Accord de traitement des données

1. Objet et durée

Le Responsable du traitement confie au Sous-traitant le traitement de données personnelles aux fins de la fourniture du service d’assistant téléphonique IA Telofia, pour la durée du contrat de fourniture du service ainsi que pour la période nécessaire à la suppression ou à la restitution des données après sa fin.

2. Nature et finalité du traitement

Réception et conduite de conversations téléphoniques et en ligne, reconnaissance et synthèse vocales, génération de réponses par des modèles de langage, prise de rendez-vous et transfert d’appels, envoi de SMS et d’e-mails liés à l’appel, réalisation d’enregistrements (si le Responsable du traitement les a activés), de transcriptions, de résumés et d’évaluations de la qualité des appels, conservation de l’historique des appels et synchronisation avec les intégrations connectées par le Responsable du traitement.

3. Catégories de données et de personnes concernées

Personnes concernées : les personnes qui appellent le Responsable du traitement ou s’entretiennent avec son assistant, les clients et contacts du Responsable du traitement ainsi que son personnel.

Catégories de données : numéros de téléphone, noms et prénoms, adresses e-mail, enregistrements vocaux, transcriptions et résumés des appels, détails des rendez-vous et des demandes ainsi que les autres informations communiquées par les interlocuteurs. Le Responsable du traitement ne doit pas configurer l’assistant d’une manière conduisant à la collecte de catégories particulières de données (art. 9 du RGPD), à moins que cela ne soit nécessaire et qu’il existe une base juridique à cet effet.

4. Instructions du Responsable du traitement

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement, constituée notamment par les Conditions, le présent Accord de traitement et les paramètres choisis par le Responsable du traitement dans le tableau de bord (par ex. activation de l’enregistrement, durée de conservation, intégrations). Si, de l’avis du Sous-traitant, une instruction enfreint la réglementation relative à la protection des données, le Sous-traitant en informe immédiatement le Responsable du traitement.

5. Obligations du Sous-traitant

Le Sous-traitant : veille à ce que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité ; met en œuvre les mesures techniques et organisationnelles appropriées (art. 32 du RGPD) ; aide le Responsable du traitement à donner suite aux demandes des personnes concernées et à respecter les obligations prévues aux articles 32 à 36 du RGPD ; n’utilise pas les données confiées à ses propres fins, y compris pour entraîner des modèles d’intelligence artificielle.

6. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale pour le recours aux sous-traitants ultérieurs énumérés sur la page des sous-traitants ultérieurs. Le Sous-traitant impose aux sous-traitants ultérieurs des obligations en matière de protection des données qui ne sont pas moins strictes que celles découlant du présent Accord de traitement et répond de leurs actes comme des siens propres. Le Sous-traitant informe des modifications envisagées de la liste au moins 14 jours à l’avance ; dans ce délai, le Responsable du traitement peut formuler une opposition motivée et, à défaut d’accord, résilier le contrat.

7. Transferts de données vers des pays tiers

Les données sont stockées principalement dans l’UE (Francfort). Les données ne sont transférées en dehors de l’Espace économique européen que sur la base d’une décision constatant un niveau de protection adéquat (y compris le cadre de protection des données UE–États-Unis) ou de clauses contractuelles types assorties de mesures supplémentaires.

8. Mesures de sécurité

Chiffrement des données en transit et au repos, chiffrement des jetons d’intégration, contrôle d’accès et principe du moindre privilège, séparation logique des données des clients, stockage privé des enregistrements accessible au moyen de liens signés de courte durée, journalisation des événements, sauvegardes, gestion des vulnérabilités et procédures de réponse aux incidents.

9. Violations de données personnelles

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais — si possible dans les 48 heures — après en avoir pris connaissance, et lui communique les informations nécessaires pour que le Responsable du traitement puisse notifier la violation à l’autorité de contrôle et en informer les personnes concernées.

10. Conservation, suppression et restitution des données

Les enregistrements et les transcriptions sont conservés pendant la durée définie par le Responsable du traitement dans le tableau de bord (Mode confidentialité) ou jusqu’à leur suppression par le Responsable du traitement. Après la fin du contrat, le Sous-traitant — selon le choix du Responsable du traitement communiqué à l’adresse support@aiagenthub.pl — restitue ou supprime les données confiées dans un délai de 30 jours, sauf si la loi impose leur conservation ultérieure.

11. Audits et responsabilité

Le Sous-traitant met à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et permet la réalisation d’audits, y compris d’inspections, moyennant un préavis d’au moins 14 jours, au maximum une fois par an (sauf en cas de violation de données personnelles). La responsabilité des parties est régie par les Conditions, sous réserve de l’article 82 du RGPD.