Article 1. Définitions et champ d'application

1.1 Les termes définis par le RGPD y conservent leur sens. Les termes définis par les Conditions générales de vente et de service, ci-après les « CGV », conservent le leur.

1.2 Le présent accord s'applique à tout traitement de données à caractère personnel effectué par ORAKINA pour le compte du Client dans le cadre de l'exécution du Service.

1.3 Il fait partie intégrante du Contrat, il est conclu pour la même durée, et il ne peut être modifié que par avenant écrit. ORAKINA ne peut le modifier unilatéralement par la mise à jour d'une page web.

1.4 En cas de contradiction entre le présent accord et les CGV, le présent accord prévaut s'agissant du traitement des données à caractère personnel.

1.5 Point de contact d'ORAKINA pour les questions relatives à la protection des données : [À COMPLÉTER : nom, qualité et adresse électronique]. [•] Désignation d'un délégué à la protection des données : à trancher. Le traitement à grande échelle de données vocales, potentiellement sensibles, rend la désignation au moins fortement recommandée.

Article 2. Rôle des Parties

2.1 Le Client est responsable du traitement des données des personnes qui interagissent avec l'Agent vocal. Il détermine les finalités et les moyens du traitement, définit les configurations et les instructions de l'Agent vocal, et s'assure de la licéité du traitement.

2.2 ORAKINA est sous-traitant au titre de ces traitements.

2.3 Par exception, ORAKINA est responsable de traitement pour les données qu'elle traite pour ses besoins propres : gestion de la relation commerciale, facturation, recouvrement, vérification de l'identité, de l'existence et de l'activité du Client et de ses représentants, prévention des usages illicites du Service, sécurité du Service, journalisation, gestion des comptes des Utilisateurs de la Plateforme, et exécution de ses obligations légales d'opérateur de communications électroniques. Ces traitements ne relèvent pas du présent accord et sont décrits dans la politique de confidentialité d'ORAKINA.

2.4 Si ORAKINA venait à déterminer les finalités et les moyens d'un traitement, elle serait considérée comme responsable de ce traitement au sens de l'article 28, paragraphe 10, du RGPD.

Article 3. Description du traitement

3.1 L'objet, la durée, la nature, la finalité du traitement, les catégories de données et les catégories de personnes concernées figurent en Annexe A.

3.2 Le Client garantit que les données qu'il transmet ou fait traiter sont adéquates, pertinentes et limitées à ce qui est nécessaire, et qu'il dispose d'une base légale pour chaque traitement confié.

Article 4. Instructions

4.1 ORAKINA traite les données à caractère personnel uniquement sur instruction documentée du Client. Le Contrat, ses annexes et les paramétrages réalisés par le Client dans son espace client constituent ses instructions documentées.

4.2 ORAKINA informe le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition applicable en matière de protection des données. Elle peut suspendre l'exécution de l'instruction concernée jusqu'à sa régularisation, sans que cette suspension engage sa responsabilité.

4.3 ORAKINA ne transfère aucune donnée vers un pays tiers sans instruction documentée du Client, sauf obligation légale à laquelle elle est soumise, auquel cas elle en informe le Client avant le traitement, à moins que le droit applicable ne l'interdise.

Article 5. Confidentialité et habilitation du personnel

5.1 ORAKINA veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, contractuelle ou légale.

5.2 L'accès aux données est limité aux personnes qui en ont besoin pour l'exécution du Service, nominatif et journalisé.

5.3 ORAKINA est tenue au secret des correspondances en application de l'article L. 32-3 du code des postes et des communications électroniques. La violation de ce secret est pénalement sanctionnée. Les personnels habilités sont informés de cette obligation et signent un engagement spécifique.

5.4 ORAKINA assure la sensibilisation et la formation régulière de son personnel.

Article 6. Sécurité

6.1 ORAKINA met en œuvre les mesures techniques et organisationnelles appropriées décrites en Annexe C, au regard de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes concernées.

6.2 ORAKINA peut faire évoluer ces mesures, sous réserve que le niveau de protection obtenu ne soit pas diminué.

6.3 [•] ORAKINA s'engage à obtenir la certification ISO/IEC 27001 avant le [À COMPLÉTER : date]. / Aucun engagement de certification n'est pris à ce stade.

