Politique de confidentialité

1. Responsable du traitement et coordonnées

1.1 Responsable du traitement

Le responsable du traitement au sens du Règlement (UE) 2016/679 (RGPD) est : Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienne, Autriche. N° de registre du commerce : FN 618845t (Tribunal de commerce de Vienne). N° de TVA : ATU80258169. E-mail : legal@hanc.ai. Web : hanc.ai

1.2 Contact protection des données

Pour toute question relative à la protection des données : datenschutz@hanc.ai. Courrier : Good Point GmbH, à l'attention de la Protection des données, Liechtensteinstrasse 63/10, 1090 Vienne, Autriche.

1.3 Périmètre

Cette politique de confidentialité s'applique : (a) au site web hanc.ai, (b) à la plateforme app.hanc.ai, (c) à tous les services, API et intégrations associés.

1.4 Cadre juridique

RGPD, DSG 2018 autrichienne, BDSG allemande, TDDDG allemande, LPD suisse, EU AI Act.

2. Synthèse des activités de traitement

Vous trouverez ci-dessous un aperçu général de nos activités de traitement des données. Les informations détaillées sont fournies dans les sections suivantes.

Visites du site web : adresse IP (anonymisée), navigateur, pages visitées, source. Base légale : intérêt légitime (art. 6, §1, f, RGPD). Conservation : 90 jours.

Formulaire de contact / e-mail : nom, e-mail, société, contenu du message. Base légale : contrat (art. 6, §1, b) ou intérêt légitime (art. 6, §1, f). Conservation : 6 mois après résolution.

Création de compte : nom, e-mail, société, secteur, adresse. Base légale : contrat (art. 6, §1, b, RGPD). Conservation : durée du compte + 7 ans.

Configuration de l'agent : nom de l'entreprise, services, horaires, accueils, secteur. Base légale : contrat (art. 6, §1, b, RGPD). Conservation : durée du compte.

Appels vocaux : numéro de l'appelant, métadonnées d'appel, audio (si l'enregistrement est activé), transcriptions. Base légale : contrat (art. 6, §1, b) + intérêt légitime (art. 6, §1, f). Conservation : 30 jours par défaut (configurable par le client).

Traitement des paiements : moyen de paiement (via Stripe), type de forfait, factures. Base légale : contrat (art. 6, §1, b, RGPD). Conservation : 7 ans (BAO autrichienne § 132).

Analytique : usage des fonctionnalités, données de session, indicateurs de performance. Base légale : intérêt légitime (art. 6, §1, f, RGPD). Conservation : 26 mois.

Marketing / newsletter : e-mail, nom, préférences. Base légale : consentement (art. 6, §1, a, RGPD). Conservation : jusqu'au retrait du consentement.

3. Principes du traitement des données

3.1 Minimisation des données

Nous ne collectons les données personnelles que dans la mesure nécessaire aux finalités décrites. Le traitement est lié à la finalité (art. 5, §1, b et c, RGPD).

3.2 Limitation de la conservation

Les données personnelles ne sont conservées que le temps nécessaire ou requis par les obligations légales de conservation.

3.3 Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (art. 32, RGPD).

4. Traitement lors de la visite du site web

4.1 Journaux du serveur

Lorsque vous visitez notre site, nous collectons : adresse IP (anonymisée), date/heure, URL, volume de données, statut HTTP, navigateur, OS, source. Base légale : art. 6, §1, f, RGPD. Conservation : 30 jours.

4.2 Contact par e-mail

Données collectées : adresse e-mail, nom, société, contenu, date/heure. Base légale : art. 6, §1, b ou f, RGPD. Conservation : 6 mois après résolution de la demande.

4.3 Formulaire de contact

Identique à l'e-mail, avec en plus la sélection du sujet et l'horodatage du consentement RGPD. HubSpot en tant que sous-traitant (DPA en place).

4.4 Newsletter

Le cas échéant : e-mail, nom, société. Double opt-in requis. Brevo (Sendinblue) en tant que sous-traitant. Lien de désinscription dans chaque e-mail. Base légale : art. 6, §1, a, RGPD.

5. Traitement lors de l'utilisation de la plateforme

5.1 Inscription

Données collectées : e-mail, mot de passe (haché), nom, raison sociale, secteur, adresse professionnelle. Base légale : art. 6, §1, b, RGPD.

5.2 Configuration de l'agent

Données collectées : nom de l'entreprise, services, horaires, texte d'accueil, catégorie sectorielle. Finalité : création et exploitation de l'agent.

5.3 Facturation

Stripe en tant que prestataire de paiement. Nous stockons : type de forfait, cycle de facturation, historique des factures. Stripe stocke : détails du moyen de paiement (PCI DSS niveau 1). Base légale : art. 6, §1, b, RGPD.

5.4 Analytique d'usage

PostHog pour la business intelligence. Données : usage des fonctionnalités, données de session, indicateurs de performance des agents. Base légale : art. 6, §1, f, RGPD.

