Accord de traitement des données

Sous-traitant : Vocito.ai B.V., immatriculée aux Pays-Bas
Dernière mise à jour : Mai 2026
Date d'entrée en vigueur : Mai 2026
Référence RGPD : Article 28 du règlement (UE) 2016/679

Le présent Accord de traitement des données ("ATD") est conclu entre le client identifié dans le compte Vocito.ai (le "Responsable du traitement", le "Client", "vous") et Vocito.ai B.V. (le "Sous-traitant", "Vocito", "nous"), et fait partie intégrante des Conditions d'utilisation et de l'accord conclu entre les parties pour la fourniture du Service Vocito.

Le présent ATD reflète l'accord des parties concernant le traitement des données personnelles par le Sous-traitant pour le compte du Responsable du traitement, conformément aux exigences de l' article 28 du règlement général sur la protection des données (UE) 2016/679 ("RGPD").

Table des matières

Définitions
Champ d'application et rôles
Détails du traitement
Obligations du Sous-traitant
Obligations du Responsable du traitement
Sous-traitants ultérieurs
Mesures de sécurité
Notification des violations de données
Demandes des personnes concernées
Analyse d'impact relative à la protection des données
Transferts internationaux
Droits d'audit
Suppression et restitution des données
Responsabilité
Durée et résiliation
Dispositions générales
Annexe A : Détails du traitement
Annexe B : Mesures techniques et organisationnelles
Annexe C : Liste des sous-traitants ultérieurs

Addendum relatif à la période Bêta (mai 2026, GA) : Tant que Vocito est en Bêta, la durée de conservation prévue à l'Annexe A s'applique à hauteur de 90 jours pour les enregistrements d'appels, les transcriptions et les métadonnées de conversation IA (les durées par défaut de la GA s'appliquent dès la fin de la Bêta). Les sous-traitants ultérieurs et les mesures techniques et organisationnelles des Annexes B/C s'appliquent sans changement pendant la Bêta. Le Responsable du traitement (Client) reconnaît que le traitement pendant la période Bêta peut comporter de courtes interruptions, des régressions de fonctionnalités ou des réinitialisations de données, comme décrit à l'article 2 de nos Conditions d'utilisation (Programme Bêta). Vocito continuera d'honorer sans modification, pendant la Bêta, les droits des personnes concernées ainsi que ses obligations de notification des violations et d'audit au titre du présent ATD.

1. Définitions

Sauf définition contraire dans les présentes, les termes commençant par une majuscule ont le sens qui leur est donné dans le RGPD ou les Conditions d'utilisation. Les définitions supplémentaires suivantes s'appliquent :

"Données Personnelles" désigne toute information relative à une personne physique identifiée ou identifiable, traitée par le Sous-traitant pour le compte du Responsable du traitement via le Service.
"Traitement" désigne toute opération ou tout ensemble d'opérations effectuées sur des Données Personnelles, au sens de l'article 4, paragraphe 2, du RGPD.
"Responsable du traitement" désigne le Client, qui détermine les finalités et les moyens du traitement des Données Personnelles via le Service.
"Sous-traitant" désigne Vocito.ai B.V., qui traite les Données Personnelles pour le compte du Responsable du traitement.
"Sous-traitant ultérieur" désigne un tiers engagé par le Sous-traitant pour traiter des Données Personnelles pour le compte du Sous-traitant.
"Personne concernée" désigne la personne physique identifiée ou identifiable à laquelle se rapportent les Données Personnelles.
"Violation de Données Personnelles" désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données Personnelles ou l'accès non autorisé à celles-ci.
"CCT" désigne les clauses contractuelles types approuvées par la Commission européenne en vertu de la décision d'exécution (UE) 2021/914 de la Commission.
"Service" désigne la plateforme de réceptionniste vocal IA Vocito.ai ainsi que l'ensemble des fonctionnalités et services associés.
"Données Client" désigne toutes les données, y compris les Données Personnelles, traitées dans le cadre de l'utilisation du Service par le Client.

