Accord de traitement des données (DPA)

Objet : permettre au client d'utiliser des agents conversationnels (téléphone, chat, messageries) qui répondent à ses appelants et visiteurs en son nom.

Nature des opérations : réception et acheminement des appels et messages, transcription, génération des réponses par des modèles d'IA, enregistrement des appels, résumé des conversations, enregistrement des demandes (contact, rappel, réservation) et transmission aux outils connectés par le client.

Durée : celle de l'abonnement, gratuit ou payant, puis le temps de la suppression prévue à la section 10.

• Personnes concernées : appelants, visiteurs du chat et des messageries du client, contacts que le client importe pour ses campagnes d'appels.
• Données : numéro de téléphone, voix (enregistrement audio), contenu des échanges (transcription, messages, résumé), données communiquées pendant l'échange (nom, e-mail, date et objet de la demande ou de la réservation), date, heure et durée de l'échange.
• Le service n'est pas conçu pour traiter des catégories particulières de données (santé, opinions, etc.) ni des données de paiement des appelants. Le client configure ses agents pour ne pas les demander.

Alyas traite les données uniquement sur instruction documentée du client. Ces instructions sont les présentes conditions et la configuration que le client fait dans son espace (agents, consignes, numéros, canaux, outils connectés, campagnes). Alyas n'utilise pas ces données pour ses propres finalités et ne les vend pas. Si une instruction lui paraît contraire au RGPD, Alyas en informe le client. Le client reste responsable de l'information des personnes et de la base légale de ses traitements, notamment pour les campagnes d'appels sortants.

Les personnes autorisées par Alyas à accéder aux données sont tenues à la confidentialité et n'y accèdent que lorsque c'est nécessaire au service ou au support demandé par le client.

Mesures en place à la date de cet accord :

• Échanges chiffrés en transit (HTTPS/TLS) entre les navigateurs, les services Alyas et les prestataires.
• Enregistrements d'appels stockés dans un espace de stockage privé, chiffré au repos, sans accès public ; chaque écoute passe par un lien temporaire valable une heure, créé pour le client connecté.
• Isolation entre clients : chaque accès à un agent, un appel, un numéro ou un contenu vérifie qu'il appartient au compte connecté.
• Mots de passe conservés sous forme d'empreinte (bcrypt) ; accès aux outils connectés par le client (agenda, messagerie, boutique) enregistrés chiffrés (AES-256-GCM).
• Limitation du nombre de tentatives sur la connexion et les points d'accès publics.
• Pas de contenu de conversation dans les journaux techniques ; suivi des erreurs configuré pour limiter les données transmises (ni traçage des performances, ni enregistrement des sessions, ni cookies, ni paramètres d'adresse).
• Purge automatique quotidienne des enregistrements audio et des transcriptions d'appels (section 10).

Le client autorise Alyas à faire appel aux sous-traitants suivants :

• Amazon Web Services (S3) : stockage des enregistrements d'appels et des fichiers (Union européenne — Suède (Stockholm, eu-north-1))
• MongoDB Atlas : base de données (comptes, agents, conversations) (Union européenne — France (Paris, AWS eu-west-3))
• Brevo : e-mails transactionnels (Union européenne — France)
• Twilio : téléphonie et WhatsApp (États-Unis — clauses contractuelles types)
• Google (API Gemini) : voix en temps réel, transcription des appels, recherche dans la base de connaissance (États-Unis — clauses contractuelles types)
• OpenAI : modèles d'IA (voix et texte) (États-Unis — clauses contractuelles types)
• OpenRouter : accès aux modèles d'IA des agents chat (États-Unis — clauses contractuelles types)
• Firecrawl : lecture des sites web indiqués par le client (États-Unis — clauses contractuelles types)
• LangSmith : modèles de consignes des agents et traces techniques (États-Unis — clauses contractuelles types)
• Stripe : paiement des abonnements (Irlande, avec transferts vers les États-Unis — clauses contractuelles types)
• Sentry : suivi des erreurs techniques (États-Unis — clauses contractuelles types)

Alyas impose à chacun des obligations de protection des données équivalentes à celles du présent accord. Pour les prestataires situés hors de l'Union européenne, les transferts sont encadrés par les clauses contractuelles types de la Commission européenne. Alyas informe le client par e-mail de tout ajout ou remplacement d'un sous-traitant au moins 30 jours à l'avance. Le client peut s'y opposer pendant ce délai ; à défaut d'accord, il peut résilier son abonnement sans frais.

Les services que le client connecte lui-même (Google Agenda, Cal.com, Meta Messenger, Shopify) sont ses propres prestataires : Alyas y transmet les données sur son instruction.

Depuis son espace, le client consulte les appels, transcriptions et conversations de ses agents pour répondre aux demandes d'accès. Pour une demande qu'il ne peut traiter seul (effacement d'un appel, export), Alyas l'aide sur demande à contact@alyas.ai. Si une personne s'adresse directement à Alyas, Alyas transmet la demande au client sans y répondre elle-même, sauf instruction du client.

Alyas notifie au client toute violation de données le concernant sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse du compte. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou envisagées. Alyas fournit ensuite les informations utiles au fur et à mesure.

Alyas aide le client, compte tenu des informations dont elle dispose, à remplir ses obligations de sécurité, de notification à la CNIL et aux personnes, d'analyse d'impact et de consultation préalable (articles 32 à 36 RGPD).

Pendant l'abonnement, une purge automatique exécutée chaque jour supprime les enregistrements audio des appels au plus tard 180 jours après l'appel et les transcriptions des appels au plus tard 365 jours après l'appel.

Les autres données traitées pour le compte du client (résumé, issue et durée des appels, conversations chat et messageries, contacts des campagnes, configuration des agents) sont conservées pendant la durée de l'abonnement.

À la fin de l'abonnement, le client peut demander à contact@alyas.ai l'export de ces données, puis leur suppression. Alyas supprime alors les données traitées pour son compte dans un délai de 30 jours, sauf obligation légale de conservation.

Alyas met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut faire réaliser un audit, par lui-même ou par un auditeur tenu à la confidentialité, une fois par an au plus, sur demande écrite au moins 30 jours à l'avance et à ses frais, sans perturber le service ni accéder aux données des autres clients.

Pour toute question sur cet accord ou sur les données traitées : contact@alyas.ai. Les traitements dont Alyas est elle-même responsable sont décrits dans la politique de confidentialité.