Accord de sous-traitance — Service AgentVoc

Data Processing Agreement (DPA) conforme à l'article 28 du Règlement (UE) 2016/679 (RGPD)

Version : 1.0 — 2026-05-26

Préambule

Le présent Accord de sous-traitance (« DPA ») encadre les obligations respectives du Client et d'AgentVoc en matière de protection des données personnelles, conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD).

Il est indissociable des Conditions Générales d'Utilisation (CGU) acceptées lors de la souscription au service AgentVoc. En cas de contradiction, les dispositions du présent DPA prévalent pour les questions de protection des données personnelles.

L'acceptation du présent DPA par le Client est obligatoire pour la souscription au service. Cette acceptation est tracée et horodatée (cf. art. 7.2).

Identification des parties

Responsable de traitement (« le Client »)

Toute personne morale (entreprise, profession libérale, association) ayant souscrit au service AgentVoc, dont les coordonnées sont enregistrées dans le compte tenant lors de l'inscription :

• Raison sociale
• SIREN / numéro de TVA intracommunautaire (le cas échéant)
• Adresse postale
• Représentant légal et adresse email du compte

Sous-traitant (« AgentVoc »)

VIA Communication SAS, exploitant la marque commerciale AgentVoc Siège social : 22 rue François Villon, 75015 Paris SIREN : 483 315 420 TVA intracommunautaire : FR69483315420 Représentée par : Laurent ELAYI, gérant Contact DPO : dpo@agentvoc.com Contact général : contact@agentvoc.com

Article 1 — Objet et durée

1.1 Objet

AgentVoc fournit au Client un service de secrétariat téléphonique propulsé par intelligence artificielle (ci-après « le Service ») qui :

• Répond automatiquement aux appels entrants reçus sur un numéro de téléphone dédié attribué au Client
• Engage la conversation avec l'appelant via une voix synthétique (« Léa » ou voix personnalisée)
• Qualifie la demande (urgence, motif, identité, coordonnées)
• Prend des rendez-vous dans l'agenda du Client (si configuré)
• Enregistre des messages textuels résumant la demande
• Transfère l'appel vers un numéro humain en cas d'urgence (si configuré)
• Restitue au Client (via tableau de bord web, application mobile, email, SMS, notification push, intégration Mattermost) les transcripts, enregistrements et données collectées

1.2 Durée

Le présent DPA prend effet à l'acceptation par le Client lors de l'inscription et reste en vigueur tant que le Client utilise le Service.

En cas de résiliation par l'une ou l'autre partie, les obligations relatives à la conservation des preuves, la notification de violations en cours et la restitution/suppression des données (art. 3.8) survivent à la résiliation.

Article 2 — Nature et finalité du traitement

2.1 Nature des opérations de traitement

AgentVoc effectue, pour le compte du Client, les opérations suivantes sur les données personnelles :

• Collecte : enregistrement de l'audio entrant lors d'appels téléphoniques
• Conversion voix → texte (transcription) via les modèles d'IA Google Gemini
• Analyse sémantique pour identifier l'intention, l'urgence et les entités (nom, téléphone, créneau souhaité, etc.)
• Structuration en messages textuels et fiches RDV
• Restitution au Client via les canaux configurés
• Conservation temporaire de l'enregistrement audio et conservation durable du transcript et des métadonnées
• Effacement automatique selon les durées définies à l'art. 2.5

2.2 Catégories de données personnelles traitées

2.3 Catégories de personnes concernées

• Appelants du Client : patients (cabinet médical), clients (artisan, commerce), prospects, partenaires, etc.
• Représentants du Client recevant les notifications et accédant au tableau de bord
• Tiers mentionnés indirectement par les appelants dans la conversation (ex. : « C'est pour ma femme »)

2.4 Données particulières (art. 9 RGPD)

Selon le secteur d'activité du Client (médecine, paramédical, avocat, social), les conversations téléphoniques peuvent contenir incidemment des données sensibles : santé, opinions, situations vulnérables, données judiciaires.

AgentVoc met en œuvre des mesures renforcées pour ces secteurs :

• Hébergement France : tous les enregistrements et transcripts sont stockés sur des serveurs OVHcloud situés à Gravelines (France)
• Chiffrement au repos : disques chiffrés (LUKS)
• Accès restreint : seuls les administrateurs techniques d'AgentVoc soumis à un engagement de confidentialité écrit peuvent accéder aux données brutes
• Traitement temps réel par Google Gemini : la voix transite vers les serveurs Google (États-Unis) pour traitement temps réel uniquement (cf. art. 5 — Transferts hors UE), aucune conservation durable n'est faite par Google selon ses engagements contractuels Workspace.

