Mast Finance Sàrl. En vigueur depuis le 22 octobre 2026. Version 1.0
Version française. Le présent document existe en français et en anglais, tenus à jour ensemble. En cas de divergence ou de contradiction entre les deux versions, la version française prévaut.
Mast Finance Sàrl (« Mast Finance », « Mast ») recourt aux sous-traitants ultérieurs tiers énumérés ci-après pour fournir certaines composantes du Service. La présente page est tenue à jour conformément à notre Contrat de sous-traitance des données.
Les clients peuvent s'opposer à un sous-traitant ultérieur nouveau ou remplaçant pour des motifs raisonnables et documentés tenant à la protection des données, dans un délai de 14 jours à compter de la publication de la mise à jour correspondante sur la présente page, selon les modalités décrites dans notre DPA. Lorsqu'un sous-traitant ultérieur doit être remplacé en urgence (pour protéger la sécurité des Données Client, maintenir la disponibilité du Service ou respecter une obligation légale), le remplaçant peut intervenir avant l'écoulement de ce délai ; la présente page est alors mise à jour aussitôt et le délai d'opposition court à compter de cette mise à jour.
Sous-traitants ultérieurs actuels
| Sous-traitant ultérieur | Finalité | Catégories de données | Localisation | Fondement du transfert |
|---|---|---|---|---|
| Amazon Web Services (AWS EMEA Sàrl, Luxembourg) | Infrastructure en nuage : hébergement, stockage, calcul, acheminement des courriers électroniques transactionnels (SES), diffusion de contenu (CloudFront) et inférence d'intelligence artificielle via AWS Bedrock (modèles Anthropic Claude et Cohere accessibles dans le cadre du service géré Bedrock, qui alimentent Mast AI : aide contextuelle dans l'application, analyse financière, génération de rapports et reclassement des résultats de recherche augmentée). | Données Client (pièces financières et comptables), Données de Service, requêtes et réponses d'intelligence artificielle, contenu des courriers électroniques transactionnels. | Les Données Client sont stockées en Suisse (eu-central-2, Zurich). L'inférence s'exécute à Zurich ou dans l'une des six régions suivantes de l'Union européenne, au choix d'AWS pour chaque requête : Francfort, Stockholm, Milan, Espagne, Irlande ou Paris ; le reclassement Cohere s'exécute dans l'Union européenne (Francfort, eu-central-1). Les courriers électroniques transactionnels (SES) sont acheminés depuis l'Union européenne (Irlande, eu-west-1) ; les courriers électroniques de compte émis par le service d'authentification (codes de vérification, réinitialisations de mot de passe) sont acheminés par SES depuis l'Union européenne (Francfort, eu-central-1). Les sauvegardes de la base de données de production restent en Suisse (Zurich) et sont conservées 12 mois, dont une copie verrouillée dans un compte Mast distinct, également à Zurich. Lorsqu'un client active la réception des factures par courrier électronique, les messages entrants et leurs pièces jointes sont conservés de manière transitoire (7 jours au plus) par SES et S3 dans l'Union européenne (Irlande, eu-west-1), la réception de courrier électronique par SES n'étant pas proposée à Zurich. CloudFront distribue les ressources statiques et peut acheminer le trafic du Service, Données Client comprises, chiffré et sans le conserver, via le point de présence le plus proche de l'utilisateur, qui peut se trouver hors de Suisse. | Avenant unique de traitement des données conclu avec AWS, assorti de son addendum suisse. Transferts au sein de la Suisse et de l'Union européenne ; les traitements dans les régions de l'Union européenne sont couverts par la décision d'adéquation Suisse-UE. AWS n'utilise ni les données soumises à Bedrock ni les résultats produits pour entraîner ses modèles. |
| Stripe, Inc. | Traitement des paiements, facturation et gestion des abonnements pour l'abonnement propre de Mast (Mast est le commerçant enregistré). | Données de contact de facturation, statut des paiements, détails de l'abonnement. Aucune Donnée Client (pièces financières ou comptables) n'est transmise. | Union européenne / États-Unis (données de contact de facturation uniquement). | Certifié au titre du Data Privacy Framework UE-États-Unis et du Data Privacy Framework Suisse-États-Unis. En qualité de responsable du traitement suisse, Mast se fonde sur le Data Privacy Framework Suisse-États-Unis pour les transferts vers les États-Unis. |
| Microsoft Corporation (Microsoft 365 / Graph) | Envoi et réception de courriers électroniques pour le compte du client via l'authentification OAuth de Microsoft Graph, lorsque le client connecte une boîte aux lettres Microsoft à l'intégration de messagerie. | Jetons OAuth ainsi que contenu et métadonnées des messages des boîtes aux lettres connectées. | Union européenne / États-Unis, selon la région de l'espace Microsoft du client. | Avenant de protection des données et clauses contractuelles types de Microsoft ; Data Privacy Framework UE-États-Unis et Data Privacy Framework Suisse-États-Unis pour les transferts vers les États-Unis. |
