Politique de confidentialité

1.1 Responsable du traitement

Le responsable du traitement au sens du Règlement (UE) 2016/679 (RGPD) est : Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienne, Autriche. N° de registre du commerce : FN 618845t (Tribunal de commerce de Vienne). N° de TVA : ATU80258169. E-mail : [email protected]. Web : hanc.ai

1.2 Contact protection des données

Pour toute question relative à la protection des données : [email protected]. Courrier : Good Point GmbH, à l'attention de la Protection des données, Liechtensteinstrasse 63/10, 1090 Vienne, Autriche.

1.3 Périmètre

Cette politique de confidentialité s'applique : (a) au site web hanc.ai, (b) à la plateforme app.hanc.ai, (c) à tous les services, API et intégrations associés.

1.4 Cadre juridique

RGPD, DSG 2018 autrichienne, BDSG allemande, TDDDG allemande, LPD suisse, EU AI Act, CCPA/CPRA, PDPL des Émirats arabes unis.

Vous trouverez ci-dessous un aperçu général de nos activités de traitement des données. Les informations détaillées sont fournies dans les sections suivantes.

Visites du site web : adresse IP (anonymisée), navigateur, pages visitées, source. Base légale : intérêt légitime (art. 6, §1, f, RGPD). Conservation : 90 jours.

Formulaire de contact / e-mail : nom, e-mail, société, contenu du message. Base légale : contrat (art. 6, §1, b) ou intérêt légitime (art. 6, §1, f). Conservation : 6 mois après résolution.

Création de compte : nom, e-mail, société, secteur, adresse. Base légale : contrat (art. 6, §1, b, RGPD). Conservation : durée du compte + 7 ans.

Configuration de l'agent : nom de l'entreprise, services, horaires, accueils, secteur. Base légale : contrat (art. 6, §1, b, RGPD). Conservation : durée du compte.

Appels vocaux : numéro de l'appelant, métadonnées d'appel, audio (si l'enregistrement est activé), transcriptions. Base légale : contrat (art. 6, §1, b) + intérêt légitime (art. 6, §1, f). Conservation : 30 jours par défaut (configurable par le client).

Traitement des paiements : moyen de paiement (via Stripe), type de forfait, factures. Base légale : contrat (art. 6, §1, b, RGPD). Conservation : 7 ans (BAO autrichienne § 132).

Analytique : usage des fonctionnalités, données de session, indicateurs de performance. Base légale : intérêt légitime (art. 6, §1, f, RGPD). Conservation : 26 mois.

Marketing / newsletter : e-mail, nom, préférences. Base légale : consentement (art. 6, §1, a, RGPD). Conservation : jusqu'au retrait du consentement.

3.1 Minimisation des données

Nous ne collectons les données personnelles que dans la mesure nécessaire aux finalités décrites. Le traitement est lié à la finalité (art. 5, §1, b et c, RGPD).

3.2 Limitation de la conservation

Les données personnelles ne sont conservées que le temps nécessaire ou requis par les obligations légales de conservation.

3.3 Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (art. 32, RGPD).

4.1 Journaux du serveur

Lorsque vous visitez notre site, nous collectons : adresse IP (anonymisée), date/heure, URL, volume de données, statut HTTP, navigateur, OS, source. Base légale : art. 6, §1, f, RGPD. Conservation : 30 jours.

4.2 Contact par e-mail

Données collectées : adresse e-mail, nom, société, contenu, date/heure. Base légale : art. 6, §1, b ou f, RGPD. Conservation : 6 mois après résolution de la demande.

4.3 Formulaire de contact

Identique à l'e-mail, avec en plus la sélection du sujet et l'horodatage du consentement RGPD. HubSpot en tant que sous-traitant (DPA en place).

4.4 Newsletter

Le cas échéant : e-mail, nom, société. Double opt-in requis. Brevo (Sendinblue) en tant que sous-traitant. Lien de désinscription dans chaque e-mail. Base légale : art. 6, §1, a, RGPD.

