Données, sous-traitance et conformité.

En résumé

Qui contracte et facture

VETTAA, SARL française — SIREN 942 438 086, TVA FR77 942 438 086, siège à Genech (59). Vous signez et payez en France, en euros, sous droit français ; pour un client belge ou suisse, le numéro intracommunautaire permet l'autoliquidation habituelle.

Qui exécute

VETTAA, avec des développeurs rattachés par contrat de prestation ou par portage — un seul fournisseur à référencer, un seul contrat, une seule facture.

Où sont hébergées les données

Dans des régions européennes, chez des fournisseurs du marché : OVHcloud et Clever Cloud, sociétés françaises ; GitHub et MongoDB, sociétés américaines hébergeant en région européenne — leur maison mère reste soumise au droit américain, et nous le signalons plutôt que de l'écrire « hébergé en Europe » sans préciser. Rien n'est hébergé à Madagascar.

Qui y accède

Les développeurs affectés à votre mission, depuis la France et depuis Antananarivo.

Option 100 % Union européenne

Oui, sur demande : équipe basée en France, sans aucun accès depuis Madagascar, à 450 € HT / jour. Pour les marchés qui l'exigent.

Environnements de travail

Staging chez nous ou chez vous, à votre choix. Le code est livré sur votre dépôt et votre chaîne d'intégration.

Prospection : base légale

Intérêt légitime (art. 6.1.f), réservé au B2B. Information de la personne dès le premier message (art. 14), opposition absolue et sans justification, conservation trois ans après le dernier contact émanant de la personne.

Assurance

RC professionnelle et RC après-livraison, plafond 300 000 € par période d'assurance, franchise nulle, dommages immatériels non consécutifs inclus.

Documents disponibles

Contrat-cadre de sous-traitance, cession de propriété intellectuelle, engagement de confidentialité, attestation d'assurance. Sur simple demande, avant tout échange technique.

Qui contracte, qui exécute

VETTAA, SARL française — SIREN 942 438 086, TVA intracommunautaire FR77 942 438 086, siège 2 rue de la Tellette, 59242 Genech. Elle signe le contrat, émet la facture et assure le développement.

Un seul fournisseur à référencer, un seul contrat, une seule facture. Droit français, euros, dossier fournisseur français ordinaire. Une seule entité à référencer côté achats : VETTAA.

Sur un marché public, la déclaration porte aussi sur le lieu d'exécution, pas seulement sur le nom du titulaire. Nous le fournissons par écrit — et si votre cahier des charges exclut l'exécution hors Union européenne, l'option 100 % France plus bas répond directement à la clause.

Comment nos développeurs sont rattachés

Autant le dire avant qu'on le découvre : VETTAA est enregistrée comme unité non employeuse. Nos développeurs, basés en France et à Antananarivo, sont rattachés par contrat de prestation ou par portage — pas par un contrat de travail français.

Ce sont des intervenants permanents, pas des indépendants recrutés au projet : c'est ce qui permet de tenir la même équipe sur une mission de deux ans et demi. Chacun est engagé par les mêmes obligations de confidentialité et de protection des données que celles que nous vous consentons — la chaîne ne s'interrompt pas au bas du contrat.

Un mot sur les dates

Un acheteur qui consulte le registre le remarquera, autant le dire ici : VETTAA est récente parce que la structure a été rapatriée en Europe, pas parce que l'activité l'est. Nos premiers clients ont été signés depuis Madagascar ; nous avons ensuite ramené contrats et facturation côté français, pour la raison exacte qui vous amène sur cette page — simplifier la vie de nos clients et de leurs services achats.

L'ancienneté réelle se lit donc dans les missions, pas dans l'extrait Kbis : notre plus ancien client est accompagné depuis deux ans et demi, et son contrat a été renouvelé jusqu'en 2027.

Où vivent le code et les données

Nous ne construisons pas d'infrastructure maison. Nous travaillons sur les outils du marché, chez des hébergeurs européens :

• Code source — GitHub, ou votre propre dépôt si vous préférez qu'il ne sorte jamais de chez vous.
• Environnements et bases — OVHcloud, Clever Cloud, MongoDB. Hébergement en Europe.
• Environnements de recette — chez nous ou chez vous, selon ce que votre organisation exige.
• Livraison — sur votre dépôt et votre chaîne d'intégration continue. Le code vous appartient au fil de l'eau, pas à la fin.

Aucune donnée de nos clients n'est hébergée à Madagascar. Nos développeurs accèdent aux environnements à distance, comme le ferait un développeur en télétravail depuis la France.

