Projet — à faire relire par un juriste avant mise en ligne définitive
Politique de confidentialité — Voxaccueil
Version du 24 octobre 2026 · Site : https://voxaccueil.fr
Cette information s'adresse aux entreprises clientes, à leurs utilisateurs et aux personnes qui appellent une entreprise utilisant Voxaccueil. Voxaccueil et Tonstandard sont deux noms commerciaux du même service exploité par DEVRUSHIT.
1. Qui est responsable de vos données ?
DEVRUSHIT, SAS à associé unique au capital de 500 €, 14 rue Bausset, 75015 Paris, France, RCS Paris 932 925 753, TVA FR90932925753, est responsable des traitements nécessaires à la gestion de ses comptes clients, de sa facturation et à la sécurité de son service. Contact données personnelles : amar@devru.sh, ou par courrier au siège, à l'attention du président Amar Lamkadem.
Pour le contenu des appels, l'entreprise que vous cherchez à joindre est le responsable du traitement. Elle choisit d'utiliser l'accueil IA, définit les consignes et les finalités de sa relation avec ses appelants. DEVRUSHIT agit pour son compte en qualité de sous-traitant, selon le contrat de sous-traitance. L'identité de cette entreprise est annoncée dans l'accueil. Vous pouvez lui demander sa propre notice de confidentialité ou nous contacter afin que votre demande lui soit transmise.
2. Quelles données sont traitées ?
| Personnes ou usage | Données concernées |
|---|---|
| Compte client et utilisateurs | Nom, e-mail, entreprise, activité, coordonnées, paramètres, horaires et consignes d'accueil, identifiants de compte, mot de passe sous forme hachée. |
| Abonnement et facturation | Offre, consommation de minutes, adresse de facturation, numéro de TVA, factures, identifiants et statut de paiement Stripe. Les données complètes de carte sont recueillies par Stripe, pas stockées dans notre application. |
| Appelants | Numéro présenté par l'opérateur, nom et coordonnées communiqués, date, heure, durée, entreprise appelée, motif et contenu du message, souhait de rappel, classification éventuelle comme démarchage. Un numéro peut être masqué ou inexact. |
| Conversation IA | Flux vocal nécessaire au dialogue, transcription et résumé générés, et enregistrement audio lorsque cette fonction est active et sous réserve de votre opposition. |
| Messagerie vocale | Numéro de l'appelant lorsqu'il est disponible, date et durée du message, audio déposé sur la messagerie OVH et éventuels éléments de résumé associés. |
| Fonctionnement et sécurité | Adresses IP, événements de connexion, informations techniques, erreurs et traces d'envoi SMS/e-mail, échanges avec le support et demandes d'exercice des droits. |
Les données viennent de vous, de l'entreprise cliente, des opérateurs téléphoniques ou sont générées par les traitements d'IA. Ne communiquez pas de numéro de carte bancaire, de mot de passe, de dossier médical ou de donnée sensible inutile à une prise de message. La voix n'est pas utilisée par ce service pour identifier biométriquement l'appelant.
3. Pour quelles finalités et sur quelles bases légales ?
Gestion des clients par DEVRUSHIT
- Création du compte, essai, fourniture de l'abonnement et support : exécution du contrat ou de mesures précontractuelles lorsque le client est une personne physique ; intérêt légitime à gérer la relation professionnelle pour les représentants et salariés d'une personne morale.
- Facturation et obligations comptables ou fiscales : obligation légale ; gestion du paiement au titre du contrat.
- Sécurité, prévention des abus et défense des droits : intérêt légitime à protéger le service et les utilisateurs, après mise en balance avec les droits des personnes ; obligation légale lorsqu'une réquisition régulière s'applique.
- Notifications de service : exécution du contrat ou intérêt légitime à informer les utilisateurs professionnels, sans transformer ces notifications en campagnes publicitaires.
