Accord de traitement des données (DPA)
- Entre les soussignés
- Article 1 — Définitions, objet, articulation et durée
- Article 2 — Description du traitement et instructions documentées
- Article 3 — Confidentialité et encadrement des accès
- Article 4 — Sécurité
- Article 5 — Sous-traitance ultérieure
- Article 6 — Localisation des traitements et transferts hors de l’Union européenne
- Article 7 — Assistance au Responsable de traitement
- Article 8 — Violation de données à caractère personnel
- Article 9 — Sort des données en fin de contrat
- Article 10 — Audit
- Article 11 — Registre, coopération, responsabilité
- Article 12 — Intelligence artificielle
- Article 13 — Bot de réunion et enregistrement des visioconférences
- Article 14 — Dispositions finales
- Annexe 1 — Description des traitements
- 1. Nature et finalité générale
- 2. Catégories de personnes concernées
- 3. Catégories de données et traitements par domaine
- 4. Traitements appelant une vigilance particulière du Client
- 5. Données sensibles
- 6. Durées de conservation
- 7. Localisation des traitements
- Annexe 2 — Mesures techniques et organisationnelles de sécurité
- 1. Chiffrement
- 2. Cloisonnement par locataire
- 3. Contrôle d’accès
- 4. Journalisation
- 5. Sauvegardes
- 5 bis. Supervision
- 6. Ce que le Sous-traitant ne revendique pas
- Annexe 3 — Sous-traitants ultérieurs
- 1. Infrastructure et hébergement
- 2. Modèles d’intelligence artificielle
- 3. Voix et téléphonie
- 4. Courrier électronique et messagerie
- 5. Paiement
- 6. Mesure d’audience et observabilité
- 7. Enrichissement et données publiques
- 8. Connecteurs activés par le Client
- 9. Bot de réunion
- 10. Notification des changements
Article 28 du Règlement (UE) 2016/679 (RGPD)
| Version | v1.3 |
| Date | 13 octobre 2026 |
| Éditeur | SERVAIS CONSULTING — plateforme Agentsia |
| Contact protection des données | rgpd@agentsia.fr |
| Document contractuel | Le présent Accord est conclu entre les parties et fait partie intégrante des Conditions Générales d’Utilisation (CGU), en application de leur article 11.3 |
| Annexes | Annexe 1 — Description des traitements · Annexe 2 — Mesures de sécurité · Annexe 3 — Sous-traitants ultérieurs |
Historique des versions
| Version | Date | Nature des modifications |
|---|---|---|
| v1.0 | 16 septembre 2026 | Version initiale. Établie en application de l’article 11.3 des CGU (version 1.0 du 29 mai 2026). Annexe 1 alignée sur la Politique de Confidentialité ; Annexe 3 alignée sur la page publique « Sous-traitants ultérieurs ». |
| v1.1 | 25 septembre 2026 | Annexe 3, section 8 : ajout de PostProxy (64Bit Labs UG) et de Google Business Profile, pour la connexion des fiches d’établissement Google. |
| v1.2 | 2 octobre 2026 | Déclaration du bot de réunion et de son sous-traitant ultérieur Recall.ai (Hyperdoc Inc.). Nouvel Article 13 — Bot de réunion et enregistrement des visioconférences ; l’ancien Article 13 (Dispositions finales) devient l’Article 14. Nouvel Article 5.5 : régime de préavis applicable à un changement survenant à l’intérieur de la chaîne de sous-traitance d’un sous-traitant ultérieur, avec désactivation immédiate du bot pour l’espace du Client qui s’oppose ; le préavis de 30 jours de l’Article 5.2 demeure inchangé pour les sous-traitants ultérieurs que le Sous-traitant engage directement. Nouvel Article 6.5 : portée exacte d’une région de traitement, qui garantit la résidence des ressources et non l’absence de transfert. Annexe 1 : nouveau § 3.8 (réunions enregistrées par le bot), nouvelle catégorie de personnes concernées au § 2, nouveau § 4 c) parmi les traitements appelant une vigilance particulière du Client, nouvelles durées au § 6. Annexe 2, section 6 : mention des garanties que le Sous-traitant ne vérifie pas chez le prestataire du bot. Annexe 3 : nouvelle section 9 (bot de réunion), incluant les sous-traitants de Recall.ai ; l’ancienne section 9 (Notification des changements) devient la section 10. |
| v1.3 | 13 octobre 2026 | Mise en conformité du texte avec l’infrastructure réellement déployée. Article 6.1 et Annexe 3, section 1 : Google Cloud ramené à la seule région europe-west1 (Belgique) ; région de Supabase établie (Francfort, Allemagne) ; service Redis rattaché à OVHcloud (France). Annexe 3, section 6 : Langfuse, désormais exploité par ClickHouse, Inc. : région établie (Irlande), outil déclaré actif. Annexe 3, section 8 : ajout d’Unipile, intermédiaire de connexion des boîtes de messagerie. Annexe 2 : chiffrement en transit, chiffrement applicatif, cloisonnement du stockage, séparation des environnements et minimisation dans les journaux reformulés pour ne décrire que les mesures effectivement en place ; nouvelle section 5 bis (supervision) ; section 6 complétée. |
Entre les soussignés
Le Sous-traitant
SERVAIS CONSULTING, entreprise unipersonnelle à responsabilité limitée (EURL) au capital de 3 000 euros, immatriculée au Registre du Commerce et des Sociétés de Créteil sous le numéro SIREN 823 517 024, numéro de TVA intracommunautaire FR 78 823 517 024, dont le siège social est situé 12 B avenue Beauséjour, 94130 Nogent-sur-Marne, France, représentée par Monsieur Thomas SERVAIS en sa qualité de gérant, éditrice de la plateforme Agentsia.
Ci-après désignée « le Sous-traitant » ou « Agentsia ».
Le Responsable de traitement
Le client, personne morale identifiée au bon de commande, au devis accepté ou à la souscription d’un abonnement aux Services.
Ci-après désigné « le Client » ou « le Responsable de traitement ».
Ci-après désignés ensemble « les Parties » et individuellement « une Partie ».
Article 1 — Définitions, objet, articulation et durée
1.1 Définitions
Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne l’article 4 du RGPD.
Au sens du présent Accord :
- « Plateforme » ou « Services » désigne l’application Agentsia accessible à l’adresse
app.agentsia.fr, ses interfaces de programmation, ses agents d’intelligence artificielle et les services associés ; - « CGU » désigne les Conditions Générales d’Utilisation publiées à l’adresse
www.agentsia.fr/conditions-dutilisation/; - « Données du Client » désigne les données à caractère personnel que le Sous-traitant traite pour le compte du Client dans le cadre de la Plateforme, telles que décrites en Annexe 1 ;
- « Sous-traitant ultérieur » désigne tout sous-traitant auquel le Sous-traitant recourt pour exécuter des activités de traitement spécifiques pour le compte du Client, au sens de l’article 28.4 du RGPD ;
- « Accord » désigne le présent document et ses annexes.
1.2 Objet
Le présent Accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte et sur instruction du Client, les Données du Client, conformément à l’article 28.3 du RGPD.
Conformément à l’article 11.2 des CGU, le Client est responsable de traitement pour les données personnelles qu’il confie au Sous-traitant, notamment celles des utilisateurs finaux traitées par les agents d’intelligence artificielle. Il lui appartient de déterminer la finalité et la base légale de chaque traitement, d’informer les personnes concernées et, lorsque la loi l’exige, de recueillir leur consentement.
Le Sous-traitant agit en qualité de responsable de traitement — et non de sous-traitant — pour les données relatives au Client lui-même : compte, facturation, journaux techniques, navigation. Ces traitements relèvent de la Politique de Confidentialité et non du présent Accord.
1.3 Articulation
Le présent Accord fait partie intégrante des CGU, conformément à leur article 11.3, et est conclu entre les Parties par l’effet de la souscription aux Services, sans qu’une signature distincte soit nécessaire.
En cas de contradiction entre le présent Accord et les CGU sur une question relative à la protection des données à caractère personnel, le présent Accord prévaut, celles-ci lui renvoyant expressément le soin de préciser les catégories de données traitées, les durées de conservation, les sous-traitants ultérieurs autorisés, les mesures de sécurité et les modalités de transfert hors Union européenne.
La liste des sous-traitants ultérieurs figure en Annexe 3 et est tenue à jour sur la page publique app.agentsia.fr/legal/subprocessors, qui reflète tout changement intervenu entre deux révisions du présent Accord.
1.4 Durée
Le présent Accord entre en vigueur à la date d’effet de la souscription et demeure applicable aussi longtemps que le Sous-traitant traite des Données du Client, y compris pendant la période de restitution et de suppression prévue à l’Article 9.
Les obligations de confidentialité de l’Article 3 et l’obligation de coopération de l’Article 11 survivent au terme de l’Accord.
Article 2 — Description du traitement et instructions documentées
2.1 Description du traitement
La nature, la finalité, les catégories de données, les catégories de personnes concernées et les durées de conservation des traitements confiés au Sous-traitant sont décrites en Annexe 1.
2.2 Instructions documentées
Le Sous-traitant ne traite les Données du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale à laquelle le Sous-traitant serait soumis ; dans ce dernier cas, il informe le Client de cette obligation juridique avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d’intérêt public.
Constituent des instructions documentées du Client, sans qu’un écrit distinct soit nécessaire :
- le présent Accord et ses annexes ;
- les CGU et les conditions tarifaires acceptées lors de la souscription ;
- les paramètres et actions du Client dans la Plateforme : création et configuration d’un agent, choix du fournisseur de modèle d’intelligence artificielle, activation d’un canal (site web, WhatsApp, téléphonie, réseaux sociaux), dépôt d’un document dans la base de connaissances, envoi d’un message, déclenchement d’une publication ;
- la connexion d’un compte tiers (Microsoft, Google, LinkedIn, Meta, CRM, boutique en ligne…) depuis la page Intégrations : cette connexion vaut instruction de transmettre au service concerné les données nécessaires aux fonctionnalités activées, et d’en recevoir les données que les autorisations accordées permettent de lire ;
- les demandes écrites formulées par un utilisateur habilité du Client auprès du Sous-traitant.
2.3 Alerte en cas d’instruction illicite
Le Sous-traitant informe le Client s’il estime qu’une instruction constitue une violation du RGPD, de la loi n° 78-17 du 6 janvier 1978 modifiée ou de toute autre disposition du droit de l’Union ou du droit d’un État membre relative à la protection des données.
Dans ce cas, il peut suspendre l’exécution de l’instruction litigieuse jusqu’à ce que le Client la confirme, la modifie ou la retire par écrit. La suspension d’une instruction manifestement illicite n’est pas constitutive d’un manquement contractuel.
Le Sous-traitant n’exerce aucun contrôle de licéité systématique des instructions du Client ni du contenu que celui-ci dépose sur la Plateforme.
Article 3 — Confidentialité et encadrement des accès
3.1 Engagement des personnes autorisées
Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données du Client :
- s’engagent à en respecter la confidentialité, par une clause de leur contrat de travail, de leur contrat de prestation ou par un engagement écrit distinct ;
- ne disposent que des accès nécessaires à l’exécution de leurs missions, conformément au principe du moindre privilège.
Cette obligation de confidentialité survit à la cessation des fonctions ou du contrat de la personne concernée.
3.2 Accès du Sous-traitant aux données du Client
L’accès du Sous-traitant aux Données du Client est exceptionnel, motivé, borné dans le temps et tracé.
