Mast Finance Sàrl. Dernière mise à jour : 28 août 2026
Version française. Traduction de la version anglaise « Subprocessors », qui constitue la version originale et la source de référence, dans son état au 28 août 2026. Toute modification est apportée d'abord à la version anglaise, puis reportée ici. En cas de divergence ou de contradiction entre la version française et la version anglaise, la version anglaise prévaut.
Mast Finance recourt aux sous-traitants ultérieurs tiers énumérés ci-après pour fournir certaines composantes du Service. La présente page est tenue à jour conformément à notre Contrat de sous-traitance des données.
Les clients peuvent s'opposer à un sous-traitant ultérieur nouveau ou remplaçant pour des motifs raisonnables et documentés tenant à la protection des données, dans un délai de 14 jours à compter de la publication de la mise à jour correspondante sur la présente page, selon les modalités décrites dans notre DPA.
Sous-traitants ultérieurs actuels
| Sous-traitant ultérieur | Finalité | Catégories de données | Localisation | Fondement du transfert |
|---|---|---|---|---|
| Amazon Web Services (AWS EMEA Sàrl, Luxembourg) | Infrastructure en nuage : hébergement, stockage, calcul, acheminement des courriers électroniques transactionnels (SES), distribution des ressources statiques (CloudFront) et inférence d'intelligence artificielle via AWS Bedrock (modèles Anthropic Claude et Cohere accessibles dans le cadre du service géré Bedrock, qui alimentent Mast AI : aide contextuelle dans l'application, analyse financière, génération de rapports et reclassement des résultats de recherche augmentée). | Données Client (pièces financières et comptables), Données de Service, requêtes et réponses d'intelligence artificielle, contenu des courriers électroniques transactionnels. | Les Données Client sont stockées en Suisse (eu-central-2, Zurich). L'inférence est exécutée principalement en Suisse (Zurich) ; les fonctions de conversation et de vectorisation recourent à des profils d'inférence interrégionaux de l'Union européenne susceptibles de s'étendre à d'autres régions de l'Union européenne, et le reclassement Cohere s'exécute dans l'Union européenne (Francfort, eu-central-1). Les courriers électroniques transactionnels (SES) sont acheminés depuis l'Union européenne (Irlande, eu-west-1) ; les courriers électroniques de compte émis par le service d'authentification (codes de vérification, réinitialisations de mot de passe) sont acheminés par SES depuis l'Union européenne (Francfort, eu-central-1). Les instantanés mensuels de reprise après sinistre de la base de données de production sont copiés vers l'Union européenne (Irlande, eu-west-1), chiffrés au moyen d'une clé dédiée et conservés 10 ans au titre de l'art. 958f CO. Lorsqu'un client active la réception des factures par courrier électronique, les messages entrants et leurs pièces jointes sont conservés de manière transitoire (7 jours au plus) par SES et S3 dans l'Union européenne (Irlande, eu-west-1), la réception de courrier électronique par SES n'étant pas proposée à Zurich. Les ressources statiques sont distribuées par les points de présence mondiaux de CloudFront (aucune Donnée Client). | Avenant unique de traitement des données conclu avec AWS. Transferts au sein de la Suisse et de l'Union européenne ; les traitements dans les régions de l'Union européenne sont couverts par la décision d'adéquation Suisse-UE. AWS n'utilise ni les données soumises à Bedrock ni les résultats produits pour entraîner ses modèles. |
| Stripe, Inc. | Traitement des paiements, facturation et gestion des abonnements pour l'abonnement propre de Mast (Mast est le commerçant enregistré). | Données de contact de facturation, statut des paiements, détails de l'abonnement. Aucune Donnée Client (pièces financières ou comptables) n'est transmise. | Union européenne / États-Unis (données de contact de facturation uniquement). | Certifié au titre du Data Privacy Framework UE-États-Unis et du Data Privacy Framework Suisse-États-Unis. En qualité de responsable du traitement suisse, Mast se fonde sur le Data Privacy Framework Suisse-États-Unis pour les transferts vers les États-Unis. |
