Accord de traitement des données

1. Objet et prise d’effet

Cet accord complète les CGV et encadre les traitements confiés à Votelia au sens de l’article 28 du RGPD. Il est accepté par le client avec la fiche d’installation et la fiche d’exploitation qui précisent les fonctions activées, les prestataires retenus, la localisation, les durées de conservation et les modalités de restitution et d’effacement.

La mise en service de vrais appelants est conditionnée à la finalisation de cette fiche d’exploitation et à la vérification des mesures annoncées. Le présent texte ne vaut pas attestation que des opérations de sauvegarde hors serveur, de purge ou de restauration non vérifiées ont déjà été réalisées.

2. Rôle de chacun

Responsable de traitement: L’établissement client, qui détermine les finalités de son accueil téléphonique et les consignes applicables.
Sous-traitant: Quentin Courcelle, entrepreneur individuel (EI), nom commercial Votelia, 21 bis rue Delphin Petit, 59000 Lille, France. Contact : contact@votelia.fr.

Les traitements de gestion de la relation commerciale et de la facturation sont distincts et décrits dans la politique de confidentialité.

3. Traitements et données

Finalités: Accueil téléphonique, réponses pratiques, demandes de rappel, transfert vers un interlocuteur désigné et, si ces fonctions sont activées, réservation, déplacement, annulation et confirmation SMS de rendez-vous.
Opérations: Transmission et traitement du flux vocal, transcription pour conduire le dialogue, consultation des informations et disponibilités, enregistrement ou modification des demandes et rendez-vous, production d’un récapitulatif et suivi technique de l’appel.
Personnes concernées: Appelants et contacts de l’établissement ; responsable et utilisateurs autorisés du client.
Catégories de données: Nom, numéro de téléphone, adresse d’intervention si nécessaire, demande formulée, référence, date et heure du rendez-vous, informations de rappel, état des actions, transcription chez le prestataire vocal et métadonnées de conversation (identifiants, date, durée, ligne).
Durée du traitement: Pendant le contrat et la période de restitution convenue, avec les durées distinctes prévues à l’article 8.

Le flux audio est nécessaire au dialogue. Le prestataire vocal est configuré sans conservation d’enregistrement audio. Les récapitulatifs conservés par Votelia contiennent des informations extraites et les actions de l’appel ; ils ne constituent pas une copie intégrale de la transcription.

4. Usages exclus

Ce périmètre commercial couvre les artisans, garages et activités de services. Il exclut les données de santé, les autres catégories particulières de l’article 9 du RGPD, les données pénales et l’accueil d’urgence. Les modèles médicaux ne constituent pas une offre commerciale ouverte. Le client limite ses consignes aux informations nécessaires et ne demande pas de diagnostic médical, de données bancaires, de mots de passe ou de codes de sécurité pendant un appel.

5. Instructions et confidentialité

Votelia traite les données sur instruction documentée du client : contrat, fiches acceptées, consignes validées et demandes écrites ultérieures. Tout changement important de finalité nécessite un accord préalable.
Votelia informe le client si une instruction lui paraît contraire aux règles de protection des données. Si une obligation légale impose un traitement, Votelia en informe le client avant de l’exécuter, sauf interdiction légale.
L’accès humain est limité aux personnes habilitées pour l’exploitation ou le support, soumises à une obligation de confidentialité, ainsi qu’aux prestataires intervenant dans leur périmètre.
Les données des appelants ne sont pas vendues ni réutilisées par Votelia pour sa propre prospection ou l’entraînement de son propre modèle.

6. Mesures de sécurité

Interfaces publiques en HTTPS ; administration authentifiée et accès client limité à son établissement.
Secrets et connexions stockés dans des fichiers privés et, pour les champs concernés, chiffrés dans l’application. Les numéros de téléphone et certains contenus de demandes et de récapitulatifs sont chiffrés par l’application.
Contrôle des signatures des notifications fournisseurs et de la portée des actions avant modification d’un rendez-vous ou d’une demande.
SMS limités aux informations de confirmation utiles, sans motif détaillé de l’appel ; possibilité d’opposition propre à l’établissement.
Accès au serveur et aux copies de sauvegarde limité par les permissions du système.

Le chiffrement applicatif de certains champs ne signifie pas que la base entière ou le disque sont chiffrés. Les copies locales privées ne constituent pas une sauvegarde chiffrée hors serveur. Les mesures complémentaires effectivement retenues, leur fréquence, leur conservation et les objectifs de reprise doivent figurer dans la fiche d’exploitation avant ouverture. Aucune certification HDS, garantie d’absence d’incident ou disponibilité permanente n’est annoncée.

