Invenio Essayer

Accord de traitement des données

Cet accord fixe les conditions dans lesquelles Louis Blanquinque, entrepreneur individuel exerçant sous le nom commercial Invenio (SIRET 106 143 217 00011, 1 rue des Bouvreuils, 67100 Strasbourg), ci-après « le prestataire », traite en qualité de sous-traitant les données personnelles que le Client saisit dans son espace, conformément à l'article 28 du RGPD. Il fait partie intégrante des conditions générales de vente (article 17).

1. Objet et durée

Le Client est responsable du traitement des données personnelles qu'il saisit, importe ou génère dans son espace Invenio ; le prestataire les traite pour son compte, uniquement pour fournir le Service décrit dans les CGV. Le présent accord s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression des données prévue à l'article 9.

2. Description du traitement

  • Nature des opérations : hébergement, sauvegarde, consultation, organisation, modification, transmission sur instruction du Client (envoi d'un devis, d'une facture, d'un e-mail), transcription vocale, analyse par l'assistant IA, suppression.
  • Finalité : permettre au Client de gérer son activité (ventes, comptabilité, clients, équipe, chantiers, stock, messagerie, téléphonie) et d'utiliser l'assistant.
  • Catégories de données : identité et coordonnées professionnelles, données commerciales et comptables (devis, factures, paiements), données relatives aux salariés saisies par le Client (dossier, congés, heures), contenu des e-mails et des documents, transcriptions d'appels et messages adressés à l'assistant. Le Service n'est pas conçu pour des données sensibles au sens de l'article 9 du RGPD ; le Client s'abstient d'en saisir sans nécessité.
  • Catégories de personnes concernées : clients, prospects et fournisseurs du Client, ses salariés et collaborateurs, ses correspondants (auteurs d'e-mails, appelants), les utilisateurs de son espace.

3. Instructions documentées

Le prestataire ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les CGV et le présent accord, les réglages de l'espace et les actions que le Client ou ses utilisateurs valident dans le Service. Les actions préparées par l'assistant qui créent, modifient, suppriment des données ou envoient un message ne sont exécutées qu'après validation. Si une instruction lui paraît contraire au RGPD, le prestataire en informe le Client sans délai. Le prestataire n'utilise pas les données du Client pour ses propres fins.

4. Confidentialité

Les personnes autorisées à accéder aux données pour le compte du prestataire (à ce jour, l'entrepreneur lui-même) sont tenues à la confidentialité. Elles n'y accèdent que lorsque c'est nécessaire au fonctionnement du Service, à l'assistance demandée par le Client ou à la résolution d'un incident.

5. Mesures de sécurité (article 32 du RGPD)

  • Hébergement chez OVH SAS, dans un centre de données situé à Roubaix (France).
  • Cloisonnement : chaque Client dispose de son propre espace, avec sa propre base de données, séparée de celles des autres clients.
  • Sauvegardes : sauvegarde automatique quotidienne de la base et des fichiers, conservée 14 jours sur le serveur, et copie hors site (stockage objet d'OVH) conservée 30 jours.
  • Chiffrement en transit : les échanges avec le Service et avec les sous-traitants passent par des connexions chiffrées (HTTPS/TLS).
  • Contrôle d'accès : accès par identifiant et mot de passe (stocké sous forme chiffrée), droits attribués par rôles au sein de l'espace, actions de l'assistant soumises à validation.
  • Journalisation des erreurs et des accès, pour détecter un incident et en retracer l'origine.