2. Champ d'application et rôles

2.1 Rôles des parties

Le Client est le Responsable du traitement et Vocito est le Sous-traitant en ce qui concerne les Données Personnelles traitées via le Service. Le Sous-traitant ne traite les Données Personnelles que pour le compte du Responsable du traitement et conformément à ses instructions documentées.

2.2 Portée du traitement

Le présent ATD s'applique à toutes les Données Personnelles que le Sous-traitant traite pour le compte du Responsable du traitement dans le cadre de la fourniture du Service, comme décrit plus en détail à l' Annexe A.

2.3 Articulation avec les Conditions d'utilisation

Le présent ATD complète les Conditions d'utilisation et en fait partie intégrante. En cas de contradiction entre le présent ATD et les Conditions d'utilisation sur des questions de protection des données, le présent ATD prévaut.

3. Détails du traitement

Les détails des activités de traitement figurent à l' Annexe A et comprennent :

Objet : Fourniture de la plateforme de réceptionniste vocal IA Vocito.
Durée : Pendant la durée de l'accord entre le Responsable du traitement et le Sous-traitant, plus toute durée de conservation des données applicable.
Nature et finalité : Réception et traitement des appels téléphoniques entrants par IA, enregistrement et transcription des appels, envoi de SMS de suivi, gestion des prospects et des réservations, intégration e-mail, gestion des données CRM et fourniture d'analyses.
Types de Données Personnelles : Noms, numéros de téléphone, adresses e-mail, enregistrements vocaux, transcriptions d'appels, contenu des SMS, contenu des e-mails, informations sur les prospects et les réservations, coordonnées professionnelles.
Catégories de personnes concernées : Utilisateurs finaux (appelants), clients et prospects du Responsable du traitement, employés et représentants du Responsable du traitement.

4. Obligations du Sous-traitant

4.1 Instructions de traitement

Le Sous-traitant :

Ne traite les Données Personnelles que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts de Données Personnelles vers un pays tiers ou une organisation internationale, à moins d'y être tenu en vertu du droit de l'Union ou du droit de l'État membre auquel le Sous-traitant est soumis. Dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information.
Informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.

4.2 Confidentialité

Le Sous-traitant veille à ce que toutes les personnes autorisées à traiter les Données Personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

4.3 Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, comme décrit à l' Annexe B et conformément à l'article 32 du RGPD.

4.4 Sous-traitance ultérieure

Le Sous-traitant respecte les conditions énoncées à la Section 6 pour le recours à des sous-traitants ultérieurs.

4.5 Droits des personnes concernées

Le Sous-traitant aide le Responsable du traitement à s'acquitter de son obligation de donner suite aux demandes des personnes concernées, comme prévu à la Section 9.

4.6 Assistance en matière de conformité

Compte tenu de la nature du traitement et des informations à sa disposition, le Sous-traitant aide le Responsable du traitement à garantir le respect des articles 32 à 36 du RGPD, y compris les obligations relatives à la sécurité du traitement, à la notification des violations de données personnelles, aux analyses d'impact relatives à la protection des données et à la consultation préalable des autorités de contrôle.

4.7 Suppression ou restitution

Le Sous-traitant, selon le choix du Responsable du traitement, supprime ou restitue toutes les Données Personnelles au terme de la prestation de services, comme prévu à la Section 13.

4.8 Audit et information

Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permet la réalisation d'audits et y contribue, comme prévu à la Section 12.

5. Obligations du Responsable du traitement

Le Responsable du traitement :

Veille à l'existence d'une base légale pour le traitement des Données Personnelles, y compris l'obtention de tout consentement requis des Personnes concernées (par exemple, pour l'enregistrement des appels).
Fournit des instructions de traitement documentées au Sous-traitant.
Respecte ses obligations au titre du RGPD et des lois applicables en matière de protection des données.
Veille à ce que les Personnes concernées soient informées du traitement de leurs Données Personnelles conformément aux articles 13 et 14 du RGPD, y compris de l'utilisation de systèmes d'IA conformément au règlement européen sur l'IA.
Répond aux demandes des personnes concernées, avec l'assistance du Sous-traitant.
Informe le Sous-traitant de toute modification de ses instructions de traitement.
Veille à ce que les Données Client fournies au Sous-traitant ne portent pas atteinte aux droits de tiers.