Article 7. Violations de données

7.1 ORAKINA notifie au Client toute violation de données à caractère personnel le concernant dans les meilleurs délais et au plus tard vingt-quatre (24) heures après en avoir pris connaissance.

7.2 La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements en cause, les conséquences probables, les mesures prises ou proposées, et désigne un point de contact.

7.3 ORAKINA assiste le Client dans l'accomplissement de ses obligations de notification à l'autorité de contrôle et, le cas échéant, de communication aux personnes concernées.

7.4 La notification adressée par ORAKINA ne vaut ni reconnaissance de faute ni reconnaissance de responsabilité.

7.5 [•] Prise en charge des coûts de notification aux personnes concernées : oui, plafonnée à [•] euros / non.

Article 8. Sous-traitants ultérieurs

8.1 Le Client autorise ORAKINA à recourir à des sous-traitants ultérieurs. La liste en vigueur figure en Annexe B et est tenue à jour dans l'espace client. Elle mentionne, pour chacun, son identité, son pays d'établissement, la nature du traitement confié et le lieu d'hébergement des données.

8.2 ORAKINA informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins trente (30) jours avant sa prise d'effet.

8.3 Le Client peut s'y opposer, par écrit et de manière motivée, dans les [•] quinze (15) jours de la notification. En cas d'opposition, ORAKINA propose une solution alternative dans un délai de trente (30) jours. À défaut de solution acceptable, le Client peut résilier le Contrat sans pénalité, avec remboursement au prorata des sommes payées d'avance et non consommées.

8.4 ORAKINA conclut avec chaque sous-traitant ultérieur un contrat lui imposant les mêmes obligations de protection des données que celles qui lui incombent, y compris l'interdiction d'utiliser les données du Client à des fins d'entraînement ou d'amélioration de modèles. ORAKINA demeure pleinement responsable envers le Client de l'exécution par ses sous-traitants ultérieurs de leurs obligations.

8.5 ORAKINA contrôle régulièrement le respect par ses sous-traitants ultérieurs de leurs obligations et informe le Client, sans qu'il ait à le demander, de tout manquement constaté.

Article 9. Transferts hors de l'Union européenne

9.1 Aucune donnée traitée pour le compte du Client n'est transférée, stockée ni consultée hors de l'Union européenne, y compris pour les besoins du support, de l'administration technique et de la supervision.

9.2 Tous les sous-traitants ultérieurs figurant en Annexe B sont établis dans l'Union européenne et y hébergent les données.

9.3 Si un transfert hors de l'Union européenne devenait nécessaire, il ne pourrait intervenir qu'après information préalable du Client dans les conditions de l'article 8, et sur le fondement d'une décision d'adéquation ou de garanties appropriées au sens du chapitre V du RGPD. Le Client conserverait en tout état de cause le droit de s'y opposer et de résilier dans les conditions de l'article 8.3.

9.4 ORAKINA met en œuvre les mesures techniques, organisationnelles et contractuelles destinées à empêcher l'accès d'une autorité publique d'un pays tiers aux données, et décrit ces mesures ainsi que les juridictions dont dépend son infrastructure sur son site internet.

Article 10. Assistance et coopération

10.1 ORAKINA assiste le Client, compte tenu de la nature du traitement et des informations dont elle dispose, pour :

a) répondre aux demandes d'exercice de droits des personnes concernées, dans les conditions de l'article 11 ;

b) assurer la sécurité des traitements, article 32 du RGPD ;

c) notifier les violations de données, articles 33 et 34 ;

d) réaliser les analyses d'impact relatives à la protection des données et, le cas échéant, la consultation préalable de l'autorité de contrôle, articles 35 et 36. ORAKINA met à disposition du Client les éléments techniques nécessaires et, le cas échéant, un modèle d'analyse d'impact adapté au Service.

10.2 Cette assistance est comprise dans le prix du Service, sauf demandes manifestement infondées ou excessives, notamment par leur caractère répétitif.

