Accord de traitement des données personnelles — DPA PolestarOS

Le présent DPA définit les conditions dans lesquelles PolestarOS traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture des services PolestarOS.

Il fait partie intégrante de la relation contractuelle entre les Parties.

En cas de contradiction concernant spécifiquement la protection des données personnelles, le présent DPA prévaut sur les dispositions générales du contrat commercial.

Le Client détermine les finalités et les règles métier applicables aux traitements effectués dans le cadre de son activité.

À ce titre, le Client agit en principe comme responsable de traitement pour les données de ses appelants, prospects, clients, salariés ou autres contacts traitées via PolestarOS.

PolestarOS agit comme sous-traitant lorsqu’il traite ces données pour le compte du Client et conformément à ses instructions documentées.

PolestarOS peut toutefois agir comme responsable de traitement distinct pour certaines données nécessaires à sa propre gestion, par exemple :

• gestion du compte client ;
• facturation ;
• sécurité du service ;
• obligations légales ;
• gestion de la relation commerciale.

Le traitement a pour objet la fourniture des fonctionnalités PolestarOS souscrites par le Client.

Il est réalisé pendant la durée d’utilisation du service, augmentée uniquement des périodes nécessaires à :

• la sauvegarde ;
• la sécurité ;
• l’exécution des obligations légales ;
• la restitution ou suppression des données.

À la fin du contrat, les données traitées pour le compte du Client sont supprimées ou restituées conformément au présent DPA, sous réserve des obligations légales de conservation.

Selon la configuration du Client, PolestarOS peut notamment effectuer les opérations suivantes :

• réception de données ;
• collecte au cours d’un appel ;
• structuration ;
• qualification ;
• enregistrement de données structurées ;
• consultation ;
• transmission ;
• routage ;
• création de résumés ;
• création de dossiers ;
• création d’actions ;
• attribution à une personne ou équipe ;
• journalisation ;
• notification ;
• conservation temporaire ;
• suppression ;
• export.

Les traitements peuvent notamment avoir pour finalités :

• prise en charge des appels entrants ;
• identification du motif de l’appel ;
• qualification de la demande ;
• transmission au bon interlocuteur ;
• déclenchement d’une action autorisée ;
• création et suivi de dossiers ;
• suivi des actions ;
• gestion des échéances ;
• escalade vers un humain ;
• envoi de notifications ou confirmations ;
• établissement d’un historique opérationnel ;
• production de statistiques nécessaires au fonctionnement du service ;
• sécurité et traçabilité du service.

PolestarOS ne peut réutiliser les données confiées par le Client pour une finalité étrangère au service sans base juridique appropriée et, lorsque requis, instruction ou autorisation du Client. La CNIL rappelle qu’un sous-traitant ne peut pas librement réutiliser pour son propre compte les données confiées. CNIL

Selon la configuration définie par le Client, les données traitées peuvent notamment comprendre :

• nom et prénom ;
• numéro de téléphone ;
• adresse email ;
• société ;
• fonction professionnelle ;
• adresse ou zone géographique ;
• motif de l’appel ;
• informations nécessaires à la qualification de la demande ;
• horaires ou disponibilités ;
• contenu structuré issu de l’échange ;
• statut d’un dossier ;
• action à réaliser ;
• responsable désigné ;
• échéance ;
• historique des actions ;
• informations techniques liées à l’appel ;
• identifiants techniques et journaux nécessaires à la sécurité.

Le Client détermine les données réellement nécessaires à son activité.

Les personnes concernées peuvent notamment être :

• clients du Client ;
• prospects ;
• appelants ;
• fournisseurs ;
• partenaires ;
• salariés ou collaborateurs ;
• techniciens ;
• contacts professionnels ;
• toute personne utilisant la ligne téléphonique concernée.

Le Client s’engage à ne demander la collecte de données relevant de catégories particulières au sens de l’article 9 du RGPD que lorsque cela est strictement nécessaire, juridiquement fondé et expressément configuré.

PolestarOS n’est pas conçu par défaut pour collecter de manière systématique :

• données de santé ;
• opinions politiques ;
• religion ;
• orientation sexuelle ;
• données biométriques ;
• données génétiques.

Si une activité nécessite ce type de données, une analyse spécifique doit être réalisée avant activation.

PolestarOS traite les données uniquement conformément aux instructions documentées du Client.

Constituent notamment des instructions :

• contrat ;
• DPA ;
• configuration validée dans PolestarOS ;
• règles métier configurées ;
• demandes écrites autorisées ;
• paramètres définis par les utilisateurs habilités.

