Vos clients vous confient des données. Vous nous en confiez une partie.

La question de départ n'est pas technique, elle est juridique : qui décide de la finalité et des moyens du traitement ? La réponse est nette. Ce sont vos clients qui composent votre numéro, dans le cadre de la relation qu'ils entretiennent avec vous. Vous décidez de ce que l'agent fait, de ce qu'il demande, de ce qu'il refuse, de ce qui vous est transféré et de ce qui est simplement noté.

Vous êtes responsable de traitement. Celya est sous-traitant, au sens de l'article 28 du RGPD. Nous agissons sur vos instructions documentées et pour votre compte, jamais pour le nôtre.

Cette répartition a une conséquence pratique qu'il vaut mieux avoir en tête : c'est vous qui devez informer vos clients et déterminer la base légale du traitement. Nous vous fournissons ce dont vous avez besoin pour le faire — la description des traitements, les durées, la liste des sous-traitants — mais nous ne pouvons pas le faire à votre place.

Nous ne publions pas ici une durée unique, et c'est volontaire. Un restaurant, un cabinet médical et une fiduciaire n'ont ni les mêmes besoins opérationnels ni les mêmes obligations de conservation : annoncer « douze mois pour tout le monde » serait un chiffre commode et faux pour au moins deux des trois.

Les durées sont donc fixées avec vous et inscrites dans l'accord de traitement, par catégorie de donnée. Le principe que nous appliquons par défaut : ce qui n'a plus d'utilité opérationnelle pour vous n'a pas à rester chez nous.

Rappel utile pour cette discussion : aucun enregistrement audio n'est conservé. La question de la durée ne porte donc que sur du texte et des fiches, ce qui simplifie considérablement l'analyse d'impact que votre DPO pourrait vouloir mener.

C'est la section que votre juriste lira ligne par ligne, et c'est la raison d'être d'un accord de traitement. Nous ne prétendons pas faire tourner seuls une plateforme téléphonique : il y a derrière un hébergeur, une infrastructure de traitement de la voix, et les services techniques nécessaires au fonctionnement.

La liste nominative à jour, avec le rôle de chaque sous-traitant et sa localisation, figure dans l'accord de traitement des données. Nous ne la publions pas sur une page web pour une raison simple : une liste publiée est une liste qui vieillit, et une liste périmée dans un document contractuel est un problème. Celle de l'accord est datée et versionnée.

Ce que nous pouvons écrire ici sans risque de péremption : les appels de nos clients sont traités et les données hébergées dans l'Union européenne. Demandez le document, il est envoyé le jour même.

Un de vos clients peut vouloir accéder à ce qui a été noté pendant son appel, le faire rectifier, ou en demander la suppression. Comme il est votre client et non le nôtre, la demande vous parvient à vous.

Le circuit est simple : vous nous transmettez la demande, nous l'exécutons, nous vous confirmons par écrit, et c'est vous qui répondez à la personne. Nous ne prenons jamais contact directement avec vos clients — ni pour ça, ni pour autre chose. L'agent ne passe aucun appel sortant et n'envoie ni SMS ni e-mail.

En cas de violation de données, nous vous informons sans délai injustifié dès que nous en avons connaissance. La notification à l'Autorité de protection des données vous revient, puisque vous êtes le responsable de traitement ; nous vous fournissons les éléments nécessaires.