Accord de sous-traitance selon l’article 28 du RGPD
Aperçu : la liste des sous-traitants ultérieurs décrit le fonctionnement prévu et sera confirmée avec les prestataires réellement utilisés avant le lancement.
Lorsque vous utilisez Stemvo, nous traitons les données de vos appelants pour votre compte. Nous concluons pour cela avec vous un accord de sous-traitance selon l’article 28 du RGPD. Il fait partie des conditions générales et est conclu lors de l’inscription ; une version signée vous est envoyée sur demande à hello@stemvo.eu.
Ce que règle l’accord
- Objet et durée : fonctionnement de l’agent vocal IA pendant la durée du contrat d’utilisation.
- Types de données : numéros de téléphone, heure et durée des appels, transcriptions, résumés, informations données pendant l’appel, éventuellement enregistrements audio.
- Personnes concernées : appelants, clients et prospects du client, ainsi que ses collaborateurs qui utilisent le service.
- Instructions : nous traitons les données uniquement sur instruction documentée du client.
- Confidentialité : toutes les personnes ayant accès aux données sont tenues à la confidentialité ; sur demande, engagement complémentaire pour les professions soumises au secret professionnel.
- Assistance : pour les droits des personnes, l’analyse d’impact et les violations de données (notification au client sans délai, au plus tard 48 heures après en avoir eu connaissance).
- Suppression : selon la durée de conservation fixée par le client et à la fin du contrat ; export possible avant.
- Audits : preuves et audits selon l’article 28, paragraphe 3, point h, du RGPD.
Mesures techniques et organisationnelles (extrait)
- Chiffrement pendant la transmission (TLS) et dans le stockage
- Stockage et traitement dans des centres de données situés dans l’Union européenne
- Droits d’accès par rôle, double authentification pour les comptes clients et les administrateurs
- Séparation des données de chaque client
- Suppression automatique après la durée de conservation fixée
- Journalisation des accès d’administration, sauvegardes régulières et tests de restauration
Sous-traitants ultérieurs
| Prestation | Prestataire | Lieu de traitement |
|---|---|---|
| Téléphonie (réception des appels, numéros) | [prestataire de téléphonie] | UE |
| Reconnaissance vocale | [prestataire de reconnaissance vocale] | UE |
| Modèle de langage | [prestataire du modèle de langage] | région UE |
| Synthèse vocale | [prestataire de synthèse vocale] | UE |
| Hébergement, base de données, stockage | [hébergeur : raison sociale, adresse, téléphone] | UE |
Nous informons le client au moins 30 jours à l’avance de tout nouveau sous-traitant ultérieur ou de tout changement. Le client peut s’y opposer pour un motif sérieux lié à la protection des données.
Pour votre propre documentation
- Une ligne dans votre registre des activités de traitement (article 30 du RGPD) pour la prise d’appels
- Un paragraphe dans votre politique de confidentialité sur les appels, les transcriptions et, le cas échéant, les enregistrements
- Pour les données de santé, l’obligation d’un hébergeur certifié HDS (article L1111-8 du Code de la santé publique) et l’examen d’une analyse d’impact (article 35 du RGPD)