6. Sous-traitants ultérieurs

6.1 Autorisation générale

Le Responsable du traitement donne une autorisation écrite générale au Sous-traitant pour recourir à des sous-traitants ultérieurs afin de l'assister dans la fourniture du Service, sous réserve des conditions énoncées dans la présente section. La liste actuelle des sous-traitants ultérieurs autorisés figure à l' Annexe C.

6.2 Obligations relatives aux sous-traitants ultérieurs

Lorsque le Sous-traitant recourt à un sous-traitant ultérieur :

Le Sous-traitant impose par contrat au sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues au présent ATD, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.
Le Sous-traitant demeure pleinement responsable envers le Responsable du traitement de l'exécution des obligations du sous-traitant ultérieur.
Le contrat conclu avec le sous-traitant ultérieur comporte des dispositions équivalentes à celles du présent ATD, y compris en matière de confidentialité, de sécurité et de droits d'audit.

6.3 Notification des changements

Le Sous-traitant informe le Responsable du traitement au moins 30 jours à l'avance de tout changement envisagé concernant l'ajout ou le remplacement de sous-traitants ultérieurs, donnant ainsi au Responsable du traitement la possibilité de s'y opposer.

6.4 Droit d'opposition

Si le Responsable du traitement a des motifs raisonnables de s'opposer au recours à un nouveau sous-traitant ultérieur, il en informe le Sous-traitant dans les 14 jours suivant la réception de la notification. Les parties examinent de bonne foi les préoccupations du Responsable du traitement. Si les parties ne parviennent pas à une solution, le Responsable du traitement peut résilier les services concernés sans pénalité par notification écrite.

7. Mesures de sécurité

Le Sous-traitant met en œuvre et maintient les mesures de sécurité techniques et organisationnelles décrites à l' Annexe B, qui comprennent au minimum :

7.1 Chiffrement

Chiffrement des Données Personnelles en transit via TLS 1.2 ou supérieur.
Chiffrement des Données Personnelles au repos via AES-256 ou équivalent.
Chiffrement des enregistrements d'appels au repos.

7.2 Contrôle d'accès

Contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège.
Authentification multifacteur (MFA) pour l'accès aux systèmes administratifs et de production.
Comptes utilisateur individuels pour l'ensemble du personnel ; aucun identifiant partagé.
Revues d'accès régulières (au moins trimestrielles).
Révocation automatisée des accès lors du départ du personnel.

7.3 Sécurité de l'infrastructure

Hébergement sur une infrastructure située dans l'UE et conforme au RGPD.
Segmentation du réseau et protection par pare-feu.
Analyses de vulnérabilités et tests d'intrusion réguliers.
Application rapide des correctifs de sécurité.
Protection contre les attaques DDoS.

7.4 Surveillance et journalisation

Journalisation centralisée des accès aux Données Personnelles.
Surveillance et alertes en temps réel pour les événements de sécurité.
Conservation des journaux pendant au moins 12 mois.

7.5 Personnel

Accords de confidentialité avec tout le personnel ayant accès aux Données Personnelles.
Formation de sensibilisation à la sécurité pour l'ensemble du personnel.
Vérification des antécédents du personnel ayant accès aux systèmes de production (lorsque la loi le permet).

7.6 Continuité d'activité

Sauvegardes régulières des Données Client avec des procédures de restauration testées.
Procédures de reprise après sinistre avec des objectifs de délai de reprise définis.
Infrastructure redondante pour les composants critiques.

7.7 Évaluation continue

Le Sous-traitant évalue et met à jour régulièrement les mesures de sécurité afin de garantir qu'elles restent adaptées aux risques liés au traitement. Le Sous-traitant ne réduit pas de manière substantielle le niveau global de sécurité pendant la durée du présent ATD.