Article 11. Droits des personnes concernées

11.1 Il appartient au Client d'informer les personnes concernées dans les conditions des articles 13 et 14 du RGPD, notamment sur l'enregistrement et la transcription des conversations, le recours à un système d'intelligence artificielle, et les catégories de sous-traitants. ORAKINA met à sa disposition des mentions types à cet effet, figurant en Annexe E.

11.2 ORAKINA met à la disposition du Client, dans son espace client, les fonctions permettant de rechercher, d'exporter et de supprimer les données relatives à une personne déterminée.

11.3 Lorsque ORAKINA reçoit directement une demande d'une personne concernée, elle la transmet au Client dans un délai de [•] quarante-huit (48) heures, accompagnée des pièces reçues. Elle n'y répond pas sur le fond, sauf instruction écrite du Client ou obligation légale.

11.4 ORAKINA informe le Client sans délai de toute réclamation, enquête ou procédure émanant d'une autorité de contrôle portant sur les données traitées pour son compte, lui communique les correspondances et lui apporte son assistance.

Article 12. Audit et contrôle

12.1 ORAKINA met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations : l'Annexe C, ses réponses aux questionnaires de sécurité et les attestations de certification dont elle dispose.

12.2 Si ces éléments ne suffisent pas, ORAKINA remet une attestation établie par un auditeur tiers qualifié et indépendant.

12.3 À défaut, le Client peut faire procéder à un audit sur site lorsqu'il justifie de motifs sérieux, en cas de violation de données, ou lorsque son autorité de contrôle le demande formellement. L'audit est réalisé une fois par année contractuelle au plus, pendant les heures ouvrées, sur demande écrite adressée au moins [•] soixante (60) jours à l'avance, accompagnée d'un plan d'audit soumis à l'accord d'ORAKINA. Il est conduit par un tiers indépendant, tenu à la confidentialité, en présence d'un représentant d'ORAKINA. Le rapport est communiqué à ORAKINA et constitue une information confidentielle des deux Parties.

12.4 Les frais sont à la charge du Client, sauf si l'audit révèle un manquement significatif d'ORAKINA.

12.5 S'agissant des sous-traitants ultérieurs, ORAKINA communique les attestations dont elle dispose et relaie les demandes du Client. Elle ne garantit pas l'accès direct du Client à leurs installations.

Article 13. Absence d'utilisation à des fins d'entraînement

13.1 ORAKINA n'utilise pas les données traitées pour le compte du Client pour entraîner, affiner, évaluer ou améliorer un modèle d'intelligence artificielle, que ce modèle lui appartienne ou appartienne à un tiers. Cet engagement s'applique sans exception et n'est subordonné à aucune faculté d'opposition.

13.2 ORAKINA se réserve la seule collecte de données techniques d'exploitation, à l'exclusion du contenu des conversations : durée et volume des appels, taux d'aboutissement, latence, taux d'erreur technique.

13.3 Cet engagement est répercuté à l'ensemble des sous-traitants ultérieurs, y compris aux fournisseurs de modèles de langage, de reconnaissance et de synthèse vocale.

13.4 Par dérogation, le Client peut, par avenant écrit, autoriser l'affinage d'un Agent vocal déployé pour son seul usage. Les données ainsi utilisées ne sont en aucun cas mutualisées.

Article 14. Enregistrement et transcription

14.1 L'enregistrement et la transcription des conversations sont [•] désactivés par défaut et relèvent d'un paramétrage exprès du Client, qui déclare à cette occasion la finalité poursuivie et la durée de conservation retenue.

14.2 Le Client détermine la base légale, recueille et documente le cas échéant le consentement des participants, et informe les personnes concernées, y compris ses salariés.

14.3 ORAKINA met à disposition une annonce d'entrée d'appel, non désactivable, informant de la nature automatisée de l'interlocuteur et, le cas échéant, de l'enregistrement. La diffusion de cette annonce est journalisée et le journal est restituable au Client.

14.4 Le Client s'interdit de configurer l'Agent vocal pour solliciter des données relevant de l'article 9 du RGPD en dehors du cadre convenu.

Article 15. Durées de conservation, suppression et restitution

15.1 Les données sont conservées pendant les durées figurant en Annexe D, par catégorie et par finalité. Le Client peut, dans les bornes indiquées, paramétrer ces durées dans son espace client.