5.1 Inscription

Données collectées : e-mail, mot de passe (haché), nom, raison sociale, secteur, adresse professionnelle. Base légale : art. 6, §1, b, RGPD.

5.2 Configuration de l'agent

Données collectées : nom de l'entreprise, services, horaires, texte d'accueil, catégorie sectorielle. Finalité : création et exploitation de l'agent.

5.3 Facturation

Stripe en tant que prestataire de paiement. Nous stockons : type de forfait, cycle de facturation, historique des factures. Stripe stocke : détails du moyen de paiement (PCI DSS niveau 1). Base légale : art. 6, §1, b, RGPD.

5.4 Analytique d'usage

PostHog pour la business intelligence. Données : usage des fonctionnalités, données de session, indicateurs de performance des agents. Base légale : art. 6, §1, f, RGPD.

5.5 Service de rappel pour démo

Lorsque vous demandez un rappel pour démo, nous traitons votre numéro de téléphone à seule fin d'initier un unique appel de démonstration depuis notre agent vocal IA. Base légale : votre consentement explicite (art. 6, §1, a, RGPD). Donnée traitée : numéro de téléphone au format E.164. Conservation : suppression automatique sous 24 heures. Sous-traitant : Twilio Inc. (États-Unis), au titre des clauses contractuelles types. Divulgation IA conformément à l'art. 50 de l'EU AI Act.

6.1 Données d'appel

Nous traitons : numéro de téléphone de l'appelant, horodatage de l'appel, durée d'appel, identifiant d'agent, résultat de l'appel. Base légale : art. 6, §1, b, RGPD (exécution du contrat) et art. 6, §1, f, RGPD (intérêt légitime).

6.2 Données vocales

Traitement vocal-vers-texte en temps réel via Azure (région UE). L'audio vocal est traité en mémoire et n'est pas stocké de manière persistante, sauf si l'enregistrement d'appel est activé par le client.

6.3 Enregistrements d'appels

Optionnel, contrôlé par le client. Stockage chiffré dans Azure UE. Conservation : définie par le client (90 jours par défaut). Le client est responsable du respect des lois locales sur l'enregistrement des appels.

6.4 Traitement par IA

Données de conversation traitées par une IA conversationnelle avancée (région UE). Aucun entraînement sur les données client. Données traitées conformément au DPA Microsoft.

6.5 Transcriptions

Stockées chiffrées. Accessibles au client via le tableau de bord. Conservation : définie par le client.

6.6 EU AI Act (art. 50)

Les appelants sont informés qu'ils s'adressent à un système d'IA au début de chaque appel.

7.1 Cookies essentiels

Gestion de session, authentification, préférence de langue. Aucun consentement requis (TDDDG, art. 25, §2).

7.2 Cookies d'analyse

PostHog (auto-hébergé / UE). Consentement requis (TDDDG, art. 25, §1). Bannière cookies avec opt-in.

7.3 Cookies marketing

Aucun au lancement. Si ajoutés : consentement requis, listés dans la bannière cookies.

7.4 Bannière cookies

Plateforme de gestion du consentement. Opt-in/opt-out granulaire. Consentement conservé 12 mois. Retrait possible à tout moment.

7.5 Liste des cookies

hanc_session : gestion de session — maintient l'état de session de l'utilisateur. Durée : session. Type : essentiel.

hanc_locale : préférence de langue — stocke la langue d'interface sélectionnée. Durée : 1 an. Type : essentiel.

hanc_consent : état du consentement cookies — enregistre les choix. Durée : 1 an. Type : essentiel.

_ph_* : analytique PostHog — suit les schémas d'usage anonymisés. Durée : 1 an. Type : analyse.

_hs* : tracking HubSpot — permet l'intégration CRM. Durée : 13 mois. Type : marketing.

stripe_* : traitement des paiements — prend en charge les sessions Stripe sécurisées. Durée : session. Type : essentiel.

Nous utilisons les sous-traitants suivants :

Microsoft (Azure) : hébergement cloud, LLM, STT, TTS. Localisation : Dublin, Irlande / États-Unis. Finalité : infrastructure, traitement IA. Garantie : hébergement UE (Azure West Europe), DPA art. 28, EU-US DPF.