La Plateforme intègre un dispositif dit de « bris de glace » qui, sur les opérations qu’il couvre, impose les garanties suivantes :
| Garantie | Mise en œuvre |
|---|---|
| Justification écrite | Obligatoire, refusée si elle est vide ou trop brève : le dispositif exige une phrase, relisible plusieurs mois après. |
| Périmètre explicite | L’accès est ouvert pour une opération déterminée (recherche, export, effacement, diagnostic) et pour une personne concernée déterminée. Un accès ouvert pour une personne ne permet pas d’agir sur une autre. |
| Durée limitée | 60 minutes par défaut, 8 heures au maximum. |
| Traçabilité | Chaque ouverture et chaque acte sont inscrits dans un journal d’accès conservé 3 ans (Annexe 1, § 6). Ce journal constitue un élément de preuve : il n’est effacé ni par la suppression du compte concerné, ni par une demande d’effacement. |
| Notification de la personne concernée | La personne dont les données sont consultées en est informée par courrier électronique direct, avec l’opération, la justification, la date et l’échéance de l’accès. La notification n’emprunte pas le système de notifications interne de la Plateforme, dont la lecture serait ouverte aux administrateurs de l’entreprise du destinataire. |
| Échec de notification | Un échec d’envoi n’annule pas l’accès, mais il est enregistré comme tel dans le journal. |
Ce dispositif couvre les opérations d’exercice des droits des personnes (recherche, export, effacement) ainsi que la consultation des données d’un utilisateur nommément désigné. Son extension aux autres outils d’administration du Sous-traitant se poursuit ; celui-ci n’affirme pas qu’il couvre aujourd’hui l’intégralité de ses accès internes.
3.3 Absence de réutilisation
Le Sous-traitant n’utilise pas les Données du Client à des fins propres, notamment à des fins de prospection, de publicité, de revente ou de constitution de bases de données, ni pour entraîner des modèles d’intelligence artificielle (voir Article 12).
Article 4 — Sécurité
4.1 Mesures techniques et organisationnelles
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, destinées à garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD.
L’Annexe 2 décrit les mesures effectivement en place et énumère, dans une section distincte, celles que le Sous-traitant ne met pas en œuvre à ce jour. Une mesure annoncée et non mise en œuvre l’engagerait sur une garantie qu’il ne peut pas tenir.
4.2 Absence de certification
Le Sous-traitant ne détient aucune certification de système de management de la sécurité de l’information (notamment ISO/IEC 27001), aucun rapport d’attestation de type SOC 2 et aucun agrément d’hébergeur de données de santé. Il n’en revendique aucun, ni directement, ni par l’intermédiaire de ses prestataires.
Certains de ses sous-traitants ultérieurs disposent de telles certifications pour leurs propres infrastructures ; cette circonstance ne constitue pas une certification du Sous-traitant.
4.3 Évolution des mesures
Le Sous-traitant peut faire évoluer les mesures de l’Annexe 2 à condition que le niveau de sécurité global ne s’en trouve pas diminué.
4.4 Obligations du Client
Conformément à l’article 11.4 des CGU, le Client est responsable :
- de la gestion des comptes de ses utilisateurs, de leurs rôles et de la révocation des accès des personnes qui quittent son organisation ;
- de la confidentialité des identifiants de ses utilisateurs ;
- du choix des intégrations qu’il connecte et de l’étendue des autorisations qu’il accorde ;
- de la licéité des données qu’il dépose sur la Plateforme et de l’existence d’une base légale appropriée ;
- de ses propres sauvegardes et exports périodiques, conformément à l’article 13.4 des CGU.
Article 5 — Sous-traitance ultérieure
5.1 Autorisation générale
Le Client donne au Sous-traitant une autorisation générale écrite de recourir à des sous-traitants ultérieurs, au sens de l’article 28.2 du RGPD. Cette autorisation complète l’article 16 des CGU.
La liste des sous-traitants ultérieurs en vigueur figure en Annexe 3 et est publiée et tenue à jour à l’adresse app.agentsia.fr/legal/subprocessors.
5.2 Information préalable et droit d’objection
Le Sous-traitant informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours avant sa mise en service, par courrier électronique à l’adresse de contact de son espace et par mise à jour de la page publique.
Pendant ce délai, le Client peut s’opposer au changement pour un motif raisonnable tenant à la protection des données, par écrit et de façon motivée. Les Parties recherchent alors de bonne foi une solution : maintien du prestataire précédent, désactivation de la fonctionnalité concernée, ou paramétrage spécifique.
À défaut d’accord dans un délai de 30 jours suivant l’objection, le Client peut résilier, sans pénalité ni indemnité, la partie des Services qui dépend du sous-traitant ultérieur contesté. Si cette partie est indissociable des Services, la résiliation peut porter sur l’abonnement, au prorata temporis.
L’absence d’objection dans le délai vaut acceptation.
5.3 Changement en urgence
Un changement rendu nécessaire en urgence par un impératif de sécurité ou de continuité des Services peut intervenir sans préavis. Il est alors notifié sans délai, avec l’indication du motif, et le droit d’objection s’exerce a posteriori dans les mêmes conditions.
5.4 Obligations imposées aux sous-traitants ultérieurs
Le Sous-traitant ne recourt qu’à des sous-traitants ultérieurs présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, et leur impose par contrat des obligations de protection des données équivalentes à celles du présent Accord.
Conformément à l’article 16 des CGU, le Sous-traitant demeure responsable devant le Client de l’exécution par le sous-traitant ultérieur de ses obligations.
5.5 Changement survenant à l’intérieur de la chaîne d’un sous-traitant ultérieur
Le préavis de 30 jours de l’Article 5.2 s’applique à tout sous-traitant ultérieur que le Sous-traitant engage directement, sans exception.
Un sous-traitant ultérieur peut lui-même recourir à ses propres prestataires. Le Sous-traitant n’est alors informé du changement que dans le délai que son propre contrat lui accorde, lequel peut être inférieur à 30 jours : il ne peut pas promettre au Client un préavis qu’il ne reçoit pas. Dans ce cas, et dans ce cas seulement, le régime suivant s’applique :
| Garantie | Modalité |
|---|---|
| Information | Le Sous-traitant informe le Client dans les meilleurs délais après réception de l’information, par courrier électronique à l’adresse de contact de son espace et par mise à jour de la page publique des sous-traitants ultérieurs. Il indique le prestataire concerné, sa fonction, les catégories de données en cause et la localisation de son traitement. |
| Droit d’opposition | Le Client peut s’opposer au changement, par écrit et pour un motif raisonnable tenant à la protection des données. L’opposition n’est soumise à aucun délai de forclusion : elle peut intervenir après la mise en service du changement. |
| Effet immédiat de l’opposition | Lorsque le changement concerne la chaîne du prestataire du bot de réunion (Article 13), le Sous-traitant désactive le bot de réunion pour l’espace du Client qui s’oppose. La désactivation s’opère par un réglage par entreprise et prend effet immédiatement : aucune nouvelle réunion n’est enregistrée pour cet espace. |
| Autres fonctionnalités | Pour les fonctionnalités ne disposant pas d’un tel réglage, les Parties recherchent de bonne foi la solution de l’Article 5.2, troisième alinéa, et le droit de résiliation sans pénalité de la partie des Services concernée s’applique dans les mêmes conditions. |
Les Parties conviennent que, pour le Client, le retrait immédiat du traitement contesté constitue une protection supérieure à celle d’un préavis : un préavis laisse le traitement se poursuivre pendant toute sa durée, tandis que la désactivation fait cesser l’enregistrement dès l’opposition.
Le Sous-traitant ne tire de la présente stipulation aucune réduction du préavis de 30 jours de l’Article 5.2, et n’affirme pas avoir obtenu de ses propres sous-traitants ultérieurs un préavis de 30 jours.
Article 6 — Localisation des traitements et transferts hors de l’Union européenne
6.1 Infrastructure principale
L’infrastructure d’hébergement et de calcul de la Plateforme est située dans l’Union européenne :
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVHcloud | Exécution de l’application web, des traitements planifiés et du service de files d’attente ; stockage objet des médias produits par les agents et des ressources publiques | France — datacenters OVH, stockage objet région GRA (Gravelines) |
| Google Cloud | Exécution du back-end applicatif, de la passerelle vocale et du service de rendu vidéo, files de tâches, gestion des secrets | Union européenne — région europe-west1 (Belgique) |
| Supabase | Base de données, authentification | Allemagne — région AWS eu-central-1 (Francfort) ; société établie hors de l’Union européenne (Article 6.5) |
Le Client est informé que Supabase est une société établie hors de l’Union européenne (Supabase Pte. Ltd., Singapour) : la région configurée garantit la résidence de la base de données en Allemagne, non l’absence de transfert (Article 6.5).
Le Client est également informé que Google Cloud EMEA Limited, bien que contractant depuis l’Union européenne et opérant ses services depuis l’Union européenne, appartient à un groupe dont la société mère est soumise au droit des États-Unis, notamment au Clarifying Lawful Overseas Use of Data Act (« CLOUD Act »). Le Sous-traitant met en œuvre, pour limiter ce risque résiduel, les mesures de l’Annexe 2 : chiffrement en transit, chiffrement au repos, contrôle d’accès et journalisation.
6.2 Traitements donnant lieu à un transfert hors de l’Union européenne
Le fonctionnement de la Plateforme suppose le recours à des prestataires établis hors de l’Union européenne, notamment aux États-Unis. Sont concernés, selon les fonctionnalités que le Client active :
- une partie des fournisseurs de modèles d’intelligence artificielle, auxquels le contenu traité par les agents est soumis ;
- les prestataires de téléphonie et de synthèse vocale ;
- les prestataires d’envoi de courriers électroniques et de paiement ;
- les plateformes sociales et de messagerie que le Client connecte ;
- les prestataires d’enrichissement et d’extraction de données publiques mobilisés par les agents de prospection, de référencement et de veille ;
- le prestataire du bot de réunion, qui enregistre et transcrit les visioconférences du Client (Article 13 et Annexe 3, section 9).
L’identité de chacun, sa finalité, les catégories de données qui lui sont transmises et la localisation de son traitement figurent en Annexe 3.
Pour certains prestataires, la région de traitement n’est pas fixée par la configuration de la Plateforme, parce que le service est appelé sur un point d’accès mondial ou que la région relève d’un paramétrage contractuel. L’Annexe 3 le signale explicitement, prestataire par prestataire, plutôt que d’affirmer une localisation qui ne pourrait pas être démontrée.
6.3 Garanties encadrant les transferts
Conformément à l’article 11.5 des CGU, chaque transfert hors de l’Union européenne repose sur l’un des mécanismes prévus au chapitre V du RGPD :
- une décision d’adéquation de la Commission européenne, dont le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié ;
- les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), complétées le cas échéant par des mesures supplémentaires techniques, contractuelles ou organisationnelles ;
- toute garantie équivalente au sens des articles 46 et 47 du RGPD.
Le mécanisme applicable à chaque prestataire est tenu à jour sur la page publique des sous-traitants ultérieurs, qui signale les points en cours de vérification. Le Sous-traitant n’affirme pas qu’un prestataire nommé est certifié à tel ou tel cadre sans l’avoir établi.
6.4 Coopération sur les analyses d’impact du transfert
Le Sous-traitant fournit au Client, sur demande motivée, les éléments en sa possession nécessaires à une analyse d’impact relative aux transferts (Transfer Impact Assessment) : identité de l’importateur, nature des données transférées, finalité, mécanisme invoqué et mesures supplémentaires connues.