Si PolestarOS estime qu’une instruction viole le RGPD ou une autre règle applicable en matière de protection des données, PolestarOS en informe le Client dans les meilleurs délais.

Cette obligation d’agir sur instructions documentées fait partie des exigences centrales de l’article 28. CNIL

PolestarOS veille à ce que les personnes autorisées à accéder aux données :

• n’y accèdent que dans la mesure nécessaire ;
• soient soumises à une obligation de confidentialité ;
• disposent de droits adaptés à leur fonction.

PolestarOS applique les principes de privacy by design et privacy by default.

Le service est notamment conçu pour :

• séparer les données des différents clients ;
• limiter la collecte aux données nécessaires ;
• limiter les droits d’accès ;
• tracer les opérations importantes ;
• permettre la suppression et l’export ;
• définir des durées de conservation ;
• ne pas conserver davantage de données que nécessaire.

La CNIL identifie explicitement la protection des données dès la conception et par défaut parmi les obligations attendues d’un sous-traitant. CNIL

Lorsque cela est techniquement possible et compatible avec la prestation souscrite :

• l’enregistrement audio n’est pas activé par défaut ;
• les durées de conservation sont définies explicitement ;
• les données nécessaires au fonctionnement sont privilégiées par rapport à une conservation brute systématique des conversations.

Toute conservation d’audio ou de transcription au-delà du besoin opérationnel doit faire l’objet d’un paramétrage et d’une justification adaptés.

PolestarOS met en œuvre des mesures techniques et organisationnelles proportionnées aux risques, notamment selon les fonctionnalités effectivement déployées :

• isolation logique des clients ;
• contrôle des accès ;
• authentification ;
• gestion des habilitations ;
• chiffrement des communications ;
• journalisation ;
• sauvegardes lorsque nécessaires ;
• gestion des secrets ;
• restrictions d’accès aux environnements ;
• politiques de conservation ;
• mécanismes de suppression ;
• surveillance des erreurs et incidents ;
• sécurisation des webhooks et interfaces techniques.

La CNIL cite notamment le chiffrement des transmissions, la traçabilité, les habilitations et l’authentification parmi les mesures à encadrer dans une relation de sous-traitance. CNIL

PolestarOS informe le Client dans les meilleurs délais après en avoir pris connaissance lorsqu’une violation de données affecte des données traitées pour son compte.

PolestarOS fournit, dans la mesure des informations disponibles :

• la nature de l’incident ;
• les catégories de données concernées ;
• les catégories de personnes concernées ;
• les conséquences probables ;
• les mesures prises ou envisagées ;
• les informations utiles au Client pour satisfaire à ses propres obligations.

Le Client reste responsable de déterminer si une notification à la CNIL ou aux personnes concernées est nécessaire.

Lorsque PolestarOS reçoit directement une demande d’exercice de droits portant sur des données traitées pour le compte d’un Client, PolestarOS :

• n’y répond pas sur le fond à la place du Client sauf instruction ou obligation légale ;
• transmet la demande au Client dans les meilleurs délais ;
• fournit une assistance raisonnable au Client pour y répondre.

Cela peut concerner notamment :

• accès ;
• rectification ;
• suppression ;
• limitation ;
• opposition ;
• portabilité lorsqu’elle est applicable.

PolestarOS fournit une assistance raisonnable au Client pour :

• répondre aux demandes des personnes concernées ;
• gérer une violation de données ;
• documenter certaines mesures de sécurité ;
• réaliser une analyse d’impact lorsque celle-ci est nécessaire ;
• répondre à certaines demandes de l’autorité de contrôle.

L’obligation d’assistance, d’alerte et de conseil fait partie des attentes de la CNIL à l’égard des sous-traitants. CNIL

Le Client accorde à PolestarOS une autorisation générale de recourir à des sous-traitants ultérieurs nécessaires au fonctionnement du service.

PolestarOS :

• tient une liste à jour de ses sous-traitants ;
• impose à ceux-ci des obligations de protection des données appropriées ;
• informe le Client de tout ajout ou remplacement significatif ;
• permet au Client de formuler une objection raisonnablement motivée concernant la protection des données.

L’autorisation générale avec information du Client en cas de changement est expressément prévue par l’article 28 du RGPD. CNIL

Avant production, cette annexe doit être alimentée avec les entités contractuelles exactes et les localisations réellement utilisées.