| Microsoft Corporation (Microsoft 365 / Graph) | Envoi et réception de courriers électroniques pour le compte du client via l'authentification OAuth de Microsoft Graph, lorsque le client connecte une boîte aux lettres Microsoft à l'intégration de messagerie. | Jetons OAuth ainsi que contenu et métadonnées des messages des boîtes aux lettres connectées. | Union européenne / États-Unis, selon la région de l'espace Microsoft du client. | Avenant de protection des données et clauses contractuelles types de Microsoft ; Data Privacy Framework UE-États-Unis et Data Privacy Framework Suisse-États-Unis pour les transferts vers les États-Unis. |
| PostHog, Inc. | Mesure d'audience produit : événements d'utilisation, adoption des fonctionnalités et, lorsque cette fonction est activée, enregistrements de session anonymisés dont les champs de saisie sont masqués. Subordonnée au consentement. Ne traite que des Données de Service ; aucune Donnée Client n'est transmise. | Données de Service (télémétrie, événements d'utilisation, enregistrements de session masqués). Les adresses IP ne sont pas collectées. | Union européenne (Francfort, eu-central-1) via PostHog Cloud EU. | Clauses contractuelles types en place. Données résidentes dans l'Union européenne. |
| Functional Software, Inc. dba Sentry | Surveillance des erreurs et des performances : traces d'exécution et métadonnées techniques. Aucune donnée à caractère personnel n'est collectée par défaut ; les adresses électroniques figurant dans les messages d'erreur sont occultées avant transmission. | Traces d'exécution techniques et métadonnées (Données de Service). | Union européenne (Francfort) via la région Sentry Cloud EU. | Clauses contractuelles types en place. Données résidentes dans l'Union européenne. |
| Développeurs externes, Suisse ou Union européenne (mandataires indépendants engagés par Mast Finance ; personnes physiques dont l'identité est communiquée sur demande) | Développement, maintenance, diagnostic et assistance relatifs au Service. L'accès à un environnement contenant des données de clients ou de testeurs est ouvert au cas par cas par une notification écrite désignant l'environnement, la portée et une date d'échéance d'au plus 12 mois, et est révocable à tout moment. Le traitement est purement technique : les mandataires ne sont pas engagés pour analyser, enrichir, extraire ou exploiter de quelque autre manière des données à caractère personnel, et n'y sont confrontés qu'incidemment dans le cadre de ces travaux. | Données Client et Données de Service, limitées à ce qu'exige une tâche donnée : données d'identification et de contact, métadonnées d'authentification (jamais de mots de passe en clair), enregistrements d'activité et d'audit, correspondance d'assistance et pièces comptables des clients. Aucune donnée relevant d'une catégorie particulière n'est recherchée. | Suisse ou Union européenne. Les mandataires ne peuvent accéder aux données de clients ou de testeurs que depuis la Suisse ou l'Union européenne, y compris en déplacement. | Contrat de prestations écrit assorti d'une annexe de sous-traitance au sens de l'art. 28 RGPD et de l'art. 9 nLPD, confidentialité garantie par une peine conventionnelle, assurance responsabilité civile professionnelle exigée avant tout accès à des données réelles, et aucune sous-traitance ultérieure sans autorisation écrite préalable et spécifique de Mast. |
Nous mentionnons cette catégorie avant toute ouverture d'un tel accès, afin que le délai d'opposition de 14 jours décrit ci-dessus coure en amont de l'événement plutôt qu'après celui-ci. Les mandataires ne sont pas nommés individuellement, s'agissant de personnes physiques ; nous indiquons à tout client qui en fait la demande quel mandataire est engagé à un moment donné.
Prévus / pas encore actifs
| Sous-traitant ultérieur | Finalité | État |
|---|---|---|
| SIX bLink (SIX Group AG) | Connectivité de services bancaires ouverts et de flux bancaires (AIS) pour l'import automatique des transactions bancaires. | Développé mais dormant. La fonctionnalité est actuellement désactivée et aucune donnée à caractère personnel n'est encore transmise à SIX bLink. La présente page sera mise à jour avant l'activation de l'intégration. |
Sources de données marchandes connectées à l'initiative du client
Les intégrations suivantes sont autorisées et connectées par le client, afin que Mast puisse importer dans le Service les données de ventes et de transactions propres au client, sur instruction de celui-ci. Mast ne maîtrise pas les données détenues par ces plateformes et ne les engage pas comme ses propres sous-traitants ultérieurs ; la relation du client avec chaque fournisseur est régie par les conditions propres à ce dernier. Elles sont mentionnées ici à titre de transparence.