8. Notification des violations de données

8.1 Notification au Responsable du traitement

Le Sous-traitant notifie au Responsable du traitement toute Violation de Données Personnelles dans les meilleurs délais et en tout état de cause dans les 72 heures après en avoir pris connaissance. La notification est envoyée à l'adresse e-mail associée au compte du Responsable du traitement et comprend, dans la mesure où ces informations sont disponibles :

Une description de la nature de la Violation de Données Personnelles, y compris les catégories et le nombre approximatif de Personnes concernées et d'enregistrements concernés.
Le nom et les coordonnées d'un point de contact au sein du Sous-traitant.
Une description des conséquences probables de la violation.
Une description des mesures prises ou envisagées pour remédier à la violation, y compris les mesures visant à en atténuer les effets négatifs.

8.2 Obligations du Sous-traitant

Dès qu'il a connaissance d'une Violation de Données Personnelles, le Sous-traitant :

Prend des mesures immédiates pour contenir la violation et en limiter l'impact.
Enquête sur la violation et fournit au Responsable du traitement des informations actualisées à mesure qu'elles deviennent disponibles.
Coopère avec le Responsable du traitement et lui apporte une assistance raisonnable dans l'exécution de ses obligations de notification des violations au titre des articles 33 et 34 du RGPD.
Documente la violation, y compris les faits, ses effets et les mesures correctives prises.

8.3 Notification par le Responsable du traitement à l'autorité de contrôle

Il incombe au Responsable du traitement de déterminer si la Violation de Données Personnelles doit être notifiée à une autorité de contrôle et/ou aux Personnes concernées au titre des articles 33 et 34 du RGPD. Le Sous-traitant apporte au Responsable du traitement toute la coopération et l'assistance raisonnables pour prendre ces décisions et s'acquitter de ces obligations.

9. Demandes des personnes concernées

9.1 Assistance

Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes des Personnes concernées exerçant leurs droits au titre du chapitre III du RGPD, notamment :

Droit d'accès (article 15)
Droit de rectification (article 16)
Droit à l'effacement (article 17)
Droit à la limitation du traitement (article 18)
Obligation de notification (article 19)
Droit à la portabilité des données (article 20)
Droit d'opposition (article 21)

9.2 Notification

Si le Sous-traitant reçoit une demande directement d'une Personne concernée, il redirige rapidement (et en tout état de cause dans les 5 jours ouvrés) la Personne concernée vers le Responsable du traitement et informe ce dernier de la demande. Le Sous-traitant ne répond pas directement à une telle demande, sauf autorisation du Responsable du traitement ou obligation légale.

9.3 Exportation des données

Le Sous-traitant met à disposition, via le tableau de bord du Service, des fonctionnalités permettant au Responsable du traitement d'exporter les Données Client dans des formats couramment utilisés et lisibles par machine (JSON, CSV). Le Responsable du traitement peut utiliser ces outils pour répondre aux demandes de portabilité des données.

10. Analyse d'impact relative à la protection des données

Le Sous-traitant apporte une assistance raisonnable au Responsable du traitement dans la réalisation des analyses d'impact relatives à la protection des données ("AIPD") et des consultations préalables des autorités de contrôle au titre des articles 35 et 36 du RGPD, lorsqu'elles sont requises en lien avec le traitement de Données Personnelles via le Service. Cette assistance comprend la fourniture d'informations sur les activités de traitement du Sous-traitant, ses mesures techniques et organisationnelles et ses accords avec les sous-traitants ultérieurs.

11. Transferts internationaux

11.1 Stockage principal

Le Sous-traitant stocke les Données Client, y compris les Données Personnelles, principalement au sein de l' Espace économique européen (EEE), plus précisément sur l'infrastructure Supabase située dans la région Irlande (eu-west-1).

