Cette page répertorie les sous-traitants tiers que Melaya Labs LLC ("Melaya", "nous", "notre" ou "nos") mandate pour traiter des informations personnelles en notre nom dans le cadre de la fourniture de la plateforme Melaya, notamment le Cadre Agentique, le Moteur Melaya, les sites web à l'adresse melaya.org et les sous-domaines associés, les API, les clients, et les services connexes (collectivement, les "Services"). Elle doit être lue conjointement avec notre Politique de confidentialité, nos Conditions d'utilisation et notre Présentation de la sécurité.
1. Définition d'un sous-traitant
Un sous-traitant est un tiers que Melaya mandate pour traiter des informations personnelles en notre nom afin d'assurer la fourniture des Services. Chaque sous-traitant répertorié ci-après exerce une fonction spécifique et limitée en vertu d'un contrat écrit imposant des obligations de confidentialité et de protection des données conformes à notre Politique de confidentialité. Les sous-traitants ne sont autorisés à traiter des informations personnelles que dans la mesure nécessaire à la fourniture de leurs services à Melaya, et non à des fins qui leur sont propres.
2. Notre rôle de responsable du traitement et de sous-traitant
Pour les informations personnelles collectées directement par l'intermédiaire des Services, Melaya agit en qualité de responsable du traitement et les sous-traitants ci-dessous agissent en qualité de nos sous-traitants. Lorsque Melaya traite des informations personnelles pour le compte d'un client entreprise en vertu d'un accord écrit, Melaya agit en qualité de sous-traitant et les sous-traitants ci-dessous agissent en qualité de nos sous-traitants ultérieurs, le client entreprise étant le responsable du traitement. Dans l'un et l'autre cas, les sous-traitants répertoriés ici sont les parties susceptibles de traiter des informations personnelles sous l'instruction de Melaya.
3. Notification des modifications
Melaya tient à jour cette liste en tant que registre public officiel de ses sous-traitants. Lorsque nous envisageons d'ajouter ou de remplacer un sous-traitant qui traite des informations personnelles, nous mettrons à jour cette page et notifierons les clients entreprises concernés au moins quinze (15) jours avant que le nouveau sous-traitant commence à effectuer le traitement, sauf si un délai plus court est nécessaire pour respecter la loi ou faire face à un risque de sécurité ou de continuité. Lorsqu'un accord écrit confère un droit d'opposition, un client entreprise peut s'opposer à un nouveau sous-traitant pour des motifs légitimes de protection des données dans le délai de notification imparti.
4. Sous-traitants actuels
Les sous-traitants suivants sont engagés en production à la date figurant en haut de cette page. La résidence indique le lieu où le traitement concerné est effectué ; le calcul principal et la base de données principale sont hébergés dans la région de Singapore, tel que confirmé par une vérification en temps réel.
| Sous-traitant | Localisation | Finalité | Garantie de transfert |
|---|---|---|---|
| Cloudflare, Inc. | USA, global edge | TLS termination, WAF, DDoS mitigation | SCCs + Cloudflare DPA |
| Grafana Labs | Singapore (same region as production) | Off-box log + metric collection | SCCs + DPA |
| Infisical, Inc. | USA | Vault for envelope-wrapped credential ciphertext | SCCs + DPA |
| Stripe, Inc. | USA | Payment processing | EU SCCs Module 2 + UK IDTA |
| Alibaba Cloud (compute host) | Singapore (ap-southeast-1) | Primary compute, database, and cache hosting | SCCs + DPA |
| Object storage provider (operator-specified) | Region per deployment | Backups, DSAR exports, audit archive | SCCs + DPA |
| Transactional email provider (operator-specified) | Region per deployment | MFA, password reset, DSAR notices | SCCs + DPA |
5. Note sur la résidence des données
L'hôte principal de l'application, la base de données PostgreSQL principale et le cache Redis fonctionnent dans la région Asie-Pacifique (Singapore) (ap-southeast-1). La collecte des journaux et des métriques hors serveur s'effectue dans la même région. Certains sous-traitants spécifiés par l'opérateur (stockage d'objets et messagerie transactionnelle) sont déployés dans la région configurée pour un déploiement donné ; leur résidence dépend donc du déploiement spécifique.
6. Dénominations sociales soumises à NDA
Les dénominations sociales spécifiques, les juridictions et les accords de traitement des données exécutés pour les fournisseurs spécifiés par l'opérateur mentionnés ci-dessus (stockage d'objets et messagerie transactionnelle) sont conservés dans notre coffre-fort de sécurité interne et sont accessibles aux clients entreprises dans le cadre d'un NDA. Les sous-traitants nommément désignés ci-dessus (Cloudflare, Grafana Labs, Infisical, Stripe et Alibaba Cloud) sont intégralement divulgués ici.
7. Contact
Les questions relatives à nos sous-traitants, ou les demandes d'accès aux DPA de sous-traitants exécutés et aux garanties de transfert dans le cadre d'un NDA, doivent être adressées à :