7. Prestataires et transferts

Le client autorise les prestataires nécessaires aux fonctions retenues, dans les limites de la fiche d’exploitation :

OVHcloud: Hébergement des interfaces, de l’application et de ses bases. La localisation exacte du service utilisé est indiquée dans la fiche d’exploitation.
ElevenLabs: Traitement vocal, transcription, voix et orchestration du dialogue. Le modèle de langage est fourni, pour la configuration standard, par OpenAI via ElevenLabs ; ce n’est pas un accès au compte ChatGPT personnel du client.
Twilio: Acheminement et transfert des appels, ainsi que confirmations SMS lorsqu’elles sont activées. Les opérateurs de télécommunication participent à l’acheminement selon leurs obligations propres.
Google Agenda, si connecté: Lecture des disponibilités et gestion des rendez-vous sur le compte autorisé par le client. Le client conserve la maîtrise de son compte et peut révoquer l’accès ; cette révocation empêche les opérations nécessitant l’agenda.

Certains prestataires et leurs sous-traitants peuvent traiter des données hors de l’Espace économique européen, notamment aux États-Unis. Avant ouverture, Votelia documente les entités, lieux, accords de sous-traitance et garanties de transfert applicables au service effectivement utilisé. Une référence générale à des clauses contractuelles types ou au Data Privacy Framework ne remplace pas cette vérification. La fiche et les garanties peuvent être demandées à contact@votelia.fr.

Votelia demeure responsable de ses sous-traitants dans les conditions de l’article 28 du RGPD et leur impose les obligations requises pour le traitement confié. Tout ajout ou remplacement est communiqué au client avant sa prise d’effet, en principe avec un préavis de 30 jours. Le client peut présenter une objection motivée relative à la protection des données ; faute de solution acceptable, le traitement concerné n’est pas ouvert ou le client peut y mettre fin avant le changement.

8. Conservation, restitution et fin du contrat

Prestataire vocal : la configuration standard demande une rétention de transcription de 7 jours et désactive l’enregistrement audio. Les métadonnées techniques ou de facturation peuvent avoir une conservation distincte selon les obligations du fournisseur.
Application Votelia : les rendez-vous, demandes de rappel, récapitulatifs extraits et états d’action sont distincts des transcriptions du fournisseur. La règle de 7 jours ne leur est pas appliquée automatiquement. Leur durée utile, la restitution, l’effacement de fin de contrat et le renouvellement des copies doivent être définis et vérifiés dans la fiche d’exploitation avant la mise en service.
Agenda du client : les rendez-vous restent dans le compte Google du client tant qu’il ne les supprime pas conformément à sa propre politique. Fermer Votelia ne supprime pas son agenda.
Facturation et preuve : seuls les éléments nécessaires à une obligation légale ou à la défense de droits sont conservés séparément pendant la durée applicable ; les factures relèvent de la durée légale de 10 ans.

À la fin du contrat, Votelia restitue ou supprime les données selon le choix documenté du client et l’échéance convenue, sauf conservation imposée par le droit. Cette opération comprend les copies existantes selon le calendrier convenu ; toute restauration doit réappliquer les demandes d’effacement intervenues depuis la copie. Votelia confirme l’exécution au client. Une fiche simplement archivée dans le panneau conserve ses données et ne constitue pas une preuve de suppression. Aucune suppression automatique de toutes les données à 30 jours n’est affirmée par le présent accord.

9. Incidents et assistance

Votelia informe le client d’une violation de données personnelles dans les meilleurs délais après en avoir connaissance. La notification comporte les faits et conséquences connus, les catégories concernées, les mesures prises ou envisagées et un contact ; les informations manquantes sont complétées sans retard injustifié. Le client reste responsable des notifications lui incombant, notamment du délai légal de 72 heures pour la CNIL lorsqu’il s’applique.

Votelia transmet sans délai au client les demandes reçues de personnes concernées et l’aide à exercer leurs droits, à documenter la sécurité, une analyse d’impact ou une consultation préalable, compte tenu de la nature du traitement et des informations dont Votelia dispose.

10. Obligations du client

Déterminer et documenter sa base légale ; informer les appelants du recours à une assistante IA, de la transcription, des destinataires, des durées et de leurs droits.
Fournir des consignes proportionnées, tenir les informations à jour et vérifier les demandes et rendez-vous reçus.
Protéger ses accès, limiter les habilitations et signaler tout incident ou demande d’effacement.
Autoriser lui-même l’agenda nécessaire et s’assurer des droits des personnes dont il communique les coordonnées.

11. Contrôle

Votelia fournit les informations nécessaires pour démontrer le respect de cet accord et permet les audits et inspections requis par l’article 28 du RGPD, réalisés par le client ou un auditeur mandaté. Les modalités pratiques protègent la sécurité et la confidentialité des autres clients sans faire obstacle aux droits d’audit ou aux pouvoirs des autorités. Toute répartition de frais est convenue à l’avance.

Version du 17 octobre 2026 · donnees-2026-10-17. Les prérequis de la fiche d’exploitation restent nécessaires avant tout traitement commercial réel.