Article 28 du règlement (UE) 2016/679 (RGPD) — service Décroche — version du 24 octobre 2026
Entre les parties
le Client, ci-après « le Client », responsable du traitement ;
et MAISON BURDIGALA, SIREN 102 818 051, 5 rue Fénelon, 33000 Bordeaux, éditeur du service Décroche, ci-après « le Prestataire », sous-traitant.
1. Objet
Le présent contrat définit les conditions dans lesquelles le Prestataire traite, pour le compte du Client, les données personnelles nécessaires au fonctionnement du standard téléphonique à assistant vocal Décroche. Il complète les conditions générales du service et prévaut sur elles pour tout ce qui concerne la protection des données.
2. Description du traitement
- Finalités : accueillir les appels reçus par le Client, répondre aux questions courantes à partir des informations fournies par le Client, orienter et mettre en relation, prendre des messages, convenir de rappels et rendre compte de chaque appel au Client.
- Personnes concernées : les appelants du Client ; les collaborateurs du Client inscrits dans l’annuaire de mise en relation ; les utilisateurs de l’espace client.
- Données : numéro de téléphone de l’appelant, date et durée de l’appel, transcription écrite de la conversation, motif et résumé, nom et numéro de rappel indiqués, message vocal (enregistrement et transcription), issue de la mise en relation ; pour les collaborateurs : nom, fonction, numéro ou poste ; pour les utilisateurs : nom et adresse e-mail.
- Opérations : réception et acheminement de l’appel, transcription de la parole, génération des réponses, synthèse vocale, enregistrement des messages, conservation, transmission des comptes rendus (e-mail, SMS, webhook ou API choisis par le Client), anonymisation et effacement.
- Durée de conservation : 90 jours, durée choisie par le Client et modifiable à tout moment ; au-delà, les données des appels sont anonymisées automatiquement (seule la durée est conservée pour la facturation).
3. Durée
Le contrat s’applique pendant toute la durée d’utilisation du service par le Client, puis jusqu’à la suppression des données dans les conditions de l’article 11.
4. Instructions du Client
Le Prestataire ne traite les données que sur instruction documentée du Client. Constituent des instructions : le présent contrat, les réglages effectués par le Client dans son espace (horaires, consignes, annuaire, destinataires, durée de conservation, voix, intégrations) et ses demandes écrites. Si une instruction lui paraît contraire au RGPD, le Prestataire en informe immédiatement le Client.
5. Confidentialité
Les personnes autorisées par le Prestataire à traiter les données sont soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire au service (assistance, maintenance, sécurité).
6. Sécurité
Le Prestataire met en œuvre les mesures techniques et organisationnelles appropriées, notamment : hébergement en France ; chiffrement des liaisons ; secrets (identifiants téléphoniques, clés d’API) chiffrés au repos (AES-256-GCM) ; accès nominatifs de l’équipe par authentification unique et accès client par code à usage unique ; cloisonnement des données entre clients ; journalisation des actions ; sauvegardes ; messages vocaux accessibles uniquement au Client concerné ; anonymisation automatique selon la durée de conservation.
7. Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants ultérieurs suivants, retenus selon ses choix de service :
| Sous-traitant | Rôle | Données | Lieu |
|---|---|---|---|
| Scaleway SAS (Dedibox) | Hébergement de l’application, de la passerelle téléphonique et des données | Toutes les données des appels | France |
| OVH SAS (OVHcloud) | Acheminement des appels téléphoniques | Numéros, son des appels en transit | France |
| Mistral (clé du serveur) | Transcription de la parole, réponses de l’assistant, résumé | Extraits de conversation, fiche de l’entreprise | Union européenne |
Le Prestataire impose à chacun des obligations de protection équivalentes. Il informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance ; le Client peut s’y opposer et, à défaut d’accord, résilier sans frais. Le choix d’un autre fournisseur d’intelligence artificielle ou d’une autre voix par le Client vaut instruction et met à jour cette liste.
8. Transferts hors de l’Union européenne
Avec la configuration actuelle du Client, aucune donnée n’est transférée hors de l’Union européenne. Tout choix ultérieur du Client impliquant un transfert sera encadré par les clauses contractuelles types de la Commission européenne.
9. Droits des personnes et assistance
Le Prestataire aide le Client à répondre aux demandes d’exercice des droits (accès, rectification, effacement, opposition, limitation) : outils d’export et d’effacement par numéro d’appelant, et réponse aux demandes transmises par le Client sous 7 jours ouvrés. Si une personne s’adresse directement au Prestataire, celui-ci transmet la demande au Client sans y répondre lui-même. Le Prestataire aide également le Client, sur demande, pour ses analyses d’impact et la consultation de l’autorité de contrôle.
10. Violation de données
Le Prestataire notifie au Client toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées), afin de permettre au Client de respecter ses propres obligations.
11. Fin du contrat
À la fin du service, le Prestataire supprime les données des appels dans un délai de 30 jours, après en avoir permis l’export au Client sur demande, sauf obligation légale de conservation (éléments de facturation). Il en atteste par écrit sur demande.
12. Documentation et audit
Le Prestataire tient un registre des traitements effectués pour le compte du Client et met à sa disposition les informations nécessaires pour démontrer le respect de ses obligations. Il permet la réalisation d’audits, au plus une fois par an sauf incident, moyennant un préavis de 30 jours et dans le respect de la confidentialité due à ses autres clients.
13. Obligations du Client
Le Client fournit des informations exactes et licites, informe les appelants du traitement (l’assistant annonce, au début de chaque appel, qu’il est une intelligence artificielle et que l’échange est conservé par écrit), choisit une durée de conservation proportionnée et veille à la licéité des numéros et contacts qu’il renseigne.
14. Droit applicable
Le présent contrat est soumis au droit français. Tout litige relève des juridictions de Bordeaux, après tentative de règlement amiable.