1. Parties, rôle et prise d’effet
Le Client détermine les finalités de son accueil téléphonique et agit comme responsable du traitement. Flowblog, identifiée à l’article 1 des CGV, agit comme sous-traitant pour les opérations confiées. Les éventuels traitements propres de facturation ou de gestion contractuelle doivent être décrits séparément. Cet accord reste un projet tant que le Client, le périmètre commandé et les annexes opérationnelles ne sont pas identifiés et acceptés ; aucun appel réel ne doit précéder cette validation.
2. Objet, opérations et périmètre
Le traitement a pour finalité exclusive l’accueil et la transmission des demandes selon les instructions du Client. Il peut comprendre réception de flux vocaux, collecte des coordonnées et motifs autorisés, transcription, résumé, routage, accès, stockage et suppression, seulement dans le périmètre retenu. L’enregistrement audio n’est pas présumé activé.
Les personnes concernées sont les appelants, les contacts professionnels destinataires et, si nécessaire, les tiers mentionnés. Les données admises, leur nécessité, les opérations et leur durée sont détaillées dans l’annexe A. Les données de santé ou autres catégories particulières ne sont pas un périmètre accepté par défaut ; leur traitement exige une analyse et des garanties préalables adaptées.
3. Instructions et obligations du Client
Le Client documente les finalités, la base juridique, l’information des personnes, les données nécessaires et les consignes. Le Prestataire traite uniquement sur instructions documentées, y compris pour les transferts internationaux. Il alerte immédiatement le Client lorsqu’une instruction lui paraît contraire aux règles de protection des données et suspend son exécution en attendant clarification.
Si le droit de l’Union ou d’un État membre impose un traitement, le Prestataire en informe préalablement le Client, sauf interdiction légale. Les droits d’usage restent limités aux instructions. Une utilisation pour entraînement ou amélioration de modèles ne découle pas de cet accord ; les pratiques réelles des fournisseurs doivent être vérifiées avant activation, sans garantie technique présumée.
4. Confidentialité et sécurité
Le Prestataire limite les accès aux personnes autorisées et soumises à confidentialité. Il met en œuvre les mesures adaptées aux risques conformément à l’article 32 du RGPD, les évalue et les maintient pendant le traitement. L’annexe B décrit les mesures effectivement retenues : habilitations, authentification, protection des échanges et stockages, journalisation, séparation des accès, résilience, restauration et tests. Une mesure non documentée ne peut être présentée comme déjà déployée.
5. Sous-traitants ultérieurs
Le recours à un sous-traitant ultérieur exige l’autorisation écrite préalable du Client. L’annexe C identifie chaque entité, sa mission et ses lieux d’intervention. Si une autorisation générale est retenue, le Prestataire annonce tout ajout ou remplacement avant intervention, selon un préavis convenu permettant une objection effective. Les parties recherchent une alternative ; à défaut, le traitement concerné ne se poursuit pas avec un intervenant non autorisé.
Le Prestataire impose des obligations équivalentes par contrat, vérifie les garanties pertinentes et demeure responsable envers le Client de l’exécution des obligations confiées. Il rend accessibles les informations nécessaires sur cette chaîne de traitement.
6. Localisations et transferts internationaux
Les stockages, accès à distance et interventions de support sont localisés dans l’annexe C. Aucune région d’hébergement n’est affirmée ici. Un transfert hors Espace économique européen exige une instruction documentée et un mécanisme valable du chapitre V du RGPD. Les parties vérifient sa portée, évaluent les garanties et mettent en place les mesures complémentaires nécessaires avant transfert ; elles suspendent le flux si ces conditions ne peuvent être respectées.
7. Droits des personnes et assistance
Le Prestataire transmet sans retard indu au contact désigné toute demande relative aux données confiées et ne répond au fond que sur instruction, sauf obligation légale. Selon la nature du traitement et les moyens disponibles, il aide le Client à rechercher, exporter, rectifier, limiter ou supprimer les données pour répondre dans les délais applicables.
Il assiste également le Client pour la sécurité, les analyses d’impact et les consultations préalables prévues aux articles 32 à 36. L’annexe D organise les interlocuteurs, canaux et modalités de coopération ; aucune tarification accessoire ne peut neutraliser ces obligations.
8. Violations de données
Le Prestataire avertit le Client sans retard indu après connaissance d’une violation concernant les données confiées. Il communique les faits disponibles, catégories et volumes approximatifs concernés, conséquences probables, mesures prises ou proposées et contact de suivi, puis complète progressivement ces informations. Il conserve les éléments utiles et coopère à la limitation des conséquences.
Le Client apprécie ses obligations de notification et d’information ; le Prestataire l’y assiste. Aucun délai contractuel de vingt-quatre heures n’est présumé. Les circuits d’alerte et remplaçants sont arrêtés dans l’annexe D avant traitement.
9. Documentation, contrôle et remédiation
Le Prestataire tient les registres requis et fournit les informations démontrant le respect de cet accord. Il permet et contribue aux audits et inspections du Client ou d’un auditeur mandaté. Les modalités protègent la sécurité et les autres clients sans rendre le contrôle inopérant ; un rapport existant ne remplace pas systématiquement une inspection nécessaire. Les écarts font l’objet d’actions correctrices suivies.
Architecture retenue pour la France
Le projet France reprend les connexions de la plateforme Linea : Supabase pour les comptes et les données, FlowContent pour la gestion des assistants et des appels, Twilio pour la téléphonie, Vercel pour le site et Resend pour les emails. Les intégrations d’agenda existantes pourront être reconduites dans le périmètre commandé. Le traitement vocal délégué à FlowContent, notamment les modèles Gemini cités dans la documentation Linea, doit être décrit dans la chaîne de sous-traitance effective.
Stripe et Devhighway interviennent dans le circuit commercial de paiement et de facturation. Cette fonction est distincte du traitement des conversations confié par le Client. Réutiliser les mêmes services n’autorise ni à exposer les dossiers d’un autre client, ni à utiliser toutes les données disponibles dans un compte partagé.
Ces choix techniques orientent l’annexe C ; ils ne remplacent pas les identités juridiques, lieux de traitement, autorisations et garanties de chaque intervenant. La démonstration France ne déclenche actuellement aucun de ces traitements téléphoniques ou de paiement. Les paramètres France seront vérifiés avant leur activation.
10. Conservation, restitution et annexes impératives
L’annexe A fixe séparément les durées des flux ou audios conservés, transcriptions, résumés, métadonnées, journaux et sauvegardes, leurs déclencheurs et l’effacement. Aucune durée issue d’un autre marché n’est reconduite. Une durée non arrêtée empêche l’activation du traitement concerné.
À la fin de la prestation, le Client choisit la restitution ou la suppression ; les copies sont ensuite détruites, sauf conservation imposée par le droit applicable de l’Union ou d’un État membre. L’annexe D précise format, calendrier, accès temporaires, sort des sauvegardes et preuve d’exécution. Les données légalement conservées sont isolées et leur usage limité.
Les annexes A à D sont contractuelles et indispensables : description et durées ; mesures de sécurité ; intervenants, localisations et garanties de transfert ; contacts, assistance, alertes, audit et sortie. Elles doivent être complétées avec des éléments vérifiés avant accord définitif. Les obligations de protection persistent jusqu’à restitution ou suppression effective.