15.2 À l'expiration de la durée applicable, les données sont supprimées automatiquement. Les copies figurant dans les sauvegardes sont purgées dans un délai maximal de [•] jours. [À COMPLÉTER : délai à obtenir d'Ivodor. Tant que l'existence et la périodicité d'une sauvegarde hors de la machine de production ne sont pas confirmées, ce délai ne peut pas être chiffré.]

15.3 À la fin du Contrat, ORAKINA conserve les données pendant trente (30) jours calendaires afin de permettre au Client d'en demander la restitution ou la suppression anticipée. À l'issue de ce délai, elles sont supprimées.

15.4 ORAKINA délivre au Client, sur demande, une attestation de suppression.

15.5 Réserve de conservation légale. En qualité d'opérateur de communications électroniques, ORAKINA est tenue de conserver certaines catégories de données en application de l'article L. 34-1 du code des postes et des communications électroniques et de ses textes d'application : informations relatives à l'identité civile, informations fournies lors de la souscription, informations relatives au paiement, et données techniques permettant d'identifier la source de la connexion. Ces obligations légales priment sur les durées convenues et sur toute instruction contraire du Client. Elles ne portent en aucun cas sur le contenu des communications. Le détail figure en Annexe D.

Article 16. Responsabilité

16.1 Chaque Partie répond des dommages causés par un traitement qui méconnaît le RGPD, dans les conditions de son article 82.

16.2 La responsabilité d'ORAKINA au titre du présent accord est plafonnée dans les conditions de l'article 26.4 des CGV.

16.3 Le Client garantit ORAKINA contre toute réclamation résultant d'une instruction illicite, d'une absence de base légale, d'un défaut d'information des personnes concernées, ou d'un manquement à la Charte d'usage.

Article 17. Durée, modification et survie

17.1 Le présent accord prend effet à la date d'effet du Contrat et s'applique pendant toute sa durée.

17.2 Il ne peut être modifié que par avenant écrit signé des deux Parties, sous réserve des modifications rendues nécessaires par une évolution du droit applicable, qui prennent effet de plein droit.

17.3 Les articles 5, 7, 9, 13, 15 et 16 survivent à la fin du Contrat, pour la durée nécessaire à leur objet.

ANNEXES

Annexe A. Description du traitement

Objet : fourniture d'un service d'agent vocal fondé sur l'intelligence artificielle pour la gestion des appels téléphoniques du Client.

Durée : durée du Contrat, augmentée des durées de conservation de l'Annexe D.

Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, utilisation, transcription, analyse, communication par transmission, effacement.

Finalités : réception et émission d'appels, qualification des demandes, prise et gestion de rendez-vous, transfert d'appels, production de transcriptions et de comptes rendus, envoi de messages écrits, et les finalités complémentaires déclarées par le Client dans son espace client.

Catégories de personnes concernées : personnes appelant le Client ou appelées pour son compte, interlocuteurs des Utilisateurs, et toute personne dont les données figurent dans le Contenu du Client.

Catégories de données :

Données sensibles : aucune catégorie particulière au sens de l'article 9 du RGPD n'entre dans le périmètre du traitement, sauf conditions particulières écrites.

Annexe B. Sous-traitants ultérieurs

La liste nominative des sous-traitants ultérieurs, précisant pour chacun son identité, son pays d'établissement, la nature du traitement confié et le lieu d'hébergement des données, est remise à chaque client, tenue à jour dans son espace client et communiquée sur demande. Les catégories de destinataires et les juridictions concernées sont publiées sur la page Hébergement et juridictions.

Annexe C. Mesures techniques et organisationnelles de sécurité

Annexe C. Mesures techniques et organisationnelles de sécurité — communiquée sur demande, sous accord de confidentialité.

Annexe D. Durées de conservation

Les durées applicables à chaque offre figurent dans les conditions particulières et dans l'espace client, et communiquées sur demande.

Socle légal incompressible, obligations d'opérateur

Ces durées ne peuvent être abrégées ni par le Client ni par ORAKINA. Elles ne portent pas sur le contenu des communications.

Annexe E. Mentions types pour l'information des personnes concernées

Les mentions types sont publiées sur la page Ce que vous devez dire à vos appelants.