6. Sous-traitants ultérieurs

Le Client autorise le prestataire à faire appel aux sous-traitants ultérieurs suivants, chacun lié par des obligations de protection des données équivalentes à celles du présent accord :

  • OVH SAS (France) — hébergement des serveurs et des sauvegardes.
  • Amazon Web Services EMEA SARL (Luxembourg) — Amazon Bedrock, région Paris et profils d'inférence UE — assistant IA. Les requêtes sont traitées dans l'Union européenne ; elles ne sont ni conservées par AWS (journalisation des invocations désactivée) ni utilisées pour entraîner des modèles, et ne sont pas transmises à Anthropic (source : Data protection in Amazon Bedrock).
  • Deepgram, Inc. (États-Unis), par son point d'accès situé dans l'Union européenne — transcription de la voix et des appels ; programme d'amélioration des modèles désactivé (paramètre mip_opt_out), aucun audio conservé par le prestataire. Sa synthèse vocale ne sert que si la voix de l'assistant est basculée sur ce prestataire (réglage du service, par exemple en cas de panne d'ElevenLabs).
  • ElevenLabs Inc. (États-Unis) — synthèse vocale de l'assistant (voix de la secrétaire IA et réponses vocales). Reçoit le texte à prononcer, qui peut contenir des noms ou informations données pendant l'appel. Transfert hors UE encadré par l'accord de traitement des données d'ElevenLabs et les clauses contractuelles types de la Commission européenne.
  • Brevo (Sendinblue SAS, France) — relais d'envoi des e-mails.
  • Stripe — paiements en ligne, si le Client les active pour ses propres clients.
  • SUPER PDP — émission et réception des factures électroniques, avec le compte SUPER PDP du Client.
  • Pour les fonctions concernées : Brave Search (recherche web demandée à l'assistant), Outscraper, Hunter et Dropcontact (prospection), 8x8 (Jitsi) (visioconférence), Apple (notifications de la bêta iPhone).

Téléphonie. La ligne téléphonique utilisée par le secrétariat téléphonique ou la transcription d'appels est souscrite et payée par le Client, à son nom, auprès de l'opérateur de son choix (article 14 des CGV) : cet opérateur est le prestataire du Client, pas un sous-traitant ultérieur du prestataire. Le prestataire relaie les appels de cette ligne par son propre serveur téléphonique, hébergé avec le reste du Service, et n'en conserve les métadonnées (numéros, date, durée) que le temps nécessaire à l'acheminement des appels, à leur suivi dans l'espace du Client et à la sécurité du Service.

Les services que le Client connecte lui-même (messagerie, agenda, banque, signature électronique, réseaux sociaux, opérateur téléphonique…) agissent selon leurs propres conditions et ne sont pas des sous-traitants ultérieurs du prestataire. Les transferts hors de l'Union européenne et leurs garanties sont décrits dans la politique de confidentialité.

Information préalable et droit d'opposition. Tout ajout ou remplacement d'un sous-traitant ultérieur est annoncé au Client par e-mail au moins 30 jours à l'avance. Le Client peut s'y opposer par écrit pendant ce délai, pour un motif lié à la protection des données ; à défaut de solution, il peut résilier l'abonnement sans frais avant l'entrée en vigueur du changement.

7. Assistance au Client

Le prestataire aide le Client à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition, limitation) : le Client dispose dans son espace des outils d'export et de suppression, et le prestataire transmet sans délai toute demande qu'il recevrait directement. Il fournit au Client les informations utiles à une analyse d'impact (AIPD) ou à une consultation de la CNIL, et à la tenue de son registre des traitements.

8. Violations de données

Le prestataire notifie au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, par e-mail à l'adresse du titulaire du Compte. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées, afin que le Client puisse, le cas échéant, notifier la CNIL dans le délai de 72 heures.

9. Fin du contrat

À la fin de l'abonnement, le Client peut récupérer ses données dans les conditions de l'article 12 des CGV (récapitulatif Excel, fichier des écritures comptables, documents et pièces jointes sur demande). Les données de son espace sont supprimées 30 jours après la résiliation ; les sauvegardes qui les contiennent disparaissent sous 30 jours supplémentaires. Le prestataire ne conserve aucune copie, sauf obligation légale qui lui serait propre.

10. Audits

Le prestataire met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, par lui-même ou par un auditeur indépendant tenu au secret, une fois par an au plus sauf violation de données, avec un préavis écrit de 30 jours ; l'audit ne peut porter sur les données des autres clients.

11. Contact

Pour toute question relative au présent accord : contact@invenio-ia.com.