Pas encore en vente. En ligne pour être essayé et relu ; aucun paiement réel possible. En ligne, la comparaison quotidienne lit le DNS et le HTML de vos pages sans exécuter leurs scripts : un outil chargé par un script peut lui échapper.

Votre liste de sous-traitants publiée, et les contacts de vos clients prévenus de chaque changement

19 € par mois, TVA non applicable (article 293 B du CGI), sans engagement. Pour un éditeur de logiciel en ligne établi dans l'Union européenne qui vend à des entreprises et traite des données pour elles : un logiciel, jusqu'à trois domaines, jusqu'à 500 contacts prévenus (au-delà, l'abonnement depuis votre page et l'import sont refusés avec un message ; rien n'est facturé en plus).

Premier mois remboursé sur simple demande. Écrivez à contact@duely.fr dans les 14 jours qui suivent votre premier paiement, sans avoir à vous justifier : nous vous remboursons les 19 € et l'abonnement s'arrête.

Voir l'aperçu gratuit de mon domaine

Sans compte ni carte : les prestataires visibles de l'extérieur sur votre domaine et votre page publique en brouillon, rien enregistré. S’inscrire ; déjà inscrit : se connecter.

Visiter un espace de démonstration : l'espace d'un abonné inventé, avec sa liste publiée, ses constats, ses clients et une annonce suivie, en lecture seule.

Ses limites. Il publie, date et envoie ce que vous déclarez, aux seuls contacts de vos clients abonnés à votre liste ou importés par vous ; un autre canal prévu par un contrat (courrier, portail du client) reste à votre charge. Un avis accepté par le serveur d'envoi n'est pas un avis lu. Il ne dit pas si votre liste est complète, ni si un avis envoyé vaut information de votre client au sens de votre contrat : c'est votre contrat qui fixe la forme et le délai. Le détail.

En pratique, après l'inscription

Prouver que votre domaine est à vous : un enregistrement DNS ou un fichier, avec des consignes à transmettre à qui gère votre DNS. Votre liste peut se publier avant ; sa page dit alors que le domaine n’est pas encore vérifié.
Remplir votre liste : depuis votre page déjà publiée, un tableur ou le catalogue de prestataires (société, adresse, contact et accord repris de leurs pages, ou du registre officiel des entreprises pour une adresse qu'elles ne donnent pas, avec la source et la date de lecture).
Publier, poser le lien et la copie sur votre site, puis prévenir vos clients à chaque changement.

Mots employés. Sous-traitant ultérieur : un prestataire que vous chargez de traiter, pour le compte de vos clients, des données qu'ils vous confient (hébergement, envoi d'e-mails, support…). Accord de sous-traitance (en anglais DPA) : le contrat de l'article 28 du RGPD entre vous et chaque client ; c'est lui qui fixe le délai d'objection et le type d'autorisation.

Ce que vous recevez

Une page publique de votre liste, en français et en anglais (libellés, dates, pays et page de vérification ; ce que vous écrivez reste dans votre langue) : pour chaque prestataire, ce qu'il fait pour vous, le pays, la société, son adresse, son contact et son accord de sous-traitance ; chaque version datée et gardée dans un historique public. Pour vos accords de sous-traitance, une adresse sur votre propre domaine : vous y posez une copie de la liste (une page HTML seule, sans script) ; le service la lit chaque jour et vous dit quand elle ne montre plus la dernière version. Si vous quittez le service, cette adresse reste la vôtre.
Vos clients prévenus : ils s'abonnent sur la page, ou vous importez leurs contacts. Pour chaque changement, vous dites le délai de leur contrat ; chacun reçoit un avis avec la date limite pour s'opposer (ou donner son accord, si le contrat l'exige) et un lien qui enregistre sa réponse, datée, et vous la transmet. Un rappel part trois jours avant la date limite à qui n'a pas répondu.
Chaque jour, une comparaison avec ce qui se voit de l'extérieur (DNS et pages publiques de votre domaine) : les prestataires visibles qui ne sont pas dans votre liste vous sont signalés, avec leur preuve. Une partie seulement de vos sous-traitants se voit de dehors : l'hébergement, la base de données ou le paiement, rarement. Votre politique de confidentialité, si vous la déclarez, et votre package.json ou requirements.txt, si vous le collez dans l'espace, en montrent une partie de plus (paiement, stockage, suivi des erreurs).
Une preuve de date de chaque version et de chaque avis, vérifiable sans le service, et le dossier PDF de chaque annonce (à qui, quand, quelles réponses).
Le suivi de chaque e-mail, destinataire par destinataire, d'après le serveur d'envoi : remis au serveur du destinataire, rebond, adresse bloquée ou signalé comme indésirable ; une alerte le lendemain quand un avis n'est pas arrivé. « Remis » n'est pas « lu » : aucune ouverture n'est mesurée.

