Accord de Traitement des Données (DPA)

Le présent Accord de Traitement des Données (ci-après "DPA", pour Data Processing Agreement) est conclu entre VoiceBot AI Studio (ci-après "le Sous-traitant") et le client titulaire d'un compte sur la plateforme (ci-après "le Responsable de traitement").

Il est conclu en application de l'article 28 du Règlement (UE) 2016/679 (ci-après "RGPD") et fait partie intégrante des Conditions Générales d'Utilisation et des Conditions Générales de Vente. En cas de contradiction sur les seules questions de protection des données à caractère personnel, le présent DPA prévaut.

Le DPA est accepté automatiquement lors de la création du compte et de l'acceptation des CGU/CGV. Aucune signature manuscrite n'est requise, l'acceptation étant horodatée et conservée en base de données à titre de preuve.

Le Client est Responsable de traitement pour toutes les données personnelles qu'il collecte, importe ou fait traiter via la plateforme : contenus de sa base de connaissances, coordonnées de ses propres utilisateurs finaux, transcriptions et enregistrements de conversations de ses agents, données synchronisées via ses intégrations (CRM, agendas, feuilles de calcul, messageries).

VoiceBot AI Studio est Sous-traitant de ces données : elles ne sont traitées que sur instruction documentée du Client, aux seules fins de fournir le Service.

VoiceBot AI Studio est Responsable de traitement pour ses propres traitements : gestion des comptes, facturation, sécurité, journaux techniques et mesure d'audience du site. Ces traitements sont décrits dans la Politique de confidentialité.

Le Client garantit disposer d'une base légale valable (consentement, contrat, intérêt légitime) pour toute donnée personnelle qu'il confie au Service, et s'engage à informer ses propres utilisateurs finaux de l'usage d'un agent conversationnel automatisé.

Objet : fourniture d'une plateforme SaaS de création, d'hébergement et d'exploitation d'agents conversationnels IA textuels et vocaux.

Durée : le traitement dure aussi longtemps que le compte du Client est actif, augmentée des durées de conservation légales décrites à l'article 8.

Nature des opérations : collecte, enregistrement, structuration, stockage, chiffrement, consultation, transmission aux sous-traitants ultérieurs, mise à disposition via API, effacement.

Finalités : génération de réponses par IA, transcription vocale (STT), synthèse vocale (TTS), recherche documentaire (RAG), routage entre agents, synchronisation avec les outils tiers du Client, statistiques d'usage.

Catégories de personnes concernées :

• Utilisateurs du compte Client (administrateurs, collaborateurs)

• Utilisateurs finaux interagissant avec les agents du Client (visiteurs, clients, prospects, patients selon le cas d'usage)

Catégories de données traitées :

• Données d'identification : nom, adresse e-mail, numéro de téléphone, identifiant de messagerie

• Contenus de conversation : messages, transcriptions, enregistrements audio le cas échéant

• Données techniques : adresse IP, horodatages, agent utilisateur, journaux d'erreur

• Données métier confiées par le Client via sa base de connaissances ou ses intégrations

Catégories exclues : le Client s'interdit de faire traiter par le Service des données relevant de l'article 9 du RGPD (santé, opinions, orientation sexuelle, biométrie), des données relatives à des condamnations pénales, ou des données de mineurs de moins de 15 ans, sauf accord écrit préalable et mise en place de garanties complémentaires.

Le Sous-traitant traite les données uniquement sur instruction documentée du Client. Constituent des instructions documentées : les présentes stipulations, la configuration du compte (paramètres des agents, intégrations activées, options d'enregistrement) et toute demande écrite adressée au support.

Le Sous-traitant informe immédiatement le Client s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre.

Le Sous-traitant ne traite pas les données du Client à ses propres fins commerciales. Les contenus de conversation du Client ne sont pas utilisés pour entraîner des modèles d'intelligence artificielle, ni par VoiceBot AI Studio, ni — conformément aux engagements contractuels obtenus — par ses sous-traitants d'inférence IA.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement en transit par TLS 1.2+ sur l'ensemble des échanges

• Chiffrement au repos des bases de données et des fichiers stockés

• Chiffrement applicatif AES-GCM 256 bits des secrets sensibles : clés d'API, jetons OAuth et données d'appelants

• Cloisonnement strict des données par compte via des politiques d'accès au niveau des lignes (RLS), refusant par défaut tout accès non authentifié

• Authentification par mot de passe d'au moins 12 caractères, confirmation d'e-mail et procédures de vérification pour les changements sensibles

• Journalisation des accès et des actions d'administration (piste d'audit consultable par le Client)

• Limitation de débit et validation de signature sur les points d'entrée webhook

• Sauvegardes régulières et chiffrées, avec test périodique de restauration

• Principe du moindre privilège pour les accès internes, revus périodiquement

Le Client reste responsable de la sécurité de ses propres identifiants, de la gestion des accès de ses collaborateurs et du paramétrage de partage de ses agents (mot de passe, restriction d'intégration publique).

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous, chacun étant lié par des obligations de protection des données au moins équivalentes aux présentes.

