Annexe aux Conditions générales — conforme à l'article 28 du RGPD · Version 1.2 du 05/09/2026
Sous-traitant : ANATOMY of AI — Majd Hakim, entrepreneur individuel, SIREN 521 179 150, 16 rue Pierre Mendès France, 77200 Torcy, France (« Parlyo »).
Responsable de traitement : le client titulaire du compte (le « Client »).
Pour les données des visiteurs du site du Client traitées via l'agent (conversations, demandes de contact), le Client est responsable de traitement et Parlyo agit exclusivement en qualité de sous-traitant, sur instruction documentée du Client. Pour les données du compte du Client lui-même (identifiants, facturation), Parlyo est responsable de traitement — voir la politique de confidentialité.
| Objet | Fourniture de l'agent conversationnel (chat + voix), capture de demandes de contact, statistiques d'usage. |
|---|---|
| Nature | Collecte, enregistrement, consultation, transmission aux moteurs IA pour génération de réponse, effacement. |
| Personnes concernées | Visiteurs et utilisateurs du ou des sites/applications du Client. |
| Catégories de données | Contenu des conversations (texte ; transcriptions), coordonnées volontairement fournies (nom, e-mail, téléphone), métadonnées techniques minimales (langue, horodatage, IP tronquée). Appels téléphoniques (offre Parlyo Phone) : enregistrement audio de l'appel et sa transcription, numéro appelé, numéro appelant lorsqu'il est transmis, horodatages et durée. L'appelant en est informé avant de parler : la première phrase de l'agent indique qu'il s'adresse à un assistant automatique, que l'appel est enregistré et transcrit, et que le numéro ne traite pas les urgences. Conservation : 30 jours pour l'audio, jamais plus de 90, purge automatique quotidienne ; la transcription et le journal d'appel sont conservés pour la durée du contrat. Sur le canal web, l'audio reste traité en flux et n'est pas conservé. |
| Données sensibles | Aucune par conception. L'agent a pour consigne de ne jamais en demander (motif médical, symptôme, diagnostic, traitement, religion, opinions, orientation, origine) et de ne pas reformuler, répéter ni consigner celles qu'une personne donnerait spontanément. Le Client s'engage de son côté à ne pas les solliciter via l'agent. |
| Durée | Durée du contrat ; suppression par le Client à tout moment (dashboard) et purge à la clôture du compte (§8). |
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. Parlyo informera le Client (e-mail ou page publique) de tout changement au moins 15 jours avant, le Client pouvant s'y opposer pour motif légitime.
| Sous-traitant | Rôle | Localisation / garanties |
|---|---|---|
| Contabo GmbH | Hébergement (VPS) | Union européenne — région « Hub Europe » ; société de droit allemand (Welfenstraße 22, 81541 Munich) |
| LiveKit, Inc. | Passerelle voix temps réel et téléphonie (SIP) | Union européenne — traitement en région Francfort (Allemagne), constaté sur le service en exploitation |
| Zadarma / IP Telecom Bulgaria | Fourniture du numéro français et acheminement des appels entrants | Union européenne — localisation exacte à confirmer par écrit auprès du fournisseur |
| Google LLC — API Gemini (Google AI for Developers) | Moteur IA (génération des réponses texte/voix) ; pour la voix sur le site, la connexion audio s'établit directement entre le navigateur du visiteur et l'API, avec un jeton éphémère — l'audio n'est ni relayé ni stocké par Parlyo | UE/É-U. — clauses contractuelles types + engagements API : données non utilisées pour l'entraînement |
| Cloudflare | Proxy/CDN (transit uniquement) | Mondial — clauses contractuelles types |
| Tavily, Serper ou DuckDuckGo | Recherche web — activée à la seule initiative du Client, par la fourniture d'une clé ou à défaut par le moteur de repli. La requête transmise est la question reformulée du visiteur ; ni l'historique de conversation, ni la base de connaissances, ni aucune donnée de compte ne sortent | UE/É-U. — clauses contractuelles types |
| Stripe (ou CMI au Maroc) | Paiement carte (PCI-DSS) — données de facturation du Client uniquement | UE / Maroc |
| Prestataire SMTP | E-mails transactionnels | UE |
Les données sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur implique un transfert hors UE (moteur IA, proxy), celui-ci est encadré par des clauses contractuelles types (art. 46 RGPD) et des mesures complémentaires (chiffrement en transit, minimisation, IP tronquées).
Sur demande écrite raisonnable (max. 1 fois/an, préavis 30 jours, heures ouvrées, sans accès aux données d'autres clients), Parlyo fournit la documentation de conformité et répond par écrit aux questionnaires de sécurité du Client ou de son DPO.
À la clôture du compte : suppression immédiate des données du Client et de ses visiteurs (conversations, contacts, base de connaissances, documents). Seules les factures sont conservées 10 ans (obligation légale). Le Client peut exporter ses données (conversations, contacts) depuis le dashboard avant clôture.
La responsabilité de chaque partie est régie par les CGV. En cas de contradiction entre le présent DPA et les CGV sur la protection des données, le DPA prévaut.