Accord de traitement des données personnelles (DPA)

Article 28 du Règlement (UE) 2016/679 (RGPD) · Version 1.0 du 25 octobre 2026

Préambule

Le présent accord (« DPA ») encadre les traitements de données personnelles réalisés par IAVOC pour le compte du Client dans le cadre du service IAVOC. Il fait partie intégrante des conditions générales de vente (« CGV ») et prévaut sur elles pour toute question de protection des données.

Il est accepté par le Client lors de la souscription : le paiement du premier mois vaut acceptation des CGV et du présent DPA (CGV, article 3.2).

Article 1 — Parties

Responsable de traitement (« le Client ») : la personne morale ou l’entrepreneur individuel qui souscrit au service IAVOC, identifié lors de la souscription.

Sous-traitant (« IAVOC ») : VIA Communication SARL, exploitant la marque commerciale IAVOC
Siège social : 22 rue François Villon, 75015 Paris
SIREN : 483 315 420 · TVA intracommunautaire : FR69483315420
Représentée par : Laurent ELAYI, gérant
Délégué à la protection des données : dpo@agentvoc.com

Article 2 — Objet et durée

IAVOC fournit au Client un standard téléphonique assuré par Claire, une assistante vocale fondée sur l’intelligence artificielle, qui répond aux appels reçus sur le numéro IAVOC du Client : accueil, renseignement, prise de message, prise de rendez-vous, qualification, filtrage et transfert vers le numéro désigné par le Client, selon la mission choisie. IAVOC transmet au Client les comptes rendus des appels, par e-mail et par SMS.

Le DPA s’applique pendant toute la durée de l’abonnement. Les obligations relatives à la fin du traitement (article 9) et à la notification des violations survivent à la résiliation.

Article 3 — Traitements réalisés pour le Client

3.1 Opérations

• Conversation en temps réel avec l’appelant par le moteur vocal d’OpenAI ; si ce moteur est indisponible, l’appel est pris en charge par celui de Google (Gemini).
• Enregistrement audio de l’appel, lorsqu’il est activé.
• Transcription écrite de l’enregistrement après l’appel (Deepgram).
• Résumé de l’appel, rédigé à partir de la transcription (Google Gemini).
• Envoi au Client des comptes rendus et des alertes (e-mail, SMS) ; envoi à l’appelant d’un SMS de confirmation ou de rappel de rendez-vous, lorsque la mission le prévoit.
• Conservation, puis effacement selon les durées de l’article 4.

3.2 Catégories de données

3.3 Personnes concernées : les personnes qui appellent le Client (clients, prospects, candidats, fournisseurs…), les tiers qu’elles mentionnent, et les représentants du Client qui reçoivent les comptes rendus.

3.4 Données sensibles : le Service n’est pas conçu pour recueillir des données sensibles (santé, opinions, appartenance syndicale, données judiciaires…). Le Client s’interdit de configurer une mission qui les sollicite. Le Service n’est pas certifié Hébergeur de données de santé (HDS).

3.5 Finalités : IAVOC traite ces données uniquement pour exécuter le Service et le facturer, pour sa sécurité et pour respecter ses obligations légales. IAVOC n’utilise pas les données pour entraîner des modèles d’intelligence artificielle, ne les vend pas et ne les transmet à aucun tiers à des fins commerciales.

Article 4 — Durées de conservation

Le Client peut demander des durées plus courtes à dpo@agentvoc.com.

Article 5 — Engagements d’IAVOC

5.1 Instructions : IAVOC traite les données sur instruction documentée du Client : la mission paramétrée avec lui, et ses demandes écrites à dpo@agentvoc.com. IAVOC l’informe immédiatement si une instruction lui paraît contraire au RGPD.

5.2 Confidentialité : les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité. L’accès aux enregistrements et aux transcriptions est réservé aux administrateurs techniques, en cas de besoin (assistance, incident, demande d’exercice des droits).

5.3 Sécurité (article 32 du RGPD) :

• hébergement des données sur des serveurs OVHcloud situés en France ;
• chiffrement des échanges (HTTPS) et des liaisons avec les prestataires ;
• transcriptions et paroles des appelants chiffrées dans la base de données (AES-256) ;
• cloisonnement des comptes : chaque Client n’accède qu’à ses propres données ;
• pare-feu, blocage automatique des tentatives d’intrusion, application des correctifs de sécurité ;
• sauvegardes quotidiennes et hebdomadaires.

5.4 Droits des personnes : IAVOC aide le Client à répondre aux demandes d’accès, de rectification, d’effacement, de portabilité, d’opposition et de limitation, sous 7 jours ouvrés (30 jours pour un effacement complet), sur demande à dpo@agentvoc.com. Les demandes des appelants sont adressées en priorité au Client.

5.5 Violation de données : IAVOC notifie au Client toute violation de données personnelles dans les 48 heures après en avoir eu connaissance, avec les informations prévues à l’article 33 du RGPD. Le Client reste chargé de la notification à la CNIL et, le cas échéant, aux personnes concernées.

5.6 Assistance et audit : IAVOC aide le Client pour ses analyses d’impact. Une fois par an, à ses frais et avec un préavis de 30 jours, le Client peut faire vérifier le respect du présent DPA par un auditeur tenu au secret, sans accès aux données des autres clients.