• Hébergement, base de données et fonctions serveur — infrastructure cloud managée, hébergement des données en Union européenne

• Traitement des paiements — Stripe Payments Europe, Ltd. (Irlande) : facturation et abonnements

• Envoi d'e-mails transactionnels — Resend : notifications de compte, factures, alertes

• Inférence de modèles de langage — passerelle IA fournissant l'accès aux modèles génératifs utilisés pour les réponses des agents

• Transcription vocale et synthèse vocale — prestataires spécialisés de reconnaissance et de génération de parole, appelés uniquement lors des sessions vocales

• Canaux de messagerie et téléphonie — Twilio, Meta (WhatsApp) et Telegram, activés uniquement si le Client configure le canal correspondant

• Recherche web et extraction de contenu — appelées uniquement si le Client active l'option de recherche en temps réel

• Intégrations métier du Client — Google, Microsoft, CRM et outils d'automatisation, activés uniquement par connexion explicite du Client

Toute nouvelle catégorie de sous-traitant ultérieur ou tout remplacement fait l'objet d'une information préalable du Client par e-mail au moins 30 jours avant sa mise en œuvre. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut de solution alternative, il peut résilier son abonnement sans pénalité, la partie non consommée lui étant remboursée au prorata.

Les données sont hébergées et traitées prioritairement au sein de l'Union européenne.

Certains sous-traitants ultérieurs (notamment les fournisseurs d'inférence IA, de voix et de messagerie) peuvent réaliser des traitements depuis des pays tiers, en particulier les États-Unis. Ces transferts sont encadrés par :

• une décision d'adéquation lorsque le prestataire y est éligible (EU-US Data Privacy Framework) ; ou

• les Clauses Contractuelles Types de la Commission européenne (décision 2021/914), complétées le cas échéant par des mesures supplémentaires (chiffrement, minimisation, pseudonymisation).

Le Client peut obtenir communication des garanties applicables sur simple demande écrite.

Pendant la relation contractuelle : les données sont conservées tant que le compte est actif et que le Client ne les supprime pas lui-même depuis l'interface.

Durées indicatives :

• Conversations, transcriptions et enregistrements : conservés jusqu'à suppression par le Client

• Journaux techniques et d'audit : 12 mois

• Données de facturation : 10 ans (obligation comptable légale)

• Preuves d'acceptation des conditions : durée de la relation contractuelle augmentée de 5 ans

À la fin du contrat : le Client dispose de 30 jours pour exporter ses données depuis l'interface. À l'issue de ce délai, l'ensemble des données personnelles traitées pour son compte est supprimé ou anonymisé, à l'exception des données que le Sous-traitant est légalement tenu de conserver.

Suppression de compte : la procédure de suppression est disponible dans Paramètres → Compte. Elle est confirmée par e-mail et donne lieu à un effacement définitif à l'issue du délai d'annulation indiqué dans le message de confirmation.

Le Sous-traitant met à disposition du Client les fonctionnalités techniques (export, rectification, suppression, restriction de traitement) lui permettant de répondre lui-même aux demandes d'exercice des droits de ses utilisateurs finaux.

Si une demande d'une personne concernée est adressée directement au Sous-traitant, celui-ci ne la traite pas lui-même : il la transmet au Client sans délai indu, sauf obligation légale contraire.

Le Sous-traitant assiste également le Client, dans la mesure du possible et compte tenu de la nature du traitement, pour :

• la réalisation d'analyses d'impact relatives à la protection des données (AIPD)

• la consultation préalable de l'autorité de contrôle

• la démonstration du respect des obligations de sécurité

Le Sous-traitant met à la disposition du Client toute information nécessaire pour démontrer le respect des obligations de l'article 28 du RGPD.

Le Client peut demander, au maximum une fois par an et moyennant un préavis écrit de 30 jours, la communication de la documentation de sécurité disponible (description des mesures techniques et organisationnelles, registre des sous-traitants, rapports d'audit existants).

Un audit sur site ou un questionnaire approfondi peut être organisé en cas d'incident de sécurité avéré ou d'exigence d'une autorité de contrôle. L'audit est réalisé pendant les heures ouvrées, sans perturber l'exploitation, et son coût est supporté par le Client sauf si l'audit révèle un manquement substantiel du Sous-traitant.

Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données du Client :

• s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité

• reçoivent la formation nécessaire en matière de protection des données

• n'accèdent aux données que dans la stricte mesure nécessaire à l'exécution de leurs missions (moindre privilège)

• voient leurs accès révoqués immédiatement à la fin de leur mission

Chaque partie répond des dommages causés par un traitement qui contrevient au RGPD dans les limites fixées par son article 82.

Le Client garantit le Sous-traitant contre toute réclamation résultant du caractère illicite des données qu'il a confiées au Service ou de l'absence de base légale de leur traitement.

Le présent DPA entre en vigueur à la création du compte et demeure applicable pendant toute la durée du contrat, ainsi qu'après son terme tant que le Sous-traitant conserve des données personnelles pour le compte du Client.

Droit applicable : droit français. Juridiction compétente : celle prévue par les Conditions Générales de Vente.

Pour toute question relative au présent DPA, à la protection des données, ou pour demander une copie signée du document :

• E-mail : voicebotaistudio@gmail.com

• Formulaire de contact disponible sur le site

• Espace client : Paramètres → Support

Les demandes relatives à la protection des données font l'objet d'un accusé de réception sous 48 heures ouvrées et d'une réponse sous 30 jours au maximum.