Accord de traitement des données (DPA)

Article 1. Obligations Générales de SKIPCALL

SKIPCALL s'engage à :

• Traiter les Données Personnelles uniquement sur instruction du Client et ne pas utiliser les données personnelles à d'autres fins que la stricte exécution du Contrat.
• Traiter les données conformément aux instructions du Client. Le Client comprend qu'il peut configurer lui-même les paramètres de traitement (type de données, opérations de traitement, durée de conservation lorsque ce paramétrage est disponible, etc.). Si SKIPCALL estime qu'une instruction n'est pas conforme à la Réglementation Applicable, elle en informera le Client.
• Garantir la confidentialité des Données Personnelles traitées et s'assurer que les personnes autorisées sont soumises à des obligations de confidentialité.
• Appliquer les principes de protection des données dès la conception et par défaut dans ses outils et services.
• Mettre en œuvre les mesures techniques et organisationnelles décrites en Annexe 2 et fournir une assistance permettant au Client de remplir ses obligations légales.
• Mettre en œuvre des mesures de sécurité tenant compte des risques tels que la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès aux données personnelles.
• Notifier le Client de toute violation de données personnelles dans un délai maximal de 72 heures après en avoir pris connaissance, notamment par e-mail au DPO du Client, en incluant :
  • La description de la violation
  • Le point de contact
  • Les conséquences probables
  • Les mesures prises ou proposées

  Si l'ensemble des informations n'est pas immédiatement disponible, des détails complémentaires seront fournis dans les meilleurs délais.

• Fournir toutes les informations nécessaires pour démontrer la conformité et permettre la réalisation d'audits dans des conditions raisonnables. Le Client est limité à un audit par année contractuelle (sauf situations d'urgence). Si les audits génèrent une charge de travail, ils pourront être facturés sauf obligation prévue par l'article 28 du RGPD.
• Tenir un registre écrit des activités de traitement comprenant :
  • Les coordonnées du Client
  • Les sous-traitants
  • Les catégories de traitement
  • Les transferts internationaux
  • Les mesures de sécurité

Article 2. Sous-traitants ultérieurs

2.1 Le Client autorise SKIPCALL à recourir aux sous-traitants ultérieurs figurant sur la liste publiée et tenue à jour à l'adresse skipcall.io/sous-traitants, que le Client déclare avoir consultée. Cette liste précise, pour chaque sous-traitant, son identité, la finalité pour laquelle il intervient, le pays de traitement et, le cas échéant, la garantie encadrant les transferts hors Union européenne.

2.2 SKIPCALL informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 15 jours avant sa mise en service, par email à l'adresse de contact renseignée par le Client et, le cas échéant, via l'abonnement aux notifications de mise à jour de la liste.

2.3 Le Client peut s'opposer à cet ajout ou remplacement pour des motifs légitimes tenant à la protection des données, dans un délai de 15 jours à compter de l'information. À défaut de solution acceptable pour les deux Parties, le Client peut résilier le Contrat sans pénalité pour la partie des Services concernée.

2.4 SKIPCALL impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données et de confidentialité équivalentes à celles du présent Accord, et demeure pleinement responsable envers le Client de l'exécution par ce sous-traitant de ses obligations.

Article 3. Droits des personnes concernées

3.1 Le Client demeure responsable de l'information des personnes concernées lors de la collecte des données, conformément aux articles 13 et 14 du RGPD.

3.2 SKIPCALL assiste le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, pour lui permettre de donner suite aux demandes d'exercice des droits prévus aux articles 15 à 22 du RGPD : droit d'accès, droit de rectification, droit à l'effacement, droit à la limitation du traitement, droit à la portabilité des données et droit d'opposition.

3.3 À cette fin, SKIPCALL met à la disposition du Client, depuis l'interface des Services, les fonctions suivantes :

• Recherche et consultation : recherche par nom, numéro de téléphone ou adresse email permettant d'identifier l'ensemble des données rattachées à une personne : fiche contact, appels, enregistrements, SMS, tâches et notes associés.
• Rectification : modification directe des données d'identification et de coordonnées d'un contact depuis sa fiche.
• Effacement : suppression d'un contact, d'une sélection de contacts ou de la totalité de la base contacts.
• Accès et portabilité : export au format CSV des contacts et de leurs données de suivi depuis une séquence. L'administrateur du Client autorise ou restreint cette fonction pour les membres de son espace de travail.
• Consultation du contenu des communications : lecture de l'enregistrement audio, du résumé et de la transcription intégrale d'un appel depuis la fiche d'enregistrement correspondante, avec copie du résumé et de la transcription.
• Limitation du traitement : désactivation de l'enregistrement des appels à l'échelle de l'espace de travail par l'administrateur du Client.
• Gestion des utilisateurs : ajout, modification du rôle, désactivation, réactivation et retrait d'un utilisateur de l'espace de travail par l'administrateur du Client.
• Maîtrise des flux vers les outils tiers : connexion et déconnexion à tout moment du CRM du Client (Salesforce, HubSpot, Pipedrive, Attio).