5.5 Service de rappel pour démo

Lorsque vous demandez un rappel pour démo, nous traitons votre numéro de téléphone à seule fin d'initier un unique appel de démonstration depuis notre agent vocal IA. Base légale : votre consentement explicite (art. 6, §1, a, RGPD). Donnée traitée : numéro de téléphone au format E.164. Conservation : pendant la durée de la relation contractuelle ; suppression à la suppression du compte. Destinataires : catégories de sous-traitants décrites ci-dessus ; la liste à jour est disponible sur demande à privacy@hanc.ai. Divulgation IA conformément à l'art. 50 de l'EU AI Act.

6. Traitement des appels vocaux et interactions avec l'IA

6.1 Données d'appel

Nous traitons : numéro de téléphone de l'appelant, horodatage de l'appel, durée d'appel, identifiant d'agent, résultat de l'appel. Base légale : art. 6, §1, b, RGPD (exécution du contrat) et art. 6, §1, f, RGPD (intérêt légitime).

6.2 Données vocales

Traitement vocal-vers-texte en temps réel via Azure (région UE). L'audio vocal est traité en mémoire et n'est pas stocké de manière persistante, sauf si l'enregistrement d'appel est activé par le client.

6.3 Enregistrements d'appels

Optionnel, contrôlé par le client. Stockage chiffré dans Azure UE. Conservation : pendant la durée de la relation contractuelle ; aucune expiration automatique n'est appliquée ; suppression à la suppression du compte ou sur demande. Le client est responsable du respect des lois locales sur l'enregistrement des appels.

6.4 Traitement par IA

Données de conversation traitées par une IA conversationnelle avancée (région UE). Aucun entraînement sur les données client. Données traitées conformément au DPA Microsoft.

6.5 Transcriptions

Stockées chiffrées. Accessibles au client via le tableau de bord. Conservation : pendant la durée de la relation contractuelle ; aucune expiration automatique n'est appliquée ; suppression à la suppression du compte ou sur demande.

6.6 EU AI Act (art. 50)

Les appelants sont informés qu'ils s'adressent à un système d'IA au début de chaque appel.

7. Cookies et technologies similaires

7.1 Cookies essentiels

Gestion de session, authentification, préférence de langue. Aucun consentement requis (TDDDG, art. 25, §2).

7.2 Cookies d'analyse

PostHog Cloud EU (Francfort). Consentement requis (TDDDG, art. 25, §1). Bannière cookies avec opt-in.

7.3 Cookies marketing

Aucun au lancement. Si ajoutés : consentement requis, listés dans la bannière cookies.

7.4 Bannière cookies

Plateforme de gestion du consentement. Opt-in/opt-out granulaire. Consentement conservé 12 mois. Retrait possible à tout moment.

7.5 Liste des cookies

hanc_session : gestion de session — maintient l'état de session de l'utilisateur. Durée : session. Type : essentiel.

hanc_locale : préférence de langue — stocke la langue d'interface sélectionnée. Durée : 1 an. Type : essentiel.

hanc_consent : état du consentement cookies — enregistre les choix. Durée : 1 an. Type : essentiel.

_ph_* : analytique PostHog — suit les schémas d'usage anonymisés. Durée : 1 an. Type : analyse.

_hs* : tracking HubSpot — permet l'intégration CRM. Durée : 13 mois. Type : marketing.

stripe_* : traitement des paiements — prend en charge les sessions Stripe sécurisées. Durée : session. Type : essentiel.

8. Services tiers et transferts de données

Nous faisons appel à des prestataires dans les catégories hébergement, base de données, traitement IA, téléphonie, paiements, e-mail et analyse. La liste détaillée des sous-traitants ultérieurs est disponible via notre Trust Center : security.hanc.ai.

9. Vos droits en tant que personne concernée

Au titre du RGPD, vous disposez des droits suivants : droit d'accès (art. 15), droit de rectification (art. 16), droit à l'effacement (art. 17), droit à la limitation du traitement (art. 18), droit à la portabilité des données (art. 20), droit d'opposition (art. 21), droit de retirer votre consentement (art. 7, §3), et droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77).

Contact : datenschutz@hanc.ai

Autorité de contrôle : autorité autrichienne de protection des données (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienne, dsb@dsb.gv.at

10. Durées de conservation des données

Journaux de serveur : 30 jours (intérêt légitime).

Demandes via formulaire de contact : 6 mois après résolution (contrat/intérêt légitime).

Données de compte : durée du contrat + 7 ans (contrat + BAO autrichienne § 132).

Facturation / factures : 7 ans (BAO autrichienne § 132).

Enregistrements d'appels : durée du contrat, sans expiration automatique (exécution du contrat).

Transcriptions d'appels : durée du contrat, sans expiration automatique (exécution du contrat).

Données analytiques : 26 mois (intérêt légitime).

Enregistrements de consentement cookies : 12 mois (TDDDG).