Appels traités pour l'entreprise cliente
L'entreprise utilise les coordonnées et le contenu de l'appel pour accueillir l'appelant, recueillir sa demande, transmettre un résumé par SMS/e-mail, consulter son tableau de bord et le rappeler. La base peut être l'exécution de mesures précontractuelles demandées par l'appelant ou d'un contrat avec lui, ou l'intérêt légitime de l'entreprise à répondre aux sollicitations reçues. L'entreprise doit déterminer et documenter la base adaptée à sa situation ; sa souscription à Voxaccueil ne constitue pas, à elle seule, une base légale à l'égard de tous ses appelants.
L'enregistrement facultatif sert au contrôle et à l'amélioration de la qualité de l'accueil, avec écoute réservée aux personnes habilitées, et non à la surveillance permanente des salariés. Le recours éventuel à l'intérêt légitime exige une analyse de nécessité, de proportionnalité et un droit d'opposition effectif ; si le contexte impose le consentement, celui-ci doit être obtenu avant l'enregistrement. Cette notice ne remplace pas cette analyse. Un message volontairement déposé sur la messagerie est conservé pour transmettre la demande à l'entreprise ; ce n'est pas l'enregistrement qualité d'une conversation IA.
Le tri du démarchage est une aide au classement, susceptible d'erreur. Le service n'est pas destiné à prendre une décision automatisée produisant un effet juridique ou un effet significatif similaire sur l'appelant ; l'entreprise garde le contrôle des suites données.
4. Information IA, enregistrement et refus
Dès le début de l'appel, vous êtes informé que vous échangez avec un assistant d'intelligence artificielle, conformément à l'obligation de transparence de l'article 50 du règlement européen sur l'intelligence artificielle. Cette annonce ne doit pas être supprimée par une personnalisation de l'accueil.
Lorsque l'enregistrement est actif, l'accueil annonce également sa finalité et la possibilité de s'y opposer. Exemple d'information courte à adapter au dispositif réellement activé :
« Bonjour, je suis l'assistante vocale d'intelligence artificielle de [nom de l'entreprise]. Cet appel peut être enregistré pour améliorer la qualité de l'accueil. Vous pouvez refuser l'enregistrement en me le disant. Les informations sur vos données sont disponibles sur https://voxaccueil.fr. »
Vous pouvez dire que vous refusez l'enregistrement ou demander sa suppression. La prise de message continue. Le dispositif traite cette opposition après l'appel et déclenche la suppression de la conversation audio chez ElevenLabs ; il ne garantit pas l'arrêt instantané de toute capture pendant l'appel. Si vous ne souhaitez aucun traitement vocal, vous pouvez interrompre l'appel et contacter l'entreprise par un autre moyen. Vous pouvez également nous signaler une opposition non prise en compte à amar@devru.sh.
Le refus de l'enregistrement n'efface pas automatiquement la transcription, le résumé et les coordonnées nécessaires à la transmission du message. Vous pouvez exercer séparément vos droits sur ces données auprès de l'entreprise concernée. Pour une messagerie vocale, ne laissez pas de message si vous ne souhaitez pas qu'un audio soit conservé ; vous pouvez aussi demander l'effacement d'un message déjà déposé.