3.4 Lorsqu'une demande ne peut être satisfaite par le Client depuis l'interface, SKIPCALL y donne suite sur instruction documentée du Client dans un délai de 7 jours ouvrés à compter de la réception de l'instruction.

3.5 Si une personne concernée adresse directement à SKIPCALL une demande d'exercice de ses droits, SKIPCALL s'abstient d'y répondre sur le fond et transmet la demande au Client dans un délai maximal de 7 jours ouvrés, en informant la personne concernée de cette transmission.

Article 4. Conservation et Suppression des Données Personnelles

SKIPCALL ne conservera pas les données au-delà des durées de conservation définies par le Client ou, à défaut, de celles figurant au point 1.6 de l'Annexe 1, sauf pour des besoins de conformité ou de preuve contractuelle.

Les données sont supprimées sur demande du Client dans un délai de 30 jours. À défaut d'instruction, elles sont supprimées automatiquement dans les 90 jours suivant la fin de l'abonnement. Les sauvegardes expirent automatiquement au terme de 30 jours, l'effacement s'y propageant à ce terme.

Sur instruction du Client ou à la fin du contrat, SKIPCALL restituera ou supprimera définitivement les données et fournira une confirmation de destruction.

Article 5. Délégué à la Protection des Données

Chaque Partie doit communiquer les coordonnées de son DPO et notifier tout changement.

Article 6. Transferts de Données

SKIPCALL hébergera et traitera les données personnelles au sein de l'UE ou dans des pays bénéficiant d'un niveau de protection adéquat reconnu par la Commission européenne et la CNIL.

Les transferts hors de l'UE n'auront lieu qu'avec des garanties appropriées telles que des certifications ou des Clauses Contractuelles Types.

Article 7. Données Sensibles

Les Services ne traitent pas de données sensibles au sens des articles 9 et 10 du RGPD.

Si nécessaire, le traitement sera encadré par un avenant précisant les garanties supplémentaires.

Article 8. Obligations du Client

Le Client s'engage à :

• Fournir les données nécessaires
• Documenter ses instructions
• Assurer la conformité réglementaire et réaliser des analyses d'impact si nécessaire, avec l'assistance de SKIPCALL prévue à l'article 10
• Superviser les traitements et les audits
• Tenir un registre des traitements
• Garantir la licéité des traitements de données
• Obtenir des obligations équivalentes s'il agit lui-même en qualité de sous-traitant

Article 9. Coopération en Cas de Non-Conformité

En cas de manquement à la conformité, les Parties collaboreront pour évaluer la gravité et déterminer si le traitement doit être suspendu ou le Contrat résilié.

Si SKIPCALL ne peut se conformer, elle en informera le Client. Après 30 jours de suspension, des droits de résiliation peuvent s'appliquer.

Le Client peut résilier en cas de manquement grave ou répété de SKIPCALL ou de non-respect de décisions réglementaires.

SKIPCALL peut résilier si les instructions du Client violent la législation applicable.

Article 10. Assistance de SKIPCALL au titre des articles 32 à 36 du RGPD

10.1 Sécurité du traitement (article 32). SKIPCALL met en œuvre et maintient les mesures techniques et organisationnelles décrites en Annexe 2. Elle informe le Client de toute modification substantielle de ces mesures. Ces mesures ne peuvent être dégradées pendant la durée du Contrat.

10.2 Notification des violations (article 33). SKIPCALL notifie au Client toute violation de données à caractère personnel dans un délai maximal de 72 heures à compter du moment où elle en a connaissance, par email à l'adresse de contact vie privée renseignée par le Client. La notification comporte les éléments déjà prévus à l'Article 1 : description de la violation, point de contact, conséquences probables, mesures prises ou proposées. Les informations non disponibles au moment de la notification initiale sont communiquées au fur et à mesure.

10.3 Communication aux personnes concernées (article 34). SKIPCALL fournit au Client, sur demande, les informations et le concours nécessaires pour lui permettre de communiquer la violation aux personnes concernées lorsque celle-ci est requise.