11.2 Transferts vers des pays tiers

Certains sous-traitants ultérieurs engagés par le Sous-traitant sont situés aux États-Unis. Lorsque des Données Personnelles sont transférées vers un pays hors EEE n'ayant pas fait l'objet d'une décision d'adéquation de la Commission européenne, les garanties suivantes s'appliquent :

Clauses contractuelles types (CCT) : Le Sous-traitant a conclu des CCT (décision d'exécution (UE) 2021/914 de la Commission) avec chaque sous-traitant ultérieur situé hors EEE, en utilisant les clauses du Module 3 (sous-traitant à sous-traitant ultérieur).
Cadre de protection des données UE-États-Unis : Le cas échéant, le Sous-traitant s'appuie sur la certification du sous-traitant ultérieur au titre du cadre de protection des données UE-États-Unis comme garantie supplémentaire.
Mesures supplémentaires : Conformément aux recommandations 01/2020 du CEPD, le Sous-traitant met en œuvre des mesures supplémentaires techniques, organisationnelles et contractuelles, notamment :
- Chiffrement des Données Personnelles en transit et au repos.
- Minimisation des données transférées (par exemple, diffusion en temps réel plutôt que transferts en masse lorsque cela est possible).
- Engagements contractuels des sous-traitants ultérieurs à contester les demandes d'accès gouvernementales disproportionnées.
- Analyses d'impact des transferts régulières.

11.3 Analyses d'impact des transferts

Le Sous-traitant réalise et tient à jour des analyses d'impact pour chaque transfert international, en évaluant le cadre juridique du pays destinataire et l'efficacité des garanties en place. Ces analyses sont mises à la disposition du Responsable du traitement sur demande.

12. Droits d'audit

12.1 Information

Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et au présent ATD.

12.2 Audit

Le Sous-traitant permet la réalisation d'audits, y compris des inspections, par le Responsable du traitement ou un auditeur mandaté par celui-ci, et y contribue, sous réserve des conditions suivantes :

Le Responsable du traitement donne un préavis écrit d'au moins 30 jours avant tout audit, en précisant son périmètre et sa durée.
Les audits sont menés pendant les heures de bureau habituelles et ne perturbent pas de manière déraisonnable les activités du Sous-traitant.
Le Responsable du traitement et ses auditeurs se conforment aux exigences raisonnables du Sous-traitant en matière de sécurité et de confidentialité.
L'auditeur conclut un accord de confidentialité avec le Sous-traitant avant le début de l'audit.
Le Responsable du traitement supporte les coûts de tout audit, sauf si l'audit révèle une violation substantielle du présent ATD par le Sous-traitant.
Les audits sont limités à un par année civile, sauf exigence d'une autorité de contrôle ou à la suite d'une Violation de Données Personnelles.

12.3 Certifications et rapports

Lorsqu'ils sont disponibles, le Sous-traitant peut fournir des certifications pertinentes, des rapports d'audit (par exemple, rapports SOC 2 Type II) ou des synthèses d'audits indépendants réalisés par des tiers afin de satisfaire aux exigences d'audit du Responsable du traitement. Le Responsable du traitement accepte de prendre en considération cette documentation en lieu et place d'un audit sur site lorsqu'elle répond raisonnablement à ses préoccupations.

13. Suppression et restitution des données

13.1 En cas de résiliation

En cas de résiliation ou d'expiration de l'accord entre le Responsable du traitement et le Sous-traitant :

Le Responsable du traitement peut demander la restitution des Données Client (y compris les Données Personnelles) dans un format couramment utilisé et lisible par machine dans un délai de 30 jours à compter de la résiliation.
À l'issue de la période de 30 jours (ou immédiatement sur instruction écrite du Responsable du traitement), le Sous-traitant supprime toutes les Données Client et les copies existantes, à moins que le droit de l'Union ou le droit d'un État membre n'exige la conservation des Données Personnelles.
Le Sous-traitant fournit sur demande une confirmation écrite de la suppression.

13.2 Exceptions à la suppression

Le Sous-traitant ne peut conserver des Données Personnelles après la résiliation que dans les cas suivants :

La loi applicable l'exige (par exemple, obligations fiscales néerlandaises de conservation des données de facturation · 7 ans).
Les données figurent dans des systèmes de sauvegarde et seront supprimées selon le calendrier habituel de rotation des sauvegardes du Sous-traitant (sans dépasser 90 jours).