Article 6 — Sous-traitants ultérieurs

Le Client autorise IAVOC à faire appel aux sous-traitants suivants :

• OVHcloud SAS — hébergement des serveurs. France.
• OpenAI Ireland Ltd — moteur vocal de Claire : conversation en temps réel, transcription pendant l’appel, synthèse vocale de l’accueil. Données : voix de l’appelant en direct, consignes de la mission (dont le numéro de l’appelant), contenu de la conversation et informations recueillies. Traitement aux États-Unis par les sociétés du groupe OpenAI. Pas d’utilisation pour entraîner les modèles ; journaux de détection des abus conservés au plus 30 jours.
• Google LLC (API Gemini) — résumé de l’appel à partir de la transcription ; moteur vocal de secours si celui d’OpenAI est indisponible. Données : transcription ; voix de l’appelant en direct en cas de secours. États-Unis. Pas d’utilisation pour entraîner les modèles ; journaux de détection des abus conservés 55 jours.
• Deepgram, Inc. — transcription écrite de l’enregistrement après l’appel. Données : enregistrement de l’appel. États-Unis.
• Selfone — opérateur de téléphonie : acheminement des appels. Données : numéros, horodatages, durée ; voix en transit, non conservée. France.
• Brevo SAS — envoi des SMS. Données : numéro du destinataire, contenu du SMS. France.
• Stripe Payments Europe Ltd — paiement de l’abonnement. Données : identité et coordonnées du Client, moyen de paiement ; jamais de données d’appel. Irlande, avec l’appui de Stripe, Inc. (États-Unis).
• Rédaction Contenu Madagascar (RCM) (siège : Lot 423 Cité Ampefiloha, 101 Antananarivo, Madagascar) — service après-vente de premier niveau. Données : numéro et nom de l’appelant, date, durée et résumé des 15 derniers appels reçus par Claire pour le Client, en lecture seule. Aucun accès aux enregistrements audio, aux transcriptions intégrales ni aux données bancaires. Madagascar.
• Hostinger — hébergement de l’outil de suivi des erreurs techniques, exploité par VIA Communication. Données : messages d’erreur, sans contenu d’appel. France.

Les e-mails sont envoyés par la messagerie de VIA Communication, hébergée en France.

IAVOC informe le Client par e-mail au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant. Le Client peut s’y opposer par écrit pendant ce délai ; si l’opposition est justifiée et qu’aucune solution n’est trouvée, il peut résilier sans pénalité. La liste à jour est publiée sur cette page.

Article 7 — Transferts hors de l’Union européenne

• OpenAI : l’entité contractante pour les clients établis dans l’Espace économique européen est OpenAI Ireland Ltd ; le traitement a lieu aux États-Unis, sur la base d’accords comprenant les clauses contractuelles types de la Commission européenne.
• Google : certification au cadre de protection des données UE–États-Unis (Data Privacy Framework) et clauses contractuelles types.
• Deepgram : clauses contractuelles types.
• RCM, établi à Madagascar, pays qui ne bénéficie d’aucune décision d’adéquation de la Commission européenne : clauses contractuelles types (UE) 2021/914, module 3, complétées par une analyse d’impact du transfert. Aucune donnée n’est stockée sur les postes du prestataire ; les comptes sont nominatifs et révocables, et les consultations journalisées.
• Stripe : accord de traitement de Stripe, avec clauses contractuelles types.

IAVOC vérifie chaque année la validité de ces garanties et informe le Client si une décision les remettait en cause. Le Service ne peut pas fonctionner aujourd’hui sans transfert hors de l’Union européenne : un Client qui s’y oppose peut résilier sans pénalité.

Article 8 — Engagements du Client

• Informer ses appelants que l’appel est traité par une assistante IA et, s’il est activé, enregistré ; Claire l’annonce elle-même dès le décroché.
• Disposer d’une base légale pour les traitements qu’il confie à IAVOC et tenir son registre des traitements.
• Fournir des instructions licites, et ne pas configurer de mission qui recueille des données sensibles ou des critères discriminatoires, notamment pour la présélection de candidats.
• Répondre aux demandes des personnes concernées, avec l’aide d’IAVOC.

Article 9 — Fin du traitement

À la résiliation, IAVOC met à la disposition du Client, sur demande formulée dans les 30 jours, un export de ses données (transcriptions, résumés, messages, rendez-vous, données d’appel) et des enregistrements encore conservés. Au plus tard 120 jours après la résiliation, IAVOC supprime toutes les données personnelles traitées pour le Client, sauvegardes comprises, et en fournit une attestation sur demande. Seules sont conservées les données nécessaires à ses obligations légales (facturation : 10 ans ; données techniques d’appel : 12 mois).

Article 10 — Responsabilité

Chaque partie répond des manquements à ses propres obligations au titre du RGPD et du présent DPA. La responsabilité d’IAVOC est limitée dans les conditions de l’article 13 des CGV.

Article 11 — Modification, droit applicable

IAVOC peut faire évoluer le présent DPA. Toute modification substantielle est notifiée au Client par e-mail au moins 30 jours avant son entrée en vigueur et publiée sur https://iavoc.com/dpa.html ; le Client peut résilier sans pénalité dans ce délai. Le DPA est régi par le droit français ; tout litige relève du tribunal de commerce de Paris, après une tentative de résolution amiable de 30 jours.

Contacts