Exemple : l'avis que reçoit un de vos clients

Objet : Logiciel Fictif : nouveau sous-traitant : Courrielo ; objection jusqu'au 1er déc.
De : Logiciel Fictif via Duely
Réponse à : contact@logiciel-fictif.example

Bonjour,

Logiciel Fictif annonce un changement de la liste des sous-traitants ultérieurs qui traitent des données pour son compte (version 4 de sa liste).

Vous pouvez vous opposer à ce changement jusqu'au 1er décembre 2026 inclus (délai de 30 jours prévu par votre contrat, d'après Logiciel Fictif).
M'opposer : https://app.duely.fr/l/logiciel-fictif/objection/(lien propre à chaque destinataire)
(une page, puis un bouton ; votre objection part à Logiciel Fictif, datée et inscrite au registre de la liste.) Répondre à cet e-mail écrit aussi à Logiciel Fictif ; seule une réponse donnée sur cette page est datée par le service et inscrite au registre de la liste. Sans réponse de votre part, le service n'enregistre rien : l'effet de votre silence est celui que prévoit votre contrat avec Logiciel Fictif.

Ajout :
Courrielo
Société : Courrielo SAS
Adresse : 1 rue de l’Exemple, 75000 Paris
Ce qu'il fera : envoi des e-mails de l’application
Pays de traitement : France
Contact : dpo@courrielo.example
Date d'effet : 15 décembre 2026

La liste complète et son historique : https://app.duely.fr/l/logiciel-fictif

Texte cité : RGPD, article 28, paragraphe 2 (texte publié par la CNIL, lu le 30/10/2026) : « Dans le cas d’une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements. »

Ne plus recevoir ces avis : https://app.duely.fr/l/logiciel-fictif/desabonner/(lien propre à chaque destinataire)

Cet e-mail part de Duely, le service qui héberge la liste de Logiciel Fictif. Service privé et automatique, sans lien avec la CNIL, le CEPD ni aucune autorité : il cite leurs textes, il ne parle pas en leur nom.

Logiciel Fictif et Courrielo sont inventés ; l'avis est produit par le même code que les avis réels.

Ce qui existe sans nous, gratuitement

Une page de liste faite à la main sur votre site, et les e-mails envoyés vous-même.
Un modèle gratuit d'avis de changement, en français (« Modèle RGPD de notification de changement de sous-traitant ultérieur » d'Orbiq, version 1.0 du 3 juillet 2026, lue le 30 octobre 2026 ; aussi en anglais, en Word et en PDF).
L'exemple de clauses de la CNIL pour l'autorisation générale, avec un délai pour présenter des objections (Guide du sous-traitant, septembre 2017, p. 14, lu le 30 octobre 2026).
Les clauses contractuelles types de la Commission européenne entre responsables du traitement et sous-traitants, dont une clause sur les sous-traitants ultérieurs (décision d'exécution (UE) 2021/915 du 4 juin 2021 ; texte français lu le 30 octobre 2026 sur le site de l'Office des publications de l'Union) : la clause 7.7 prévoit une autorisation spécifique préalable (option 1) ou une autorisation écrite générale « sur la base d'une liste convenue » (option 2), et son annexe IV, qui d'après sa note explicative se complète en cas d'autorisation spécifique (option 1), demande pour chaque sous-traitant ultérieur le nom, l'adresse, le nom, la fonction et les coordonnées de la personne de contact, et la description du traitement. Le service en tire un export de votre liste à ce format ; les clauses elles-mêmes restent à mettre dans vos contrats.
Des outils gratuits qui montrent, en une visite, les services tiers que charge une page de votre site, par exemple Webbkoll (fondation 5th of July, Suède, lu le 30 octobre 2026). Ils lisent une page à un moment ; ils ne gardent ni liste ni historique.

