Préambule
Le présent accord est conclu entre le Client, responsable de traitement, et [Raison sociale de l'éditeur], sous-traitant, au sens de l'article 4 du règlement (UE) 2016/679. Il complète les conditions générales de vente et prévaut sur elles en cas de contradiction sur les questions de protection des données.
Cet accord fait partie intégrante du contrat et s'applique automatiquement dès la souscription, sans démarche de votre part. Une version signée électroniquement est téléchargeable depuis votre espace client ; les clients du plan Cabinet peuvent en négocier les annexes.
01Objet et durée
Objet du traitement
Fourniture d'un agent vocal traitant les appels entrants et sortants du Client, incluant l'enregistrement, la transcription, la qualification et la prise de rendez-vous.
Durée
Le présent accord produit effet pendant toute la durée du contrat principal et pendant les trente jours suivant sa fin, période durant laquelle les données restent exportables.
Nature et finalité
Le traitement est effectué exclusivement aux fins de fourniture du service. Le sous-traitant ne traite les données à aucune fin propre, y compris statistique ou d'amélioration de modèle.
02Catégories de données et de personnes
| Personnes concernées | Catégories de données |
|---|---|
| Appelants du Client | Numéro de téléphone, enregistrement audio, transcription, nom déclaré, motif d'appel, créneau souhaité, étiquettes |
| Contacts et clients du Client | Identité, coordonnées, historique de visites, prestations, valeur client, statut d'opposition |
| Utilisateurs du Client | Identité professionnelle, journal d'accès, actions de configuration |
03Instructions documentées
Le sous-traitant ne traite les données que sur instruction documentée du responsable. Constituent des instructions documentées : le contrat, la configuration effectuée par le Client dans l'application, et toute demande écrite adressée au support.
Le sous-traitant informe immédiatement le responsable s'il estime qu'une instruction constitue une violation du RGPD, et peut suspendre son exécution jusqu'à confirmation écrite.
04Confidentialité et personnel
- Toute personne autorisée à traiter les données est soumise à une obligation de confidentialité contractuelle survivant à son départ.
- L'accès aux enregistrements par le personnel du sous-traitant est limité aux besoins de support et d'évaluation qualité, journalisé et attribué nominativement.
- La revue qualité hebdomadaire porte sur cent appels par semaine tous clients confondus ; un Client peut s'y opposer par écrit, sans frais et sans conséquence sur le service.
05Sécurité
- Chiffrement en transit (TLS 1.3) et au repos (AES-256).
- Cloisonnement des espaces de travail appliqué au niveau de la base de données.
- Authentification à deux facteurs disponible, obligatoire pour les accès administrateurs du sous-traitant.
- Journalisation des accès conservée douze mois.
- Sauvegardes chiffrées quotidiennes, conservées trente jours, restauration testée trimestriellement.
- Revue annuelle des habilitations et test d'intrusion externe annuel.
06Sous-traitants ultérieurs
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés en annexe 1. Toute adjonction ou remplacement est notifié par courriel trente jours avant sa mise en œuvre. Le Client peut s'y opposer par écrit pendant ce délai ; à défaut d'accord, il peut résilier sans frais ni pénalité.
Annexe 1Sous-traitants ultérieurs
| Rôle | Localisation du traitement | Garanties |
|---|---|---|
| Opérateur télécom — acheminement des appels | Union européenne, États-Unis | Clauses contractuelles types (2021/914) + mesures complémentaires |
| Traitement vocal temps réel | Union européenne | Traitement en UE, interdiction contractuelle d'entraînement |
| Hébergement applicatif et stockage | France | Traitement exclusivement en France |
| Envoi de messages courts | Union européenne | Clauses contractuelles types |
| Paiement et facturation | Union européenne | Certification PCI-DSS, aucune donnée d'appel transmise |
| Envoi de courriels transactionnels | Union européenne | Clauses contractuelles types |
La liste nominative des prestataires, avec leur raison sociale et leur adresse, est communiquée sur simple demande à contact@lahautagency.fr. Elle n'est pas publiée sur cette page afin de pouvoir en changer sans délai en cas d'incident de sécurité chez l'un d'eux.
07Assistance au responsable de traitement
Le sous-traitant assiste le responsable :
- en donnant effet aux demandes d'exercice de droits des personnes concernées, via des fonctions d'export, de rectification et de suppression accessibles directement dans l'application ;
- en notifiant toute violation de données sans délai injustifié et au plus tard sous 48 heures après en avoir pris connaissance, avec les éléments de l'article 33.3 ;
- en fournissant les informations nécessaires à une analyse d'impact relative à la protection des données ;
- en mettant à disposition, sur demande, les éléments démontrant le respect de l'article 28.
08Audit
Le Client peut demander une fois par an, moyennant un préavis de trente jours, la communication des rapports d'audit et de test d'intrusion du sous-traitant. Un audit sur site est possible pour les clients du plan Cabinet, aux frais du demandeur, sous réserve d'un engagement de confidentialité et sans perturbation du service.
09Sort des données en fin de contrat
À la fin du contrat, le Client dispose de trente jours pour exporter l'intégralité de ses données depuis son espace. À l'expiration de ce délai, le sous-traitant procède à leur suppression irréversible, y compris des sauvegardes dans un délai maximal de quatre-vingt-dix jours, et en atteste par écrit sur demande.
Font exception les données que la loi impose de conserver : les factures pendant dix ans, et les numéros inscrits en liste d'opposition, conservés sans limite de durée et sans aucune donnée associée — les supprimer les rendrait de nouveau appelables.