| Microsoft Ireland Operations Ltd (Azure AI Document Intelligence) | Reconnaissance de texte (OCR) sur les factures, justificatifs et notes de frais numérisés ou photographiés dont le texte ne peut pas être lu directement, afin que le Service en lise les montants, les dates et les références. Un PDF natif est lu au sein du Service et n'est jamais transmis. Utilisé depuis le 18 septembre 2026. | Données Client : l'image ou le PDF du document et le texte qui y est reconnu (noms de fournisseurs, montants, références, coordonnées bancaires et tout ce que le document fait apparaître). | Suisse (Azure Suisse Nord, Zurich). Le document est traité dans cette région ; Microsoft le conserve avec le résultat, dans cette région, 24 heures au plus, puis les supprime. | Avenant de protection des données de Microsoft (Products and Services DPA). Aucun transfert hors de Suisse. Microsoft n'utilise pas les documents pour entraîner ou améliorer ses modèles. |
| Anthropic, PBC (San Francisco, États-Unis) | Assistance par intelligence artificielle (Claude) utilisée par le personnel de Mast Finance pour fournir l'assistance, l'accompagnement à la mise en service, l'import de données et le paramétrage, ainsi que pour diagnostiquer et maintenir le Service, selon les conditions commerciales d'Anthropic. Distincte de Mast AI, qui s'exécute sur AWS Bedrock comme décrit ci-dessus. | Données Client et Données de Service, limitées à ce qu'une tâche donnée requiert (par exemple pièces comptables, documents, données d'identification et de contact, journaux techniques). Aucune donnée sensible n'est recherchée. | États-Unis. Anthropic traite les données pour répondre et les conserve 30 jours au plus (plus longtemps seulement si la loi ou la prévention des abus l'impose), puis les supprime. | Avenant relatif au traitement des données d'Anthropic, qui intègre les clauses contractuelles types, avec les adaptations requises pour les transferts depuis la Suisse. Anthropic n'utilise pas les données pour entraîner ses modèles. |
| PostHog, Inc. | Mesure d'audience produit : événements d'utilisation, adoption des fonctionnalités et, lorsque cette fonction est activée, enregistrements de session anonymisés dont les champs de saisie sont masqués. Subordonnée au consentement. Ne traite que des Données de Service ; aucune Donnée Client n'est transmise. | Données de Service (télémétrie, événements d'utilisation, enregistrements de session masqués). Les adresses IP ne sont pas collectées. | Union européenne (Francfort, eu-central-1) via PostHog Cloud EU. | Clauses contractuelles types en place. Données résidentes dans l'Union européenne. |
| Functional Software, Inc. dba Sentry | Surveillance des erreurs et des performances : traces d'exécution et métadonnées techniques. Aucune donnée à caractère personnel n'est collectée par défaut ; les adresses électroniques figurant dans les messages d'erreur sont occultées avant transmission. | Traces d'exécution techniques et métadonnées (Données de Service). | Union européenne (Francfort) via la région Sentry Cloud EU. | Clauses contractuelles types en place. Données résidentes dans l'Union européenne. |
| Développeurs externes, Suisse ou pays reconnu adéquat par le Conseil fédéral (mandataires indépendants engagés par Mast Finance ; personnes physiques dont l'identité est communiquée sur demande ; liste des pays dans la politique de confidentialité) | Développement, maintenance, diagnostic et assistance relatifs au Service. L'accès à un environnement contenant des données de clients ou de testeurs est ouvert au cas par cas par une notification écrite désignant l'environnement, la portée et une date d'échéance d'au plus 12 mois, et est révocable à tout moment. Le traitement est purement technique : les mandataires ne sont pas engagés pour analyser, enrichir, extraire ou exploiter de quelque autre manière des données à caractère personnel, et n'y sont confrontés qu'incidemment dans le cadre de ces travaux. | Données Client et Données de Service, limitées à ce qu'exige une tâche donnée : données d'identification et de contact, métadonnées d'authentification (jamais de mots de passe en clair), enregistrements d'activité et d'audit, correspondance d'assistance et pièces comptables des clients. Aucune donnée relevant d'une catégorie particulière n'est recherchée. | Suisse ou pays que le Conseil fédéral reconnaît comme offrant, pour toutes les organisations qui s'y trouvent, une protection adéquate des données (liste dans la politique de confidentialité). Les mandataires ne peuvent accéder aux données de clients ou de testeurs que depuis ces pays, y compris en déplacement. | Contrat de prestations écrit assorti d'une annexe de sous-traitance au sens de l'art. 28 RGPD et de l'art. 9 nLPD, confidentialité garantie par une peine conventionnelle, assurance responsabilité civile professionnelle exigée avant tout accès à des données réelles, et aucune sous-traitance ultérieure sans autorisation écrite préalable et spécifique de Mast. |
Nous mentionnons cette catégorie avant toute ouverture d'un tel accès, afin que le délai d'opposition de 14 jours décrit ci-dessus coure en amont de l'événement plutôt qu'après celui-ci. Les mandataires ne sont pas nommés individuellement, s'agissant de personnes physiques ; nous indiquons à tout client qui en fait la demande quel mandataire est engagé à un moment donné.
