Traitement des données (RGPD)

Qui est responsable de quoi

L'entreprise cliente qui utilise Kalyo pour répondre à ses appels est responsable du traitement des données de ses appelants : elle en détermine les finalités et les moyens. Human Echo Connect, qui édite Kalyo, agit en tant que sous-traitant au sens de l'article 28 du RGPD : nous ne traitons ces données que sur instruction documentée du client et pour son compte.

Pour les données collectées sur ce site (formulaires de contact, demandes d'appel de démonstration), Human Echo Connect est responsable de traitement : elles sont décrites dans notre politique de confidentialité.

Données traitées pendant un appel

L'agent est configuré pour ne recueillir que les informations nécessaires à la demande (principe de minimisation, article 5 du RGPD) :

• Identification : numéro de téléphone de l'appelant et, si nécessaire, son nom ;
• Contenu de l'appel : enregistrement audio le temps du traitement et transcription écrite ;
• Informations utiles à la demande : créneau souhaité, adresse d'intervention, motif, niveau d'urgence ;
• Données techniques : date, heure et durée de l'appel.

L'agent ne sollicite pas de données sensibles (santé, opinions, coordonnées bancaires). Si un appelant en communique spontanément, elles ne servent qu'à traiter sa demande.

Finalités et bases légales

Les finalités sont fixées par l'entreprise cliente. À titre indicatif, le traitement attendu est le suivant :

• Répondre à l'appel et traiter la demande (réservation, rendez-vous, demande d'intervention, renseignement) : mesures précontractuelles ou exécution d'un contrat avec l'appelant (article 6.1.b) ;
• Transmettre une fiche d'appel à l'entreprise par SMS, e-mail ou CRM : même base légale, ou intérêt légitime de l'entreprise à assurer le suivi de ses appels (article 6.1.f) ;
• Filtrer le spam et le démarchage : intérêt légitime de l'entreprise à protéger sa ligne (article 6.1.f) ;
• Améliorer le service : uniquement à partir de données anonymisées, ou avec l'accord de l'entreprise cliente.

Les données des appelants ne sont jamais vendues, ni utilisées à des fins publicitaires, ni réutilisées pour le compte d'un autre client.

Information des appelants

Dès le début de l'appel, un message d'accueil validé avec l'entreprise cliente indique à l'appelant qu'il échange avec un assistant IA, que l'appel est enregistré et transcrit pour traiter sa demande, et à qui s'adresser pour exercer ses droits (article 13 du RGPD et article 50 de l'AI Act).

Durée de conservation

• Enregistrements audio et transcriptions : 90 jours maximum par défaut, durée réductible par l'entreprise cliente ;
• Fiches d'appel transmises dans les outils de l'entreprise (e-mail, CRM) : conservées selon la politique de l'entreprise cliente ;
• Fin du contrat : suppression ou restitution de l'ensemble des données, au choix du client, puis suppression des copies (article 28.3.g).

Hébergement et sous-traitants ultérieurs

Les données sont hébergées et traitées au sein de l'Union européenne. Nous faisons appel à des sous-traitants ultérieurs strictement nécessaires au service (hébergement, téléphonie, moteur vocal), liés par des obligations de protection des données équivalentes aux nôtres. Leur liste figure dans l'accord de sous-traitance ; l'entreprise cliente est informée de tout changement et peut s'y opposer (article 28.2).

Si un transfert hors de l'UE devenait nécessaire, il serait encadré par les clauses contractuelles types de la Commission européenne ou un mécanisme équivalent.

Sécurité et confidentialité

Conformément à l'article 32 du RGPD, nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque :

• chiffrement des échanges ;
• accès restreint aux seules personnes habilitées, tenues à la confidentialité ;
• hébergement européen ;
• mesures revues et renforcées au fil du développement du produit.

Violation de données

En cas de violation de données personnelles, nous en informons l'entreprise cliente dans les meilleurs délais après en avoir pris connaissance, avec les éléments utiles, afin qu'elle puisse notifier la CNIL dans les 72 heures et, si nécessaire, les personnes concernées (articles 33 et 34 du RGPD).

Droits des appelants

Les appelants disposent des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Ils les exercent auprès de l'entreprise qu'ils ont appelée ; nous l'aidons à y répondre dans le délai d'un mois (article 28.3.e). Toute demande qui nous parvient directement lui est transmise sans délai. Les appelants peuvent également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Accord de sous-traitance (DPA)

Chaque entreprise cliente signe avec Human Echo Connect un accord de sous-traitance conforme à l'article 28 du RGPD, qui précise les instructions, les mesures de sécurité et la liste des sous-traitants ultérieurs. Nous vous aidons également à tenir votre registre des traitements (article 30) et, si votre activité l'exige, à réaliser une analyse d'impact (AIPD, article 35). Pour obtenir l'accord ou poser une question : contact@kalyo.ai.