6.5 Portée exacte d’une région de traitement
Lorsqu’un prestataire est appelé sur une région de traitement située dans l’Union européenne, cette configuration garantit la résidence des ressources dans la région choisie — le lieu où les données sont stockées et calculées. Elle ne garantit pas, à elle seule, l’absence de transfert au sens du chapitre V du RGPD.
Il en va ainsi lorsque le prestataire est une société établie dans un pays tiers, que ses conditions de traitement autorisent des transferts hors de l’Espace économique européen, ou que son personnel d’exploitation et de support peut accéder aux données à distance depuis un pays tiers. Un accès distant depuis un pays tiers à des données hébergées dans l’Union européenne constitue lui-même un transfert, qui doit reposer sur un mécanisme du chapitre V.
Le Sous-traitant n’écrit donc pas, pour un prestataire donné, que les données « ne quittent pas l’Union européenne » du seul fait qu’une région européenne a été sélectionnée. Il indique en Annexe 3 la région configurée, l’établissement du prestataire et le mécanisme de transfert applicable, et laisse le Client apprécier le risque résiduel. La situation du prestataire du bot de réunion est décrite à l’Article 13.3.
Article 7 — Assistance au Responsable de traitement
7.1 Droits des personnes concernées
Le Client est l’interlocuteur des personnes concernées pour les données qu’il traite via la Plateforme. Il lui appartient de répondre aux demandes d’exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement, directives post mortem).
Le Sous-traitant :
- transmet au Client toute demande d’exercice de droits qu’il recevrait directement d’une personne concernée relevant du périmètre du Client, sans y répondre lui-même sur le fond ;
- assiste le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, pour lui permettre de donner suite à ces demandes.
7.2 Moyens d’assistance disponibles
Le Sous-traitant dispose des moyens suivants, actionnés par lui sous le régime de l’Article 3.2 :
| Opération | Ce qu’elle produit |
|---|---|
| Recherche | Identification, à partir d’une adresse électronique, des enregistrements rattachés à cette personne. La recherche distingue le titulaire de compte (salarié ou mandataire du Client) et le tiers correspondant (par exemple l’invité d’une réservation, qui n’a jamais eu de compte) : une même adresse peut désigner ces deux personnes. |
| Export | Un fichier structuré, table par table, avec pour chaque bloc l’intitulé, la base légale, la durée annoncée, la durée effectivement appliquée et les lignes correspondantes. Les colonnes exportées sont énumérées de façon limitative ; aucun secret (jeton, mot de passe, clé) ne peut y figurer. |
| Déclaration des lacunes | L’export comporte un bloc « lacunes » nommant les catégories de données personnelles que la Plateforme détient et que l’outil n’extrait pas encore automatiquement — notamment le contenu des conversations et leur état interne, les mémoires des agents, les fiches de contact constituées par les automatisations et les lots de documents. Ces catégories font l’objet d’un traitement manuel sur demande. |
| Effacement | Révocation définitive des sièges et des jetons d’accès associés, remise à zéro du profil comportemental construit par la Plateforme, anonymisation des données nominatives de tiers dans les réservations, et avancement des échéances de purge. |
| Contrôle préalable à la suppression d’un compte | Le Sous-traitant vérifie et expose au demandeur, avant d’agir, ce que la suppression d’un compte détruirait chez les autres utilisateurs du Client (agents, conversations) et ce qui la ferait échouer techniquement. |
| Suppression du compte par l’utilisateur | Un utilisateur peut supprimer son propre compte depuis la Plateforme ; les jetons d’accès aux services tiers sont révoqués avant la suppression, et la preuve de cette révocation survit à la suppression. |
| Suppression des données issues de Meta | Parcours dédié, décrit sur la page app.agentsia.fr/legal/suppression-donnees-meta, incluant le traitement des demandes transmises par Meta et la remise d’un code de suivi. |
7.3 Limites
- L’inventaire automatisé n’est pas exhaustif : les catégories déclarées en « lacunes » font l’objet d’un traitement manuel, au cas par cas.
- L’effacement ne supprime pas le compte utilisateur : cette opération est déclenchée par la personne elle-même ou par le Client, une fois les blocages levés.
- Le journal des accès est conservé à titre de preuve et n’est effacé ni par la suppression du compte, ni par une demande d’effacement (article 17.3 e) du RGPD, et article 5.2 pour la démonstration de la conformité).
- La Plateforme ne propose pas d’export en libre-service : les exports sont produits par le Sous-traitant sur demande écrite du Client.
7.4 Délais
Le Sous-traitant traite les demandes d’assistance dans les délais suivants, à compter de la réception d’une demande écrite complète adressée à rgpd@agentsia.fr :
| Demande | Délai |
|---|---|
| Accusé de réception | 5 jours ouvrés |
| Transmission au Client d’une demande reçue d’une personne concernée | 5 jours ouvrés |
| Recherche, export ou effacement relatifs à une personne concernée | 15 jours ouvrés |
| Fourniture de documentation aux fins d’une analyse d’impact | 15 jours ouvrés |
Ces délais permettent au Client de tenir le délai d’un mois que l’article 12.3 du RGPD lui impose. Lorsqu’une demande porte sur une catégorie déclarée en « lacune » et suppose un traitement manuel, le Sous-traitant en informe le Client dès l’accusé de réception et convient avec lui d’un délai adapté.
7.5 Analyse d’impact et consultation préalable
Le Sous-traitant aide le Client, compte tenu de la nature du traitement et des informations à sa disposition, à respecter ses obligations au titre des articles 32 à 36 du RGPD, en lui communiquant la description des traitements (Annexe 1), les mesures de sécurité (Annexe 2), la liste des sous-traitants ultérieurs (Annexe 3) et les durées de conservation.
L’analyse d’impact relative à la protection des données (AIPD) et, le cas échéant, la consultation préalable de la CNIL relèvent du Client, responsable de traitement. Le Sous-traitant ne les établit pas à sa place.
Les traitements appelant une vigilance particulière du Client — enregistrement et transcription des appels téléphoniques, enregistrement des visioconférences par le bot de réunion, lecture d’une transcription produite par la plateforme de visioconférence du Client, lecture de la messagerie professionnelle — sont signalés en Annexe 1, § 4. Les obligations propres au bot de réunion, dont l’analyse d’impact, font en outre l’objet de l’Article 13.
Article 8 — Violation de données à caractère personnel
8.1 Notification au Client
Le Sous-traitant notifie au Client toute violation de données à caractère personnel affectant les Données du Client sans retard injustifié après en avoir pris connaissance, et au plus tard dans un délai de 72 heures, conformément à l’esprit de l’article 33.2 du RGPD.
La notification est adressée par courrier électronique à l’adresse de contact de l’espace du Client, ainsi qu’à toute adresse dédiée que le Client aurait communiquée par écrit.
8.2 Contenu de la notification
La notification décrit, dans la mesure des informations disponibles :
- la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ;
- le moment de la survenance et celui de la prise de connaissance par le Sous-traitant ;
- les conséquences probables de la violation ;
- les mesures prises ou proposées pour y remédier et pour en atténuer les éventuelles conséquences négatives ;
- le point de contact auprès duquel des informations complémentaires peuvent être obtenues ;
- le cas échéant, l’identité du sous-traitant ultérieur concerné.
Lorsque ces informations ne peuvent être réunies d’emblée, elles sont communiquées au fur et à mesure, de manière échelonnée, sans retard injustifié supplémentaire. Le caractère incomplet d’une information ne justifie pas de différer la notification initiale.
8.3 Rôles respectifs
La notification à l’autorité de contrôle (article 33) et, le cas échéant, la communication aux personnes concernées (article 34) incombent au Client, responsable de traitement. Le Sous-traitant ne procède à aucune notification ni communication au nom du Client sans instruction écrite de celui-ci.
Le Sous-traitant coopère avec le Client et lui fournit les éléments nécessaires à l’accomplissement de ces obligations.
8.4 Documentation
Le Sous-traitant documente toute violation affectant les Données du Client — faits, effets, mesures correctives — et tient cette documentation à la disposition du Client.
8.5 Violation affectant les traitements propres du Sous-traitant
Lorsqu’une violation affecte des traitements pour lesquels le Sous-traitant agit en qualité de responsable de traitement, celui-ci notifie la CNIL dans les 72 heures lorsque l’article 33 l’exige et informe, le cas échéant, les personnes concernées.
Article 9 — Sort des données en fin de contrat
9.1 Période de restitution
À compter de la date effective de cessation du contrat, quelle qu’en soit la cause, le Client dispose d’un délai de 30 jours calendaires pour demander la restitution des Données du Client.
Cette restitution prend la forme d’un export produit par le Sous-traitant sur demande écrite du Client. La Plateforme ne propose pas d’export en libre-service. Les Parties conviennent du périmètre et du format de l’export au moment de la demande, en fonction des données concernées ; le Sous-traitant fournit un format structuré et couramment utilisé lorsque la nature des données le permet.
Pendant cette période, les fonctionnalités d’exécution des agents peuvent être suspendues, la restitution demeurant possible, et aucune suppression irréversible n’est engagée par le Sous-traitant.
Il est rappelé qu’en application de l’article 13.4 des CGU, il appartient au Client de réaliser ses propres sauvegardes et exports périodiques en cours de contrat.
9.2 Suppression
À l’expiration du délai de 30 jours, le Sous-traitant supprime les Données du Client de ses systèmes actifs, sauf obligation légale de conservation.
Sur demande écrite du Client formulée avant l’expiration du délai, le Sous-traitant peut prolonger la période de restitution, aux conditions convenues entre les Parties, ou procéder à la suppression par anticipation.
Le Sous-traitant atteste par écrit de la suppression, sur demande du Client.
9.3 Sauvegardes
Les sauvegardes sont assurées par les infrastructures d’hébergement selon leur propre mécanisme et leur propre cycle de rotation. Les Données du Client présentes dans ces sauvegardes sont purgées à l’échéance de ce cycle et ne sont pas restaurées en exploitation courante ; elles ne peuvent l’être qu’aux fins de reprise après un incident portant sur l’ensemble du système.
Le Sous-traitant ne procède pas à une extraction ciblée des Données du Client à l’intérieur d’une sauvegarde : l’opération n’est pas praticable sur les mécanismes de sauvegarde de ses hébergeurs.
9.4 Données conservées au titre d’une obligation légale
Sont exclues de la suppression, jusqu’au terme du délai légal applicable :
- les données de facturation, conservées 10 ans au titre des obligations comptables (article L. 123-22 du code de commerce) ;
- le journal des accès aux données, conservé selon les durées de l’Annexe 1 en tant qu’élément de preuve.
Ces données ne font plus l’objet d’aucun traitement autre que leur conservation et, le cas échéant, leur production à l’autorité compétente.
Article 10 — Audit
10.1 Documentation fournie en première intention
Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de l’article 28 du RGPD : le présent Accord et ses annexes, la page publique des sous-traitants ultérieurs, la Politique de Confidentialité, et ses réponses écrites aux questionnaires de sécurité raisonnables du Client.
Les Parties conviennent que cette documentation constitue la réponse de première intention à toute demande de vérification, et qu’elle est, dans la généralité des cas, suffisante au regard de la nature des Services.