Dans chaque cas, le Sous-traitant continue de protéger les données ainsi conservées conformément au présent ATD et limite le traitement aux finalités exigées par la loi.

13.3 Pendant la durée de l'accord

Pendant la durée de l'accord, le Responsable du traitement peut demander la suppression de Données Client spécifiques via le tableau de bord du Service ou par demande écrite adressée au Sous-traitant. Le Sous-traitant donne suite à ces demandes dans un délai de 30 jours, sous réserve de la faisabilité technique et des obligations légales de conservation.

14. Responsabilité

14.1 Répartition de la responsabilité

Chaque partie est responsable des dommages causés par un traitement contraire au RGPD, conformément à l'article 82 du RGPD :

Le Responsable du traitement est responsable des dommages causés par un traitement non conforme au RGPD ou par des instructions illicites.
Le Sous-traitant est responsable des dommages causés par un traitement lorsqu'il n'a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants, ou lorsqu'il a agi en dehors des instructions licites du Responsable du traitement ou contrairement à celles-ci.

14.2 Limitation de responsabilité

La responsabilité totale cumulée de chaque partie au titre du présent ATD est soumise aux limitations de responsabilité prévues dans les Conditions d'utilisation, à l'exception des cas suivants auxquels ces limitations ne s'appliquent pas :

La responsabilité envers les Personnes concernées au titre de l'article 82 du RGPD.
Les amendes et sanctions infligées par les autorités de contrôle.
La responsabilité résultant d'une négligence grave ou d'une faute intentionnelle d'une partie concernant ses obligations en matière de protection des données.

14.3 Indemnisation

Chaque partie indemnise l'autre partie de tous coûts, réclamations, dommages ou dépenses subis en raison de la violation par la partie indemnisante du présent ATD ou de ses obligations au titre du RGPD, à condition que la partie demandant l'indemnisation en informe l'autre partie sans délai et lui apporte une coopération raisonnable.

15. Durée et résiliation

15.1 Durée

Le présent ATD prend effet à la date de la première utilisation du Service par le Responsable du traitement et reste en vigueur aussi longtemps que le Sous-traitant traite des Données Personnelles pour le compte du Responsable du traitement.

15.2 Survie

Les obligations du Sous-traitant au titre du présent ATD survivent à la résiliation de l'accord dans la mesure nécessaire à l'exécution de ses obligations relatives à la restitution ou à la suppression des Données Personnelles et de toute obligation de confidentialité continue.

16. Dispositions générales

16.1 Droit applicable

Le présent ATD est régi et interprété conformément au droit des Pays-Bas, sans égard à ses règles de conflit de lois. Tout litige découlant du présent ATD relève de la compétence exclusive des tribunaux compétents d' Amsterdam, Pays-Bas.

16.2 Divisibilité

Si une disposition du présent ATD est jugée invalide ou inapplicable, les autres dispositions demeurent pleinement en vigueur. La disposition invalide sera remplacée par une disposition valide reflétant au plus près l'intention initiale.

16.3 Modifications

Le présent ATD peut être modifié par le Sous-traitant afin de refléter l'évolution de la loi applicable ou de ses pratiques de traitement des données. Les modifications substantielles sont notifiées au Responsable du traitement au moins 30 jours à l'avance. La poursuite de l'utilisation du Service après cette notification vaut acceptation de l'ATD modifié.

16.4 Intégralité de l'accord

Le présent ATD, ainsi que les Conditions d'utilisation, la Politique de confidentialité et tout bon de commande applicable, constitue l'intégralité de l'accord entre les parties concernant son objet.

