Annexe de sous-traitance

La présente annexe encadre le traitement des données personnelles que JLAIEL STUDIO AI (« le Prestataire ») réalise pour le compte de son client (« le Client ») dans le cadre du service Léa Répond.

Le Client est responsable du traitement des données des personnes qui appellent sa ligne : ce sont ses prospects, ses clients ou ses patients, et c'est lui qui détermine la finalité de l'appel et les consignes données à l'agent.

Le Prestataire est sous-traitant : il ne traite ces données que sur instruction du Client, pour les seules finalités décrites à l'article 2, et jamais pour son propre compte.

Le Prestataire demeure responsable du traitement pour les données propres du Client (identité du souscripteur, compte, facturation), régies par la Politique de Confidentialité.

• Nature : réception des appels entrants, transcription de la parole, génération de réponses vocales, rédaction d'un résumé d'appel, transmission de notifications au Client, et le cas échéant prise de rendez-vous et transfert d'appel.
• Finalité : assurer l'accueil téléphonique du Client, en son absence ou en complément de son standard.
• Catégories de données : numéro de l'appelant ; nom et prénom lorsqu'il les communique ; contenu de la conversation (transcription et résumé) ; date, heure et durée de l'appel ; motif de l'appel ; coordonnées de rappel et éléments de rendez-vous lorsqu'ils sont donnés.
• Catégories de personnes concernées : toute personne appelant la ligne du Client.
• Durée : la durée de l'abonnement, avec effacement automatique des données d'appel au terme de 12 mois.

Le Prestataire ne traite les données que sur instruction documentée du Client. La configuration réalisée par le Client dans son tableau de bord — consignes de l'agent, message d'accueil, informations à recueillir, catégories d'appelants, activation de la prise de rendez-vous et du transfert — constitue cette instruction.

Conformément au dernier alinéa de l'article 28.3 du RGPD, le Prestataire informe le Client si une instruction lui paraît constituer une violation du règlement, et peut refuser de l'exécuter.

Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité. L'accès aux données de production est limité au strict nécessaire pour l'exploitation et le support du service.

Le Prestataire n'utilise aucune donnée d'appel de ses clients pour entraîner un modèle d'intelligence artificielle.

• Chiffrement en base des numéros de téléphone, des résumés et des transcriptions (AES-256-GCM).
• Hébergement en France (OVH), base de données et messagerie auto-hébergées sur les serveurs du Prestataire.
• Chiffrement des flux en transit (TLS) et des secrets de téléphonie au repos.
• Cloisonnement par compte : chaque Client n'accède qu'à ses propres appels.
• Sauvegardes quotidiennes automatisées de la base de données.
• Purge quotidienne appliquant automatiquement les durées de conservation annoncées.

Le Client autorise le Prestataire à recourir aux sous-traitants ultérieurs listés dans la section 5 de la Politique de Confidentialité, qui précise pour chacun son rôle et sa localisation.

Le Prestataire informe le Client de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis de 30 jours. Pendant ce délai, le Client peut s'y opposer par écrit ; à défaut d'accord, il peut résilier sans frais ni pénalité.

Le Prestataire impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles de la présente annexe et demeure responsable de leur exécution.

Par défaut, la pile activée est intégralement française : le contenu des appels est transcrit, traité et synthétisé par Mistral AI en France, sur une infrastructure OVH française. Dans cette configuration, le contenu des appels ne quitte pas l'Union européenne.

Lorsque le Client active un modèle ou une pile non européenne, ou en cas de repli technique, les transferts correspondants sont encadrés par les Clauses Contractuelles Types approuvées par la Commission européenne (article 46.2.c du RGPD). Le Client en est informé dans son tableau de bord au moment du choix.

Le Prestataire assiste le Client, dans la mesure du raisonnable, pour :

• répondre aux demandes d'exercice de droits des appelants (accès, rectification, effacement, opposition) ;
• documenter les mesures de sécurité mises en œuvre ;
• réaliser une analyse d'impact relative à la protection des données lorsqu'elle est requise.

Une demande d'effacement portant sur un appelant identifié est exécutée dans un délai de 30 jours à compter de sa transmission par le Client.

Le Prestataire notifie le Client sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance, de toute violation de données à caractère personnel affectant les données traitées pour son compte. La notification précise la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises.

Ces éléments permettent au Client, responsable du traitement, de procéder à sa propre notification à la CNIL dans le délai de 72 heures prévu à l'article 33 du RGPD.

À l'expiration ou à la résiliation du contrat, le Prestataire supprime les données d'appel du Client dans un délai de 30 jours, sauf demande écrite de restitution formulée avant ce terme, ou obligation légale de conservation.

Les données de facturation sont conservées 10 ans au titre des obligations comptables légales.

Le Prestataire met à la disposition du Client, sur demande écrite, la documentation nécessaire pour démontrer le respect de l'article 28 du RGPD.

Il se soumet aux audits raisonnables du Client ou d'un auditeur mandaté par lui, dans la limite d'un audit par année civile, sous réserve d'un préavis de 30 jours et de la signature d'un engagement de confidentialité.

Le Client garantit :

• disposer d'une base légale pour le traitement des appels qu'il confie au Prestataire ;
• informer ses propres appelants du traitement de leurs données, conformément à l'article 13 du RGPD (mention dans sa politique de confidentialité, information à l'accueil, ou tout autre moyen approprié) ;
• ne pas configurer l'agent pour recueillir des données sensibles au sens de l'article 9 du RGPD, en particulier des données de santé : le service n'est pas hébergé sur une infrastructure certifiée HDS. Un professionnel de santé peut utiliser le service pour la prise de rendez-vous et l'orientation des appels, à condition de ne pas faire recueillir de motif médical par l'agent ;
• traiter, en qualité de responsable du traitement, les demandes d'exercice de droits qui lui sont adressées, avec l'assistance prévue à l'article 8.

Le Prestataire est fournisseur d'un système d'intelligence artificielle au sens du règlement (UE) 2024/1689. Conformément à son article 50, chaque appel débute par l'annonce que l'appelant s'adresse à une assistante virtuelle.

Cette annonce est appliquée par le système et ne peut pas être retirée par le Client : il s'agit d'une obligation qui pèse sur le Prestataire en tant que fournisseur, et non d'un réglage du service.

Le Client s'interdit toute configuration ou consigne visant à laisser croire à l'appelant qu'il s'adresse à un être humain.

La présente annexe s'applique pendant toute la durée du contrat et aussi longtemps que le Prestataire traite des données pour le compte du Client.

En cas de contradiction avec les Conditions Générales de Vente, elle prévaut pour tout ce qui concerne la protection des données personnelles.

Contact du Prestataire pour toute question relative aux données : contact@jlaielstudio.ai.