Supabase, Inc. — région eu-central-1
- Finalité
- Hébergement base de données + Auth + Storage
- Données
- Compte (email, MFA), org, registre IA, audit log, événements widget agrégés
- Rétention
- Durée du contrat + 30 j post-résiliation
Retour à l'accueil
Sécurité · transparence opérationnelle
Hébergement EU end-to-end, vérifiable.
Hébergement, sous-traitants, garanties techniques, incident response : la liste à jour des engagements publiés par MACHINA SASU pour permettre à tout DPO ou acheteur B2B d'auditer Sentinel AI sans demander de NDA. Mise à jour au fil des évolutions d'infrastructure.
Infrastructure
11 couches · 100% EU-hosted
Toutes les données utilisateurs et événements widget restent dans des régions de l'Union européenne ; les transferts éventuels sont encadrés par les clauses contractuelles types (CCT 2021/914). Le tier Enterprise (Phase 4) propose un hébergement bare-metal en France pour les organismes publics et la santé.
| Couche | Provider | Région | Statut |
|---|---|---|---|
| Console + landing | Vercel Fluid Compute | fra1 + cdg1 | En production |
| API widget + webhooks | Vercel Fluid Compute | cdg1 | En production |
| Widget CDN | Vercel Edge | EU (Frankfurt · Paris · Amsterdam) | En production |
| Base de données + Auth | Supabase Cloud | eu-central-1 (Frankfurt) | En production |
| Email transactionnel | Resend | EU (Ireland) | En production |
| Observabilité erreurs | Sentry | EU (Frankfurt · de.sentry.io) | En production |
| Cache · rate-limit | Upstash Redis | EU (Ireland) | En production |
| Paiement | Stripe Tax | Ireland (entité européenne) | En production |
| Analytics produit | PostHog Cloud EU | eu-central-1 (Frankfurt) | En production |
| Backup nightly | Object Storage chiffré EU | France | Roadmap S2 2026 |
| Hébergement souverain Tier Enterprise | OVH Public Cloud | France | Phase 4 (sur demande) |
Sous-traitants ultérieurs
Art. 28 §2 RGPD
Liste exhaustive des sous-traitants ultérieurs traitant des données personnelles pour le compte de Sentinel AI. Tout changement substantiel est notifié 30 jours à l'avance par email aux abonnés Business et Enterprise.
Vercel Inc. — région fra1 / cdg1
- Finalité
- Hébergement console + API + landing + CDN widget
- Données
- Logs requêtes (anonymisés), métriques performance
- Rétention
- 30 jours rolling
Resend Inc. — région EU (Ireland)
- Finalité
- Envoi emails transactionnels (welcome, billing, dunning)
- Données
- Email destinataire, sujet, métadonnées de livraison
- Rétention
- 90 jours suppression auto
Sentry (Functional Software Inc.) — région eu (Frankfurt)
- Finalité
- Observabilité erreurs serveur (PII filter actif)
- Données
- Trace stack anonymisée, request id (sans PII)
- Rétention
- 90 jours rolling
Upstash — région EU (Ireland)
- Finalité
- Rate-limiting + cache éphémère
- Données
- Compteurs IP-hash 60 secondes glissants
- Rétention
- Auto-purge 5 minutes
PostHog Inc. — PostHog Cloud EU (eu-central-1, Frankfurt)
- Finalité
- Analytics produit · télémétrie wizard onboarding console
- Données
- Events UI anonymes (étape, secteur, variant, id projet) · sans email ni PII directe
- Rétention
- Selon plan PostHog Cloud (1 an gratuit / 7 ans payant)
Stripe Payments Europe Ltd. — région Ireland
- Finalité
- Facturation + TVA EU + 3D Secure
- Données
- Carte (token Stripe), adresse facturation, n° TVA, factures
- Rétention
- 10 ans (obligation comptable Art. L.123-22)
Certifications & audits
Aucune certification revendiquée à tort. Le statut publié reflète l'état réel d'avancement. Les rapports d'audit (à venir) seront disponibles sur demande sous NDA.
- En vigueur
RGPD · Art. 28 DPA opposable
— (modèle disponible · /dpa)
- En vigueur
EU AI Act · Article 50 §1-§4 + Article 71 by design
— (cœur produit)
- Audit en cours
ISO/IEC 27001:2022
Q4 2026 — cabinet partenaire (sélection finale avant V2 GA 1/08/2026)
- Préparation gap analysis
ISO/IEC 42001:2023 (AI Management)
Q2 2027
- Programmé
Pen-test offensif annuel
Mi-juillet 2026 (Synacktiv 3 jours)
- Sur roadmap
HDS (santé · Tier Enterprise)
2027 (selon traction santé)
Garanties techniques
- TLS 1.3 minimum partout · HSTS preload activé sur sentinel-ai.eu et app.sentinel-ai.eu
- Chiffrement au repos AES-256 (Supabase + Vercel + Stripe)
- Isolation multi-tenant via Row-Level Security PostgreSQL · helper sentinel.current_org_ids() SECURITY DEFINER
- MFA TOTP obligatoire pour les rôles owner et admin · Supabase Auth natif
- Audit log immutable · rétention 6 mois (Free) → 2 ans (Pro) → 5 ans (Business) → 20 ans notarisé (Enterprise)
- Filtre PII actif sur Sentry (suppression emails, IPs, tokens avant envoi)
- Aucun cookie tiers · aucun fingerprint browser · aucune adresse IP brute conservée
- Coverage tests 100% strict sur les 4 packages (api · console · widget · pdf-registry) · gate CI obligatoire
DPA & documents contractuels
Architecture
Diagramme flux de données
SVG inline · widget → API → Supabase Frankfurt + voie sortie OVH Public Cloud France.
Art. 28 RGPD
Contrat de sous-traitance
Modèle DPA opposable, signature formelle sur demande.
Art. 13/14 RGPD
Politique de confidentialité
Données collectées, finalités, droits des personnes.
CGV
Conditions générales
Engagement service, SLA, résiliation, juridiction.
Incident response & divulgation
Toute violation de données personnelles est notifiée aux clients impactés sous 72 heuresaprès prise de connaissance, conformément à l'Article 33 §2 RGPD. Une post-mortem publique est publiée dans les 14 jours pour les incidents de sévérité majeure.
- Astreinte oncall 24/7 · Sentry EU + alerte PagerDuty (déclenchement sur erreurs P0 / SLO violation)
- RTO ≤ 1h · RPO ≤ 5 min (Supabase WAL streaming + snapshots quotidiens)
- Disclosure responsible : reporter une vulnérabilité à security@sentinel-ai.eu — réponse sous 48h ouvrées · bug bounty interne
Contact DPO
Pour toute demande RGPD (accès, rectification, effacement, portabilité, opposition) ou question sur le traitement de vos données :
- Responsable
- MACHINA SASU · SIREN 984 093 948 · 60 rue François Ier, 75008 Paris, France
- Email DPO
- dpo@sentinel-ai.eu
- Réclamation CNIL
- www.cnil.fr/fr/plaintes