Une équipe 100 % Union européenne, sur demande

Certains marchés interdisent purement l'exécution hors Union européenne : commande publique, santé, défense, ou simplement un contrat-cadre qui l'exclut. Dans ce cas, nous constituons une équipe basée en France, sans aucun accès depuis Madagascar.

Le transfert vers Madagascar disparaît alors, et avec lui l'analyse d'impact et les clauses qui l'encadrent. Restent les fournisseurs techniques dont la maison mère est hors Union européenne, même lorsque l'hébergement est en région européenne : nous vous en donnons la liste, avec leur encadrement contractuel, dans le dossier fournisseur.

450 € HT par jour, contre 290 € pour notre modèle habituel. L'écart est le prix de la conformité pour les marchés qui l'exigent — à mettre en regard du coût d'instruction d'un dossier de transfert hors Union européenne, qui n'est pas nul non plus, en temps comme en honoraires. Et il reste très en deçà du coût d'un développeur senior recruté ou d'un freelance en France.

Dites-le au cadrage. C'est une contrainte qui se traite au début d'un projet, pas au milieu : elle change la composition de l'équipe.

Transferts hors Union européenne

Soyons précis, parce que c'est le point que votre DPO regardera : héberger les données en Europe ne suffit pas à écarter la question. Un accès depuis Madagascar — pays qui ne bénéficie pas d'une décision d'adéquation de la Commission européenne — constitue un transfert au sens du chapitre V du RGPD, même sans copie locale.

Il s'encadre, et c'est un chemin balisé : clauses contractuelles types, analyse d'impact du transfert, et mesures techniques limitant ce à quoi les développeurs accèdent réellement.

Pour le cadre général — ce que dit exactement le chapitre V, quelles pièces doivent figurer au dossier, et les six questions à poser à n'importe quel prestataire offshore — voir offshore et RGPD.

Prospection : les données de vos prospects

Cette activité ne pose pas du tout les mêmes questions que le développement. Là, nous traitons les données de nos clients. Ici, nous traitons celles de personnes qui ne nous ont rien demandé : des professionnels que nous contactons parce qu'un fait public montre que leur entreprise a un besoin. C'est le traitement le plus exposé de notre activité, et il mérite d'être décrit précisément.

Ce que nous collectons

Uniquement des données professionnelles : nom, fonction, employeur, coordonnées professionnelles, et le fait public qui motive la prise de contact — un recrutement annoncé, une levée de fonds, une nomination, un lancement.

• Uniquement depuis des sources publiques, et chaque fait est retenu avec la source correspondante, ouverte et vérifiée.
• Aucune donnée relevant de la vie privée, aucune donnée sensible au sens de l'article 9 du RGPD.
• Aucune donnée n'est collectée auprès de la personne elle-même. C'est une collecte indirecte — et c'est précisément ce qui déclenche l'obligation décrite plus bas.

Sur quelle base légale

L'intérêt légitime, au sens de l'article 6.1.f du RGPD. La doctrine de la CNIL admet la prospection entre professionnels sans consentement préalable, à trois conditions cumulatives : que le message se rapporte à la fonction professionnelle de la personne, qu'elle soit informée du traitement, et qu'elle puisse s'y opposer à tout moment et sans frais.

C'est aussi la raison pour laquelle cette offre est réservée aux entreprises qui vendent à d'autres entreprises. Prospecter un particulier exige son consentement préalable : ce n'est pas une préférence commerciale de notre part, c'est une contrainte légale que nous ne contournons pas.

Un intérêt légitime ne se décrète pas, il se documente : la mise en balance entre notre intérêt et les droits des personnes est écrite, et elle fait partie des pièces que nous fournissons.

L'obligation que presque personne n'applique

Quand les données ne viennent pas de la personne, l'article 14 impose de l'informer — au plus tard au moment du premier contact. Pas dans un mois, pas sur une page d'accueil : dans le premier message.

Chaque premier message que nous envoyons porte donc cette information : qui traite les données et pour le compte de qui, d'où elles viennent, dans quel but, sur quelle base légale, pendant combien de temps, comment s'y opposer en un geste, et comment saisir la CNIL. La source est l'information cardinale d'une collecte indirecte : elle est nommée, jamais résumée en « sources publiques ». C'est ce qui sépare une prospection encadrée d'une extraction de fichiers.

Opposition et durée de conservation

Le droit d'opposition

En matière de prospection, il est absolu (article 21.2) : la personne n'a pas à se justifier, et le traitement doit cesser immédiatement. Aucune condition, aucun délai de réflexion.

