service ou si sa fiabilité n’est plus assurée, nous pouvons le remplacer moyennant un préavis plus court : nous informons le Client dans un délai de 5 jours à compter du remplacement, en expliquant le motif. Le droit d’opposition demeure, avec les mêmes effets.
5. Ceux qui ne sont pas Clients — l’Utilisateur, le visiteur — ne reçoivent pas de communication individuelle, parce que nous n’avons pas de relation contractuelle avec eux et que, souvent, nous n’avons pas d’autre coordonnée que le numéro que quelqu’un d’autre nous a donné. Pour eux, valent la publication ici, avec la date, et la communication à ceux qui ont un Compte.

Les corrections de forme — une coquille, un nom mieux écrit, une ligne rendue plus claire — mettent à jour la date de vérification de la ligne mais ne déclenchent pas le préavis et ne changent pas la version.

Retirer un Fournisseur ne requiert pas de préavis : nous l’écrivons ici et dans la communication suivante.

Ces délais coïncident avec ceux de la section 14 de l’Accord sur le traitement des données personnelles (/dpa). Si les deux textes venaient à diverger, c’est le présent document qui prévaut, car il est la liste à jour à laquelle renvoie cet Accord.

11. Ce qui n’est pas encore vérifié, au 22 septembre 2026

Nous l’écrivons ici au lieu de le laisser deviner à partir des tableaux. Ce sont les points ouverts à la date de la présente version, et chacun d’eux sera réglé par une nouvelle version de ce document :

• les accords sur le traitement avec chaque Fournisseur : existence, date, contenu (section 8) ;
• la vérification nom par nom sur la liste du Data Privacy Framework, avec les catégories couvertes et la date (section 7) ;
• l’entité contractante et le pays de beaconDB, le service qui transforme l’identifiant de cellule en position ;
• le passage de l’envoi des SMS à une connexion chiffrée ;
• les durées de conservation appliquées par chaque Fournisseur aux données qu’il reçoit ;
• la qualification contractuelle de l’opérateur SIM : responsable du traitement, sous-traitant, ou les deux pour des parties différentes.

Une précision sur le nom du fournisseur des SMS. Le fournisseur qui achemine les SMS de secours est Commify Italia S.r.l. ; Skebby n’est que la marque commerciale sous laquelle il opère. Dans une liste de sous-traitants ultérieurs visée à l’art. 28, par. 2, et dans une notice d’information au sens des art. 13 et 14, la dénomination complète de l’entité contractante est le contenu même de l’obligation, et non une formalité : c’est pourquoi le tableau indique la dénomination sociale et non la marque.

Modifications du présent document

Ce document change lorsqu’un Fournisseur change, lorsque la garantie qui couvre un transfert change ou lorsque l’une des vérifications de la section 11 est menée à terme. Les modifications qui concernent les sous-traitants ultérieurs suivent la procédure de la section 10, avec le préavis de 15 jours et le droit d’opposition qui y est prévu.

Version 2026.10.27-1 — en vigueur depuis le 27 octobre 2026. Quand nous modifions quelque chose de substantiel — une nouvelle finalité, un nouveau fournisseur, une durée de conservation plus longue — nous publions ici la nouvelle version, avec sa date, et si tu as un Compte, nous te le communiquons par e-mail. Ce document ne s’accepte pas : il se lit, et nous ne te demandons de cocher aucune case. Les corrections de forme ne changent pas la version. Les versions précédentes restent disponibles sur demande à info@bgates.it.