LiveKit Inc. : voix temps réel / WebRTC. Localisation : San Jose, États-Unis. Finalité : infrastructure d'appels. Garantie : CCT art. 46, §2, c, serveurs relais UE.

Twilio : téléphonie (SIP/PSTN). Localisation : Dublin, Irlande / États-Unis. Finalité : appels téléphoniques. Garantie : hébergement UE, DPA art. 28, EU-US DPF.

ElevenLabs Inc. : TTS/STT (optionnel). Localisation : New York, États-Unis. Garantie : CCT art. 46, §2, c.

Cartesia AI, Inc. : TTS/STT (optionnel). Localisation : San Francisco, États-Unis. Garantie : CCT art. 46, §2, c.

PostHog Inc. : analytique. Localisation : San Francisco, États-Unis. Garantie : option auto-hébergée UE, CCT art. 46, §2, c.

HubSpot Ireland Ltd : CRM. Localisation : Dublin, Irlande. Garantie : hébergement UE, DPA art. 28.

Brevo (Sendinblue SAS) : e-mail. Localisation : Paris, France. Garantie : hébergement UE, DPA art. 28.

Stripe Payments Europe Ltd : paiements. Localisation : Dublin, Irlande. Garantie : PCI DSS niveau 1, hébergement UE.

Au titre du RGPD, vous disposez des droits suivants : droit d'accès (art. 15), droit de rectification (art. 16), droit à l'effacement (art. 17), droit à la limitation du traitement (art. 18), droit à la portabilité des données (art. 20), droit d'opposition (art. 21), droit de retirer votre consentement (art. 7, §3), et droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77).

Contact : [email protected]

Autorité de contrôle : autorité autrichienne de protection des données (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienne, [email protected]

Journaux de serveur : 30 jours (intérêt légitime).

Demandes via formulaire de contact : 6 mois après résolution (contrat/intérêt légitime).

Données de compte : durée du contrat + 7 ans (contrat + BAO autrichienne § 132).

Facturation / factures : 7 ans (BAO autrichienne § 132).

Enregistrements d'appels : définie par le client, 90 jours par défaut (exécution du contrat).

Transcriptions d'appels : définie par le client, 90 jours par défaut (exécution du contrat).

Données analytiques : 26 mois (intérêt légitime).

Enregistrements de consentement cookies : 12 mois (TDDDG).

11.1 RGPD (UE/EEE)

Cadre de conformité principal. Toutes les données hébergées dans l'UE (Azure West Europe).

11.2 DSG autrichienne 2018

Dispositions nationales complémentaires pour l'Autriche.

11.3 BDSG allemande

Dispositions complémentaires pour les utilisateurs allemands.

11.4 LPD suisse

Conformité pour les utilisateurs suisses. Adéquation des données reconnue par l'UE.

11.5 EU AI Act

Obligations de transparence de l'art. 50. Notification de l'appelant en début d'appel.

11.6 CCPA/CPRA (Californie)

Pas de vente d'informations personnelles. Droit de savoir, de supprimer, de refuser. Contact : [email protected] avec l'objet « CCPA Request ».

11.7 PDPL (Émirats/Arabie saoudite)

Conformité pour les utilisateurs de la région du Golfe. Mention en arabe fournie pour les locales AR.

Chiffrement : TLS 1.3 en transit, AES-256 au repos.

Contrôle d'accès : basé sur les rôles, authentification multifacteur pour l'accès admin.

Infrastructure : Azure West Europe avec géo-redondance.

Surveillance : détection automatisée des menaces, systèmes de détection d'intrusion.

Réponse à incident : notification sous 72 heures conformément à l'art. 33 RGPD.

Certifications en cours : SOC 2 Type II, ISO 27001.

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. Les modifications importantes seront communiquées par e-mail aux utilisateurs inscrits et par un avis bien visible sur notre site web. La date de la dernière révision est indiquée en haut de cette politique.