16.5 Contact

Les questions relatives au présent ATD doivent être adressées à : privacy@vocito.ai

Annexe A : Détails du traitement

A.1 Objet et durée

Objet	Traitement de Données Personnelles via la plateforme de réceptionniste vocal IA Vocito
Durée	Pendant la durée de l'accord entre le Responsable du traitement et le Sous-traitant, plus les durées de conservation applicables

A.2 Nature et finalité du traitement

Activité de traitement	Finalité
Réception des appels téléphoniques entrants	Réponse aux appels pour le compte de l'entreprise du Responsable du traitement via un agent vocal IA
Enregistrement des appels	Enregistrement des conversations à des fins de consultation, d'assurance qualité et d'archivage par le Responsable du traitement
Transcription des appels	Conversion des enregistrements vocaux en texte pour la consultation, la recherche et l'extraction de prospects
Traitement des conversations par l'IA	Utilisation de LLM pour comprendre l'intention de l'appelant, générer des réponses et extraire des informations structurées
Envoi de SMS	Envoi de messages texte de suivi aux appelants pour le compte du Responsable du traitement
Gestion des prospects	Capture, stockage et organisation des informations sur les prospects issues des appels
Réservation et planification	Création de rendez-vous et d'entrées d'agenda pour le compte du Responsable du traitement
Intégration e-mail	Envoi de notifications et gestion des communications par e-mail via Gmail/Microsoft 365
Gestion des données CRM	Stockage et organisation des données de relation client
Analyses et rapports	Production de statistiques d'utilisation, d'analyses d'appels et de rapports de performance
Stockage des données	Stockage des Données Client sur une infrastructure située dans l'UE

A.3 Types de Données Personnelles

Noms (prénom, nom, nom de l'entreprise)
Numéros de téléphone
Adresses e-mail
Adresses postales/professionnelles
Enregistrements vocaux (audio des appels)
Transcriptions d'appels (texte des conversations)
Contenu des messages SMS
Contenu des e-mails (objets, corps du texte)
Détails des prospects et des demandes (services demandés, questions posées)
Données de réservation et de rendez-vous (dates, heures, types de service)
Métadonnées d'appel (identifiant de l'appelant, durée, horodatages, statut de l'appel)
Adresses IP et informations sur l'appareil (pour les utilisateurs du tableau de bord)

A.4 Catégories de personnes concernées

Utilisateurs finaux (appelants qui contactent l'entreprise du Responsable du traitement via l'Agent IA)
Clients et prospects du Responsable du traitement
Employés et représentants du Responsable du traitement (qui utilisent le tableau de bord)
Tiers dont les coordonnées sont fournies par les appelants ou le Responsable du traitement

Annexe B : Mesures techniques et organisationnelles

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes en application de l'article 32 du RGPD :

B.1 Chiffrement

Mesure	Mise en œuvre
Chiffrement en transit	TLS 1.2+ pour toutes les transmissions de données, y compris les appels API, l'accès au tableau de bord et les communications avec les sous-traitants ultérieurs
Chiffrement au repos	Chiffrement AES-256 de toutes les Données Personnelles stockées, y compris les enregistrements d'appels, les enregistrements de base de données et le stockage de fichiers
Gestion des clés	Clés de chiffrement gérées via des services sécurisés de gestion des clés avec séparation des tâches

B.2 Contrôle d'accès

Mesure	Mise en œuvre
Authentification	Politiques de mots de passe robustes ; MFA pour tous les accès administratifs et de production
Autorisation	Contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège ; isolation des données client
Revues d'accès	Revue trimestrielle de toutes les autorisations d'accès ; révocation immédiate en cas de changement de rôle ou de départ
Isolation des données client	Séparation logique des Données Client par sécurité au niveau des lignes (RLS) dans Supabase PostgreSQL

B.3 Sécurité de l'infrastructure et du réseau

Mesure	Mise en œuvre
Hébergement	Hébergement en région UE sur Railway et Supabase avec une infrastructure située dans l'UE, chiffrée au repos
Sécurité du réseau	Protection par pare-feu, segmentation du réseau, atténuation des attaques DDoS
Gestion des vulnérabilités	Analyses de vulnérabilités régulières ; correction rapide des vulnérabilités critiques
Tests d'intrusion	Tests d'intrusion annuels réalisés par un tiers