Ce qu'un refus déclenche chez nous

Le refus est enregistré et rend la personne non contactable, y compris sur une campagne ultérieure et pour un autre client. Un refus qu'un nouvel import effacerait ne serait pas un refus.

Combien de temps nous conservons

Trois ans à compter du dernier contact émanant de la personne — sa réponse, son appel, son clic — et non de notre dernier envoi. C'est la recommandation de la CNIL, et la nuance compte : comptée depuis nos propres relances, la durée ne s'éteindrait jamais. Au-delà, la donnée est supprimée.

Les autres droits

Accès, rectification, effacement, limitation, portabilité. Une demande se traite à contact@tarok.io, sous un mois.

Qui est responsable de quoi

C'est la question que posera votre délégué à la protection des données, et elle n'a rien d'académique : elle détermine qui répond en cas de réclamation. Deux qualifications sont possibles selon la façon dont la mission est organisée — sous-traitance au sens de l'article 28, ou responsabilité conjointe au sens de l'article 26, lorsque la cible et la méthode sont définies ensemble.

La qualification est arrêtée contrat par contrat, et elle suit une règle simple : elle dépend de qui définit la cible et la méthode. Quand c'est vous, nous agissons comme sous-traitant au sens de l'article 28 et nous signons un accord de traitement. Quand la cible et les signaux sont définis ensemble, la responsabilité est conjointe au sens de l'article 26, et l'accord précise qui informe les personnes et qui répond aux demandes.

Un point que nous préférons écrire plutôt que laisser découvrir : notre liste de refus est tenue sous notre propre responsabilité. C'est elle qui permet qu'un « non » vaille pour toutes nos campagnes et pour tous nos clients. Elle ne contient que l'adresse et la date du refus, et elle n'a pas d'autre usage que d'empêcher un nouveau contact.

Les outils

Nous utilisons des solutions du marché pour la détection, l'envoi des séquences et le suivi des réponses. La liste nominative, avec le pays d'hébergement et la maison mère de chacune, fait partie du dossier fournisseur remis avant signature — nous ne publions pas notre chaîne d'outils, mais nous ne la cachons à aucun client. Le principe est celui de l'autre activité : des fournisseurs européens chaque fois que l'équivalent existe, et un transfert encadré lorsqu'il n'existe pas.

Assurance

Nous sommes couverts en responsabilité civile professionnelle et en responsabilité civile après-livraison, à hauteur de 300 000 € par période d'assurance, avec une franchise nulle.

Le point qui compte pour un achat de prestation logicielle n'est pas le plafond, c'est la nature des dommages couverts : la police inclut les dommages immatériels non consécutifs — c'est-à-dire le préjudice financier causé par un défaut, sans dommage matériel. C'est précisément le sinistre type d'un projet logiciel. Sont également couverts le remboursement de prestation et l'atteinte aux brevets et secrets de fabrique.

Le développement logiciel fait partie des activités couvertes — nous l'avons fait confirmer, plutôt que de le supposer à partir de l'intitulé du contrat.

Documents que nous envoyons sur demande

• Contrat-cadre de sous-traitance
• Clause de cession de propriété intellectuelle sur le code produit
• Engagement de confidentialité (NDA), signé avant tout échange sensible
• Attestation d'assurance responsabilité civile professionnelle

Écrivez à contact@tarok.io : nous les envoyons sans passer par un rendez-vous commercial préalable.

Et l'IA dans tout ça ?

Nos développeurs utilisent Claude Code sur le dépôt réel. Deux conséquences que nous préférons écrire noir sur blanc : le code produit avec assistance est relu, corrigé et validé par un développeur senior avant chaque fusion, et il est couvert par nos engagements contractuels au même titre que le reste. L'outil ne change rien à qui est responsable.

Une troisième conséquence, qu'on oublie souvent de signaler : utiliser cet outil veut dire que des extraits de votre code transitent par Anthropic, société américaine éditrice de Claude Code. C'est donc un sous-traitant ultérieur, au même titre qu'un hébergeur, et il figure à ce titre dans la liste remise avec le dossier fournisseur, avec les conditions contractuelles applicables. Si votre contexte l'interdit, dites-le au cadrage : nous travaillons aussi sans.

Votre interlocuteur

Une question de conformité, un questionnaire fournisseur à remplir, un DPO qui veut des réponses écrites ? Écrivez directement à contact@tarok.io. Nous répondons par écrit, ce qui vous permet de verser la réponse à votre dossier.

Dernière mise à jour : août 2026.