Accord de traitement des données (DPA)
Rôles
Le Client agit en qualité de responsable de traitement pour les données de ses prospects, clients et contacts traitées via Xenaos. Xenaos agit en qualité de sous-traitant, sur instructions documentées du Client.
Finalités
- Réponse aux appels et conversations vocales entrantes
- Appels sortants selon les scénarios validés par le Client
- Qualification, prise de rendez-vous, rappels et notifications
- Transcription, résumé et analyse par intelligence artificielle
- Reporting et suivi de performance
- Support, maintenance, sécurité
Données traitées
- Identité et coordonnées
- Contenus des conversations : transcriptions et résumés (aucun enregistrement audio des appels)
- Données de rendez-vous et de dossier
- Données techniques et logs
Objet et durée
Le présent accord encadre les traitements réalisés par Xenaos pour le compte du Client dans le cadre des Services. Il s’applique pendant toute la durée du contrat, puis jusqu’à la suppression ou la restitution des données.
Personnes concernées
- Appelants, clients et prospects du Client
- Visiteurs du site du Client qui écrivent à Sophia
- Collaborateurs du Client utilisant Cockpit et Pocket
Obligations de Xenaos
- Traiter les données uniquement sur instruction documentée du Client, y compris pour les transferts hors de l’Union européenne, et l’informer si une instruction lui paraît contraire à la réglementation
- Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité
- Mettre en œuvre les mesures de sécurité prévues à l’article 32 du RGPD : chiffrement des échanges, contrôle des accès, cloisonnement des données par client, journalisation et sauvegardes
- Aider le Client à répondre aux demandes d’exercice de droits et à respecter ses obligations des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d’impact)
- Notifier au Client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles à sa propre notification
- Mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permettre des audits, y compris des inspections, menés par le Client ou un auditeur qu’il mandate, avec un préavis raisonnable
- Ne pas enregistrer l’audio des appels, ne pas vendre les données du Client et ne pas les utiliser pour entraîner des modèles d’intelligence artificielle
Sous-traitants ultérieurs
- Netlify (États-Unis) — hébergement du site
- Supabase (Union européenne, Francfort) — base de données de Cockpit et Pocket
- n8n / Elestio (Allemagne) — automatisations
- ElevenLabs (États-Unis) — voix et agents conversationnels
- Anthropic (États-Unis) — modèle de langage
- Google et Microsoft (États-Unis) — agendas et e-mails reliés par le Client
- Brevo (France) — e-mails et SMS de confirmation
- Telnyx (États-Unis) — téléphonie
- smsmode (France) — SMS
- Twenty — CRM
- Stripe (États-Unis) — paiement
Le Client donne une autorisation générale de recourir à ces sous-traitants ultérieurs. Xenaos l’informe par e-mail de tout ajout ou remplacement au moins 30 jours à l’avance ; le Client peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier le contrat sans frais. Xenaos impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent accord.
Fin de contrat
À la fin du contrat, Xenaos restitue au Client ses données dans un format courant s’il le demande, puis les supprime ainsi que les copies existantes, sauf obligation légale de conservation.