Quand le gratuit suffit : peu de clients et peu de changements dans l'année, une page tenue à la main et le modèle d'avis envoyé vous-même font le même travail ; le service ne vous apporte alors que la preuve datée et la comparaison quotidienne.

Ce qui existe en payant

Prix lus sur leurs pages le 30 octobre 2026 ; ce sont des plateformes de « page de confiance » plus larges (sécurité, conformité), en anglais pour la plupart.

Orbiq (Allemagne) : formule gratuite, puis Team à 85 € par mois ; page de confiance qui, d'après sa page sur les notifications (lue le 30 octobre 2026), « émet les notifications de changement de sous-traitant ultérieur aux responsables du traitement abonnés » (la formule qui les comprend n'y est pas dite).
Registora (États-Unis) : gratuit jusqu'à 5 sous-traitants, puis 19 $ par mois jusqu'à 15 (alertes de changement au titulaire du compte) et 49 $ par mois sans limite ; page de la liste hébergée et, d'après sa page (lue le 30 octobre 2026), une lecture toutes les 24 heures de la liste que publie chacun de vos prestataires ; à 49 $, une « file de notification automatique des clients » (un avis rédigé que vous approuvez), un générateur d'accord de sous-traitance et un journal exportable en CSV.
UpGuard Trust Exchange (États-Unis) : gratuit, puis 600 $ par mois en paiement annuel ; d'après son aide (lue le 30 octobre 2026), la liste de sous-traitants est une fonction payante à laquelle les visiteurs s'abonnent, et ils reçoivent un e-mail à chaque changement important, ajout ou retrait d'un sous-traitant compris.
Vanta, Conveyor, TrustCloud (États-Unis) : prix sur demande.

Orbiq, UpGuard et Registora (à 49 $) préviennent donc déjà des abonnés ou des clients, et Registora lit chaque jour les listes de vos prestataires, ce que ce service ne fait pas. Ce que le service ajoute : la page tenue et datée, les avis envoyés et suivis groupe par groupe avec le délai et le type d'autorisation de chaque contrat, les réponses enregistrées avec la suite que vous leur donnez, la preuve de date vérifiable sans nous, et la comparaison quotidienne avec ce qui se voit de l'extérieur de votre domaine. Un exemple réel : la liste de nos propres sous-traitants, tenue avec le service.

Ce que le service ne fait pas

Il ne dit pas qui est sous-traitant au sens du RGPD : vous tranchez, prestataire par prestataire. Il ne garantit pas que votre liste est complète ou exacte, ni qu'elle satisfait au RGPD, ne rédige pas votre accord de sous-traitance, ne juge pas les objections de vos clients et ne donne pas de conseil juridique. Sa responsabilité est limitée au montant payé au cours des 12 mois précédant le fait en cause (conditions générales, article 6).

Texte par texte : ce que fait le service, ce qui reste à vous

Textes lus le 30 octobre 2026 (RGPD publié par la CNIL ; CEPD sur edpb.europa.eu). Le RGPD est la loi ; les lignes directrices et l'« Opinion » du CEPD sont la lecture qu'en font les autorités européennes.

RGPD, article 28, paragraphe 2 (autorisation écrite générale)

Ce qu'il dit: « le sous-traitant informe le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections »
Ce que fait le service: Un avis daté à chaque contact abonné, pour chaque version qui ajoute ou retire un prestataire, avec la date limite de son groupe, un lien qui enregistre son objection et vous la transmet, un rappel trois jours avant ; date d’effet refusée si elle tombe avant la fin d’un délai.
Ce qui reste à vous: Le délai que prévoient vos contrats ; les bons contacts chez chaque client ; la suite donnée aux objections.