5. Combien de temps les données sont-elles conservées ?
| Données | Durée ou règle de conservation |
|---|---|
| Enregistrements qualité des conversations IA | 30 jours maximum à compter de l'appel, sauf suppression anticipée, notamment après opposition. Les audios sont hébergés chez ElevenLabs ; la réécoute dans l'application passe par un accès authentifié, sans copie permanente de ces fichiers sur le serveur applicatif. |
| Messages audio de messagerie OVH | Suppression chez OVH après import durable réussi dans le stockage privé de l'application ; conservation locale 30 jours après le message, puis suppression à la prochaine purge quotidienne. En cas d'échec d'import, le message d'origine reste chez OVH en attente de récupération. |
| Numéros des appelants, transcriptions, résumés et métadonnées d'appels | [À COMPLÉTER] : durée maximale, point de départ et suppression effective dans l'application et chez ElevenLabs. La règle audio de 30 jours ne supprime pas automatiquement les écrits. |
| Données du compte et du support | Pendant la relation contractuelle ; après fermeture, [À COMPLÉTER] : délai d'effacement ou d'archivage sélectif et durées des échanges de support. |
| Factures et pièces comptables | 10 ans à compter de la clôture de l'exercice concerné, au titre des obligations légales. Elles sont séparées de l'usage courant du compte après sa fermeture. |
| Preuves contractuelles nécessaires à la défense de droits | Archivage à accès restreint pendant le délai de prescription applicable, en principe 5 ans pour les obligations entre professionnels, sous réserve des interruptions et exceptions légales ; pas d'archivage indistinct du contenu de tous les appels à cette fin. |
| Journaux techniques et de notification | [À COMPLÉTER] : durées des journaux applicatifs, téléphoniques, de sécurité et de livraison SMS/e-mail. |
| Sauvegardes contenant des données effacées | [À COMPLÉTER] : cycle d'expiration des sauvegardes de chaque stockage ; accès restreint et absence de réutilisation en production hors restauration encadrée. |
Une demande légitime peut conduire à une suppression plus tôt. Lorsqu'une conservation est légalement imposée, seules les données nécessaires sont isolées pour cette durée, avec information de la personne dans la mesure permise par la loi. Les SMS et e-mails déjà reçus restent également dans les outils de leurs destinataires selon leurs propres règles de conservation.
Les durées signalées à compléter doivent être fixées et leurs purges rendues effectives avant publication définitive. Elles ne sont pas implicitement illimitées.
6. Qui reçoit les données ?
L'entreprise appelée et ses utilisateurs habilités accèdent aux données de leurs appels. Les personnes habilitées de DEVRUSHIT peuvent y accéder pour les besoins stricts du support, de la sécurité et de l'exécution des instructions du client, avec obligation de confidentialité. Les autorités peuvent recevoir les données qu'une obligation légale impose de leur communiquer.
| Prestataire | Rôle et données nécessaires | Localisation et transferts |
|---|---|---|
| OVH SAS / OVHcloud | Hébergement de l'application et de sa base, infrastructure téléphonique, attribution des numéros, messagerie vocale, envoi de SMS : données d'appels, numéros et contenu des notifications nécessaires. | Hébergement applicatif et services contractés en France ; l'acheminement des communications implique aussi les opérateurs des destinataires. |
| ElevenLabs Inc. | Plateforme vocale IA, traitement du flux vocal, transcription, analyse et audio des conversations. | États-Unis ; pas de résidence exclusivement UE garantie pour cette offre. |
| OpenAI, via ElevenLabs | Sous-traitant ultérieur de la plateforme pour le modèle de langage ; éléments de conversation nécessaires à la réponse et à l'analyse selon la configuration. Pas de contrat API direct de DEVRUSHIT pour ce flux. | Traitement susceptible d'intervenir aux États-Unis ; chaîne de sous-traitance et régions à vérifier dans le contrat et la liste ElevenLabs applicables. |
| Stripe | Paiement, abonnements, factures et prévention de la fraude ; coordonnées de facturation et données de paiement, sans besoin de contenu des appels. | Groupe international, notamment UE et États-Unis, selon ses conditions. Stripe agit aussi comme responsable distinct pour certaines obligations de paiement et de lutte contre la fraude. |
| DEVRUSHIT — messagerie Mailcow auto-hébergée chez OVHcloud France | Envoi des résumés et messages de service : e-mail destinataire, contenu de notification et données de livraison. | Messagerie administrée par DEVRUSHIT sur une infrastructure OVHcloud en France, sans prestataire d'envoi supplémentaire à ce stade. Le fournisseur de messagerie du destinataire reçoit ensuite l'e-mail selon ses propres conditions et localisations. |
La liste contractuelle et la procédure de changement figurent dans le contrat de sous-traitance. Les résumés envoyés par SMS ou e-mail doivent rester minimisés ; ces canaux ne sont pas adaptés aux données sensibles. Les données des appelants ne doivent pas être utilisées pour entraîner des modèles généralistes sans un fondement et un encadrement distincts : l'autorisation de sous-traitance n'autorise pas cette réutilisation.