10.2 Audit
Lorsque cette documentation ne permet pas au Client de satisfaire à ses propres obligations, celui-ci peut faire réaliser un audit, pour les seuls points restés sans réponse, dans les conditions cumulatives suivantes :
| Condition | Modalité |
|---|---|
| Fréquence | Une fois par période de 12 mois. Un audit supplémentaire est possible à la suite d’une violation de données avérée affectant les Données du Client, ou sur injonction d’une autorité de contrôle. |
| Préavis | Préavis écrit raisonnable, et en tout état de cause d’au moins 30 jours calendaires, indiquant le périmètre, la méthode et l’identité des auditeurs. |
| Auditeur | Le Client ou un auditeur indépendant mandaté par lui, qui ne doit pas être un concurrent du Sous-traitant et qui est tenu à une obligation de confidentialité écrite. |
| Périmètre | Documentaire et déclaratif. L’audit n’ouvre aucun accès aux systèmes de production, aux données d’autres clients, ni aux infrastructures des sous-traitants ultérieurs, pour lesquelles le Sous-traitant relaie les demandes et transmet la documentation dont il dispose. |
| Déroulement | Pendant les heures ouvrées, sans perturbation disproportionnée de l’activité du Sous-traitant, et dans le respect du secret des affaires. |
| Frais | À la charge du demandeur, y compris les frais internes raisonnables engagés par le Sous-traitant pour l’accompagnement de l’audit. |
10.3 Suites de l’audit
Le rapport d’audit est communiqué au Sous-traitant, qui dispose d’un délai raisonnable pour formuler ses observations. Les Parties conviennent d’un plan d’action correctif pour les écarts avérés relevant du présent Accord. Le rapport est confidentiel.
Article 11 — Registre, coopération, responsabilité
11.1 Registre des activités de traitement
Le Sous-traitant tient et met à jour le registre des catégories d’activités de traitement effectuées pour le compte de ses clients, prévu à l’article 30.2 du RGPD. Ce registre est mis à la disposition de l’autorité de contrôle sur demande, et du Client dans les conditions de l’Article 10.
11.2 Point de contact
Le point de contact du Sous-traitant pour toute question relative au présent Accord, pour les demandes d’exercice de droits et pour les demandes d’assistance est : rgpd@agentsia.fr.
Le Sous-traitant n’a pas désigné de délégué à la protection des données au sens de l’article 37 du RGPD, une telle désignation n’étant pas obligatoire au regard de sa taille et de la nature de ses traitements. Les demandes sont traitées par son gérant.
11.3 Coopération avec la CNIL
Le Sous-traitant coopère avec la Commission nationale de l’informatique et des libertés (CNIL) et avec toute autre autorité de contrôle compétente dans l’exécution de ses missions.
Il informe le Client, sans délai et sauf interdiction légale, de toute demande, contrôle, mise en demeure ou procédure émanant d’une autorité de contrôle et portant sur les Données du Client, ainsi que de toute réquisition judiciaire ou administrative portant sur ces données.
11.4 Responsabilité
Chaque Partie assume les conséquences de ses propres manquements au RGPD et au présent Accord.
Le Sous-traitant n’est responsable du dommage causé par un traitement que s’il n’a pas respecté les obligations que le RGPD met spécifiquement à la charge des sous-traitants, ou s’il a agi en dehors des instructions licites du Client ou contrairement à celles-ci (article 82.2 du RGPD). Il est tenu à une obligation de moyens, conformément à l’article 14.1 des CGU.
Conformément à l’article 11.4 des CGU, le Client garantit le Sous-traitant contre tout recours d’une autorité de contrôle ou d’une personne concernée résultant d’un manquement du Client à ses obligations de responsable de traitement, notamment :
- l’absence ou l’insuffisance d’information des personnes concernées ;
- l’absence de base légale d’un traitement qu’il met en œuvre via la Plateforme ;
- le dépôt sur la Plateforme de données dont le traitement serait illicite ;
- le défaut d’accomplissement des formalités lui incombant (information du comité social et économique, analyse d’impact, consultation préalable).
Le plafond de responsabilité stipulé à l’article 14.3 des CGU et le délai d’action de l’article 14.5 des CGU s’appliquent au présent Accord, dans les limites permises par la loi. Ils ne s’appliquent pas aux sanctions administratives prononcées directement contre une Partie pour ses propres manquements, ni aux dommages résultant d’une faute lourde ou dolosive.
Article 12 — Intelligence artificielle
12.1 Transmission aux fournisseurs de modèles
Le contenu que les agents du Client traitent — messages échangés, documents déposés dans la base de connaissances, extraits de pages indexées, enregistrements audio et vidéo, instructions de configuration — est transmis aux fournisseurs de modèles d’intelligence artificielle aux seules fins de produire la réponse ou le livrable demandé.
Ces fournisseurs sont des sous-traitants ultérieurs. Ils sont nommés en Annexe 3, catégorie 2 et, pour la voix, en catégorie 3. Le Client choisit, pour chaque agent, le fournisseur de modèle utilisé parmi les options offertes par la Plateforme ; ce choix vaut instruction documentée au sens de l’Article 2.2.
12.2 Entraînement de modèles
Le Sous-traitant n’utilise pas les Données du Client pour entraîner, affiner ou évaluer un modèle d’intelligence artificielle, et ne les cède, ne les met à disposition ni ne les commercialise auprès d’aucun tiers à cette fin.
Le Sous-traitant ne développe pas de modèle d’intelligence artificielle : il intègre des modèles fournis par les tiers listés en Annexe 3.
12.3 Engagements des fournisseurs de modèles
Les conditions dans lesquelles chaque fournisseur de modèle utilise, ou s’interdit d’utiliser, les contenus qui lui sont soumis relèvent de ses propres conditions contractuelles, auxquelles le Client est renvoyé. Ces fournisseurs sont nommés en Annexe 3.
Le Sous-traitant privilégie, pour chaque fournisseur, les conditions professionnelles excluant l’utilisation des contenus soumis à des fins d’entraînement. Il ne garantit pas le contenu des engagements pris par ces tiers, sur lesquels il n’a pas de maîtrise, et communique au Client, sur demande, les éléments dont il dispose pour un fournisseur donné.
12.4 Traçage technique des exécutions
La Plateforme peut recourir à un outil de traçage technique des exécutions d’agents (Langfuse, Annexe 3, catégorie 6), destiné au diagnostic d’incident et au suivi des coûts. Lorsque cet outil est activé, il enregistre le contenu des instructions envoyées aux modèles et des réponses produites — c’est-à-dire le contenu des échanges entre les agents du Client et les modèles d’intelligence artificielle.
Cet outil est actif. Sa localisation figure en Annexe 3, catégorie 6.
12.5 Décision automatisée
La Plateforme produit des contenus, des propositions et des brouillons. Le Sous-traitant ne met en œuvre, pour son propre compte, aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l’égard des personnes concernées au sens de l’article 22 du RGPD.
Lorsque le Client configure un agent de manière à produire un effet automatique sur une personne (envoi d’un message, qualification d’un prospect, tri de candidatures), il lui appartient d’apprécier l’application de l’article 22 et d’aménager, le cas échéant, une intervention humaine.
Article 13 — Bot de réunion et enregistrement des visioconférences
13.1 Objet et nature du traitement
La Plateforme propose une fonctionnalité dite de bot de réunion. Sur demande d’un utilisateur du Client, ou selon une règle de participation automatique que celui-ci configure, un robot logiciel rejoint la visioconférence en qualité de participant et l’enregistre, afin qu’une transcription, puis un compte rendu, soient produits et mis à la disposition des agents du Client.
Le Client est expressément informé que ce traitement est, par sa nature, l’un des plus intrusifs de la Plateforme :
- l’enregistrement réalisé par le sous-traitant ultérieur porte sur la voix et sur l’image des participants, ainsi que sur le contenu de leurs échanges, y compris les messages écrits dans la conversation de la réunion ;
- sont également traités les noms affichés des participants, les horodatages de leurs prises de parole, les métadonnées de la réunion et le lien de connexion à celle-ci ;
- les personnes concernées comprennent les utilisateurs du Client, ses salariés, qui se trouvent à son égard en situation de subordination, et des tiers n’ayant aucune relation, contractuelle ou autre, avec le Sous-traitant ;
- un participant n’a, le plus souvent, aucun moyen de connaître l’existence du traitement autrement que par l’information que le Client et la Plateforme lui délivrent au moment de la réunion.
La description complète du traitement figure en Annexe 1, § 3.8, et les obligations qu’il fait peser sur le Client sont rappelées en Annexe 1, § 4 c).
13.2 Distinction avec les transcriptions fournies par la plateforme de visioconférence
Le présent Article ne concerne pas la lecture d’une transcription produite par la plateforme de visioconférence du Client elle-même (notamment la transcription native de Microsoft Teams), décrite en Annexe 1, § 3.4. Dans cette hypothèse, aucun robot ne rejoint la réunion : la Plateforme se borne à lire, avec les autorisations que le Client a accordées, un document que son propre outil a déjà constitué.
Les deux traitements sont distincts par leur intrusivité comme par leurs destinataires, et ne doivent pas être confondus : l’information des participants, l’appréciation de la base légale et l’analyse de risque qu’ils appellent sont différentes.
13.3 Sous-traitant ultérieur, région de traitement et transferts
L’enregistrement, l’assemblage des flux et la transcription sont réalisés par Recall.ai, service édité par Hyperdoc Inc., qui intervient en qualité de sous-traitant ultérieur au sens de l’Article 5. Son identité, sa fonction, les catégories de données qui lui sont transmises et ses propres sous-traitants figurent en Annexe 3, section 9.
| Élément | Situation |
|---|---|
| Région configurée | La Plateforme appelle exclusivement le point d’accès de la région eu-central-1 (Francfort, Allemagne). Cette configuration est imposée par le paramétrage technique du service : hors de cette région, la fonctionnalité ne démarre pas. |
| Établissement du prestataire | Hyperdoc Inc. est une société de droit des États-Unis, où se situent ses opérations principales de traitement. |
| Existence d’un transfert | Conformément à l’Article 6.5, la région eu-central-1 garantit la résidence des ressources à Francfort, et non l’absence de transfert. Les conditions de traitement du prestataire autorisent des transferts hors de l’Espace économique européen, et un accès distant depuis les États-Unis à des données hébergées à Francfort constitue lui-même un transfert. Le Sous-traitant n’affirme donc pas que les données de réunion ne quittent pas l’Union européenne. |
| Mécanisme de transfert | Clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), module 3 (sous-traitant à sous-traitant ultérieur), conformément à l’accord de traitement du prestataire. Le droit applicable à ces clauses et les juridictions compétentes sont irlandais. |
| Absence de certification à une décision d’adéquation | Hyperdoc Inc. n’est pas certifié au cadre de protection des données UE–États-Unis (Data Privacy Framework). Ce cadre n’est en conséquence invoqué pour ce prestataire ni dans le présent Accord, ni sur la page publique des sous-traitants ultérieurs. |
| Représentant au titre de l’article 27 du RGPD | Instant EU GDPR Representative Ltd, Dublin, Irlande. |
| Certifications | Le prestataire déclare disposer d’une attestation SOC 2, d’une certification ISO/IEC 27001 et de conformités HIPAA et CCPA. Ces éléments sont rapportés tels que le prestataire les publie. Conformément à l’Article 4.2, le Sous-traitant ne les a pas vérifiés, n’en revendique aucun pour lui-même et n’en garantit pas la portée. |
Les sous-traitants auxquels Recall.ai recourt pour ce traitement sont énumérés en Annexe 3, section 9. Le Client est spécialement informé que le prestataire de supervision et de journalisation de Recall.ai traite aux États-Unis comme dans l’Union européenne, et que ses journaux sont susceptibles de porter des métadonnées de réunion.
