Conçu pour votre
évaluation de sécurité fournisseur
CrunchJunkie est développé par une société allemande (Tiki-Taka Media GmbH) pour les agences et les équipes internes qui détiennent ces données. Voici précisément où vos données résident, qui les traite et les mesures qui les protègent — tout ce dont un acheteur certifié ISO a besoin pour nous valider.
Localisation des données
Calcul applicatif
Frankfurt (fra1)
UEVercel — région UE
Stockage des fichiers
Frankfurt (fra1)
UEVercel Blob — région UE
Base de données
Frankfurt (eu-central-1)
UENeon — région UE
Le calcul applicatif, le stockage des fichiers et la base de données tournent tous dans l'UE (Francfort). Vercel étant une société de droit américain, elle peut être soumise au CLOUD Act ; pour un traitement IA entièrement dans votre propre juridiction, utilisez votre propre clé IA (BYOK) : vos prompts sont alors traités par votre propre compte fournisseur.
Les clients peuvent consulter et exporter à tout moment un rapport sur la localisation des données et les sous-traitants ultérieurs à jour pour leur propre espace de travail, dans Paramètres → Données et hébergement.
Sous-traitants ultérieurs
Nous avons conclu un accord de traitement des données (art. 28 RGPD) avec chaque sous-traitant ultérieur qui traite des données personnelles pour notre compte. Les fournisseurs d'IA n'interviennent que si vous activez Managed AI ou la fonctionnalité qui les utilise.
| Sous-traitant ultérieur | Finalité | Région | Garantie de transfert |
|---|---|---|---|
Vercel Vercel Inc. (USA) DPA → | Application hosting, CDN, serverless function execution (compute), and file/object storage | Frankfurt (fra1), EU | EU–US Data Privacy Framework + Standard Contractual Clauses |
Neon Neon Inc. (USA) DPA → | Managed PostgreSQL database (all application data at rest) | Frankfurt (eu-central-1), EU | Processed in the EU — no third-country transfer |
Upstash Upstash, Inc. (USA) DPA → | Shared rate-limit counters for API and sign-in endpoints (request counts keyed by IP address) · Conservation : Counters expire automatically after 1–15 minutes | Frankfurt (eu-central-1), EU | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Stripe Stripe, Inc. (USA) DPA → | Payment processing & subscription management | United States | EU–US Data Privacy Framework + Standard Contractual Clauses |
Resend Resend Inc. (USA) DPA → | Transactional email delivery (password resets, report & alert emails) | United States | EU–US Data Privacy Framework + Standard Contractual Clauses |
SerpAPI SerpAPI, LLC (USA) | Reads Google AI Overviews, Google AI Mode & Microsoft Copilot for visibility scans | United States | No transfer mechanism published by the vendor — do not send personal data |
Tavily Tavily (USA) | Supplementary web-search retrieval in research & content-brief features | United States | No transfer mechanism published by the vendor — do not send personal data |
WorkOS(sur activation) WorkOS, Inc. (USA) DPA → | OAuth authorization server for the MCP connector (issues the access tokens AI assistants use to call CrunchJunkie on a user's behalf) | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
OpenAI OpenAI, L.L.C. (USA) DPA → | AI-visibility scans (ChatGPT) and CrunchJunkie AI features · Conservation : 30-day default; Zero-Data-Retention available | United States (EU in-region processing available via EU Project) | EU–US Data Privacy Framework + Standard Contractual Clauses |
Anthropic (Claude) Anthropic, PBC (USA) DPA → | CrunchJunkie AI features (report summaries, assistant), Claude visibility scans, and — for every workspace — reading each AI-visibility answer, the AI-visibility analyses and GEO audit insights · Conservation : 7-day default; Zero-Data-Retention available (enterprise) | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Google (Gemini) Google LLC (USA) DPA → | Gemini visibility scans and CrunchJunkie AI features · Conservation : Not used to train models on paid API/Vertex | United States (EU regions available via Vertex AI) | EU–US Data Privacy Framework + Standard Contractual Clauses |
Perplexity Perplexity AI, Inc. (USA) DPA → | Perplexity visibility scans | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Grok (xAI) X.AI LLC (USA) DPA → | Grok visibility scans · Conservation : Deleted within ~30 days of a deletion request | United States | Standard Contractual Clauses (+ Transfer Impact Assessment) |
DeepSeek(sur activation) DeepSeek (China) | DeepSeek visibility scans | China | No transfer mechanism published by the vendor — do not send personal data |
Meta AI (Muse Spark)(sur activation) Meta Platforms Ireland Limited (Ireland); processed by Meta Platforms, Inc. (USA) | Meta AI visibility scans | United States | EU–US Data Privacy Framework (EU contracting entity; certified US processing entity) |
DataForSEO(sur activation) DataForSEO OÜ (Estonia) DPA → | Google and Bing search results for the Rank Tracker, for workspaces that use a Rank Tracker budget instead of their own DataForSEO account · Conservation : Task data (including keywords) kept 365 days, then deleted | EU (Estonia; data centre in Germany) and USA (cloud infrastructure); operations also in Ukraine | Standard Contractual Clauses (+ Transfer Impact Assessment) |
Mesures techniques et organisationnelles (art. 32)
- Chiffrement au repos : clés IA et jetons OAuth chiffrés en AES-256-GCM au niveau applicatif, en plus du chiffrement disque du fournisseur
- Chiffrement en transit : TLS 1.2+ avec HSTS imposé
- Isolation des clients : chaque requête est limitée à l'équipe authentifiée ; l'accès d'un client aux données d'un autre est exclu par l'architecture
- Contrôle d'accès : MFA obligatoire pour l'accès à la production ; moindre privilège ; accès journalisés et revus
- Mots de passe : bcrypt (facteur de coût 12), jamais stockés en clair
- Limitation du débit : routes d'authentification et routes API critiques limitées par IP
- Réponse aux incidents : processus documenté ; notification des violations sous 72 heures (art. 33 RGPD)
L'annexe complète sur les mesures techniques et organisationnelles figure dans notre DPA.
Certifications
Nous appliquons les contrôles qui sous-tendent l'ISO 27001 (chiffrement, contrôle d'accès, journalisation, réponse aux incidents, résilience). La certification ISO 27001 formelle est prévue dans notre feuille de route ; d'ici là, nous accompagnons votre évaluation de sécurité fournisseur avec un DPA signé, cette liste de sous-traitants ultérieurs, nos mesures techniques et organisationnelles et, sur demande, un questionnaire de sécurité rempli.
Transferts internationaux
Lorsque des données parviennent à un sous-traitant ultérieur situé dans un pays tiers (principalement les États-Unis), nous nous appuyons sur l'EU–US Data Privacy Framework si le fournisseur est certifié, complété par les clauses contractuelles types de l'UE et une analyse d'impact des transferts. Nous maintenons les clauses contractuelles types même pour les fournisseurs certifiés DPF, afin que les transferts restent licites si le cadre change.
Documents pour votre évaluation
Tout ce dont votre équipe conformité a besoin. Besoin d'un DPA signé ou de notre questionnaire de sécurité ? Écrivez à hello@crunchjunkie.io.
Une fois connectés, les clients peuvent exporter à tout moment un rapport à jour sur la localisation des données dans Paramètres → Données et hébergement.