Prévus / pas encore actifs
Pas encore actifs : l'intégration est développée, mais aucune donnée n'est encore transmise aux sous-traitants ultérieurs ci-dessous. Chacun rejoint les sous-traitants ultérieurs actuels, avec une ligne au journal des modifications, le jour où il reçoit ses premières données.
| Sous-traitant ultérieur | Finalité | Catégories de données | Localisation | Fondement du transfert |
|---|---|---|---|---|
| SIX BBS SA (Zurich) | bLink, la plateforme d'open banking de SIX : transmet à Mast le solde et les transactions comptabilisées des comptes bancaires qu'un client connecte et, lorsque le Service le propose, transmet à sa banque les ordres de paiement du client ; conserve, pour le compte de Mast, le jeton d'accès que la banque émet lorsque le client donne son consentement (Consent-as-a-Service). L'admission de Mast à bLink est en cours et la connexion est désactivée. | Données Client : identifiants et titulaires des comptes, soldes, transactions comptabilisées (contreparties, montants, références), ordres de paiement (nom, adresse et compte de chaque bénéficiaire, montant, référence) ; le jeton d'accès de la banque ; l'adresse IP et le navigateur de l'utilisateur pour les opérations qu'il lance. | Suisse. SIX transmet les données sans en conserver ni en analyser le contenu. | Contrat de participation à la plateforme bLink et contrat Consent-as-a-Service conclus avec SIX. Aucun transfert hors de Suisse. |
Sources de données marchandes connectées à l'initiative du client
Les intégrations suivantes sont autorisées et connectées par le client, afin que Mast puisse importer dans le Service les données de ventes et de transactions propres au client, sur instruction de celui-ci. Mast ne maîtrise pas les données détenues par ces plateformes et ne les engage pas comme ses propres sous-traitants ultérieurs ; la relation du client avec chaque fournisseur est régie par les conditions propres à ce dernier. Elles sont mentionnées ici à titre de transparence.
| Fournisseur | Finalité | Qualification |
|---|---|---|
| PayPal | Import des données de ventes et de transactions PayPal propres au client. | Source de données connectée à l'initiative du client au moyen de ses propres identifiants ou de son propre OAuth. N'est pas un sous-traitant ultérieur de Mast portant sur des données maîtrisées par Mast. |
| Shopify | Import des données de commandes et de ventes Shopify propres au client. | Source de données connectée à l'initiative du client au moyen de ses propres identifiants ou de son propre OAuth. N'est pas un sous-traitant ultérieur de Mast portant sur des données maîtrisées par Mast. |
| WooCommerce | Import des données de commandes et de ventes WooCommerce propres au client. | Source de données connectée à l'initiative du client au moyen de ses propres identifiants ou de son propre OAuth. N'est pas un sous-traitant ultérieur de Mast portant sur des données maîtrisées par Mast. |
Modifications
La présente page sera mise à jour avant tout recours à un nouveau sous-traitant ultérieur, ou aussitôt en cas de remplacement urgent décrit dans notre DPA. Un journal des modifications est tenu ci-dessous.
| Date | Modification |
|---|---|
| 11 octobre 2026 | Version 1.0. |
| 14 octobre 2026 | Ajout d'Anthropic, PBC (assistance par intelligence artificielle pour le personnel de Mast Finance). |
| 15 octobre 2026 | Description du remplacement urgent d'un sous-traitant ultérieur (DPA, art. 8). |
| 19 octobre 2026 | Ligne AWS : lieu d'exécution de l'inférence de Mast AI reformulé (Zurich ou l'une de six régions de l'Union européenne, au choix d'AWS pour chaque requête ; reclassement à Francfort). |
| 22 octobre 2026 | SIX BBS SA (bLink) : ligne des sous-traitants ultérieurs prévus mise à jour (entité contractante, données, localisation) ; pas encore active. |
| 22 octobre 2026 | Développeurs externes : ils peuvent travailler depuis la Suisse ou depuis un pays que le Conseil fédéral reconnaît comme adéquat pour toutes les organisations qui s'y trouvent (liste dans la politique de confidentialité), et non plus seulement depuis la Suisse ou l'Union européenne. |
| 22 octobre 2026 | Ligne AWS : CloudFront peut aussi acheminer le trafic du Service, Données Client comprises, chiffré et sans le conserver, via le point de présence le plus proche de l'utilisateur. |
Contact
Pour toute question relative à nos sous-traitants ultérieurs, veuillez nous écrire à l'adresse contact@mastfinance.io.
Langue
Le présent document existe en français et en anglais, tenus à jour ensemble. En cas de divergence entre les deux versions, la version française prévaut. Toute version dans une autre langue n'est fournie qu'à titre d'information.
Mast Finance Sàrl, Rue Centrale 15, 1003 Lausanne, Suisse. contact@mastfinance.io