Recall.ai étant un sous-traitant ultérieur que le Sous-traitant engage directement, tout changement le concernant — remplacement ou abandon — relève du préavis de 30 jours de l’Article 5.2. Les changements survenant à l’intérieur de sa propre chaîne de sous-traitance relèvent en revanche du régime de l’Article 5.5, le contrat du prestataire n’accordant au Sous-traitant qu’un préavis de 10 jours à leur égard.
13.4 Durées de conservation
| Donnée | Durée |
|---|---|
| Enregistrement audio et vidéo chez le sous-traitant ultérieur | Supprimé dès que la transcription a été récupérée, soit en pratique quelques dizaines de secondes après la sortie du robot, et en tout état de cause dans un délai de 72 heures. |
| Enregistrement audio et vidéo chez le Sous-traitant | Aucune copie n’est conservée : l’enregistrement n’est pas transféré sur les infrastructures du Sous-traitant. |
| Transcription (texte, segments, intervenants, liste des participants) | 6 mois à compter de la fin de la réunion. |
| Compte rendu, analyse et source de base de connaissances qui en sont tirés | 12 mois à compter de la fin de la réunion. |
| Lien de connexion à la réunion, conservé sous forme chiffrée, et son empreinte | 24 heures après la fin de la réunion. |
| Session sans contenu, en échec ou annulée | 30 jours, artefacts partiels compris. |
| Session ayant fait l’objet d’une opposition | Contenu supprimé immédiatement ; la ligne résiduelle, réduite aux seules données nécessaires au constat de l’opposition, est conservée 30 jours. |
| Charges utiles des notifications techniques reçues du sous-traitant ultérieur | 30 jours. |
| Traces de demande, de consentement, d’opposition et de purge | Selon la politique du journal des accès, Annexe 1, § 6. |
Par exception à la pratique décrite en Annexe 1, § 6, ces durées ne sont pas de simples engagements appliqués sur demande : une échéance de purge est inscrite sur la session dès l’entrée dans un état terminal, et l’effacement est exécuté automatiquement à cette échéance.
13.5 Information délivrée par le Sous-traitant
Le Sous-traitant met en œuvre, dans la Plateforme, les dispositifs d’information suivants. Ils assistent le Client sans le dispenser de ses propres obligations, qui demeurent celles de l’Article 13.6 :
| Dispositif | Contenu |
|---|---|
| Nom du robot | Le robot se présente dans la liste des participants sous un nom comportant la mention explicite qu’il enregistre. |
| Message dans la conversation de la réunion | Un message est publié dans la conversation à l’arrivée du robot, puis à l’arrivée de chaque nouveau participant, afin qu’un participant tardif en soit également informé. Il nomme l’entreprise responsable du traitement, l’utilisateur qui a demandé l’enregistrement, la finalité, la durée de conservation, et renvoie à la page publique d’information. |
| Image diffusée par le robot | Le robot diffuse une image indiquant qu’un enregistrement est en cours. |
| Page publique générique | Une page d’information est publiée à l’adresse app.agentsia.fr/enregistrement. Elle est accessible sans compte, sans mesure d’audience et sans bandeau de consentement. |
| Page publique propre à la réunion | Un lien, porté par le message publié dans la conversation, ouvre une page consacrée à la réunion concernée : responsable de traitement, contact, finalité, base légale invoquée par le Client, destinataires et sous-traitants ultérieurs — transferts compris —, durées de conservation, droits des personnes, droit de réclamation auprès de la CNIL, et bouton d’opposition. |
Le Sous-traitant ne garantit pas qu’un participant lira effectivement ces mentions. Elles ne tiennent lieu ni d’information préalable, ni de recueil de consentement : celui-ci, lorsqu’il est requis, relève du Client.
13.6 Obligations du Client, responsable de traitement
Le Client, responsable de traitement, s’engage, préalablement à toute utilisation du bot de réunion :
- à informer les participants de l’existence de l’enregistrement, de sa finalité, de l’identité du responsable de traitement, des destinataires et des sous-traitants ultérieurs, de l’existence de transferts hors de l’Union européenne, des durées de conservation et de leurs droits — cette information devant intervenir avant le début de l’enregistrement, et non seulement pendant celui-ci ;
- à déterminer et documenter la base légale du traitement, en appréciant si l’intérêt légitime peut être invoqué ou si le consentement est requis au regard du contexte, notamment en matière de ressources humaines ;
- lorsque des salariés sont enregistrés, à les informer individuellement et à informer et consulter préalablement le comité social et économique lorsqu’il en existe un (article L. 2312-38 du code du travail) ;
- à apprécier la nécessité d’une analyse d’impact relative à la protection des données au sens de l’article 35 du RGPD et, s’il y a lieu, à la réaliser avant le premier enregistrement. Le Sous-traitant signale que ce traitement réunit plusieurs des critères de risque retenus par la CNIL — données de voix et d’image, personnes vulnérables du fait d’un lien de subordination, personnes concernées tierces, usage d’intelligence artificielle, transfert hors de l’Union européenne —, et qu’une analyse d’impact est en conséquence, selon lui, très probablement requise ;
- à ne pas enregistrer de réunion à l’insu de ses participants ;
- à ne pas enregistrer de réunion portant sur des catégories particulières de données au sens de l’article 9 du RGPD, notamment des données de santé, sans base légale adaptée et sans l’information écrite préalable prévue à l’Annexe 1, § 5 ;
- à ne pas activer de participation automatique indifférenciée à l’ensemble de ses réunions sans règles d’exclusion, et à exclure les réunions dont l’objet rend l’enregistrement inapproprié ;
- à restreindre l’accès aux transcriptions et aux comptes rendus aux seules personnes qui en ont besoin, au moyen des rôles et des réglages de visibilité de la Plateforme ;
- à inscrire ce traitement à son registre des activités de traitement.
Conformément à l’Article 11.4, le Client garantit le Sous-traitant contre tout recours résultant d’un manquement à ces obligations, notamment du défaut d’information des participants, de l’absence de base légale et du défaut d’accomplissement des formalités lui incombant.
13.7 Attestation préalable et activation par espace de travail
Le bot de réunion n’est pas actif par défaut. Son activation pour l’espace du Client suppose qu’un utilisateur disposant du rôle de propriétaire atteste auprès du Sous-traitant que le Client satisfait aux obligations de l’Article 13.6, points 1 à 3. L’attestation est tracée — date et empreinte du texte attesté —, son texte n’étant pas conservé.
Le retrait de cette attestation referme l’espace du Client. La participation automatique du robot suppose, en outre, un accord distinct de l’utilisateur concerné.
Le Sous-traitant peut désactiver immédiatement le bot de réunion pour l’espace d’un Client, par ce même réglage, dans les cas prévus à l’Article 5.5 ou sur demande écrite du Client. La désactivation prend effet instantanément et n’affecte pas les transcriptions déjà produites, dont le sort suit l’Article 13.4.
13.8 Opposition d’un participant
Toute personne peut s’opposer à l’enregistrement d’une réunion à laquelle elle participe, par le bouton de la page publique propre à la réunion ou par tout moyen porté à la connaissance du Client ou du Sous-traitant.
L’opposition fait cesser le traitement : le robot quitte la réunion ou renonce à l’enregistrer, le contenu déjà collecté est supprimé dans les conditions de l’Article 13.4, et le jeton d’accès à la page publique est invalidé. La trace de l’opposition est conservée à titre de preuve, sans le contenu de la réunion.
L’appréciation des conséquences de l’opposition au regard de l’article 21 du RGPD, et l’information de la personne qui s’est opposée, relèvent du Client.
13.9 Assistance aux droits des participants tiers
Les moyens d’assistance de l’Article 7.2 s’appliquent aux réunions enregistrées, avec les particularités suivantes :
- un participant tiers n’a pas de compte sur la Plateforme : il est identifié par le nom affiché lors de la réunion et par les intervenants des segments de transcription, et non par une adresse électronique. La recherche est, pour cette raison, moins fiable que pour un titulaire de compte ;
- l’effacement s’opère par la purge de la session concernée ;
- l’anonymisation sélective des seules interventions d’un participant au sein d’une transcription conservée n’est pas disponible à ce jour.
Le Sous-traitant transmet au Client, sans y répondre lui-même sur le fond, toute demande qu’un participant lui adresserait directement, conformément à l’Article 7.1.
Article 14 — Dispositions finales
14.1 Modification. Le Sous-traitant peut modifier le présent Accord pour tenir compte d’une évolution légale, réglementaire, jurisprudentielle ou d’une décision d’une autorité de contrôle, dans les conditions de l’article 18 des CGU. Toute modification substantielle est notifiée au Client 30 jours avant son entrée en vigueur. Le Client qui s’y oppose pour un motif raisonnable tenant à la protection des données peut résilier dans les conditions de l’Article 5.2.
14.2 Nullité partielle. Si une stipulation du présent Accord est déclarée nulle ou inapplicable, les autres demeurent en vigueur ; les Parties lui substituent une stipulation valide d’effet équivalent.
14.3 Droit applicable, médiation et juridiction. Le présent Accord est soumis au droit français, à l’exclusion de ses règles de conflit de lois. Conformément à l’article 24 des CGU, les Parties s’efforcent de trouver une solution amiable préalablement à toute action contentieuse. À défaut de résolution amiable, compétence exclusive est attribuée au Tribunal de commerce de Créteil, conformément à l’article 25 des CGU.
Annexe 1 — Description des traitements
1. Nature et finalité générale
Le Sous-traitant héberge et exécute, pour le compte du Client, des agents d’intelligence artificielle qui traitent des données à caractère personnel afin de fournir les fonctionnalités que le Client active : conversation avec les visiteurs et clients du Client, prise et émission d’appels téléphoniques, assistance sur la messagerie et l’agenda professionnels, production et publication de contenus, exploitation d’une base de connaissances documentaire, et administration des comptes des utilisateurs du Client.
Les opérations comprennent : la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation, l’extraction, la consultation, l’utilisation, la transmission aux sous-traitants ultérieurs listés en Annexe 3, le rapprochement, la limitation, l’effacement et la destruction.
2. Catégories de personnes concernées
- Utilisateurs du Client : salariés, membres, mandataires et prestataires du Client disposant d’un compte sur la Plateforme ;
- Clients et prospects du Client ;
- Correspondants du Client : interlocuteurs de sa messagerie professionnelle, participants à ses réunions, invités de ses réservations ;
- Participants aux visioconférences enregistrées par le bot de réunion : utilisateurs du Client, salariés du Client, qui se trouvent à son égard en situation de subordination, et tiers n’ayant aucune relation, contractuelle ou autre, avec le Sous-traitant — clients, prospects, fournisseurs, candidats, conseils et autres interlocuteurs externes conviés à la réunion ;
- Visiteurs du site web du Client interagissant avec un agent conversationnel ;
- Personnes appelantes ou appelées par un agent téléphonique ;
- Auteurs de messages et de commentaires reçus sur les comptes de réseaux sociaux connectés par le Client.