La chaîne technique PolestarOS peut notamment comprendre, selon la configuration :

Ne publions pas encore cette table comme liste contractuelle définitive : avant le premier client, on vérifiera pour chacun :

• raison sociale contractante ;
• pays ;
• région d’hébergement ;
• catégorie de données ;
• mécanisme de transfert éventuel ;
• lien vers DPA ;
• garanties de sécurité.

Lorsque des données font l’objet d’un transfert hors de l’Espace économique européen, PolestarOS s’assure qu’un mécanisme prévu par le RGPD encadre le transfert lorsqu’il est requis.

Il peut notamment s’agir :

• d’une décision d’adéquation ;
• de clauses contractuelles types de la Commission européenne ;
• d’un autre mécanisme légal applicable.

Les conditions de localisation et de transfert dépendent des fournisseurs effectivement utilisés.

La CNIL recommande de vérifier la localisation effective des données et les conditions juridiques des éventuels transferts internationaux. CNIL

Les durées de conservation doivent être définies en fonction de la finalité et de la configuration du Client.

PolestarOS distingue notamment lorsque nécessaire :

• données opérationnelles ;
• journaux techniques ;
• données de facturation ;
• éventuelles transcriptions ;
• éventuels fichiers audio ;
• sauvegardes.

Une conservation indéfinie par défaut est exclue.

Les durées exactes appliquées au Client peuvent figurer dans sa configuration ou dans une annexe spécifique.

À la fin du service, selon le choix du Client et sous réserve des obligations légales :

PolestarOS :

• restitue les données dans un format raisonnablement exploitable lorsque cette fonction est disponible et demandée ;
• supprime ensuite les données traitées pour le compte du Client ;
• supprime également les copies restantes au terme des cycles techniques de sauvegarde applicables.

Certaines données peuvent être conservées plus longtemps lorsqu’une obligation légale l’impose, notamment en matière comptable ou probatoire.

PolestarOS met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations de l’article 28.

Le Client peut demander un audit relatif aux traitements réalisés pour son compte.

Afin d’éviter de compromettre la sécurité ou la confidentialité d’autres clients :

• les audits sont réalisés avec un préavis raisonnable ;
• leur périmètre est limité aux éléments pertinents ;
• les informations confidentielles sont protégées ;
• les audits ne doivent pas permettre d’accéder aux données d’autres clients.

La possibilité d’obtenir les informations nécessaires et de réaliser des audits fait partie des clauses devant encadrer la sous-traitance. CNIL

PolestarOS tient, lorsque la réglementation l’exige, un registre des catégories d’activités de traitement réalisées pour le compte de ses clients.

Le Client reste responsable notamment :

• de la licéité de ses traitements ;
• de l’information des personnes concernées ;
• de la base légale applicable ;
• des données qu’il demande à PolestarOS de collecter ;
• des règles métier configurées ;
• de la détermination des durées appropriées ;
• de la gestion des droits des personnes ;
• de la réalisation d’une analyse d’impact lorsqu’elle est requise.

PolestarOS coopère, dans les limites de ses obligations légales, avec les autorités compétentes en matière de protection des données.

Le présent DPA prend effet à la date à laquelle PolestarOS commence à traiter des données personnelles pour le compte du Client.

Il reste applicable pendant toute la durée de ces traitements.

Les clauses qui, par nature, doivent survivre à la fin du contrat continuent à produire leurs effets après sa cessation.

Objet : prise en charge et suivi de demandes téléphoniques pour le compte du Client.

Durée : durée du contrat, augmentée des durées techniques ou légales nécessaires.

Nature :

collecte, structuration, consultation, qualification, transmission, conservation limitée, création de dossiers/actions, journalisation, suppression.

Finalités :

prise en charge des appels, suivi opérationnel, actions autorisées, routage, notifications et historique.

Personnes concernées :

appelants, prospects, clients, salariés, partenaires, fournisseurs et contacts professionnels du Client.

Données :

identité, coordonnées, contexte de la demande, contenu nécessaire à la qualification, données opérationnelles, historique et métadonnées techniques nécessaires.

Les instructions initiales sont constituées de :

• l’offre souscrite ;
• la fiche d’onboarding ;
• la configuration PolestarOS ;
• les règles de qualification ;
• les règles de transfert ;
• les règles d’urgence ;
• les destinataires ;
• les durées de conservation convenues ;
• les modules activés.

Toute évolution validée par un utilisateur habilité du Client peut constituer une nouvelle instruction documentée.

À compléter avant le premier client en production avec la chaîne réellement déployée.

C’est important : je préfère ne pas inventer juridiquement les sièges, localisations et mécanismes de transfert des fournisseurs tant qu’on n’a pas figé exactement la configuration utilisée.