Pour les Clients soumis au Référentiel Hébergement de Données de Santé (HDS) : le service AgentVoc dans sa configuration actuelle n'est pas certifié HDS. Le Client s'engage à ne pas configurer le Service pour collecter ou traiter délibérément des données de santé au sens de l'art. L1111-8 du Code de la santé publique.

2.5 Durées de conservation

Le Client peut configurer des durées plus courtes dans son tableau de bord, sous sa propre responsabilité.

2.6 Finalités

AgentVoc traite les données personnelles uniquement pour les finalités suivantes :

• Exécution du Service de secrétariat téléphonique pour le compte du Client
• Restitution des données au Client via les canaux configurés
• Facturation et gestion comptable de l'abonnement
• Sécurité du Service (détection d'abus, fraude, attaques)
• Respect des obligations légales (réquisitions judiciaires, notifications de violation)
• Amélioration du Service de manière agrégée et anonymisée uniquement (statistiques d'usage)

AgentVoc s'interdit expressément :

• D'utiliser les données pour entraîner ses propres modèles d'IA
• De vendre, louer ou transmettre les données à des tiers à des fins commerciales
• D'analyser le contenu des appels pour profilage commercial des appelants

Article 3 — Obligations du Sous-traitant (AgentVoc)

3.1 Conformité aux instructions

AgentVoc traite les données uniquement selon les instructions documentées du Client : paramétrage du compte tenant, configuration de l'agent vocal, durées de conservation personnalisées, demandes ponctuelles formalisées par email à dpo@agentvoc.com.

AgentVoc informe immédiatement le Client si une instruction reçue lui paraît constituer une violation du RGPD ou du droit français.

3.2 Confidentialité et accès

• Toute personne autorisée à accéder aux données (équipe technique AgentVoc) est tenue par un engagement de confidentialité écrit
• L'accès aux données brutes (audio, transcripts) est limité aux seuls administrateurs ayant un besoin opérationnel justifié (debug, intervention support, réponse à une demande RGPD)
• Les accès sont journalisés et auditables

3.3 Sécurité (art. 32 RGPD)

AgentVoc met en œuvre les mesures techniques et organisationnelles suivantes :

3.4 Sous-traitance ultérieure

AgentVoc fait appel aux sous-traitants ultérieurs suivants, qui interviennent dans la chaîne de traitement des données :

Notification de changement de sous-traitant ultérieur : AgentVoc informe le Client par email au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur. Le Client peut s'opposer à ce changement par écrit dans ce délai. En cas d'opposition justifiée, le Client peut résilier le Service sans pénalité.

La liste à jour des sous-traitants ultérieurs est consultable en permanence sur la page https://agentvoc.com/sous-traitants.

3.5 Droits des personnes concernées

AgentVoc prête assistance au Client pour répondre aux demandes d'exercice des droits prévus aux art. 15 à 22 RGPD émanant des appelants :

Les demandes des personnes concernées doivent être adressées en priorité au Client (responsable de traitement). AgentVoc peut être contacté en cas d'incapacité du Client à répondre par ses propres moyens.

3.6 Notification de violation (art. 33 RGPD)

AgentVoc notifie au Client toute violation de données personnelles dans un délai de 48 heures après en avoir pris connaissance, par email à l'adresse du compte tenant et à dpo@agentvoc.com (si l'adresse a été renseignée par le Client).

La notification précise :

• Nature de la violation (accès non autorisé, divulgation, perte, altération, indisponibilité)
• Date et durée de la violation
• Catégories et nombre approximatif de personnes concernées
• Catégories et volume approximatif de données concernées
• Conséquences probables
• Mesures prises ou envisagées pour limiter les conséquences
• Coordonnées du DPO AgentVoc

Le Client reste responsable de la notification à la CNIL et, le cas échéant, aux personnes concernées (art. 33 et 34 RGPD).

3.7 Audit

Le Client peut demander, une fois par an et à ses frais, un audit de conformité du traitement par lui-même ou par un auditeur tiers indépendant lié par un accord de confidentialité.

AgentVoc fournit en réponse :

• L'accès aux logs pertinents (sur place ou export sécurisé)
• La documentation des mesures techniques et organisationnelles (présent DPA, politique de sécurité)
• Les rapports d'audit interne ou tiers le cas échéant
• Réponse aux questionnaires de conformité dans un délai raisonnable

Préavis : 30 jours ouvrés. Réalisation : pendant les heures ouvrées, sans perturbation du Service. L'audit ne donne pas accès aux données d'autres clients.

3.8 Fin du traitement

À la résiliation du Service par le Client ou par AgentVoc, AgentVoc met à disposition du Client, pendant 30 jours, un export complet des données traitées au format JSON structuré (transcripts, RDV, messages, métadonnées d'appel) et MP3 (enregistrements audio non encore expirés).

