Annexe aux Conditions générales — conforme à l'article 28 du RGPD · Version 1.5 du 21/09/2026
Sous-traitant : ANATOMY of AI — Majd Hakim, entrepreneur individuel, SIREN 521 179 150, 16 rue Pierre Mendès France, 77200 Torcy, France (« Parlyo »).
Responsable de traitement : le client titulaire du compte (le « Client »).
Pour les données des visiteurs du site du Client traitées via l'agent (conversations, demandes de contact), le Client est responsable de traitement et Parlyo agit exclusivement en qualité de sous-traitant, sur instruction documentée du Client. Pour les données du compte du Client lui-même (identifiants, facturation), Parlyo est responsable de traitement — voir la politique de confidentialité.
| Objet | Fourniture de l'agent conversationnel (chat + voix), capture de demandes de contact, statistiques d'usage. |
|---|---|
| Nature | Collecte, enregistrement, consultation, transmission aux moteurs IA pour génération de réponse, effacement. |
| Personnes concernées | Visiteurs et utilisateurs du ou des sites/applications du Client. |
| Catégories de données | Contenu des conversations écrites et vocales (texte ; transcriptions ; enregistrements audio des conversations vocales du site), coordonnées volontairement fournies (nom, e-mail, téléphone), métadonnées techniques minimales (langue, horodatage, IP tronquée). Appels téléphoniques (offre Parlyo Phone) : enregistrement audio de l'appel et sa transcription, numéro appelé, numéro appelant lorsqu'il est transmis, horodatages et durée. L'appelant en est informé avant de parler : la première phrase de l'agent indique qu'il s'adresse à un assistant automatique, que l'appel est enregistré et transcrit, et que le numéro ne traite pas les urgences. Conservation : 30 jours pour l'audio, jamais plus de 90, purge automatique quotidienne ; la transcription et le journal d'appel sont conservés 12 mois glissants, puis supprimés automatiquement (ou dès la clôture du compte). Conversations vocales sur le site (widget) : transcription de la session (propos du visiteur et réponses de l'IA) et enregistrement audio de la session (voix du visiteur et voix de l'IA mixées, WebM/Opus ou MP4/AAC selon le navigateur), horodatages. Le visiteur en est informé dans le widget dès l'ouverture de la session vocale. Transcription et audio sont stockés sur l'hébergement de Parlyo dans l'Union européenne et ne sont accessibles qu'au Client (tableau de bord authentifié) et à l'exploitant de Parlyo. Conservation de l'audio : 30 jours, puis effacement automatique ; transcription : 12 mois glissants ; le flux audio en direct ne transite pas par Parlyo. |
| Données sensibles | Aucune par conception. L'agent a pour consigne de ne jamais en demander (motif médical, symptôme, diagnostic, traitement, religion, opinions, orientation, origine) et de ne pas reformuler, répéter ni consigner celles qu'une personne donnerait spontanément. Le Client s'engage de son côté à ne pas les solliciter via l'agent. |
| Durée | Durée du contrat ; suppression par le Client à tout moment (dashboard) et purge à la clôture du compte (§8). |
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. Parlyo informera le Client (e-mail ou page publique) de tout changement au moins 15 jours avant, le Client pouvant s'y opposer pour motif légitime.
| Sous-traitant | Rôle | Localisation / garanties |
|---|---|---|
| Contabo GmbH | Hébergement (VPS) | Union européenne — région « Hub Europe » ; société de droit allemand (Welfenstraße 22, 81541 Munich) |
| LiveKit, Inc. | Passerelle voix temps réel et téléphonie (SIP) | Union européenne — traitement en région Francfort (Allemagne), constaté sur le service en exploitation |
| Zadarma / IP Telecom Bulgaria | Fourniture du numéro français et acheminement des appels entrants | Union européenne — localisation exacte à confirmer par écrit auprès du fournisseur |
| Google LLC — API Gemini (Google AI for Developers) | Moteur IA (génération des réponses texte/voix) ; pour la voix sur le site, la connexion audio s'établit directement entre le navigateur du visiteur et l'API, avec un jeton éphémère — le flux audio en direct n'est pas relayé par Parlyo ; la transcription et l'enregistrement de la session sont conservés par Parlyo sur son hébergement européen (§2) | UE/É-U. — clauses contractuelles types + engagements API : données non utilisées pour l'entraînement |
| Cloudflare | Proxy/CDN (transit uniquement) | Mondial — clauses contractuelles types |
| Tavily, Serper ou DuckDuckGo | Recherche web — activée à la seule initiative du Client, par la fourniture d'une clé ou à défaut par le moteur de repli. La requête transmise est la question reformulée du visiteur ; ni l'historique de conversation, ni la base de connaissances, ni aucune donnée de compte ne sortent | UE/É-U. — clauses contractuelles types |
| Stripe (ou CMI au Maroc) | Paiement carte (PCI-DSS) — données de facturation du Client uniquement | UE / Maroc |
| Prestataire SMTP | E-mails transactionnels | UE |
Les données sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur implique un transfert hors UE (moteur IA, proxy), celui-ci est encadré par des clauses contractuelles types (art. 46 RGPD) et des mesures complémentaires (chiffrement en transit, minimisation, IP tronquées).
Sur demande écrite raisonnable (max. 1 fois/an, préavis 30 jours, heures ouvrées, sans accès aux données d'autres clients), Parlyo fournit la documentation de conformité et répond par écrit aux questionnaires de sécurité du Client ou de son DPO.
À la clôture du compte : suppression immédiate des données du Client et de ses visiteurs (conversations, y compris transcriptions et enregistrements audio, contacts, base de connaissances, documents). Seules les factures sont conservées 10 ans (obligation légale). Le Client peut exporter ses données (conversations et leurs transcriptions, contacts) depuis le dashboard avant clôture ; les enregistrements audio ne figurent pas dans ce fichier d'export et restent accessibles, un par un, depuis le détail de chaque conversation ou appel du tableau de bord.
La responsabilité de chaque partie est régie par les CGV. En cas de contradiction entre le présent DPA et les CGV sur la protection des données, le DPA prévaut.