Cet Accord de traitement des données (« DPA ») complète les Conditions générales d'ARIA et s'applique chaque fois qu'ARIA traite des données à caractère personnel pour votre compte (pour le compte de l'entreprise cliente) conformément à l'article 28 du RGPD.
1. Rôles
Vous (l'entreprise cliente) êtes le responsable du traitement des données de vos clients qui interagissent avec ARIA. Nous (Annapolis Tour S.R.L., qui exploite le service ARIA) sommes le sous-traitant, qui traite ces données uniquement conformément à vos instructions et à ces conditions.
2. Finalité du traitement
Nous traitons les données à caractère personnel exclusivement afin de vous fournir le service ARIA : recevoir les messages de vos clients, répondre en votre nom, conserver le contexte des conversations, transmettre les cas sensibles à votre équipe et vous fournir des rapports d'utilisation agrégés.
3. Catégories de données
Nous traitons les catégories suivantes de données à caractère personnel de vos clients :
| Catégorie | Exemples |
|---|---|
| Données d'identification | Nom, prénom (lorsqu'ils sont fournis) |
| Données de contact | Numéro de téléphone, e-mail |
| Contenu des conversations | Messages texte, transcriptions vocales, pièces jointes |
| Métadonnées | Heure du message, canal, langue détectée |
| Contexte transactionnel | Détails propres à votre entreprise (réservations, rendez-vous, etc.) |
4. Durée du traitement
La durée du traitement est la même que la durée de votre contrat avec nous. À la résiliation, les données sont supprimées de nos systèmes dans un délai maximum de 30 jours, ou vous sont restituées dans un format standard, selon votre demande.
5. Sous-traitants ultérieurs
Nous faisons appel aux sous-traitants ultérieurs suivants. La liste peut être mise à jour moyennant un préavis de 14 jours.
| Sous-traitant ultérieur | Finalité | Localisation |
|---|---|---|
| Contabo GmbH | Hébergement (serveurs, infrastructure) | Lauterbourg, France (UE) |
| Mistral AI SAS | Modèle de langage (traitement des messages), via un proxy avec désactivation de la rétention | France (UE) |
| Soniox Inc. | Transcription de la voix en texte, lors des appels téléphoniques | Point d'accès européen (UE) |
| ElevenLabs Inc. | Synthèse de la voix d'ARIA, lors des appels téléphoniques | États-Unis (CCT) |
| Telnyx LLC | Acheminement des appels téléphoniques (numéros et connectivité) | États-Unis (CCT) |
| Meta Platforms Ireland Ltd. | Connectivité WhatsApp (le canal de messagerie) | Irlande (UE) / États-Unis (CCT) |
Tous les sous-traitants ultérieurs sont couverts par des contrats comportant des clauses contractuelles types (CCT) là où celles-ci s'appliquent.
6. Mesures de sécurité
Nous appliquons les mesures techniques et organisationnelles décrites sur la page Sécurité : chiffrement TLS 1.3 en transit, AES-256 au repos, accès contrôlé aux systèmes de production, authentification matérielle, audit hebdomadaire.
7. Assistance qui vous est apportée
Nous vous aidons à répondre aux demandes de vos clients qui exercent leurs droits au titre du RGPD. Si un client vous demande la suppression ou l'export de ses données, nous pouvons le faire dans un délai maximum de 5 jours ouvrables à compter de votre demande.
8. Notification des incidents
Nous vous informons de toute violation de sécurité affectant vos données dans un délai maximum de 72 heures à compter du moment où nous la détectons, conformément à l'article 33 du RGPD.
9. Audit
Sur demande écrite formulée 30 jours à l'avance, nous vous permettons (ou permettons à un auditeur tiers accrédité) d'auditer nos pratiques de traitement des données. Les coûts de l'audit sont à votre charge, sauf si l'audit met au jour des problèmes substantiels.
10. Transfert de données en dehors de l'UE
Vos données ne sont pas transférées en dehors de l'UE pour être stockées ; l'hébergement et le traitement linguistique (Mistral AI) ont lieu dans l'Union européenne, tout comme la transcription de la voix (Soniox, sur son point d'accès européen). Pour la synthèse vocale (ElevenLabs), pour l'acheminement des appels téléphoniques (Telnyx) et pour la connectivité WhatsApp, certains fournisseurs peuvent également traiter des données aux États-Unis, couverts par des clauses contractuelles types (CCT). La téléphonie n'est activée pour une entreprise que si celle-ci le demande, de sorte que si vous n'utilisez pas les appels téléphoniques, les transferts liés à la voix ne s'appliquent pas.
11. Modifications
Les modifications de ce DPA s'appliquent moyennant notification au moins 30 jours à l'avance. La version en vigueur est datée en haut de la page.
12. Contact
Pour toute question relative au traitement des données : [email protected].
Traduction
Cette page est une traduction française de l'original roumain. En cas de divergence entre les deux versions, c'est la version roumaine disponible à l'adresse ariaknows.com/dpa qui fait foi.