Avenant relatif au traitement des données (DPA)

1. Notre engagement

Ni Revox ni aucun de ses fournisseurs n'utilise vos données pour entraîner ou améliorer des modèles d'IA généralistes.

Le présent DPA explique comment nous traitons vos données pour passer et traiter les appels que vous demandez : téléphonie, transcription, modèle de conversation, synthèse vocale, SMS le cas échéant, analyse post-appel et restitution des résultats.

2. Ce que nous traitons

Nature du traitement : appels sortants et entrants menés par des agents vocaux IA pour le compte du Client, notamment pour qualifier des contacts et prendre des rendez-vous ; transcription ; SMS le cas échéant ; analyse post-appel ; restitution des résultats.

Suppression à la demande à tout moment. À la résiliation, suppression de l'ensemble des données sous 30 jours.

Le Client garantit disposer d'une base légale et des informations ou consentements requis pour les données qu'il fournit et pour l'appel des personnes concernées.

3. Entraînement IA

Pour être parfaitement clairs :

Nous n'utilisons pas vos données pour entraîner des modèles d'IA généralistes (langage, transcription, voix).

Nous ne partageons pas vos données avec des tiers à des fins d'entraînement.

Vos données servent à réaliser les appels demandés, puis sont conservées selon la section 2.

Ni Revox ni aucun de ses fournisseurs n'utilise vos données (prompts, coordonnées, contexte d'appel, enregistrements, transcriptions, résultats ou données dérivées) pour entraîner ou améliorer des modèles d'IA généralistes (modèles de langage, de reconnaissance ou de synthèse vocale). Tous les fournisseurs de modèles de langage, de transcription et de synthèse vocale sont utilisés sous des conditions API ou entreprise qui excluent l'entraînement sur les données API.

Une seule exception, étroite et interne : Revox entraîne son propre détecteur de répondeur (il distingue un humain d'une messagerie ou d'un serveur vocal interactif dans les premières secondes de l'appel) sur de courts extraits audio (environ 2 secondes) du début des appels, étiquetés avec le résultat de l'appel. Ce modèle n'est pas génératif, n'est partagé avec personne, tourne chez Revox et ne produit que cette étiquette.

OpenAI : pas d'entraînement sur les données API par défaut, rétention zéro lorsque éligible.

Google : API Gemini payante (pas le niveau gratuit).

Anthropic : pas d'entraînement sur les données API par défaut.

OpenRouter : exclusion des fournisseurs qui entraînent sur les données activée, routage en rétention zéro, journalisation des prompts désactivée.

4. Comment nous protégeons vos données

Chiffrement : en transit (TLS 1.2 ou supérieur) et au repos (AES-256).

Contrôle des accès : contrôle d'accès par rôle, authentification multifacteur, authentification via Clerk ; accès interne restreint.

Cloisonnement : cloisonnement logique par organisation cliente (toutes les requêtes sont limitées à l'organisation) ; pare-feu applicatif et protection anti-DDoS en périphérie.

Localisation : fiches d'appel, transcriptions et résultats dans l'Union européenne (Neon, Francfort), application hébergée dans l'Union européenne (Vercel, Francfort), transcription sur le point d'accès européen de Soniox. Les enregistrements audio sont stockés aux États-Unis (AWS S3, us-east-1). Les autres sous-traitants opèrent dans l'Union européenne ou aux États-Unis avec les garanties de la section 5.

Certifications : SOC 2 Type II en cours (échéance visée : premier trimestre 2027). Pas de certification ISO 27001 à ce jour.

5. Sous-traitants ultérieurs

Le modèle de conversation, la voix et leurs replis dépendent du réglage de chaque assistant, et ne sont choisis que parmi les fournisseurs ci-dessous. La configuration exacte d'un compte (identifiants des modèles et des fournisseurs utilisés) est communiquée sur demande.

CCT : Clauses Contractuelles Types de la Commission européenne (décision 2021/914). DPF : Data Privacy Framework UE États-Unis. Tout transfert hors de l'Union européenne est encadré par l'un ou l'autre de ces mécanismes.

Revox informe le Client 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur, et met cette page à jour en conséquence.

Les intégrations activées par le Client lui-même (HubSpot, Zoho, ses propres webhooks, etc.) reçoivent des données sur son instruction : ce sont ses propres sous-traitants, pas ceux de Revox.

6. Vos droits

Demandes des personnes concernées : nous vous aidons à répondre aux demandes d'accès, de suppression ou de rectification sous 2 jours ouvrés.

Suppression : à la demande à tout moment ; à la résiliation, suppression de l'ensemble des données sous 30 jours.

Notification de violation : nous vous notifions toute violation de données personnelles sous 48 heures.

Documentation : les DPA de nos fournisseurs et notre documentation sécurité sont disponibles sur demande pour vos propres revues (analyse d'impact, revue de sécurité).

7. Acceptation

En acceptant les Conditions générales de vente et d'utilisation de Revox, ou en utilisant les services Revox, le Client accepte le présent DPA. Un exemplaire signé par DAIGEST SAS est disponible sur demande, pour les clients qui souhaitent le contresigner.

8. Contact

Contact protection des données, Revox : contact@getrevox.com.