Dernière mise à jour : 14 octobre 2026 · Version de travail « live » — certaines régions/garanties confirmées à partir du DPA public de chaque fournisseur ; les éléments encore marqués « à confirmer » sont en attente de confirmation fournisseur/technique.
L'ensemble du stockage et du calcul contrôlés par Umamy est situé dans l'UE. Les transferts hors UE sont limités à des fournisseurs IA/SaaS spécifiques, chacun encadré par une garantie appropriée, selon l'ordre de préférence suivant : (1) hébergement UE = pas de transfert ; (2) décision d'adéquation de la Commission européenne ; (3) auto-certification au Data Privacy Framework (DPF) UE-US ; (4) Clauses Contractuelles Types (CCT) + analyse d'impact du transfert (TIA) positive.
| Sous-traitant | Finalité | Région des données | Transfert hors UE | Garantie |
|---|---|---|---|---|
| Amazon Web Services | Plateforme principale (base, calcul, stockage) | UE — Francfort (eu-central-1) | Non | Hébergement UE · ISO 27001 / SOC 2 |
| AWS Bedrock AgentCore | Exécution de l'agent & mémoire | UE — Francfort | Non | Hébergement UE · DPA AWS |
| Railway | Hébergement frontend | US par défaut (infra sur Google Cloud) — résidence des données UE possible en offre payante | Oui, sauf si une région UE est utilisée — à confirmer selon la région que nous utilisons | Selon le DPA public de Railway : DPF ou CCT (Déc. 2021/914, Modules 2–3). Railway Corporation (US). |
| Supabase | Authentification & base de données frontend | UE (données au repos dans la région UE choisie) | Au repos : non ; société immatriculée à Singapour (Supabase Pte. Ltd) | CCT intégrées au DPA public Supabase (Déc. 2021/914, Modules 2–3 ; acceptation = signature) · SOC 2 Type 2 / ISO 27001 / HIPAA · TIA encore à demander |
| Unipile | Connexion & messagerie LinkedIn | UE (France) | Non | Hébergement UE · SOC 2 Type II · DPA |
| Unified.to | Agrégation ATS (push sur instruction du client) | UE | Non | Hébergement UE · DPA |
| Microsoft Azure OpenAI | Inférence IA principale | UE (Sweden Central) | Non (EU Data Boundary) | DPA Microsoft. Note : le SKU GlobalStandard peut router le traitement hors UE ; DataZoneStandard disponible pour un strict UE-only. |
| OpenAI | Inférence IA — repli uniquement (si Azure échoue) | US | Oui | DPF + CCT + DPA zero-retention. Programmé pour retrait après migration Azure complète. |
| PostHog | Registre d'invites, traçage LLM, feature flags | UE — Francfort (PostHog EU Cloud) — confirmer que notre instance est eu.posthog.com | Non (EU Cloud) ; société US | Hébergement UE · DPA public disponible |
| Fournisseur de base de données (partenaire) | Enrichissement de la base candidats (people & company search) | UE — Francfort | Au repos : non ; société US | CCT (résiduelle). Sert la base propre d'Umamy (côté responsable). |
| Seltz | Recherche web sur les employeurs des candidats | UE (à confirmer) | Non (si UE) | DPA (à confirmer) |
| Slack | Alertes opérationnelles d'erreur (+ un canal agent côté client) | US | Oui | DPF + CCT + DPA |
Non utilisés actuellement : Exa (recherche web — alternatif, conservé pour comparaison) ; Basalt (désactivé).
Ne sont pas sous-traitants d'Umamy : l'ATS du client (Greenhouse, Lever, Workable, Teamtailor…) et les outils e-mail/messagerie du client — opérés directement par le client (responsable de traitement).
À confirmer d'ici le 16/10 (avec Connor / fournisseurs) : Railway — région réellement utilisée (résidence UE vs US par défaut) ; Unified.to — région d'hébergement + DPA ; Seltz — région + confirmer qu'aucune donnée personnelle n'est envoyée (termes de recherche uniquement) ; PostHog — confirmer instance EU Cloud ; Azure — migration SKU DataZoneStandard ; Supabase — obtenir le TIA ; OpenAI & Slack — confirmer l'auto-certification DPF active (dataprivacyframework.gov).