Politique de confidentialité

Ce document décrit les données que nous traitons et ce que nous en faisons. Il sert également de politique de confidentialité pour l'écran de consentement OAuth de Google, qui exige un document publiquement accessible.

Préambule — deux rôles distincts

Voxa Script intervient sous deux qualités différentes selon les données concernées. La distinction détermine qui décide de l'usage, et donc à qui adresser une demande.

• Vos données de compte, de facturation et de navigation — nous sommes responsable de traitement. C'est l'objet du présent document.
• Les avis de vos clients et les données de leurs auteurs — vous êtes responsable de traitement, nous agissons comme sous-traitant au sens de l'article 28 du RGPD, uniquement sur vos instructions. Ces traitements sont régis par l'accord de sous-traitance.

1. Responsable de traitement

À COMPLÉTER, À COMPLÉTER, À COMPLÉTER, SIREN À COMPLÉTER.

Contact pour toute question relative aux données personnelles : contact@voxa-script.fr

La désignation d'un délégué à la protection des données n'est pas obligatoire dans notre configuration actuelle : nous ne traitons pas de données sensibles à grande échelle et n'effectuons pas de suivi systématique. Ce point est réévalué chaque année.

2. Données collectées et finalités

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD : ni santé, ni opinions politiques, ni convictions religieuses, ni données biométriques, ni orientation sexuelle.

Nous n'utilisons aucun outil de mesure d'audience, aucun traceur publicitaire et aucun cookie tiers. Voir la politique de gestion des cookies.

3. Ce que nous ne faisons pas

• Nous ne vendons ni ne louons aucune donnée.
• Nous n'utilisons ni vos avis ni vos réponses pour entraîner un modèle d'intelligence artificielle, et notre prestataire ne le fait pas non plus.
• Aucune donnée n'est exploitée à des fins publicitaires.
• Aucune donnée de carte bancaire ne transite par nos serveurs ni n'y est stockée.

4. Destinataires et sous-traitants

Vos données sont accessibles au personnel habilité de Voxa Script et aux sous-traitants suivants, chacun lié par un accord de traitement des données :

• Supabase Inc. — Hébergement des données, base de données, authentification. Union européenne (Francfort).
• Vercel Inc. — Hébergement du site et des fonctions serveur. États-Unis (clauses contractuelles types).
• Anthropic PBC — Génération des propositions de réponse par intelligence artificielle. États-Unis (clauses contractuelles types).
• Google Ireland Limited — Authentification et accès aux fiches Google Business Profile. Union européenne.
• Stripe Payments Europe Ltd — Traitement des paiements et facturation. Union européenne (Irlande).
• Resend Inc. — Envoi des emails transactionnels. États-Unis (clauses contractuelles types).

5. Localisation et transferts hors Union européenne

La base de données, l'authentification et l'ensemble des avis et réponses sont hébergés dans l'Union européenne, sur l'infrastructure Amazon Web Services en région eu-central-1 (Francfort, Allemagne).

Certains sous-traitants sont établis aux États-Unis — l'hébergement du site, la génération de texte, l'envoi d'emails. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, par la certification au Data Privacy Framework UE–États-Unis.

6. Intelligence artificielle et contenu généré

Le contenu d'un avis est transmis à notre prestataire d'intelligence artificielle pour produire une proposition de réponse. Le traitement est ponctuel, limité au temps de la génération, et les données transmises ne servent pas à entraîner de modèle.

Chaque réponse conserve en base la trace de son origine : le modèle qui l'a produite, ou l'absence de modèle lorsque le texte a été écrit ou réécrit par le commerçant. Cette provenance est consultable par le client à tout moment depuis son espace, et exportable avec ses données.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès — obtenir une copie des données vous concernant
• Rectification — corriger des données inexactes
• Effacement — demander la suppression de vos données
• Limitation du traitement
• Portabilité — recevoir vos données dans un format structuré et lisible par machine
• Opposition — vous opposer à un traitement fondé sur l'intérêt légitime, notamment la prospection
• Directives post-mortem — définir le sort de vos données après votre décès

L'effacement et la portabilité s'exercent directement depuis votre espace client, sans avoir à nous écrire : la suppression est immédiate et définitive, l'export est téléchargeable au format JSON. Pour les autres droits, écrivez à contact@voxa-script.fr.

Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une pièce justificative d'identité peut être demandée en cas de doute raisonnable.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr

8. Sécurité

Nous mettons en œuvre les mesures suivantes :

• chiffrement des données en transit (TLS) ;
• chiffrement dédié des jetons d'accès aux plateformes (AES-256-GCM), avant écriture en base — aucun jeton n'y figure en clair ;
• cloisonnement strict des données entre clients, appliqué par le moteur de base de données lui-même et non par le seul code applicatif ;
• restriction des privilèges de lecture au niveau des colonnes sensibles, y compris pour un utilisateur légitime de l'établissement ;
• authentification, contrôle des accès et journalisation ;
• hébergement des données dans l'Union européenne.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans les 72 heures et vous informerons dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD.

9. Modification

Toute modification substantielle de la présente politique est notifiée par email au moins 30 jours avant son entrée en vigueur.