7. Transferts hors de l'Espace économique européen
Le recours à ElevenLabs et à ses sous-traitants implique des transferts hors EEE, notamment vers les États-Unis. L'hébergement OVH en France ne supprime pas ces transferts. Un enregistrement ou une transcription peut donc être traité hors de l'Union européenne.
Ces transferts doivent être encadrés par une décision d'adéquation lorsqu'elle est applicable, notamment le Data Privacy Framework UE–États-Unis (DPF) pour une entité américaine effectivement certifiée et pour les traitements couverts, ou par les clauses contractuelles types de la Commission européenne (décision 2021/914), complétées par l'évaluation du transfert et les mesures supplémentaires nécessaires. Le DPA ElevenLabs prévoit ces mécanismes, dont le module sous-traitant vers sous-traitant lorsqu'il est applicable.
La seule présence du nom d'un fournisseur dans cette notice n'atteste ni d'une certification DPF active ni de la signature de toutes les garanties. DEVRUSHIT doit vérifier les entités, la portée des garanties et les transferts ultérieurs avant le traitement, et les réévaluer en cas de changement. Vous pouvez demander à amar@devru.sh une copie ou une description des garanties applicables, sous réserve des occultations nécessaires pour protéger les autres personnes et les secrets protégés.
8. Vos droits et les réclamations
Dans les conditions du RGPD, vous disposez de droits d'accès, de rectification, d'effacement, de limitation, d'opposition et, lorsque les conditions sont réunies, de portabilité. Vous pouvez retirer un consentement à tout moment, sans remettre en cause le traitement licite antérieur, et définir des directives sur le sort de vos données après votre décès dans les conditions du droit français.
- Appelant : adressez-vous d'abord à l'entreprise appelée, responsable du traitement. Si vous écrivez à DEVRUSHIT, nous transmettons votre demande à cette entreprise et l'assistons ; nous ne décidons pas à sa place d'un traitement réalisé pour son compte.
- Client ou utilisateur du compte : écrivez à amar@devru.sh ou au siège social indiqué au début de la présente notice.
Précisez le droit exercé et les éléments permettant de retrouver les données (par exemple entreprise appelée, date approximative et numéro concerné). Un justificatif supplémentaire d'identité n'est demandé qu'en cas de doute raisonnable et de manière proportionnée. La réponse intervient en principe dans un mois, avec prolongation possible de deux mois en cas de complexité ou de nombreuses demandes, en vous en informant dans le premier mois.
Vous pouvez déposer une réclamation auprès de la CNIL, notamment sur cnil.fr/fr/plaintes, ou par courrier : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Cela ne limite pas votre droit à un recours juridictionnel.
9. Sécurité, cookies et mises à jour
Le service doit appliquer des mesures proportionnées aux risques : accès authentifiés, séparation des données entre entreprises, limitation des habilitations, protection des échanges réseau et procédures de suppression et de gestion des incidents. Aucune transmission ni aucun stockage ne peut être présenté comme infaillible.
Les traceurs strictement nécessaires à la connexion, à la sécurité ou à la facturation suivent le régime applicable aux traceurs nécessaires. Tout ajout de mesure d'audience non exemptée ou de publicité requiert une information spécifique et le consentement préalable lorsqu'il est exigé. Cette notice n'autorise pas leur ajout par défaut.
Les modifications substantielles de cette politique sont portées à la connaissance des clients. Une mise à jour de notice ne permet pas, à elle seule, une nouvelle finalité ou un nouveau transfert sans base légale et garanties appropriées.