StackLégal

Combinaison

RGPD Supabase, Resend et Stripe

Cette page reprend les fiches des éditeurs de la stack. Elle dit ce qu’il faut écrire dans la politique de confidentialité et dans la liste des sous-traitants. Dernière mise à jour : 5 octobre 2026.

Ce que les fiches disent

Lieu, DPA, sous-traitants ultérieurs et mécanisme de transfert. Chaque bloc renvoie vers la fiche, qui garde sa propre date de vérification.

Supabase

Fiche complète

Supabase Pte. Ltd. Vérifié le 4 octobre 2026.

Hébergement / localisation
Si le client désigne une région, Supabase indique que les données couvertes y sont stockées et principalement traitées, sauf instruction contraire, obligation légale, ou service demandé par le client. Sinon, traitement possible partout où Supabase ou ses sous-traitants ont des installations. Siège indiqué : 65 Chulia Street, Singapour. La documentation indique qu’un projet est déployé dans une région primaire unique.
DPA
Oui. Data Processing Addendum public. Source
Sous-traitants ultérieurs
Liste publique des sous-traitants. Source
Transfert (Data Privacy Framework)
Recherche officielle « Supabase » et « Supabase Pte » : aucun participant. Non inscrit.

Resend

Fiche complète

Plus Five Five, Inc.. Vérifié le 4 octobre 2026.

Hébergement / localisation
Le DPA indique que les opérations principales de traitement sont aux États-Unis. Les données stockées le sont aux États-Unis.
DPA
Oui. DPA public. Source
Sous-traitants ultérieurs
Liste publique. Source
Transfert (Data Privacy Framework)
Le participant « Resend », nom légal PLUS FIVE FIVE, est inscrit. Statut exact EU-U.S. Data Privacy Framework : Active - Re-certification under Review. Source

Stripe

Fiche complète

Stripe Payments Europe, Limited pour les comptes hors Amérique du Nord et du Sud ; Stripe, LLC pour les comptes situés en Amérique du Nord ou du Sud. Vérifié le 4 octobre 2026.

Hébergement / localisation
Le DPA indique un transfert vers Stripe, LLC aux États-Unis. La politique de confidentialité indique que la majorité des prestataires sont dans l’Union européenne, aux États-Unis et en Inde.
DPA
Oui. Le DPA fait partie du Stripe Services Agreement. Source
Sous-traitants ultérieurs
Liste publique des prestataires, sous-traitants et affiliés. Source
Transfert (Data Privacy Framework)
Stripe, LLC est inscrit. Statut EU-U.S. Data Privacy Framework : Active. L’entité européenne Stripe Payments Europe, Limited n’est pas le nom porté sur cette fiche. Source

Ce qu’il faut écrire dans la politique

Vous restez responsable du traitement. Trois éditeurs voient des données de vos utilisateurs : la base, l’e-mail transactionnel et le paiement. Chacun a sa fiche, avec son entité, son rôle, son lieu, son DPA et son mécanisme de transfert.

Supabase Pte. Ltd est sous-traitant, ou sous-traitant ultérieur si vous l’êtes déjà. Si vous avez choisi une région, la fiche indique que les données couvertes y sont stockées et principalement traitées : écrivez la région réelle du projet. Supabase n’est pas inscrit au Data Privacy Framework. Renvoyez vers son DPA et sa liste de sous-traitants.

Resend (Plus Five Five, Inc.) est sous-traitant des données d’e-mail, et responsable indépendant pour le compte, la facturation et l’usage du service. Le DPA place les opérations principales et le stockage aux États-Unis. Le participant « Resend » est au statut Active - Re-certification under Review.

Pour Stripe, nommez l’entité de votre compte, le double rôle (sous-traitant sur instruction, responsable indépendant pour la fraude et la LCB-FT), le transfert vers Stripe, LLC aux États-Unis et l’inscription DPF de Stripe, LLC.

Côté cookies, la fiche Supabase cite le cookie de session Auth sur votre domaine et des cookies de son propre site. La fiche Resend indique des cookies essentiels. Complétez avec les cookies que votre application dépose en plus.

Historique

  1. Première publication. Les faits sont repris des fiches, qui citent les pages officielles. Ce qui n’y figure pas reste « non communiqué ».

Clauses à coller

Une clause par éditeur, à placer dans la section sous-traitants. Relisez-les : un champ « non communiqué » doit être complété avant publication.

Clause sous-traitants

Fiches liées

Pack complet, à partir de 39 € TTC

Les clauses ci-dessus ne couvrent que cette stack. StackLégal génère les mentions LCEN, CGU, CGV, confidentialité, DPA article 28 et la liste publique, en ne citant que les cases cochées. Paiement unique via Gumroad. Ce n’est pas un conseil juridique.

À partir de 39 € TTCCochez dans l’assistant