3. Catégories de données et traitements par domaine
3.1 Contacts, prospects et clients du Client
| Finalité | Constitution et tenue de fiches, qualification, enrichissement, suivi commercial, synchronisation avec le CRM du Client. |
| Données | Identité (nom, prénom, civilité), coordonnées professionnelles (adresse électronique, téléphone, adresse postale), entreprise et fonction, historique des échanges, notes et qualifications produites par les agents, données d’entreprise publiques (raison sociale, SIREN). |
| Durée | Durée de vie du compte du Client. Voir § 6. |
3.2 Conversations de chatbot (site web et WhatsApp)
| Finalité | Répondre aux visiteurs et clients du Client, qualifier une demande, collecter les informations que le Client a paramétrées, transmettre au Client. |
| Données | Contenu intégral des messages échangés, horodatages, identifiants techniques de conversation, identifiant et nom du compte WhatsApp ou du profil transmis par la plateforme d’origine, pièces jointes, transcription des messages vocaux, données de consentement recueillies par le dispositif de la Plateforme, adresse IP et données de navigation pour le canal web. |
| Durée | Durée de vie du compte du Client. Voir § 6. |
3.3 Appels téléphoniques entrants et sortants
| Finalité | Prise d’appels entrants, campagnes d’appels sortants, qualification, prise de rendez-vous, compte rendu au Client. |
| Données | Enregistrements audio des appels, transcriptions intégrales, métadonnées d’appel (numéro appelant, numéro appelé, date, heure, durée, sens de l’appel, identifiant technique), contenu et qualification issus de la conversation. |
| Durée | Durée de vie du compte du Client. Voir § 4 et § 6. |
3.4 Messagerie et agenda professionnels (Microsoft Outlook, Google Workspace)
| Finalité | Lecture de la messagerie et de l’agenda de l’utilisateur, production de synthèses et de briefs, rédaction de brouillons de réponse, envoi d’un message sur action explicite de l’utilisateur, création et modification d’événements d’agenda. |
| Données | Jetons d’accès délivrés par le fournisseur, contenu et métadonnées des messages électroniques, identité des expéditeurs et destinataires, événements d’agenda et leurs participants, transcriptions de réunions produites par la plateforme de visioconférence du Client lorsque la fonctionnalité est activée. |
| Durée | Les jetons d’accès sont effacés à la déconnexion de l’intégration ou à la révocation du siège. Le contenu rédigé des briefs quotidiens est effacé au bout de 30 jours ; la ligne correspondante, réduite aux statistiques d’ouverture, est supprimée au bout d’un an. Ces deux effacements sont exécutés automatiquement, chaque nuit. |
3.5 Réseaux sociaux et fiche d’établissement connectés
| Finalité | Publication et programmation de contenus, lecture des statistiques d’engagement, réponse aux messages privés et commentaires selon les intégrations activées par le Client. |
| Services concernés | LinkedIn, Facebook, Instagram, Messenger, Threads, WhatsApp Business, Google Business Profile, X (Twitter) — selon ce que le Client connecte. |
| Données | Jetons d’accès, identifiants et noms des pages et comptes connectés, contenus publiés et leurs statistiques, messages privés et commentaires reçus avec l’identifiant, le nom, le nom d’utilisateur et la photo de profil de leurs auteurs tels que transmis par la plateforme d’origine, pièces jointes, transcription des messages vocaux. |
| Durée | Durée de vie du compte du Client. La déconnexion d’un compte depuis la page Intégrations coupe immédiatement l’accès et efface les jetons et les données de cette connexion. |
3.6 Documents déposés et base de connaissances
| Finalité | Alimenter les réponses des agents, extraire des champs structurés, produire des livrables (tableaux, rapports, archives), répondre à des questions sur le fonds documentaire du Client. |
| Données | Toute donnée personnelle contenue dans les fichiers déposés par le Client, ainsi que les extraits vectorisés, les champs extraits et le journal de traitement des lots. |
| Durée | Durée de vie du compte du Client. Voir § 6. |
3.7 Comptes des utilisateurs du Client
| Finalité | Création et authentification des comptes, gestion des rôles et des espaces de travail, invitations, attribution des sièges, journalisation des accès, support. |
| Données | Nom et prénom, adresse électronique professionnelle, entreprise, mot de passe sous forme de condensat salé, rôle et appartenance aux espaces de travail, préférences, journaux de connexion et d’activité, adresse IP, type de navigateur et de système d’exploitation, pages consultées. |
| Durée | Voir § 6. |
3.8 Réunions enregistrées par le bot de réunion
| Finalité | Enregistrement d’une visioconférence du Client par un robot logiciel qui y participe, afin d’en produire une transcription puis un compte rendu, de l’intégrer à la base de connaissances du Client et de le mettre à la disposition de ses agents. |
| Mise en œuvre | Le robot rejoint la réunion en qualité de participant et l’enregistre, à la demande d’un utilisateur du Client ou selon une règle de participation automatique que celui-ci configure. La fonctionnalité n’est pas active par défaut : voir Article 13.7. |
| Données | Voix et image des participants, captées par l’enregistrement réalisé par le sous-traitant ultérieur ; contenu intégral des échanges et messages écrits dans la conversation de la réunion ; noms affichés des participants ; horodatages des interventions et identification de l’intervenant pour chaque segment ; métadonnées de la réunion (plateforme, date, heure, durée, identifiants techniques, événement d’agenda correspondant) ; lien de connexion à la réunion, conservé sous forme chiffrée ; transcription, compte rendu et analyse qui en sont tirés. |
| Personnes concernées | Tous les participants à la réunion, y compris les salariés du Client et les tiers sans relation avec le Sous-traitant (voir § 2). |
| Destinataires | Le sous-traitant ultérieur chargé de l’enregistrement et de la transcription (Annexe 3, section 9) ; le fournisseur de modèle d’intelligence artificielle qui produit le compte rendu, auquel la transcription est soumise (Annexe 3, catégorie 2, dont la localisation n’est pas déterminée par la configuration) ; les utilisateurs du Client habilités selon le réglage de visibilité retenu. |
| Durée | Transcription 6 mois, compte rendu et analyse 12 mois. Enregistrement audio et vidéo supprimé chez le sous-traitant ultérieur dès la récupération de la transcription et jamais copié chez le Sous-traitant. Détail complet : Article 13.4 et § 6. |
4. Traitements appelant une vigilance particulière du Client
Les traitements suivants sont, par nature, les plus exposés. Le Sous-traitant les signale expressément ; les obligations qu’ils emportent pèsent sur le Client, responsable de traitement.
a) Enregistrements et transcriptions d’appels téléphoniques.
- Information des personnes : toute personne appelante ou appelée doit être informée, avant l’enregistrement, de son existence, de sa finalité, de l’identité du responsable de traitement, de la durée de conservation et de ses droits. L’information doit intervenir au début de l’appel.
- Base légale : l’enregistrement systématique de l’intégralité des appels est rarement justifiable au titre de l’intérêt légitime. Le Client apprécie la base légale applicable et, lorsque le consentement est requis, s’assure qu’il est libre, spécifique, éclairé et univoque, et qu’un refus laisse subsister un moyen de joindre l’entreprise.
- Minimisation : le Client détermine si l’enregistrement audio est nécessaire ou si la seule transcription, voire le seul compte rendu, suffit à la finalité poursuivie.
- Salariés du Client : lorsque des salariés participent aux appels enregistrés, le dispositif est susceptible de permettre le contrôle de leur activité. Le Client doit les informer individuellement et consulter préalablement le comité social et économique lorsqu’il en existe un (article L. 2312-38 du code du travail).
- Analyse d’impact : un enregistrement systématique d’appels, couplé à une analyse automatisée, entre dans plusieurs critères de la liste des traitements soumis à AIPD. Le Client apprécie la nécessité d’en réaliser une.
- Accès et conservation : le Client restreint l’accès aux enregistrements aux seules personnes qui en ont besoin et définit une durée de conservation proportionnée. La Plateforme ne propose pas encore de réglage de durée de conservation par espace de travail (§ 6).
b) Transcriptions de réunions produites par la plateforme de visioconférence du Client. Mêmes exigences d’information et de base légale à l’égard de l’ensemble des participants, y compris externes, avant le début de l’enregistrement. La Plateforme se borne ici à lire un document que l’outil du Client a constitué ; aucun robot ne rejoint la réunion.
c) Enregistrement des visioconférences par le bot de réunion. Ce traitement est l’un des plus intrusifs que la Plateforme met en œuvre et se distingue du précédent : un robot logiciel rejoint la réunion en qualité de participant et l’enregistre.
- Information des personnes : tous les participants doivent être informés avant le début de l’enregistrement de son existence, de sa finalité, de l’identité du responsable de traitement, des destinataires et sous-traitants ultérieurs, de l’existence de transferts hors de l’Union européenne, de la durée de conservation et de leurs droits. Les dispositifs de l’Article 13.5 — nom du robot, message publié dans la conversation à chaque arrivée, image d’enregistrement en cours, pages publiques — assistent le Client, mais ne le dispensent pas de prévenir les participants en amont, notamment dans l’invitation.
- Base légale : le Client apprécie si l’intérêt légitime peut être invoqué ou si le consentement est requis, en tenant compte du contexte, en particulier en matière de ressources humaines.
- Tiers sans relation avec le Sous-traitant : des personnes extérieures à l’entreprise du Client sont enregistrées. Le Client est, pour elles, le seul interlocuteur identifiable.
- Salariés du Client : lorsque des salariés sont enregistrés, le dispositif est susceptible de permettre le contrôle de leur activité. Le Client doit les informer individuellement et informer et consulter préalablement le comité social et économique lorsqu’il en existe un (article L. 2312-38 du code du travail).
- Analyse d’impact relative à la protection des données : ce traitement réunit plusieurs critères de risque — données de voix et d’image, personnes vulnérables du fait d’un lien de subordination, personnes concernées tierces, usage d’intelligence artificielle, transfert hors de l’Union européenne. Le Sous-traitant considère qu’une analyse d’impact au sens de l’article 35 du RGPD est très probablement requise du Client employeur, et qu’elle doit être achevée avant le premier enregistrement.
- Minimisation : le Client détermine si l’enregistrement de l’ensemble de ses réunions est nécessaire, pose des règles d’exclusion et s’abstient d’activer une participation automatique indifférenciée.
- Accès : le Client restreint l’accès aux transcriptions et aux comptes rendus au moyen des rôles et des réglages de visibilité de la Plateforme.
- Opposition : toute opposition d’un participant fait cesser le traitement (Article 13.8).
d) Lecture de la messagerie professionnelle. La lecture par un agent de la messagerie d’un utilisateur donne accès aux échanges de ses correspondants, qui ne sont pas utilisateurs de la Plateforme. Le Client informe ses salariés du périmètre exact de la fonctionnalité et respecte le principe du secret des correspondances.
e) Messages privés reçus sur les réseaux sociaux. Le Client informe les personnes qui écrivent à son entreprise du recours à un agent automatisé et des conditions de traitement de leurs messages.
5. Données sensibles
La Plateforme n’est pas conçue pour le traitement des catégories particulières de données visées à l’article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d’identification, données de santé, vie sexuelle ou orientation sexuelle), ni des données visées à l’article 10 (condamnations pénales et infractions).
Le Sous-traitant ne met en œuvre aucune mesure de sécurité spécifique à ces catégories au-delà de celles de l’Annexe 2. Le Client qui envisagerait de traiter de telles données via la Plateforme — hypothèse plausible pour les documents déposés — en informe préalablement le Sous-traitant par écrit, afin que les Parties conviennent des mesures complémentaires nécessaires ou, à défaut, que l’usage soit écarté.
