Gouvernance des données
Comment nous traitons les données de votre chaîne.
Cette page est la déclaration publique de gouvernance des données de Tracebud, destinée aux acheteurs, aux partenaires et aux revues d'achats. Elle complète notre politique de confidentialité et notre présentation des données et de la sécurité.
Périmètre
Ce que cela couvre.
Tracebud AS (Oslo, Norvège) fournit une application de terrain axée sur l'EUDR, un tableau de bord pour les organisations et une API. Nous traitons des données personnelles et opérationnelles afin que les agriculteurs, les coopératives et les acheteurs puissent cartographier les parcelles, conserver les preuves et préparer des déclarations de diligence raisonnée.
Propriété
Les agriculteurs et les organisations sont propriétaires de leurs enregistrements.
- Les parcelles, les documents et les reçus de livraison d'un producteur lui appartiennent. Il les garde dans son application et peut les emporter chez un autre acheteur.
- Les listes de membres, les lots, les scellés et les déclarations appartiennent à l'organisation qui les a créés. L'export est disponible ; quitter Tracebud ne signifie pas perdre vos données.
- Tracebud est le transporteur, pas le propriétaire. Nous ne vendons pas les données de chaîne de nos clients et ne les utilisons pas pour fixer des prix à votre détriment.
Consentement
Le partage suit le consentement inscrit dans l'enregistrement.
Les enregistrements ne franchissent les frontières entre organisations qu'avec le consentement joint (par exemple une expédition scellée ou une autorisation explicite). Les agriculteurs peuvent consulter et gérer le partage via le portefeuille de consentements sur app.tracebud.com. Les utilisateurs du Dashboard demandent et respectent ces autorisations.
Portefeuille de consentements (agriculteurs)Sous-traitants
Qui traite des données pour nous.
La base de données principale, l'authentification, l'API, le Redis de limitation de débit et les Vercel Functions fonctionnent dans l'UE : Supabase Francfort (eu-central-1), Railway EU West pour api.tracebud.com, Upstash Redis eu-central-1 et Vercel Functions à Francfort (fra1). L'ingestion de la surveillance des erreurs utilise Sentry Allemagne. Les sous-traitants résiduels hors EEE comprennent Twilio (OTP par SMS), Expo/Apple/Google (push et OTA) et Notion (outils pilotes). Le CDN Edge de Vercel reste multirégional. Nous n'affirmons pas que tous les sous-traitants soient exclusivement dans l'UE.
Les sous-traitants actifs comprennent Supabase (base de données, authentification, stockage), Railway (hébergement de l'API), Vercel (marketing et dashboard), Sentry (surveillance des erreurs avec suppression des données personnelles), Expo/EAS (builds mobiles et OTA), Apple APNs et Google FCM (jetons push) et Twilio Verify (OTP par téléphone). Les sous-traitants optionnels, comme Resend (e-mail) ou Stripe (facturation), sont utilisés lorsque ces fonctionnalités sont actives.
Un registre plus complet est tenu en interne pour les DPA des clients. Questionnaires d'achats : hello@tracebud.com.
Conservation et effacement
Conservez ce que la loi exige ; détruisez ce qu'elle permet.
La suppression de compte et les outils de destruction cryptographique sont mis en œuvre pour les champs personnels lorsque la loi sur la conservation le permet. L'EUDR et des obligations connexes peuvent exiger de conserver certaines références de conformité. Les demandes d'export et de rectification sont honorées. Les affirmations absolues de type « certifié RGPD » sont réservées tant que le conseil juridique ne les a pas validées.
Posture de sécurité
Contrôles que nous appliquons aujourd'hui.
TLS en transit, chiffrement du fournisseur au repos, isolation par locataire, accès limité par rôle, journaux d'audit des actions de conformité, limitation de débit et CAPTCHA sur les surfaces d'authentification. La certification indépendante (SOC 2, ISO 27001) figure sur la feuille de route ; ce n'est pas une affirmation de certification actuelle.