Mise à jour 2026-09-14

Registre des sous-traitants ultérieurs

Liste des sous-traitants externes qui traitent des données personnelles pour le compte de Polska Grupa Wierzytelności. Toute modification est annoncée avec un préavis de 30 jours.Pendant cette période, le client professionnel peut s’y opposer par écrit, à l’adresse de contact indiquée dans la Politique de confidentialité.

Sous-traitants actifs

Entités actuellement impliquées dans le traitement des données dans l’environnement de production.

Supabase

Supabase Inc.

HIGH Actif, DPA signé

Service: PostgreSQL géré (base de données), Storage (numérisations de documents), Auth (connexion). Environnement de production de la plateforme.
Étendue des données: Ensemble des données de l’application : comptes utilisateurs, dossiers, documents, correspondance. Données réelles des clients et des débiteurs.
Lieu: Union européenne — région `eu-central-1` (Francfort, Allemagne) ; infrastructure : Amazon Web Services en tant que fournisseur de Supabase
DPA / statut officiel: DPA signé le 2026-05-22 (erratum en cours). Migration de la base de données vers Azure Poland Central prévue ; voir « Planifiés ».

Microsoft Azure Container Apps

Microsoft Corporation

HIGH Actif, DPA signé

Service: Hébergement de l’application (couche serveur et API). Chaque requête utilisateur transite par cette couche ; les données sont traitées en mémoire et dans les journaux de diagnostic.
Étendue des données: Données transitant par l’application lors du traitement des requêtes — traitées en mémoire, SANS stockage permanent (la base de données et les fichiers restent chez Supabase). Journaux techniques sans contenu des dossiers (Azure Monitor / Log Analytics).
Lieu: UE. Poland Central
DPA / statut officiel: Couvert par le Microsoft DPA / Azure Online Services Terms.

Microsoft Azure Communication Services

Microsoft Corporation

HIGH Actif, DPA signé

Service: Envoi des e-mails sortants de la plateforme (notifications, correspondance avec les clients et les débiteurs). Il s’agit de l’expéditeur technique effectif des messages.
Étendue des données: Contenu et destinataires des e-mails envoyés par la plateforme.
Lieu: EU
DPA / statut officiel: Couvert par le Microsoft DPA / Azure Online Services Terms.

Services comptables (inFakt)

inFakt sp. z o.o., KRS 0000325203

HIGH Actif, DPA en cours

Service: Tenue de la comptabilité, émission et enregistrement des factures, déclarations fiscales et gestion de la paie.
Étendue des données: Données des factures émises aux clients (nom, adresse, NIP, montants) ainsi que les écritures du compte bancaire, y compris les paiements des débiteurs et leur libellé. Données relatives au personnel et à la paie.
Lieu: Pologne — Cracovie
DPA / statut officiel: Contrat de sous-traitance — statut à confirmer.

Microsoft Azure OpenAI

Microsoft Corporation

HIGH Actif, DPA en cours

Service: Modèles de langage (LLM) et embeddings pour l’assistant juridique, le RAG dans les dossiers et l’analyse de documents. Microsoft N’UTILISE PAS les données des clients pour entraîner les modèles. Fournisseur d’IA unique (aucun modèle en dehors de Microsoft).
Étendue des données: Contenu des questions et contexte du dossier après anonymisation : couche 1 par expressions régulières (PESEL/NIP/IBAN/e-mail/téléphone) + couche 2 NER (noms de famille/adresses/entreprises).
Lieu: UE. Poland Central (préféré) / Sweden Central (secours)
DPA / statut officiel: DPA Azure OpenAI à signer (Microsoft Product Terms / DPA).

Microsoft Azure AI Language

Microsoft Corporation

HIGH Actif, DPA signé

Service: Détection et masquage des données personnelles (NER PII), deuxième couche d’anonymisation avant l’envoi à l’IA (noms de famille, adresses, noms d’entreprises). Fail-closed.
Étendue des données: Extraits de texte transmis à l’IA afin de détecter et de masquer les PII. Aucun stockage permanent.
Lieu: UE. Sweden Central
DPA / statut officiel: Couvert par le Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Document Intelligence

Microsoft Corporation

HIGH Actif, DPA signé

Service: OCR de documents (factures, contrats, courriers), extraction du texte en vue d’un traitement ultérieur.
Étendue des données: Contenu des documents du dossier téléversés (numérisations). Le résultat de l’OCR est enregistré dans notre base de données.
Lieu: UE. Sweden Central
DPA / statut officiel: Couvert par le Microsoft DPA (Azure Cognitive Services).

Microsoft Azure Maps

Microsoft Corporation

MEDIUM Actif, DPA signé

Service: Géocodage et suggestions d’adresses (countrySet=PL), affichage sur une carte. Clé côté serveur (Managed Identity).
Étendue des données: Adresses (rue, ville, code postal) transmises pour géocodage. Aucune donnée d’identification des personnes.
Lieu: UE (atlas.microsoft.com)
DPA / statut officiel: Couvert par le Microsoft DPA (Azure Maps).

Prévus / conditionnels

Entités susceptibles d’être intégrées à l’avenir, une fois les conditions remplies (DPA + préavis de 30 jours).

Prévu

Microsoft Azure (PostgreSQL Flexible Server / Blob / Key Vault / Entra ID)

Migration de la base de données, du stockage de fichiers et de la connexion de Supabase vers Azure. Région : Poland Central. La couche applicative fonctionne déjà sur Azure ; voir « Actifs ».

Partie intégrante des Azure Online Services Terms / Data Protection Addendum (Microsoft).

Prévu

Microsoft Graph (Microsoft 365)

Envoi et lecture des e-mails depuis la boîte aux lettres de l’organisation. Actuellement désactivé par un indicateur ; les e-mails sortants sont gérés par Azure Communication Services.

Couvert par le Microsoft DPA / Online Services Terms. Activation après configuration de l’App Registration.

Prévu

Microsoft Azure Cache for Redis

Limiteur de débit distribué (remplacement d’Upstash), région Poland Central, dans le périmètre de Microsoft/UE.

Partie intégrante des Azure Online Services Terms / DPA.

Prévu

Autenti

Signature électronique qualifiée des contrats (aucun équivalent dans les services Microsoft). Activation conditionnelle ; actuellement désactivée par un indicateur.

Nécessite un DPA signé et une vérification avant activation.

Ce qui n’est PAS un sous-traitant

Éléments volontairement exclus du registre, avec justification.

Web Push (VAPID)

Auto-hébergé. Les notifications sont envoyées directement de notre serveur au navigateur. Le payload est générique, sans contenu ni données personnelles.

Microsoft Entra ID

Système d’identité de l’administrateur (Insignis Polska). Ne traite pas les données des clients de PGW au sens de l’art. 28 RODO.

Vous avez une question sur le traitement des données ?

Prenez contact avec le responsable du traitement des données, nous vous répondrons sans retard injustifié, au plus tard dans un délai d’un mois (art. 12, al. 3 RODO).

iod@e-pgw.pl Politique de confidentialité

Mise à jour 2026-09-14