6. Durées de conservation
Les durées ci-dessous sont alignées sur la Politique de Confidentialité publiée.
| Catégorie | Durée |
|---|---|
| Données de compte | Durée du compte, puis 3 ans après sa fermeture |
| Données de facturation | 10 ans (obligation légale) |
| Données de connexion | 12 mois |
| Conversations et interactions avec les agents (chatbot, appels téléphoniques, enregistrements et transcriptions d’appels), à l’exclusion des réunions enregistrées par le bot de réunion, qui suivent les durées ci-dessous | Durée de vie du compte. La Plateforme ne propose pas encore de réglage de durée de conservation par espace de travail : tant que ce réglage n’existe pas, la suppression intervient à la clôture du compte ou sur demande |
| Réunions enregistrées par le bot de réunion — enregistrement audio et vidéo chez le sous-traitant ultérieur | Supprimé dès la récupération de la transcription, et en tout état de cause dans un délai de 72 heures. Aucune copie n’est conservée par le Sous-traitant |
| Réunions enregistrées par le bot de réunion — transcription (texte, segments, intervenants, participants) | 6 mois après la fin de la réunion |
| Réunions enregistrées par le bot de réunion — compte rendu, analyse et source de base de connaissances | 12 mois après la fin de la réunion |
| Réunions enregistrées par le bot de réunion — lien de connexion (chiffré) et son empreinte | 24 heures après la fin de la réunion |
| Réunions enregistrées par le bot de réunion — session sans contenu, en échec ou annulée | 30 jours, artefacts partiels compris |
| Réunions enregistrées par le bot de réunion — session ayant fait l’objet d’une opposition | Contenu supprimé immédiatement ; ligne résiduelle réduite conservée 30 jours |
| Réunions enregistrées par le bot de réunion — charges utiles des notifications techniques du sous-traitant ultérieur | 30 jours |
| Briefs quotidiens de l’assistant — contenu rédigé | 30 jours |
| Briefs quotidiens de l’assistant — ligne réduite aux statistiques d’ouverture | 1 an |
| Journal des accès aux données (qui a consulté quoi, quand, au nom de qui) | 1 an, porté à 3 ans pour les accès du support et pour les actes réalisés en réponse à une demande d’exercice de droits. Ce journal constitue un élément de preuve : il n’est effacé ni par la suppression du compte, ni par une demande d’effacement |
Distinction entre engagement et automatisation. Les durées relatives à l’assistant (briefs, journal d’accès) et celles du bot de réunion sont appliquées automatiquement : pour le bot de réunion, une échéance de purge est inscrite sur la session dès son entrée dans un état terminal, et l’effacement est exécuté à cette échéance. Les autres durées sont les durées maximales que le Sous-traitant s’engage à respecter : elles sont aujourd’hui appliquées sur demande et à la clôture du compte, l’effacement automatique à échéance étant en cours de mise en œuvre.
7. Localisation des traitements
Voir Article 6 et Annexe 3.
Annexe 2 — Mesures techniques et organisationnelles de sécurité
1. Chiffrement
- Chiffrement en transit : les communications entre les navigateurs et la Plateforme, et entre la Plateforme et les services tiers, empruntent HTTPS/TLS. L’accès au service de files d’attente est établi en TLS.
- Chiffrement au repos : assuré par les infrastructures d’hébergement pour la base de données et le stockage objet.
- Mots de passe : jamais stockés en clair, conservés sous forme de condensats salés par le service d’authentification.
- Secrets d’exploitation : clés d’API et identifiants techniques conservés dans le gestionnaire de secrets du fournisseur d’infrastructure, jamais dans le code source.
2. Cloisonnement par locataire
- Cloisonnement au niveau de la base de données : les données de chaque espace de travail sont isolées par des politiques de sécurité au niveau des lignes (row level security), appliquées par le moteur de base de données et non par la seule application.
- Rattachement systématique à l’entreprise : les requêtes applicatives résolvent le contexte d’entreprise de l’utilisateur avant d’accéder aux données ; un identifiant de ressource seul ne suffit pas à y accéder.
3. Contrôle d’accès
- Rôles applicatifs : les utilisateurs du Client disposent de rôles (propriétaire, administrateur, membre) déterminant leurs droits dans l’espace de travail.
- Moindre privilège : les accès internes du Sous-traitant sont limités à ce qui est nécessaire à l’exercice de ses missions.
- Bris de glace : justification écrite obligatoire, opération et personne concernée déterminées, durée limitée (60 minutes par défaut, 8 heures au maximum), traçabilité et notification par courrier électronique à la personne concernée. Ce dispositif couvre les opérations d’exercice des droits et la consultation des données d’un utilisateur nommément désigné (Article 3.2).
- Séparation des environnements : l’environnement de développement est distinct de l’environnement de production.
4. Journalisation
- Journal des accès aux données : chaque acte d’accès du support ou d’exercice de droits est inscrit avec l’acteur, le motif, l’opération, l’horodatage et la personne concernée. Conservation : 1 an, portée à 3 ans pour les accès du support et les actes d’exercice de droits.
- Journalisation applicative : chaque étape significative d’un traitement (entrée de requête, décision de routage, appel externe et son résultat, sortie nominale ou en erreur) est journalisée avec son contexte.
- Minimisation dans les journaux : les jetons, mots de passe et clés d’API n’y sont jamais écrits en clair. Les journaux peuvent contenir des adresses électroniques et des numéros de téléphone ; ils sont soumis aux mêmes contrôles d’accès que les données.
5. Sauvegardes
Les sauvegardes de la base de données et du stockage objet sont assurées par les infrastructures d’hébergement, selon leur propre mécanisme et leur propre cycle de rotation (Article 9.3). Conformément à l’article 13.4 des CGU, il appartient au Client de réaliser ses propres sauvegardes et exports périodiques.
5 bis. Supervision
- Alertes d’indisponibilité : la disponibilité des services est surveillée en continu et toute anomalie déclenche une alerte par courrier électronique.
- Sondes externes : des sondes indépendantes de l’infrastructure de la Plateforme vérifient toutes les 5 minutes la disponibilité des services et la validité de leurs certificats.
6. Ce que le Sous-traitant ne revendique pas
Le Sous-traitant est une entreprise unipersonnelle. Il indique ci-dessous, sans détour, les mesures qu’il ne met pas en œuvre à ce jour, afin que le Client en tienne compte dans sa propre analyse de risque :
- aucune certification ISO/IEC 27001, aucun rapport SOC 2, aucun agrément d’hébergeur de données de santé, aucun label ni code de conduite approuvé au sens des articles 40 et 42 du RGPD ;
- pas d’authentification multifacteur généralisée sur les accès d’administration ;
- pas de revue périodique formalisée des accès internes ;
- pas de processus formalisé de gestion des vulnérabilités et des correctifs ;
- pas de chiffrement applicatif systématique des jetons d’accès aux services tiers au-delà du chiffrement au repos assuré par les hébergeurs ;
- pas de chiffrement systématique des flux internes à l’infrastructure applicative ;
- pas de sauvegarde propre de l’infrastructure applicative, au-delà de celles de la base de données et du stockage objet ;
- pas de test de restauration de sauvegarde documenté, ni de plan de reprise d’activité assorti d’objectifs chiffrés de temps de reprise et de perte de données ;
- pas de programme périodique de sensibilisation à la protection des données ;
- aucun test d’intrusion externe réalisé à ce jour ;
- pas d’équipe de sécurité dédiée ni de supervision de sécurité en continu ;
- aucune vérification des certifications déclarées par les sous-traitants ultérieurs. Le prestataire du bot de réunion déclare notamment une attestation SOC 2, une certification ISO/IEC 27001 et des conformités HIPAA et CCPA (Article 13.3) : le Sous-traitant rapporte ces éléments tels que ce prestataire les publie, ne les a pas contrôlés, n’a pas audité son infrastructure et n’en garantit pas la portée ;
- aucune garantie que les données de réunion ne quittent pas l’Union européenne. La région de traitement européenne configurée chez le prestataire du bot de réunion garantit la résidence des ressources, non l’absence de transfert (Articles 6.5 et 13.3) ;
- pas de maîtrise des journaux techniques des sous-traitants ultérieurs. La règle interne interdisant d’écrire un lien de réunion ou un jeton dans un journal ne s’applique qu’aux journaux du Sous-traitant ; ceux du prestataire de supervision du bot de réunion sont susceptibles de porter des métadonnées de réunion et de faire l’objet d’un traitement aux États-Unis (Annexe 3, section 9).
Aucune mesure de sécurité n’offre par ailleurs de garantie absolue.
Annexe 3 — Sous-traitants ultérieurs
1. Infrastructure et hébergement
Mobilisés en permanence, quel que soit l’usage du Client.
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Supabase | Base de données PostgreSQL, authentification et stockage de fichiers de la Plateforme. | Identité, adresse électronique, mot de passe (haché), contenu des conversations, fichiers de base de connaissances, journaux d’activité. | Allemagne — région AWS eu-central-1 (Francfort). Société établie hors de l’Union européenne (Supabase Pte. Ltd., Singapour) : la région garantit la résidence des ressources, non l’absence de transfert (Article 6.5). | Chapitre V — clauses contractuelles types |
| Google Cloud | Exécution du back-end applicatif, de la passerelle vocale et du service de rendu vidéo, files de tâches, gestion des secrets, construction et registre des images. | Toutes les données transitant par le back-end, en traitement (non stockées durablement hors journaux). | Union européenne — région europe-west1 (Belgique). | Traitement dans l’UE — voir Article 6.1 (CLOUD Act) |
| OVHcloud | Exécution de l’application web et des traitements planifiés ; stockage objet des médias générés par les agents, des ressources publiques et, lorsque l’option est activée, des fichiers privés. | Documents déposés, médias générés, transcriptions de réunions, images et logos ; données transitant par l’application web. | France — datacenters OVH ; stockage objet région GRA (Gravelines). | Traitement en France — pas de transfert |
| Service Redis (sur l’infrastructure OVHcloud) | Files d’attente de traitement asynchrone, verrous d’exécution et cache court. | Identifiants techniques et charges utiles de tâches, éphémères. | France — serveurs OVHcloud. | Traitement en France — pas de transfert |
| GitHub (Microsoft) | Hébergement du code source, intégration continue et registre d’images de conteneurs. | Aucune donnée personnelle de client, sauf inclusion accidentelle dans un journal de construction. | États-Unis. | Chapitre V |
2. Modèles d’intelligence artificielle
Ces prestataires reçoivent le contenu que les agents traitent. C’est la catégorie la plus sensible.
