Sous-traitants RGPD — LiveQuest
Liste à jour des prestataires tiers à qui nous transférons des données dans le cadre de l'exploitation de LiveQuest. Mise à jour : 24 octobre 2026.
Conformément au RGPD (article 28), nous publions ci-dessous la liste de nos sous-traitants. Tout ajout fait l'objet d'une mise à jour préalable de cette page. Les organisations clientes peuvent demander un DPA sur-mesure à contact@wilderlabs.fr.
Pour les sous-traitants des autres produits Wilder Labs : Museo · MaSalle.
| Prestataire | Rôle | Données transférées | Pays / Statut | Cadre légal |
|---|---|---|---|---|
| OVH | Hébergement infrastructure et DNS | Toutes données applicatives (DB, fichiers, logs) | France | DPA ↗ |
| Stripe | Encaissement abonnements + paiements organisateurs | Abonnement : adresse e-mail et nom du compte, montant ; achat de crédits : identifiant de transaction et montant, sans e-mail ni nom ; paiement d'un participant à un organisateur : adresse e-mail de l'acheteur. Numéros de carte traités en direct côté Stripe (PCI-DSS). | Irlande (UE) + États-Unis (DPF) | DPA ↗ |
| HelloAsso | Billetterie événements (option organisateur) | Email, nom, montant, métadonnées événement | France | DPA ↗ |
| Brevo (ex-Sendinblue) | Envoi des emails transactionnels et newsletters | Email, contenu du message, événements (ouverture, clic) | France / Belgique (hébergement : OVH en France, Google Cloud en Belgique) ; sous-traitants ultérieurs aux États-Unis (Cloudflare, Zendesk, Brevo Inc.) — clauses contractuelles types et mesures supplémentaires, Data Privacy Framework lorsque Brevo s'y appuie | DPA ↗ |
| Google (OAuth) | Authentification "Sign in with Google" (optionnelle) | Email, nom, photo de profil, sub Google | États-Unis — Google agit comme responsable de traitement du compte Google de la personne ; aucun DPA : ce service ne figure ni parmi les services de sous-traitance ni parmi les « Controller Services » de Google (business.safety.google/services) | Conditions API ↗ |
| Google (API Gemini) | Oracle IA : génération de quêtes, d'étapes, d'énigmes, traduction, aide à la rédaction d'un quiz et de missions WildQuest ; indice pour un joueur bloqué, seulement si le créateur de la quête a activé l'option (offre payante de l'API) | Textes saisis par l'organisateur (demande, descriptions, textes à traduire, questions de quiz, idées de mission), photos de lieux qu'il fournit, extraits de sources publiques ; pour l'indice d'un joueur bloqué : énoncé de l'étape et indice du créateur ; aucune donnée de joueur | États-Unis — Data Privacy Framework ou clauses contractuelles types 2021/914 (Google Data Processing Addendum) | DPA ↗ |
| Google (Firebase Cloud Messaging) | Acheminement des notifications de l'application Android | Jeton de l'appareil, titre et texte du message de l'organisateur, lien vers la partie | États-Unis — Data Privacy Framework ou clauses contractuelles types 2021/914 (Firebase Data Processing and Security Terms) | DPA ↗ |
| Google (notifications Web Push — Chrome et navigateurs basés sur Chromium) | Acheminement des notifications Web Push du jeu (messages de l'organisateur), si le participant les a activées | Adresse de notification fournie par le navigateur, message chiffré (titre, texte, lien) ; aucun nom d'équipe ni donnée du participant | États-Unis — service de l'éditeur du navigateur du participant ; le message est chiffré, ce service ne peut pas le lire | Politique de confidentialité ↗ |
| Mozilla (notifications Web Push — Firefox) | Acheminement des notifications Web Push du jeu (messages de l'organisateur), si le participant les a activées | Adresse de notification fournie par le navigateur, message chiffré (titre, texte, lien) ; aucun nom d'équipe ni donnée du participant | Service de l'éditeur du navigateur du participant ; le message est chiffré, ce service ne peut pas le lire | Politique de confidentialité ↗ |
| Apple (notifications Web Push — Safari) | Acheminement des notifications Web Push du jeu (messages de l'organisateur), si le participant les a activées | Adresse de notification fournie par le navigateur, message chiffré (titre, texte, lien) ; aucun nom d'équipe ni donnée du participant | Service de l'éditeur du navigateur du participant ; le message est chiffré, ce service ne peut pas le lire | Politique de confidentialité ↗ |
Localisation des données
- Données applicatives (utilisateurs, quêtes, parties) : en France, chez OVHcloud.
- Sauvegardes : sauvegarde de chaque base au moins toutes les 6 heures ; exports de la base conservés 7 jours sur le serveur d'hébergement et copiés chaque nuit sur un second serveur en France (10 jours au plus) ; sauvegarde complète chiffrée (GPG AES-256) gardée 4 jours au plus.
- Trafic HTTP/HTTPS : reçu directement par nos serveurs chez OVHcloud, en France, chiffré en transit (TLS) ; aucun proxy inverse ni CDN tiers devant la plateforme.
Transferts hors UE
Les sous-traitants situés hors UE (Stripe US, Google, ainsi que certains sous-traitants ultérieurs de Brevo) sont :
- Soit certifiés Data Privacy Framework (DPF) — décision d'adéquation UE-US 2023.
- Soit couverts par des clauses contractuelles types (SCC) de la Commission européenne.
Les services de notification Web Push (Google, Mozilla, Apple) sont ceux du navigateur du participant, qui les active lui-même : ils acheminent un message chiffré qu'ils ne peuvent pas lire, et ne reçoivent ni nom d'équipe ni donnée de partie.
DPA personnalisée
Si votre organisation nécessite un DPA signé spécifique (collectivité, EPCI, grand compte), contactez-nous à contact@wilderlabs.fr. Nous fournissons une convention pré-remplie sous 72 h ouvrées.
Notification de changement
Tout ajout, retrait ou changement substantiel de sous-traitant fait l'objet :
- D'une mise à jour de cette page (visible publiquement)
- D'un e-mail à tous les QuestMakers (organisateurs), au moins 30 jours avant le changement, qu'ils aient ou non un plan payant
- D'un délai de 30 jours minimum pour formuler une opposition contractuelle
Questions sur ce document ? contact@wilderlabs.fr · Questions sécurité : /responsible-disclosure