Accord de traitement des données (DPA)

Version en vigueur au {{DATE_VERSION}}. Article 28 du règlement (UE) 2016/679 (« RGPD »).

Entre le client professionnel titulaire d'un compte {{MARQUE}} (le « Client », responsable de traitement) et Mohamed Reda Khadra EI, nom commercial {{MARQUE}}, SIRET {{SIRET}}, {{ADRESSE_EDITEUR}} (« {{MARQUE}} », sous-traitant). Le DPA complète les CGU et les CGV ; en cas de contradiction sur les données personnelles, il prévaut.

1. Objet et rôles

1.1 Lorsque le Client utilise {{MARQUE}} pour appeler des personnes dans le cadre de son activité, il détermine pourquoi et qui appeler : il est responsable de traitement des données de ces personnes. {{MARQUE}} traite ces données pour le compte du Client et uniquement sur ses instructions : il est sous-traitant.

1.2 {{MARQUE}} reste responsable de ses propres traitements, décrits dans sa politique de confidentialité : gestion du compte et facturation ; liste d'opposition « ne m'appelez plus » commune à tous les clients ; prévention des abus et de la fraude ; conservation des données d'identification exigée par la loi ; sécurité.

1.3 Telnyx agit comme responsable indépendant pour les données de facturation détaillée des appels (numéros, heures, durées) qu'il traite comme opérateur, et Stripe pour la lutte contre la fraude au paiement.

2. Description du traitement (annexe 1)

3. Instructions

3.1 {{MARQUE}} ne traite les données que sur instruction documentée du Client : les CGU, ce DPA, et les tâches et réglages du Client (y compris via API, MCP et webhooks), y compris pour les transferts hors UE prévus à l'annexe 2.

3.2 Si une instruction lui paraît contraire au RGPD, {{MARQUE}} en informe immédiatement le Client et peut refuser de l'exécuter.

3.3 Si le droit de l'Union ou français l'oblige à un traitement, {{MARQUE}} en informe le Client avant de le faire, sauf si la loi l'interdit.

4. Obligations du Client

Le Client garantit : avoir une base légale pour appeler chaque personne et lui faire transmettre les informations prévues ; informer les personnes appelées (il peut s'appuyer sur l'annonce orale de l'agent et sur la page {{DOMAINE}}/appel, et doit compléter cette information pour ses propres traitements) ; respecter la politique d'usage acceptable des CGU ; ne pas cacher que l'interlocuteur parle à une IA (art. 50 du règlement (UE) 2024/1689) ; tenir son registre des traitements.

5. Confidentialité

Les personnes autorisées à traiter les données chez {{MARQUE}} sont tenues à la confidentialité. Aujourd'hui, seul l'exploitant y a accès, pour le support et la maintenance, et uniquement quand c'est nécessaire.

6. Sécurité (annexe 3)

{{MARQUE}} met en œuvre les mesures de l'article 32 du RGPD décrites à l'annexe 3 et les maintient à un niveau adapté au risque.

7. Sous-traitants ultérieurs

7.1 Le Client donne une autorisation générale de recourir aux sous-traitants de l'annexe 2.

7.2 Tout ajout ou remplacement est publié sur {{DOMAINE}}/legal/sous-traitants et notifié par e-mail au Client au moins 30 jours avant. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier sans frais avant l'entrée en vigueur du changement, avec remboursement du crédit acheté non utilisé.

7.3 {{MARQUE}} impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes, par contrat. Il reste responsable envers le Client de leur exécution.

8. Droits des personnes

{{MARQUE}} aide le Client à répondre aux demandes des personnes (accès, effacement, opposition…), notamment par l'export et la suppression disponibles dans l'espace client. Une demande reçue directement est transmise au Client sous 5 jours ouvrés. Une demande « ne m'appelez plus » est appliquée immédiatement par {{MARQUE}} pour tous ses clients (traitement propre, art. 1.2).

9. Violations de données

{{MARQUE}} notifie au Client toute violation de données personnelles le concernant dans les 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises), puis les complète dès que possible.

10. Assistance

{{MARQUE}} fournit au Client les informations raisonnablement nécessaires pour ses obligations de sécurité, de notification, d'analyse d'impact et de consultation préalable (art. 32 à 36 RGPD), compte tenu de la nature du traitement et des informations dont il dispose.

11. Audits

{{MARQUE}} met à disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 (ce DPA, le registre, la liste des sous-traitants, leurs attestations). Le Client peut faire réaliser un audit, y compris une inspection, par lui-même ou un auditeur tenu au secret et non concurrent, avec un préavis de 30 jours, au plus une fois par an (sauf violation de données ou demande d'une autorité), à ses frais sauf manquement avéré de {{MARQUE}}. L'audit ne peut porter atteinte à la sécurité ni aux données des autres clients.

12. Fin du traitement

À la fin du contrat, les données traitées pour le Client sont supprimées au plus tard à l'expiration des durées de l'annexe 1 (et les sauvegardes 14 jours après). Avant la fermeture du compte, le Client peut les exporter depuis l'espace client. {{MARQUE}} ne conserve que ce que la loi impose (factures, données d'identification) et sa liste d'opposition.

13. Transferts hors UE

Les transferts vers les sous-traitants situés hors de l'Union européenne sont encadrés par une décision d'adéquation (Data Privacy Framework UE-États-Unis, pour les entreprises certifiées) ou par les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914), selon l'annexe 2.

14. Responsabilité et durée

14.1 Chaque partie répond de ses manquements au RGPD et à ce DPA dans les conditions de l'article 82 du RGPD. Le plafond de responsabilité des CGV (art. 15.4) s'applique dans la mesure permise par la loi.

14.2 Le DPA s'applique tant que {{MARQUE}} traite des données pour le Client.

14.3 Transfert à une société. Le Client accepte que le DPA soit transféré, avec le contrat, à la société que créera Mohamed Reda Khadra (art. 19.2 des CGV), et que l'entrepreneur individuel soit libéré pour l'avenir à compter de la notification.

14.4 Le DPA est soumis au droit français.

Annexe 2 — Sous-traitants ultérieurs

Annexe 3 — Mesures de sécurité

• Chiffrement des échanges (TLS) entre tous les composants ; base de données chiffrée au repos chez l'hébergeur.
• Mots de passe hachés (scrypt) ; clés d'API stockées sous forme d'empreinte ; webhooks signés.
• Secrets de tâche et numéros de carte masqués dans tout ce qui est conservé ; valeurs chiffrées pendant la tâche puis effacées.
• Pas d'enregistrement audio ; transcriptions effacées automatiquement après 90 jours.
• Accès d'administration limité à l'exploitant, par clé ; accès à la base restreint par réseau et par rôle.
• Sauvegardes chiffrées conservées 14 jours ; journaux techniques conservés 30 jours.
• Filtrage des usages interdits, limites de fréquence d'appel, liste d'opposition commune.
• Mises à jour de sécurité régulières ; suivi des erreurs sans contenu des appels.