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Google (API Gemini) | Fournisseur de modèle de langage par défaut des agents ; calcul des vecteurs sémantiques de la base de connaissances ; production du compte rendu des réunions enregistrées par le bot de réunion. | Contenu des messages échangés avec les agents, extraits de documents et de pages indexées, instructions de configuration, transcriptions de réunions incluant les noms et les propos de participants tiers (Annexe 3, section 9). | Non déterminée par la configuration — appels vers un point d’accès non régionalisé. | Chapitre V |
| Mistral AI | Modèle de langage sélectionnable par agent ; reconnaissance de caractères sur les documents ; transcription audio et vidéo ; dictée vocale. | Contenu des messages, documents déposés, enregistrements audio et vidéo. | France (siège) — région de traitement à confirmer, le point d’accès de cantonnement européen n’étant pas activé. | Chapitre V si le traitement a lieu hors UE |
| Anthropic | Modèle de langage alternatif, utilisé lorsqu’un agent est explicitement configuré sur ce fournisseur. | Contenu des messages échangés avec les agents concernés. | États-Unis. | Chapitre V |
| OpenAI | Transcription des enregistrements de réunions Google Meet et Microsoft Teams ; interrogation du moteur ChatGPT pour le suivi de visibilité de marque ; synthèse et reconnaissance vocale de la passerelle téléphonique lorsqu’elle est configurée sur ce fournisseur. | Enregistrements audio et vidéo de réunions et transcriptions produites (noms des participants et contenu des échanges), requêtes de visibilité, flux audio des appels concernés. | États-Unis. Un enregistrement Google Meet demandé en transcription est traité par ce prestataire ; côté Teams, la transcription native Microsoft est tentée d’abord. | Chapitre V |
3. Voix et téléphonie
Mobilisés uniquement si le Client active un agent vocal ou téléphonique.
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Twilio | Numéros de téléphone, émission et réception d’appels, messages courts. | Numéros des appelants et appelés, métadonnées d’appel, flux audio. | États-Unis / Irlande. | Chapitre V |
| Google (Speech, Gemini Live) | Reconnaissance et synthèse vocale par défaut de la passerelle téléphonique. | Flux audio des appels, transcriptions. | Non déterminée par la configuration. | Chapitre V |
| ElevenLabs | Synthèse et reconnaissance vocale optionnelles, activées par configuration d’agent. | Flux audio des appels, transcriptions. | États-Unis. | Chapitre V |
| Cartesia | Synthèse vocale optionnelle, activée par configuration d’agent. | Textes à vocaliser, flux audio produit. | États-Unis. | Chapitre V |
| Gladia | Reconnaissance vocale optionnelle, activée par configuration d’agent. | Flux audio des appels, transcriptions. | France (siège) — région de traitement à confirmer. | Chapitre V si le traitement a lieu hors UE |
4. Courrier électronique et messagerie
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Resend | Envoi des courriers électroniques transactionnels de la Plateforme (invitations, rapports, notifications, avis d’accès). | Adresse électronique, nom, contenu du message envoyé. | États-Unis. | Chapitre V |
| Meta (WhatsApp, Instagram, Messenger, Facebook, Threads) | Canaux conversationnels entrants et sortants, publication de contenu, statistiques de pages. | Identifiants de comptes et de conversations, contenu des messages échangés avec les clients finaux du Client. | États-Unis / Irlande. | Chapitre V |
| Telegram | Canal conversationnel optionnel. | Identifiants de conversation, contenu des messages. | À confirmer. | Chapitre V si le traitement a lieu hors UE |
| Slack | Notifications internes de déploiement, à destination du seul Sous-traitant. | Aucune donnée personnelle de client. | États-Unis. | Sans objet en l’absence de données de client |
5. Paiement
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Stripe | Abonnements, paiements, factures et rechargements de crédits. | Identité de facturation, adresse électronique, données de carte (collectées directement par Stripe, jamais par les serveurs du Sous-traitant), historique de facturation. | Irlande / États-Unis. | Chapitre V |
6. Mesure d’audience et observabilité
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| PostHog | Mesure d’audience produit et pilotage des activations de fonctionnalités. Soumis au consentement : refus par défaut tant que le bandeau n’a pas été accepté. | Identifiant utilisateur, pages consultées, événements d’usage, adresse IP. | Union européenne — instance eu.i.posthog.com. | Traitement dans l’UE — pas de transfert |
| Google Analytics 4 | Mesure d’audience du site et de l’application. Soumis au consentement. | Identifiant de mesure, pages consultées, adresse IP. | Non déterminée par la configuration. | Chapitre V |
| Langfuse (ClickHouse, Inc., États-Unis) | Traçage technique des exécutions d’agents, pour le diagnostic d’incident et le suivi des coûts. Cet outil est actif : il enregistre le contenu des instructions envoyées aux modèles et des réponses produites, c’est-à-dire le contenu des échanges entre les agents et les modèles. | Contenu des instructions et des réponses des modèles. | Union européenne — instance cloud.langfuse.com, région UE (Irlande). Société établie aux États-Unis (Article 6.5). | Chapitre V — cadre de protection des données UE–États-Unis (ClickHouse, Inc. certifiée) et clauses contractuelles types |
7. Enrichissement et données publiques
Mobilisés uniquement par les agents de prospection, de référencement et de veille.
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| SocieteInfo | Enrichissement des fiches d’entreprises françaises. | Raison sociale, numéro SIREN, coordonnées professionnelles publiques. | France. | Traitement en France — pas de transfert |
| API Recherche d’entreprises et Base Adresse Nationale (DINUM) | Recherche d’entreprises et normalisation d’adresses. | Raison sociale, numéro SIREN, adresse postale. | France — administration française. | Traitement en France — pas de transfert |
| DataForSEO, Firecrawl, Apify, Bright Data, Perplexity | Analyse de positionnement, extraction de pages publiques, collecte de statistiques de comptes sociaux. Chacun n’est appelé que si la fonctionnalité correspondante est activée sur l’espace du Client. | URL et mots-clés fournis par le Client, identifiants de comptes sociaux publics. | Hors Union européenne pour la majorité — à confirmer prestataire par prestataire. | Chapitre V |
| Google (Search Console, Analytics, PageSpeed, YouTube Data) | Lecture des performances de référencement et des statistiques des propriétés du Client, sur autorisation explicite de celui-ci. | Jetons d’accès aux comptes du Client, statistiques agrégées de ses propriétés. | Non déterminée par la configuration. | Chapitre V |
8. Connecteurs activés par le Client
Ces services ne reçoivent rien tant que le Client n’a pas connecté le compte correspondant. La connexion vaut instruction du Client de leur transmettre les données nécessaires (Article 2.2, point 4).
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Microsoft (Graph : Teams, SharePoint, Outlook, Calendrier) | Lecture d’agenda, transcriptions de réunions, documents, selon les autorisations accordées par le Client. | Jetons d’accès, événements d’agenda, participants, transcriptions, documents. | États-Unis / Union européenne selon le locataire Microsoft du Client. | Chapitre V si le locataire est hors UE |
| Google Workspace (Agenda, Drive, Meet) | Lecture et création d’événements, accès aux documents, selon les autorisations accordées par le Client. | Jetons d’accès, événements d’agenda, participants, documents. | Non déterminée par la configuration. | Chapitre V |
| LinkedIn, X (Twitter) | Publication de contenu et lecture de statistiques. | Jetons d’accès, contenus publiés, statistiques. | États-Unis / Irlande. | Chapitre V |
| HubSpot, Pipedrive, Salesforce | Synchronisation de contacts et d’opportunités commerciales. | Identité et coordonnées des contacts du Client, historique commercial. | États-Unis / Union européenne selon le contrat du Client. | Chapitre V si l’instance est hors UE |
| Shopify, WordPress | Publication de contenu et lecture de catalogue. | Contenus publiés, données de catalogue. | À confirmer. | Chapitre V si le traitement a lieu hors UE |
| Brevo, SendGrid | Envoi de courriers électroniques depuis les propres comptes du Client, avec ses propres clés. | Adresses électroniques et contenus que le Client demande d’envoyer. | France (Brevo) / États-Unis (SendGrid). | Chapitre V pour SendGrid |
| Unipile (Unipile SAS, France) | Intermédiaire de connexion aux boîtes de messagerie (Gmail, Outlook, IMAP) que le Client connecte à l’assistant : lecture des messages et pièces jointes, application de libellés, envoi d’un message sur action explicite de l’utilisateur. Il détient l’autorisation d’accès à la boîte du Client. | Contenu et métadonnées des messages électroniques, pièces jointes, identité des expéditeurs et destinataires, jetons d’accès. | France — hébergement déclaré chez Scaleway et OVHcloud. | Traitement en France — pas de transfert |
| PostProxy (64Bit Labs UG) | Intermédiaire de connexion à la fiche d’établissement Google Business Profile que le Client connecte : lecture et mise à jour de la fiche (horaires, services, attributs, catégories), publications, lecture des avis et réponses aux avis, statistiques. Il détient l’autorisation d’accès au compte Google du Client. | Identifiant du compte Google, informations et contenus de la fiche, publications, avis (nom affiché et texte de leurs auteurs) et réponses, statistiques. | Allemagne (siège à Berlin), région d’hébergement à confirmer. | Chapitre V si le traitement a lieu hors UE |
| Google Business Profile (Google) | Fiche d’établissement du Client, consultée et modifiée par l’intermédiaire de PostProxy, sur autorisation explicite du Client. | Informations et contenus de la fiche, publications, avis et réponses, statistiques. | Non déterminée par la configuration. | Chapitre V |
9. Bot de réunion
Mobilisé uniquement si le bot de réunion est activé pour l’espace du Client (Article 13.7). Voir l’Article 13 pour le détail de ce traitement.
| Sous-traitant | Rôle | Données traitées | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Recall.ai (Hyperdoc Inc.) | Robot logiciel qui rejoint la visioconférence du Client en qualité de participant, l’enregistre, assemble les flux et en produit la transcription ; notifications techniques de l’avancement de la session. | Voix et image des participants, contenu intégral des échanges, messages écrits dans la conversation de la réunion, noms affichés des participants, horodatages et identification des intervenants, métadonnées de la réunion, lien de connexion à la réunion, transcription produite. | Région eu-central-1 (Francfort, Allemagne) imposée par la configuration de la Plateforme — société établie aux États-Unis, où se situent ses opérations principales de traitement. La région garantit la résidence des ressources, non l’absence de transfert : les conditions du prestataire autorisent des transferts hors EEE et un accès distant depuis les États-Unis est lui-même un transfert (Articles 6.5 et 13.3). | Clauses contractuelles types, module 3 (décision d’exécution (UE) 2021/914), droit et juridictions irlandais. Non certifié au cadre de protection des données UE–États-Unis : ce cadre n’est pas invoqué pour ce prestataire. Représentant au titre de l’article 27 du RGPD : Instant EU GDPR Representative Ltd, Dublin. |
9.1 Sous-traitants de Recall.ai
Prestataires auxquels Recall.ai recourt pour ce traitement, tels qu’il les publie. Un changement les concernant relève du régime de l’Article 5.5 et non du préavis de 30 jours de l’Article 5.2.
| Sous-traitant de Recall.ai | Rôle | Données concernées | Localisation |
|---|---|---|---|
| Amazon Web Services (AWS) | Hébergement et infrastructure du service. | Enregistrements et transcriptions, le temps de leur traitement et de leur conservation chez Recall.ai. | États-Unis, Union européenne, Japon. |
| Datadog | Journalisation et supervision technique du service. | Journaux d’exploitation, susceptibles de porter des métadonnées de réunion. | États-Unis et Union européenne. |
| Svix | Acheminement des notifications techniques (webhooks) vers la Plateforme. | Identifiants techniques de session et de bot, statuts d’avancement. | Union européenne. |
10. Notification des changements
Voir Article 5.2 : information au moins 30 jours avant mise en service, droit d’objection motivé pendant ce délai, et résiliation sans pénalité de la partie des Services concernée à défaut d’accord.
Voir l’Article 5.5 pour un changement survenant à l’intérieur de la chaîne de sous-traitance d’un sous-traitant ultérieur : information dans les meilleurs délais après réception, droit d’opposition motivé sans délai de forclusion, et désactivation immédiate du bot de réunion pour l’espace du Client qui s’oppose.