RGPD, article 28, paragraphe 2 (autorisation spécifique)

Ce qu'il dit: « Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. »
Ce que fait le service: Pour un groupe de clients en autorisation spécifique : l’avis demande l’accord, l’accord ou le refus est enregistré et transmis, « pas d’accord reçu » est dit pour qui ne répond pas.
Ce qui reste à vous: Ce que le texte prévoit dans ce cas : une autorisation écrite préalable ; c’est à vous de voir si vous l’avez avant de confier des données au nouveau prestataire.

CEPD, lignes directrices 07/2020, § 128, note 54

Ce qu'il dit: « il n’est en revanche pas suffisant […] que le sous-traitant se contente de donner au responsable du traitement un accès généralisé à une liste de sous-traitants ultérieurs […] sans indiquer chaque nouveau sous-traitant ultérieur envisagé »
Ce que fait le service: Un avis envoyé pour chaque nouveau prestataire, en plus de la page publique.
Ce qui reste à vous: Le moment où vous annoncez chaque changement, par rapport à sa date d’effet : le service refuse seulement une date d’effet antérieure à la fin d’un délai.

CEPD, lignes directrices 07/2020, § 152 ; avis 22/2024, § 22

Ce qu'il dit: pour chacun : « la localisation, ce qu’ils feront et la preuve des garanties qui ont été mises en œuvre » ; l’identité : « name, address, contact person »
Ce que fait le service: Un champ pour chacun, sur la page et dans l’avis ; « non indiqué » quand il manque ; avertissement avant l’envoi si la société, l’adresse ou le contact manque, ou si le pays est hors de l’Espace économique européen sans garantie indiquée.
Ce qui reste à vous: Des informations exactes, tirées de vos contrats avec chaque prestataire.

RGPD, article 28, paragraphe 4

Ce qu'il dit: « le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations »
Ce que fait le service: Rien : le service ne contrôle pas vos prestataires.
Ce qui reste à vous: Vos contrats avec vos prestataires.

RGPD, article 30, paragraphe 2

Ce qu'il dit: le registre du sous-traitant comprend « le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit » (le paragraphe 5 l’écarte sous 250 employés, sauf si le traitement comporte un risque, n’est pas occasionnel ou porte sur des données sensibles ou des condamnations). La lettre vise le ou les sous-traitants qui tiennent le registre ; qu’il recense aussi vos sous-traitants ultérieurs est la lecture du guide du sous-traitant de la CNIL (septembre 2017, p. 9), pas la lettre de l’article
Ce que fait le service: Rien de plus que votre liste et son historique : le service ne tient pas ce registre.
Ce qui reste à vous: Votre registre, si vous y êtes tenu.

Les textes cités par le service, avec leur lien et leur date de lecture

Chacun avec le lien où il a été lu et la date de lecture. Le RGPD est la loi ; les lignes directrices et l'« Opinion » du CEPD sont la lecture qu'en font les autorités européennes.

RGPD, article 28, paragraphe 2 (texte publié par la CNIL, lu le 30 octobre 2026 ; EUR-Lex refuse le robot du service) : « Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d’une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements. »
CEPD, lignes directrices 07/2020, version 2.0 du 7 juillet 2021, § 152 (lu le 30 octobre 2026) : la liste comprend « pour chacun d’entre eux : la localisation, ce qu’ils feront et la preuve des garanties qui ont été mises en œuvre ».
CEPD, avis 22/2024 (« Opinion 22/2024 » en anglais) du 7 octobre 2024, § 22, en anglais (lu le 30 octobre 2026) : l'identité d'un sous-traitant ultérieur s'entend de « name, address, contact person ».

Comment la date est prouvée

Chaque version de la liste et chaque avis entrent dans un registre où chaque ligne porte un code de contrôle (empreinte SHA-256) calculé à partir de la précédente : une ligne modifiée après coup se voit. Chaque nuit où le registre a bougé, sa dernière empreinte est déposée auprès des calendriers publics OpenTimestamps, qui l'inscrivent dans un bloc Bitcoin en quelques heures. Ce n'est pas un horodatage qualifié au sens du règlement eIDAS.

Qui édite ce service

Duely est édité par James Michelot, entrepreneur individuel (EI), régime de la micro-entreprise, SIREN 837 918 176, joignable par e-mail à contact@duely.fr. Service automatique, sans téléphone.