Accord de traitement des données (DPA)

1. Définitions

2. Objet et durée

Le présent accord définit les obligations de VoxaOne en tant que sous-traitant pour le traitement des données personnelles dans le cadre des services suivants :

• Réception et traitement d'appels téléphoniques via agents vocaux IA
• Transcription et analyse des conversations
• Gestion des réservations et commandes
• Tableau de bord analytique et rapports
• Stockage sécurisé des données

Cet accord prend effet à la signature du contrat de service et reste en vigueur pendant toute la durée de la relation contractuelle.

3. Nature des données traitées

4. Obligations du sous-traitant (VoxaOne)

4.1 Traitement conforme

VoxaOne s'engage à :

• Traiter les données personnelles uniquement sur instruction documentée du Responsable du traitement
• Garantir la confidentialité des données personnelles
• Ne pas transférer les données vers des pays tiers sans autorisation explicite
• Supprimer ou restituer les données à la fin du contrat

4.2 Sécurité des données

VoxaOne met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement : AES-256 au repos et TLS 1.2 ou supérieur en transit
• Contrôle d'accès : principe du moindre privilège ; règles d'accès de la base (Row Level Security) : aucune donnée lisible sans connexion
• Journalisation : connexions journalisées par le service d'authentification (Supabase)
• Hébergement : base de données dans l'Union européenne (Suède)
• Sauvegarde : copie quotidienne des données de service, chiffrée au repos et conservée 30 jours dans l'Union européenne

4.3 Personnel autorisé

Ont accès aux données personnelles, pour les seuls besoins du service :

• le titulaire de l'entreprise, Dorone Chemla ;
• le cas échéant, les personnes qu'il autorise, soumises à une obligation de confidentialité.

5. Sous-traitance ultérieure

VoxaOne peut faire appel aux sous-traitants suivants :

VoxaOne notifiera le client de tout changement de sous-traitant avec un préavis de 30 jours.

6. Droits des personnes concernées

VoxaOne s'engage à assister le Responsable du traitement pour répondre aux demandes d'exercice des droits :

• Droit d'accès : Fourniture des données dans un délai de 72h
• Droit de rectification : Correction des données inexactes
• Droit à l'effacement : Suppression définitive des données
• Droit à la portabilité : Export des données en format structuré
• Droit d'opposition : Arrêt du traitement pour motifs légitimes

Contact pour l'exercice des droits : contact@voxaoneai.com

7. Violation de données

En cas de violation de données personnelles, VoxaOne s'engage à :

• Notifier le Responsable du traitement sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance
• Fournir toutes les informations disponibles sur l'incident
• Prendre les mesures correctives immédiates
• Coopérer avec les autorités de contrôle si nécessaire
• Documenter l'incident et les mesures prises

8. Audit et contrôle

Le Responsable du traitement peut :

• Demander un rapport de conformité, une fois par an
• Faire vérifier la conformité sur pièces (documents, questionnaire), avec un préavis de 30 jours
• Faire appel à un auditeur tiers certifié

Sur demande, VoxaOne communique les rapports de certification de ses sous-traitants d'hébergement (par exemple SOC 2 Type II).

9. Durée de conservation

Ces durées sont appliquées automatiquement, chaque jour : au-delà, le contenu des appels et les coordonnées des clients sont effacés, les fiches clients inactives supprimées ; ne restent que des données anonymes (dates, nombres, montants) pour les statistiques. Les sauvegardes, qui gardent une copie 30 jours, s'effacent ensuite d'elles-mêmes.

10. Fin du contrat

À la fin du contrat de service, VoxaOne s'engage à :

• Cesser tout traitement des données personnelles
• Restituer toutes les données au Responsable du traitement (export sécurisé)
• Supprimer définitivement toutes les copies des données
• Fournir une attestation de suppression
• Détruire les supports physiques contenant des données

Délai de restitution/suppression : 30 jours après la fin du contrat.

11. Responsabilité

En cas de dommage causé par une violation de données imputable à VoxaOne, la responsabilité est limitée aux montants prévus dans le contrat de service principal.

12. Contact et gouvernance

13. Modifications

Toute modification de cet accord doit faire l'objet d'un avenant écrit signé par les deux parties. VoxaOne notifiera le client de toute modification avec un préavis minimum de 60 jours.

14. Droit applicable

Cet accord est régi par le droit français et le Règlement Général sur la Protection des Données (RGPD). Tout litige sera soumis à la compétence exclusive des tribunaux de Paris.