Conformément à l'Article 28 du RGPD (Règlement Général sur la Protection des Données 2016/679), le présent DPA encadre le traitement de données personnelles par VOCELIA (le « Sous-traitant ») pour le compte du CLIENT (le « Responsable de Traitement »).
1. Objet et durée du traitement
1.1 Le Sous-traitant traite les données personnelles dans le cadre exclusif de la fourniture du service Vocelia (secrétariat téléphonique automatisé).
1.2 Le traitement débute à la signature du contrat et se termine à sa résiliation, avec une période de rétention opérationnelle de 90 jours puis suppression définitive.
2. Types de données personnelles traitées
- Identification des appelants : nom, prénom, numéro de téléphone, email (si fourni)
- Enregistrements audio des appels
- Transcriptions textuelles des conversations
- Données de rendez-vous : date, heure, motif déclaré
- Métadonnées techniques : timestamp, durée, statut
3. Catégories de personnes concernées
Patients, clients, prospects du Responsable de Traitement appelant le numéro Vocelia attribué.
4. Obligations du Sous-traitant (Vocelia)
4.1 Traiter les données uniquement sur instruction documentée du Responsable, sauf obligation légale contraire.
4.2 Garantir que les personnes autorisées à traiter les données s'engagent à la confidentialité (clauses contractuelles signées par les employés).
4.3 Mettre en place les mesures de sécurité techniques et organisationnelles appropriées (Article 32 RGPD) :
- Chiffrement TLS 1.3 en transit
- Chiffrement AES-256 au repos
- Contrôle d'accès par rôle et journalisation
- Sauvegardes chiffrées avec rotation
- Tests de pénétration annuels
4.4 Assister le Responsable dans la mise en œuvre des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition) — réponse sous 30 jours.
4.5 Notifier au Responsable toute violation de données personnelles dans les 72 heures suivant la prise de connaissance, avec détails sur la nature, l'étendue, les conséquences et les mesures prises.
5. Sous-traitants ultérieurs
Le Responsable autorise expressément les sous-traitants ultérieurs suivants :
| Sous-traitant | Pays | Finalité | Garanties |
|---|---|---|---|
| ElevenLabs Inc. | USA | Synthèse et reconnaissance vocale | SCC + DPA spécifique |
| Anthropic PBC | USA | Modèle de langage (LLM) | SCC + DPA spécifique |
| Twilio Inc. | USA | Infrastructure téléphonique | SCC + DPA spécifique |
| Resend Inc. | USA | Envoi d'emails transactionnels | SCC + DPA spécifique |
| Google LLC | USA | Intégration calendar | SCC + DPA spécifique |
| n8n GmbH | Allemagne | Orchestration workflows | RGPD EU |
| Vercel Inc. | USA (région EU) | Hébergement front-end | SCC + DPA spécifique |
| Supabase Inc. | USA (région UE Frankfurt) | Base de données | SCC + DPA spécifique |
| Stripe Inc. | USA | Paiements | SCC + DPA spécifique |
| Cloudflare Inc. | USA | CDN + CAPTCHA | SCC + DPA spécifique |
Pour les transferts hors UE, les Clauses Contractuelles Types européennes (SCC 2021) s'appliquent. Le Sous-traitant notifiera le Responsable de tout changement de sous-traitant ultérieur avec préavis de 30 jours.
6. Assistance du Sous-traitant
- Répondre aux demandes des personnes concernées (outils d'export et de suppression dans le tableau de bord)
- Garantir la sécurité du traitement (Article 32)
- Notifier les violations de données (Article 33)
- Réaliser des analyses d'impact (DPIA — Article 35) le cas échéant
- Consulter l'autorité de contrôle (Article 36) si nécessaire
7. Audits
Le Responsable peut, après préavis écrit de 30 jours, auditer les mesures techniques et organisationnelles du Sous-traitant une fois par an, à ses propres frais, sous condition de signature d'un NDA.
8. Sort des données en fin de contrat
Dans un délai de 30 jours suivant la résiliation, le Sous-traitant :
- Restitue au Responsable l'intégralité des données dans un format exploitable (JSON)
- Supprime définitivement toutes copies internes
- Confirme la suppression par écrit
Sauf obligation légale de conservation (facturation : 10 ans selon la loi française), aucune copie n'est conservée.
9. Responsabilité et indemnisation
Chaque Partie est responsable des dommages causés par un traitement non conforme au RGPD et aux présentes. Le Sous-traitant souscrit une assurance responsabilité civile professionnelle couvrant les risques cyber et RGPD à hauteur de [MONTANT].
10. Responsabilité du Responsable de Traitement
- Informer ses propres patients/clients du traitement par Vocelia (mention sur son site web, affichage en cabinet)
- S'assurer que la mention vocale en début d'appel (« Cet appel peut être enregistré pour la prise de rendez-vous ») est bien diffusée
- Tenir un registre des activités de traitement conforme à l'Article 30
- Désigner un DPO si applicable
11. Délégué à la Protection des Données (DPO)
Contact DPO Vocelia : dpo@vocelia.eu — réponse sous 30 jours.
12. Droit applicable
Le présent DPA est régi par le RGPD et le droit français. Signé électroniquement lors de la création du compte Vocelia, valant accord opposable entre les Parties.
Vocelia — [SIRET, ADRESSE]