| Fournisseur | Finalité | Qualification |
|---|---|---|
| PayPal | Import des données de ventes et de transactions PayPal propres au client. | Source de données connectée à l'initiative du client au moyen de ses propres identifiants ou de son propre OAuth. N'est pas un sous-traitant ultérieur de Mast portant sur des données maîtrisées par Mast. |
| Shopify | Import des données de commandes et de ventes Shopify propres au client. | Source de données connectée à l'initiative du client au moyen de ses propres identifiants ou de son propre OAuth. N'est pas un sous-traitant ultérieur de Mast portant sur des données maîtrisées par Mast. |
| WooCommerce | Import des données de commandes et de ventes WooCommerce propres au client. | Source de données connectée à l'initiative du client au moyen de ses propres identifiants ou de son propre OAuth. N'est pas un sous-traitant ultérieur de Mast portant sur des données maîtrisées par Mast. |
Modifications
La présente page sera mise à jour avant tout recours à un nouveau sous-traitant ultérieur. Un journal des modifications est tenu ci-dessous.
| Date | Modification |
|---|---|
| 24 février 2026 | Publication initiale. |
| 18 avril 2026 | Migration de la mesure d'audience produit d'une instance auto-hébergée vers PostHog Cloud EU (Francfort) ; ajout de PostHog, Inc. comme sous-traitant ultérieur. Clarification du statut de Sentry : la surveillance des erreurs est assurée par Sentry Cloud EU depuis l'origine ; ajout de Functional Software, Inc. dba Sentry comme sous-traitant ultérieur nommément désigné, à titre de transparence. |
| 29 mai 2026 | Extension du périmètre du sous-traitant ultérieur AWS à l'inférence d'intelligence artificielle (AWS Bedrock) pour Mast AI. |
| 13 juillet 2026 | Réécriture du tableau selon les colonnes finalité, catégories de données, localisation et fondement du transfert. Correction de la ligne AWS : l'inférence est exécutée principalement en Suisse (Zurich), mais les fonctions de conversation et de vectorisation peuvent s'étendre à d'autres régions de l'Union européenne et le reclassement Cohere s'exécute dans l'Union européenne (Francfort), le tout sous couvert de la décision d'adéquation Suisse-UE (suppression de la formulation contradictoire « exclusivement à Zurich »). Ajout de Microsoft (messagerie via l'OAuth de Graph) comme sous-traitant ultérieur. Ajout du Data Privacy Framework Suisse-États-Unis aux côtés du Data Privacy Framework UE-États-Unis pour Stripe. Ajout de SIX bLink au titre des prestations prévues mais pas encore actives. Qualification de PayPal, Shopify et WooCommerce comme sources de données marchandes connectées à l'initiative du client, et non comme sous-traitants ultérieurs de Mast. |
| 9 août 2026 | Ajout de la catégorie Développeurs externes, Suisse ou Union européenne comme sous-traitant ultérieur, couvrant les mandataires indépendants engagés par Mast Finance pour le développement, la maintenance, le diagnostic et l'assistance. Mentionnée avant toute ouverture d'un tel accès. Les mandataires étant des personnes physiques, ils ne sont pas nommés sur la présente page ; le mandataire engagé à un moment donné est indiqué à tout client qui en fait la demande. |
| 10 août 2026 | Correction de la région d'acheminement des courriers électroniques transactionnels (SES) : Irlande (eu-west-1) et non Francfort (eu-central-1). Les identités d'envoi vérifiées du compte et la chaîne de réception s'exécutent toutes deux en eu-west-1 ; la mention de Francfort était obsolète. Aucun nouveau sous-traitant ultérieur et aucune modification du lieu de stockage des Données Client. |
| 28 août 2026 | Republication avec le reste du corpus juridique. Extension de la ligne AWS afin d'y faire figurer deux flux de Données Client dans l'Union européenne jusqu'ici non divulgués : les instantanés mensuels de reprise après sinistre de la base de données copiés en Irlande (eu-west-1) et conservés 10 ans, ainsi que les factures reçues par courrier électronique, conservées de manière transitoire (7 jours au plus) par SES et S3 en Irlande lorsqu'un client active la réception des factures par courrier électronique. Aucun nouveau sous-traitant ultérieur. |
Contact
Pour toute question relative à nos sous-traitants ultérieurs, veuillez nous écrire à l'adresse contact@mastfinance.io.
Mast Finance Sàrl, Rue Centrale 15, 1003 Lausanne, Suisse. contact@mastfinance.io