11. Transferts internationaux de données et conformité

11.1 RGPD (UE/EEE)

Cadre de conformité principal. L'infrastructure applicative et vocale est hébergée chez Hetzner (Allemagne), la base de données principale chez MongoDB Atlas (Francfort) et les services Microsoft Azure fonctionnent dans des régions de l'UE ; certaines charges de travail d'IA auxiliaires peuvent être traitées hors EEE, et chaque transfert est documenté par fournisseur dans notre documentation de conformité sur security.hanc.ai.

11.2 DSG autrichienne 2018

Dispositions nationales complémentaires pour l'Autriche.

11.3 BDSG allemande

Dispositions complémentaires pour les utilisateurs allemands.

11.4 LPD suisse

Conformité pour les utilisateurs suisses. Adéquation des données reconnue par l'UE.

11.5 EU AI Act

Obligations de transparence de l'art. 50. Notification de l'appelant en début d'appel.

12. Sécurité des données

Chiffrement : TLS 1.3 en transit, AES-256 au repos.

Contrôle d'accès : basé sur les rôles, authentification multifacteur pour l'accès admin.

Infrastructure : Hetzner (Allemagne) et régions UE de Microsoft Azure.

Surveillance : prévention des intrusions au niveau serveur et surveillance assurée par nos fournisseurs d'infrastructure.

Réponse à incident : notification sous 72 heures conformément à l'art. 33 RGPD.

Certifications : nos fournisseurs d'infrastructure sont certifiés (Hetzner : ISO 27001 ; Stripe : PCI DSS niveau 1). Hanc.AI ne détient pas elle-même de certification SOC 2 ou ISO 27001.

13. Modifications de cette politique de confidentialité

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. Les modifications importantes seront communiquées par e-mail aux utilisateurs inscrits et par un avis bien visible sur notre site web. La date de la dernière révision est indiquée en haut de cette politique.

Le traitement effectué pour le compte de clients professionnels est régi par notre accord de traitement des données (DPA), qui fait partie de nos Conditions d'utilisation, est présenté lors de l'inscription et est disponible dans le compte client ainsi que dans notre Trust Center : security.hanc.ai.

14. Données utilisateur Google

Lorsque vous connectez un compte Google à Hanc.AI, nous n’accédons qu’aux données utilisateur Google nécessaires aux fonctions que vous activez. Voici les autorisations Google (scopes) que nous demandons et ce à quoi elles servent :

• Google Agenda (calendar, calendar.readonly, calendar.events, calendar.calendarlist.readonly, calendar.freebusy) : la liste de vos agendas, vos disponibilités et vos événements, afin que votre employé IA propose des créneaux libres aux appelants et prenne, déplace ou annule des rendez-vous dans l’agenda que vous choisissez.
• Google Tasks (tasks, tasks.readonly) : vos listes de tâches et vos tâches, afin que vous les voyiez dans Hanc.AI et que votre employé IA crée ou mette à jour des tâches après un appel, comme un rappel ou une relance.
• Google Contacts, « Autres contacts » (contacts.other.readonly) : les noms, adresses e-mail et numéros de téléphone que Google a enregistrés automatiquement dans votre compte, afin que votre employé IA reconnaisse un appelant et complète ses coordonnées. Nous lisons seulement ces données ; nous ne modifions ni ne supprimons jamais vos contacts.

Utilisation. Nous utilisons les données utilisateur Google uniquement pour fournir et améliorer les fonctions décrites ci-dessus dans votre compte Hanc.AI. Nous ne les utilisons pas à des fins publicitaires, nous ne les vendons pas et nous ne les utilisons pas pour développer, améliorer ou entraîner des modèles généralistes d’intelligence artificielle ou d’apprentissage automatique.

Accès humain. Notre personnel ne lit pas vos données utilisateur Google, sauf si vous nous le demandez (par exemple dans une demande d’assistance), si c’est nécessaire pour des raisons de sécurité comme l’examen d’un abus, si la loi l’exige, ou si les données ont été agrégées et anonymisées pour nos opérations internes.

Partage. Nous ne transmettons pas les données utilisateur Google à des tiers, sauf aux prestataires qui les traitent pour notre compte afin de fournir ces fonctions (hébergement et traitement par IA de vos appels), dans le cadre d’accords de traitement des données qui les soumettent aux mêmes restrictions, ou lorsque la loi l’exige.

Conservation et suppression. Les données utilisateur Google sont transmises par des connexions chiffrées et conservées uniquement le temps nécessaire aux fonctions que vous avez activées. Lorsque vous déconnectez votre compte Google ou supprimez votre compte Hanc.AI, nous supprimons sans délai injustifié les données utilisateur Google que nous détenons, sauf obligation légale de les conserver.

Votre contrôle. Vous pouvez déconnecter votre compte Google à tout moment dans votre compte Hanc.AI ou sur la page des autorisations de votre compte Google, et nous demander de supprimer vos données grâce aux coordonnées indiquées dans la présente politique.

Limited Use. L’utilisation et le transfert vers toute autre application, par Hanc.AI, des informations reçues des API Google respecteront la Google API Services User Data Policy, y compris les exigences d’utilisation limitée (Limited Use).