B.4 Surveillance, journalisation et réponse aux incidents

Mesure	Mise en œuvre
Surveillance de la sécurité	Surveillance continue des événements de sécurité, des anomalies et des tentatives d'accès non autorisées
Journalisation d'audit	Journalisation des accès aux Données Personnelles, des actions administratives et des événements de sécurité ; journaux conservés au moins 12 mois
Réponse aux incidents	Plan documenté de réponse aux incidents avec des rôles, des voies d'escalade et des procédures de communication définis ; notification des violations sous 72 heures

B.5 Minimisation et conservation des données

Mesure	Mise en œuvre
Minimisation des données	Traitement limité aux Données Personnelles nécessaires aux finalités spécifiées ; diffusion en temps réel vers les fournisseurs d'IA plutôt que transferts de données en masse
Gestion de la conservation	Politiques automatisées de conservation des données avec des durées configurables ; suppression automatisée des données expirées
Procédures de suppression	Suppression sécurisée des Données Personnelles sur demande ou à l'expiration de la durée de conservation, y compris des sauvegardes dans un délai de 90 jours

B.6 Continuité d'activité et reprise après sinistre

Mesure	Mise en œuvre
Sauvegardes	Sauvegardes automatisées régulières des Données Client ; stockage chiffré des sauvegardes ; procédures de restauration testées
Redondance	Infrastructure redondante pour les services critiques ; capacités de basculement
Objectifs de reprise	Objectif de délai de reprise (RTO) et objectif de point de reprise (RPO) définis pour les systèmes critiques

B.7 Mesures relatives au personnel

Mesure	Mise en œuvre
Confidentialité	L'ensemble du personnel signe des accords de confidentialité couvrant les Données Personnelles
Formation	Formation de sensibilisation à la sécurité et à la protection des données pour l'ensemble du personnel à l'arrivée, puis chaque année
Vérification des antécédents	Vérification des antécédents du personnel ayant accès aux systèmes de production (lorsque la loi le permet)

Annexe C : Liste des sous-traitants ultérieurs

En mai 2026, le Sous-traitant fait appel aux sous-traitants ultérieurs suivants :

Sous-traitant ultérieur	Entité juridique	Finalité	Données traitées	Localisation	Mécanisme de transfert
Twilio	Twilio Inc.	Infrastructure de téléphonie, routage des appels vocaux, envoi de SMS	Numéros de téléphone, audio des appels (temps réel), métadonnées d'appel, contenu des SMS	États-Unis	CCT + DPF
ElevenLabs	ElevenLabs Inc.	Synthèse vocale IA, génération vocale en temps réel	Audio des appels (diffusion en temps réel)	États-Unis	CCT
Anthropic	Anthropic PBC	Grand modèle de langage (Claude) pour la compréhension des conversations et la génération de réponses	Transcriptions d'appels (temps réel), contexte de la conversation	États-Unis	CCT
Google	Google LLC	Grand modèle de langage (Gemini) pour le traitement des conversations	Transcriptions d'appels (temps réel), contexte de la conversation	États-Unis / UE	CCT + DPF
OpenAI	OpenAI Inc.	Grand modèle de langage (GPT) pour le traitement des conversations	Transcriptions d'appels (temps réel), contexte de la conversation	États-Unis	CCT + DPF
Supabase	Supabase Inc.	Hébergement de base de données PostgreSQL, stockage de fichiers (enregistrements d'appels), authentification	Toutes les Données Client (données de compte, enregistrements d'appels, transcriptions, prospects, données CRM)	UE (Irlande)	Données stockées dans l'EEE ; CCT avec la société mère
Railway	Railway Corp.	Hébergement et exécution de l'application backend	Données applicatives en transit et en cours de traitement	Région UE	Données traitées dans l'EEE ; CCT avec la société mère

Cette liste est tenue à jour par le Sous-traitant. Le Responsable du traitement sera informé au moins 30 jours à l'avance de tout ajout ou modification de cette liste.