Accord de traitement des données (DPA)

Cet accord de traitement des données (le « DPA ») fait partie des conditions entre toi (« le Client ») et Guimauve Digital SAS (« l'Éditeur », 60 rue François Ier, 75008 Paris, France). Il s'applique quand tu utilises Allomi pour traiter des données personnelles d'autres personnes (tes contacts, les personnes que l'assistant appelle ou qui l'appellent) et que le RGPD (règlement (UE) 2016/679) s'applique. Pour ces données, le Client est responsable de traitement et l'Éditeur est sous-traitant (RGPD art. 28). Pour les données de ton propre compte (connexion, facturation), l'Éditeur est responsable de traitement : voir la politique de confidentialité.

1. Objet, nature et durée

L'Éditeur traite des données personnelles pour fournir le Service : passer et recevoir des appels, les transcrire et les résumer, tenir la mémoire de l'assistant (contacts, notes, engagements), envoyer des webhooks. Le traitement dure tant que le compte est ouvert, plus le délai de suppression de l'article 9.

2. Données et personnes concernées

Le détail est dans l'annexe en bas de page. Catégories : identité et numéros des contacts, audio et transcriptions d'appels, résumés, notes, engagements, et tout ce qui se dit pendant les appels. Personnes : les contacts du Client, les personnes appelées ou appelantes, les utilisateurs du Client.

3. Instructions

L'Éditeur ne traite les données que sur instruction documentée du Client : les conditions, ce DPA, l'usage du Service (app, API, MCP, programmations) et les réglages choisis par le Client (enregistrement, durée de conservation). Si l'Éditeur pense qu'une instruction viole la loi, il le dit au Client.

4. Confidentialité et sécurité

Les personnes qui peuvent accéder aux données sont tenues à la confidentialité. L'Éditeur applique les mesures de l'annexe : chiffrement en transit, secrets chiffrés au repos, clés d'API hachées, accès restreint, ni prompts, ni transcriptions, ni clés, ni audio dans les journaux.

5. Sous-traitants ultérieurs

Le Client donne une autorisation générale pour les sous-traitants de la liste, liés par des obligations équivalentes à ce DPA. L'Éditeur prévient le propriétaire du compte par e-mail au moins 30 jours avant d'en ajouter ou d'en remplacer un qui traite du contenu d'appel. Le Client peut s'y opposer pour des motifs raisonnables de protection des données dans ce délai ; à défaut d'accord, il peut fermer son compte et se voir rembourser la part non utilisée de la période payée. L'Éditeur reste responsable de ses sous-traitants.

6. Transferts hors de l'EEE

Le Service est hébergé en Suisse (décision d'adéquation de la Commission européenne). Certains sous-traitants traitent des données aux États-Unis ; chaque transfert repose sur le Data Privacy Framework UE–États-Unis quand le prestataire y est certifié, ou sur les clauses contractuelles types de la Commission européenne, comme le détaille la liste. Si un mécanisme est invalidé, l'Éditeur en met un autre en place ou arrête le transfert.

7. Aider le Client

Compte tenu de la nature du traitement, l'Éditeur aide le Client à répondre aux demandes des personnes concernées (accès, effacement…) grâce aux fonctions d'export et de suppression du Service, aide pour les analyses d'impact et les consultations d'autorités, et répond aux questions raisonnables sous 30 jours.

8. Violation de données

L'Éditeur prévient le Client sans retard injustifié, et en tout cas sous 48 heures, après avoir eu connaissance d'une violation touchant les données du Client, avec les informations dont il dispose (nature, données et personnes concernées, conséquences probables, mesures prises), pour que le Client puisse tenir son propre délai de 72 heures.

9. Suppression et restitution

Les transcriptions d'appels sont supprimées après 90 jours par défaut ; le Client peut supprimer des données à tout moment et les exporter par l'API. À la fermeture du compte, les données sont supprimées sous 30 jours, sauf ce que la loi impose de conserver, et les sauvegardes sont écrasées dans leur durée de conservation de 14 jours.

10. Audits

L'Éditeur fournit au Client les informations nécessaires pour démontrer la conformité et autorise les audits, par le Client ou un auditeur qu'il mandate et qui est tenu à la confidentialité, une fois par an avec 30 jours de préavis, aux heures ouvrées et sans perturber le Service. Les certifications et rapports des sous-traitants peuvent remplacer un audit quand ils répondent à la question.

11. Obligations du Client

Le Client décide des finalités, dispose d'une base légale pour les appels qu'il demande (voir l'usage acceptable et IA et enregistrement), informe les personnes concernées, et n'utilise pas le Service pour traiter des catégories particulières de données sauf si la loi l'autorise et qu'il en a informé l'Éditeur.

12. Responsabilité et droit applicable

Les clauses de responsabilité des conditions s'appliquent. Le droit français s'applique ; les tribunaux compétents sont ceux de Paris, sans préjudice des règles impératives.

Annexe : détail du traitement et mesures de sécurité