Au choix du Client, exprimé par écrit dans ce délai :

1. Restitution : l'export reste accessible 90 jours puis est supprimé
2. Suppression : l'export n'est pas téléchargé et toutes les données du Client sont supprimées sous 30 jours

Dans tous les cas, à l'issue de 120 jours après la résiliation, AgentVoc supprime définitivement toutes les données personnelles du Client (y compris sauvegardes via cycle complet de rotation) et fournit sur demande une attestation de destruction.

Les données strictement nécessaires aux obligations légales d'AgentVoc (facturation, comptabilité, CDR ARCEP) sont conservées pour les durées légales applicables (10 ans pour la compta, 12 mois pour les CDR).

Article 4 — Obligations du Responsable de traitement (le Client)

Le Client s'engage à :

• Fournir à AgentVoc des données exactes et à jour lors de la souscription (raison sociale, SIREN, contact)
• Informer les personnes appelant son numéro AgentVoc que l'appel peut être enregistré et traité par une intelligence artificielle, dans sa propre politique de confidentialité accessible publiquement
• Diffuser une mention vocale d'information sur les appels sortants vers les personnes concernées si applicable
• Tenir le registre de ses activités de traitement (art. 30 RGPD)
• Ne pas configurer le Service pour des finalités contraires aux CGU ou à la loi
• Désigner un point de contact unique pour toute question RGPD (renseigné dans le tableau de bord)
• Respecter ses propres obligations en tant que responsable de traitement vis-à-vis des appelants
• Régler les redevances d'abonnement convenues dans le contrat commercial

Article 5 — Transferts hors UE

Certains sous-traitants ultérieurs sont établis hors Union européenne (Google LLC, Stripe Inc., Firebase) :

• Le traitement par Google (Gemini Live, Firebase) est encadré par leur certification au EU-US Data Privacy Framework ainsi que par les clauses contractuelles types approuvées par la Commission européenne le 4 juin 2021
• Le traitement par Stripe Inc. est encadré par le DPA Stripe public (stripe.com/legal/dpa) incluant les clauses contractuelles types

AgentVoc s'engage à :

• Vérifier annuellement la validité des garanties (certification DPF, mise à jour CCT)
• Notifier le Client si une décision de la CJUE ou de la CNIL invalidait ces garanties
• Proposer dans un délai raisonnable une alternative ou une migration

Le Client peut s'opposer à tout transfert hors UE par écrit. Dans ce cas, AgentVoc évaluera la faisabilité technique d'une configuration alternative (modèle IA européen, hébergement EU-only). En cas d'impossibilité, le Client peut résilier sans pénalité.

Article 6 — Responsabilité

Chaque partie est responsable des dommages causés par une violation de ses propres obligations au titre du RGPD ou du présent DPA.

La responsabilité financière d'AgentVoc au titre du présent DPA est plafonnée à douze (12) mois de redevances versées par le Client au titre du Service, sauf en cas de faute lourde, intentionnelle, ou de violation manifeste des obligations essentielles (sécurité, confidentialité, notification de violation).

Aucune des parties n'est responsable des dommages indirects (perte d'exploitation, perte d'image, perte de chance).

Article 7 — Dispositions finales

7.1 Modification

AgentVoc peut faire évoluer le présent DPA pour tenir compte d'évolutions légales, jurisprudentielles, ou d'évolutions de l'architecture du Service.

Toute modification matérielle est notifiée au Client par email au moins 30 jours avant son entrée en vigueur, avec affichage de la nouvelle version sur https://agentvoc.com/dpa. Le Client peut s'opposer à la modification et résilier sans pénalité.

Les modifications mineures (correction typographique, clarification, ajout d'un sous-traitant ultérieur déjà notifié) ne nécessitent pas de notification individuelle.

7.2 Acceptation et preuve

L'acceptation du présent DPA par le Client lors de l'inscription au Service vaut signature électronique au sens de l'art. 1366 du Code civil. La preuve de l'acceptation est conservée par AgentVoc avec :

• Horodatage UTC précis
• Adresse IP de l'utilisateur ayant accepté
• Version du DPA acceptée (numéro et date)
• Identité du compte tenant

7.3 Conservation

Le présent DPA et ses preuves d'acceptation sont conservés par AgentVoc pendant la durée du Service plus 5 ans après sa cessation, à des fins probatoires.

7.4 Droit applicable et juridiction

Le présent DPA est régi par le droit français. Tout litige relève de la compétence exclusive des tribunaux de Paris, après tentative de résolution amiable de 30 jours.

Annexe — Contacts opérationnels AgentVoc

Version 1.0 — 2026-05-26

Document généré et accepté électroniquement lors de l'inscription au Service AgentVoc, conformément à l'art. 1366 du Code civil et à l'art. 28.9 RGPD. Une copie PDF est consultable sur demande à dpo@agentvoc.com.