Sous-traitants ultérieurs et fournisseurs LLM (annexe 1 du DPA)

1. Sous-traitants ultérieurs de Gosper

1.1 Toujours utilisés

1.2 Selon les options activées pour votre instance

Ces prestataires ne sont sollicités que si l'option correspondante est activée. La liste des options actives est précisée dans votre bon de commande.

Une copie des garanties de transfert est communiquée sur simple demande à contact@gosper.fr.

Rapports de bug. Le formulaire « Signaler un bug » de la console envoie, par le transport de messagerie de votre instance (Resend ou le SMTP que vous avez configuré), l'adresse e-mail et l'identifiant de l'auteur ainsi que le texte libre du rapport à l'adresse définie par la variable BUG_REPORT_EMAIL. Il n'y a aucun destinataire par défaut en production : sans cette variable, le formulaire est désactivé. Ce texte libre n'est pas filtré par la DLP : il peut contenir ce que l'auteur y colle. Le destinataire est choisi par l'exploitant de l'instance ; si c'est Gosper, il agit pour votre compte sur la base de ce DPA.

1.3 Hors du périmètre du produit

Brevo (France) transmet les demandes envoyées depuis le formulaire de contact du site vitrine. Gosper est alors responsable de traitement : ce traitement est décrit dans la politique de confidentialité du site, pas dans le DPA.

Docusign, lorsqu'il sert à signer un bon de commande, traite les nom, fonction et adresse e-mail des signataires du client pour le compte de Gosper (responsable de traitement). Les transferts sont encadrés par les règles d'entreprise contraignantes de Docusign approuvées par les autorités européennes, et à défaut par les clauses contractuelles types (règles de Docusign).

1.4 Lien de l'instance avec le hub Gosper

Une instance reliée au hub Gosper (adresse GOSPER_HUB_URL et jeton propre à l'instance) le contacte elle-même, au démarrage puis à intervalle régulier : elle y tire ses droits d'usage signés (licence et modules actifs) et lui signale son état (version installée, verrous actifs, état de la licence). Rien n'est poussé vers l'instance. Le hub voit l'adresse IP de l'instance, comme tout serveur contacté. Ces échanges ne portent jamais de contenu de conversation ni de donnée d'utilisateur. Le hub est exploité par Gosper (ce n'est pas un sous-traitant ultérieur) ; il est cité ici parce que c'est un flux sortant de l'instance que votre équipe réseau observera.

2. Fournisseurs de modèles de langage (LLM)

2.1 Ce ne sont pas des sous-traitants de Gosper

Gosper fonctionne en BYOK (« apportez vos propres clés ») : votre organisation connecte ses propres clés d'API chez les fournisseurs LLM qu'elle choisit (OpenAI, Anthropic, Google, Mistral, Scaleway), ou connecte un modèle privé de son choix (point d'accès personnalisé, section 2.4).

En conséquence :

• le contrat qui encadre le traitement par le fournisseur (conditions d'utilisation, accord de traitement des données, durée de conservation, région de traitement, réglages d'entraînement) est celui que votre organisation a conclu avec ce fournisseur ;
• Gosper transmet les requêtes de vos utilisateurs au fournisseur que vous avez choisi, sur votre instruction, après application de la protection décrite à la section 7 des mesures de sécurité ;
• il vous appartient d'inscrire ces fournisseurs dans votre propre registre et de vérifier que votre contrat avec eux convient à vos usages.

2.2 Points d'accès utilisés par Gosper

Sauf choix contraire de votre organisation, Gosper appelle les points d'accès standard des fournisseurs. Gosper ne garantit pas que le traitement par le fournisseur ait lieu dans l'Union européenne.

L'administrateur de votre organisation peut définir, pour chacun de ces cinq fournisseurs, le point d'accès utilisé avec sa clé, parmi les hôtes de ce tableau et pas ailleurs : la liste est fixée par Gosper dans le produit, elle n'est pas modifiable par le client (le modèle privé de la section 2.4 est la seule exception, et il est soumis à une autre liste). Une adresse saisie est refusée si elle n'est pas en https, si l'hôte n'est pas exactement l'un des hôtes autorisés pour ce fournisseur, si c'est une adresse IP littérale, ou si elle comporte un port, des identifiants ou des paramètres. Gosper ne suit aucune redirection d'un fournisseur et refuse un hôte dont la résolution mène vers un réseau privé ou réservé. Chaque changement et chaque refus sont inscrits au journal d'audit (hôte ou motif seulement).

