Cette page liste l'ensemble des sous-traitants qui hébergent ou traitent vos
données dans le cadre de Distil. Régions, finalités, encadrement légal :
tout y est, sans simplification commerciale.
Hébergement et conformité RGPD
Nous privilégions des sous-traitants européens chaque fois que c'est possible.
Vos données d'apprentissage (compte, progression, suivi de cours) sont stockées
en Europe. Le paiement et certaines briques techniques s'appuient sur des
prestataires américains, encadrés par des Clauses Contractuelles Types (SCCs)
conformes au RGPD.
Sous-traitants
Distil s'appuie sur 6 sous-traitants : Supabase, Vercel, PostHog, Resend, GitHub, YouTube.
Pour chacun, l'entité légale, la région d'hébergement, la finalité et l'encadrement
sont détaillés ci-dessous. Toute modification substantielle vous est notifiée par email.
Supabase
Irlande (eu-west-1)
Entité légale
Supabase Inc. (États-Unis)
Finalité
Authentification, base de données, suivi de progression
Données traitées
Email, mot de passe (chiffré), progression de cours, métadonnées techniques
Encadrement
Données stockées en Europe. Société américaine, support encadré par SCCs.
Vercel
Functions exécutées en Europe ; société soumise au droit US
Entité légale
Vercel Inc. (États-Unis, Delaware)
Finalité
Hébergement du site et des fonctions serveur
Données traitées
Logs techniques, adresse IP (éphémère), entêtes de requête
Encadrement
Encadrement par Clauses Contractuelles Types (SCCs).
PostHog
Allemagne (Frankfurt, eu.i.posthog.com)
Entité légale
PostHog Inc. (États-Unis)
Finalité
Analyse produit (parcours, funnels, achèvement de leçons)
Données traitées
Identifiant utilisateur, événements de navigation, email (associé au compte)
Encadrement
Données stockées en Europe. Pas de tracking publicitaire, pas de revente.
Resend
États-Unis
Entité légale
Resend Inc. (États-Unis)
Finalité
Envoi d'emails transactionnels (confirmation de compte, réinitialisation de mot de passe, annonces de nouvelles leçons)
Données traitées
Email, contenu des messages transactionnels, statut de délivrabilité
Encadrement
Encadrement par SCCs. Pas de stockage durable des contenus. Migration vers la région EU à l'étude.
GitHub
États-Unis
Entité légale
GitHub Inc., filiale de Microsoft Corp. (États-Unis)
Irlande pour le responsable, infrastructure mondiale
Entité légale
Google Ireland Ltd. (Irlande), groupe Google LLC (États-Unis)
Finalité
Hébergement des vidéos de leçons, en mode non répertorié
Données traitées
Aucune donnée tant que la vidéo n'est pas lancée. Le lecteur n'est chargé qu'après un clic explicite ; il dépose alors ses propres cookies et reçoit l'adresse IP et les informations de lecture.
Encadrement
Lecteur appelé sur youtube-nocookie.com. Le chargement différé au clic évite tout dépôt avant action du lecteur. Encadrement par Clauses Contractuelles Types (SCCs).
Cookies et stockage navigateur
Distil dépose uniquement des éléments de stockage strictement nécessaires au
fonctionnement du service, exemptés de consentement préalable au titre de l'article 82
de la loi Informatique et Libertés.
Nom
Type
Finalité
Durée
sb-<projet>-auth-token
Cookie HttpOnly
Session d'authentification Supabase
1 semaine (refresh token)
sb-<projet>-auth-token-code-verifier
Cookie HttpOnly
Sécurité OAuth/PKCE Supabase
Session
theme
localStorage
Préférence visuelle (clair/sombre)
Persistant jusqu'à effacement
ph_*
localStorage
Mesure d'audience produit PostHog (Frankfurt). Email haché avant envoi, jamais en clair.
13 mois maximum (délibération CNIL n°2020-091)
distil_capture_done
Cookie
Strictement nécessaire : masque le formulaire de création de compte gratuit après une soumission réussie pour éviter de le réafficher à chaque page.
90 jours
La mesure d'audience PostHog applique la délibération CNIL n°2020-091
relative aux outils de mesure d'audience exemptés de consentement : pas de croisement
avec d'autres traitements, pas de revente, durée de vie ≤ 13 mois, pas de cookie tiers.
Ce que nous ne faisons pas
Aucun cookie publicitaire ni de tracking tiers déposé par Distil. Seule exception possible : le lecteur vidéo YouTube d'une leçon, qui n'est chargé qu'après un clic explicite de votre part et dépose alors ses propres cookies.
Aucun profilage commercial ni revente de données.
Aucune décision automatisée sur vos données.
Aucun envoi de prospection commerciale sans inscription volontaire de votre part.
Vos droits RGPD
L'accès (Art. 15), la portabilité (Art. 20) et l'effacement (Art. 17) sont accessibles
en self-service immédiat depuis votre espace compte, section Mes données.
La rectification (Art. 16), l'opposition (Art. 21) et la limitation (Art. 18) restent traitées par email
à contact@distil.academy.
Cette adresse joint Pierre Touzet, CIL labellisé CNIL et opérateur de Distil.
Réponse aux demandes par email sous 30 jours maximum.