10.4 Analyse d'impact et consultation préalable (articles 35 et 36). SKIPCALL assiste le Client dans la réalisation de ses analyses d'impact relatives à la protection des données et, le cas échéant, dans la consultation préalable de l'autorité de contrôle. Cette assistance consiste à fournir, sur demande écrite : la description du traitement figurant en Annexe 1, les mesures techniques et organisationnelles figurant en Annexe 2, la liste à jour des sous-traitants ultérieurs et les informations relatives aux transferts hors Union européenne.

10.5 Modalités. Cette assistance est fournie gratuitement.

Annexe 1. Description du traitement

1.1 Objet du traitement

Le traitement a pour objet l'exécution des Services de téléphonie d'entreprise et de prospection téléphonique souscrits par le Client, tels que décrits aux Conditions Générales de Service.

1.2 Durée du traitement

Le traitement est réalisé pendant toute la durée du Contrat, augmentée des durées de conservation définies à l'Article 4 et au point 1.6 de la présente annexe.

1.3 Nature et finalité du traitement

Liste des opérations réalisées :

• création et gestion des comptes utilisateurs et des espaces de travail (workspaces et sous-équipes) du Client
• attribution, gestion et restitution des numéros de téléphone fixes et mobiles
• émission et réception d'appels téléphoniques depuis le navigateur et depuis l'application mobile iOS et Android
• composition automatisée des appels (power dialer et parallel dialer jusqu'à quatre lignes) et détection automatique des répondeurs, combinant une logique propre à SKIPCALL et la détection native de Twilio
• enregistrement des appels
• transcription automatique des appels, réalisée par Gladia (traitement en France / EEE)
• génération de résumés d'appels par intelligence artificielle, réalisée par Gladia (traitement en France / EEE)
• émission et réception de SMS, manuels et automatisés
• dépôt de messages vocaux préenregistrés sur les boîtes vocales des contacts
• hébergement d'une base de contacts (pré-CRM) et de l'historique des échanges, statuts et tâches associés
• enrichissement des coordonnées des contacts (numéros de téléphone et adresses email)
• synchronisation bidirectionnelle avec les CRM du Client (HubSpot, Pipedrive, Salesforce, Attio) et mise à disposition d'une API REST et de webhooks
• production de statistiques et de tableaux de bord d'activité (volumes, taux de décroché, activité par équipe)
• conservation, archivage et suppression des données selon le paramétrage retenu par le Client
• fourniture du support et de l'assistance technique

1.4 Catégories de données à caractère personnel

Note : périmètre d'accès au CRM du Client

L'accès de SKIPCALL au CRM du Client est strictement limité aux autorisations que celui-ci accorde lors de la connexion de son compte. À titre d'illustration, l'intégration HubSpot requiert les autorisations suivantes :

SKIPCALL n'accède ni aux transactions, ni aux tickets, ni aux emails du Client. Le Client peut révoquer cet accès à tout moment depuis son CRM. Les intégrations Pipedrive, Salesforce et Attio requièrent des autorisations de portée équivalente : lecture des fiches contact et entreprise et de leurs propriétés, écriture sur les fiches contact aux fins de report de l'activité téléphonique. La liste exacte des autorisations demandées est présentée au Client dans l'écran de connexion de chaque intégration, avant qu'il ne les accorde.

1.5 Catégories de personnes concernées

• Les utilisateurs du Client : collaborateurs du Client disposant d'une licence Skipcall.
• Les utilisateurs du CRM du Client : collaborateurs du Client identifiés comme propriétaires de fiches dans le CRM connecté, qu'ils disposent ou non d'une licence Skipcall.
• Les interlocuteurs du Client : prospects, clients, candidats et plus généralement toute personne appelée par le Client, appelant le Client, ou destinataire d'un SMS ou d'un message vocal émis via les Services.
• Les tiers mentionnés au cours d'une communication : personnes dont les données sont énoncées lors d'un appel ou dans un SMS et se trouvent de ce fait consignées dans un enregistrement, une transcription ou un résumé, sans être parties à la communication.

1.6 Durées de conservation

1.7 Garanties relatives aux traitements d'intelligence artificielle

Les données du Client ne sont utilisées pour entraîner aucun modèle d'intelligence artificielle, y compris tiers ou mutualisé.

Les traitements d'intelligence artificielle s'appuient sur le seul contenu audio de l'appel concerné, à l'exclusion de toute base de connaissances ou source de données externe.

Les Services ne réalisent aucune analyse de sentiment, d'humeur ou d'émotion, et ne comportent aucun agent conversationnel autonome.

L'ensemble des traitements d'intelligence artificielle est désactivable : la désactivation de l'enregistrement des appels au niveau de l'espace de travail désactive la transcription et le résumé, et aucune donnée n'est alors transmise à Gladia.

Annexe 2. Mesures techniques et organisationnelles