Le choix d'eu.api.openai.com ne vaut que si votre contrat avec OpenAI le permet (voir les recommandations ci-dessous) : Gosper n'a pas encore éprouvé d'appel réel vers ce point d'accès avec un projet OpenAI en région Europe, et ne garantit pas le traitement en Europe pour autant.

Scaleway. Scaleway est un cinquième fournisseur, utilisé comme les autres avec la clé de votre organisation (BYOK) : le contrat qui l'encadre est celui que votre organisation conclut avec lui. Le catalogue de Gosper le classe en région eu d'après la documentation publique de Scaleway ; Gosper n'a exécuté aucun appel réel vers ce fournisseur à ce jour et ne garantit pas le lieu du traitement. Gosper peut aussi, par un réglage de l'instance désactivé par défaut, utiliser une clé de la plateforme pour Scaleway : Scaleway deviendrait alors un sous-traitant ultérieur de Gosper pour cette instance, et son ajout à la section 1.2 serait soumis au préavis de la section 3.

2.4 Modèle privé de l'organisation et voie souveraine

Point d'accès personnalisé (modèle privé). Le propriétaire du compte de votre organisation peut enregistrer un seul point d'accès compatible avec l'API d'OpenAI : un modèle qu'il exécute sur sa propre infrastructure ou chez un hébergeur de son choix (Scaleway Managed Inference, par exemple). L'hôte est choisi par votre organisation et ne figure donc pas au tableau de la section 2.2. Il n'est utilisable que s'il figure aussi dans la liste d'hôtes propre à l'instance que l'exploitant tient (réglage CUSTOM_ENDPOINT_ALLOWED_HOSTS, vide par défaut : aucun point d'accès personnalisé n'est utilisable tant que l'exploitant n'y a rien inscrit). L'adresse doit être en https, sans identifiants ni paramètres ; Gosper ne suit aucune redirection, classe les adresses résolues à chaque connexion et refuse les réseaux privés ou locaux, sauf autorisation explicite de l'exploitant de l'instance. La clé saisie est chiffrée au repos et liée à l'adresse enregistrée. L'hébergeur de ce modèle n'est pas un sous-traitant de Gosper : il agit pour votre organisation. Chaque changement est inscrit au journal d'audit (hôte seulement).

Voie souveraine. Réglage de l'organisation, réservé au propriétaire du compte et désactivé par défaut. Activé, un document d'un dossier Drive de niveau confidentiel n'est envoyé qu'à un modèle de la « voie » : un modèle dont le catalogue indique la région eu, ou le modèle privé que le propriétaire a déclaré souverain. Tout autre modèle est refusé explicitement, sans repli vers un autre fournisseur. Cette déclaration engage votre organisation : Gosper ne peut pas la vérifier, et la voie souveraine n'est pas une garantie de traitement en Europe (voir la section 2.2).

2.3 Ce que disent les fournisseurs (à titre d'information)

Le tableau ci-dessous résume les engagements publics des fournisseurs pour leurs API professionnelles, consultés le 9 octobre 2026 (le 16 octobre pour Mistral). Il ne remplace pas votre contrat avec eux, qui prévaut, et ces engagements peuvent changer.

Recommandations :

• OpenAI : un traitement en Europe (eu.api.openai.com) suppose l'accord d'OpenAI et un projet OpenAI créé avec la région Europe. Si c'est un prérequis, choisissez ce point d'accès pour OpenAI dans la console (page des clés de fournisseurs de l'administrateur).
• Google : utilisez une clé rattachée à un projet avec facturation activée.
• Tous : si vous disposez d'une option de conservation nulle, activez-la sur la clé connectée à Gosper.

3. Changements de sous-traitants

Gosper informe ses clients par écrit de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. Le client peut s'y opposer pour un motif légitime pendant ce délai (voir le DPA, article 6).

4. Hôtes joints par l'instance

Pour permettre à votre équipe réseau de comparer cette annexe au trafic réellement observé, voici les hôtes que l'instance appelle (liste de sortie de la garde applicative, activable avec le verrou V8). Un hôte n'est joint que si l'option correspondante est activée pour votre instance.

Sur une instance durcie (verrou V8), tout autre hôte est refusé et le refus est inscrit au journal d'audit (hôte seulement). Les propriétaires, administrateurs et auditeurs peuvent lire la liste et les refus constatés par l'API (GET /egress/policy). Un test automatique compare cette liste aux hôtes que le code construit.

Historique