Sous-traitance (RGPD)

Cette annexe aux CGV est l'accord de sous-traitance prévu par l'article 28 du règlement général sur la protection des données (RGPD). Elle s'applique lorsque Kroov (EVA AI TECHNOLOGIES, 5 rue Ellenhard, 67000 Strasbourg, France) traite des données personnelles pour le compte du client, responsable du traitement, dans le cadre du service. Elle prend effet avec le contrat et dure autant que lui, puis jusqu'à l'effacement des données.

• Assistant de support (Nina) : réception, classement, analyse par IA et réponse aux messages des clients du client (e-mail, WhatsApp, Gmail, Outlook, avis Google). Personnes concernées : clients et prospects du client. Données : nom, adresse e-mail, numéro de téléphone, messages, pièces jointes, réponses.
• Assistant téléphonique (Sam) : appels passés à la demande du client, conversation vocale traitée en temps réel par IA, transcription et compte rendu. Personnes concernées : les personnes appelées. Données : nom et numéro, contenu de la conversation, transcription, compte rendu, demande de ne plus être appelé. L'audio n'est pas enregistré.
• Contenus, bases de connaissances et mémoire : stockage, indexation et utilisation par les assistants des documents et informations que le client y place, qui peuvent contenir des données sur ses contacts.
• Publications et intégrations : envoi de contenus et de messages sur les comptes que le client connecte.

Le client s'abstient de confier des données sensibles (santé, opinions, données d'infraction…) sauf nécessité et base légale appropriée.

Kroov :

• ne traite les données que sur instruction documentée du client, que constituent le contrat, les réglages de l'espace et les demandes faites dans l'application ; il informe le client si une instruction lui paraît contraire au RGPD ;
• veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• met en œuvre les mesures de sécurité décrites ci-dessous ;
• aide le client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes, à assurer la sécurité, à notifier les violations et à mener une analyse d'impact ;
• notifie au client toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles ;
• au terme du contrat, ou à la suppression de l'espace, efface les données (le client peut les exporter avant), sauf obligation légale de conservation ; les sauvegardes sont effacées par rotation sous 14 jours ;
• met à disposition du client les informations nécessaires pour démontrer le respect de ses obligations, et permet des audits, menés au plus une fois par an sur préavis de 30 jours, aux frais du client, par un auditeur tenu au secret.

Le client autorise Kroov à recourir aux sous-traitants ultérieurs dont la liste à jour, avec la prestation, le pays et la garantie qui encadre chaque transfert, est consultable dans l'application (Paramètres › Sécurité et données, rubrique « Sous-traitants ultérieurs ») et communiquée sur demande à support@kroov.ai. Kroov informe le client de tout ajout ou remplacement au moins 30 jours à l'avance ; le client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. Kroov impose à chacun des obligations de protection équivalentes et reste responsable envers le client.

Lorsqu'un sous-traitant ultérieur traite des données hors de l'Union européenne, le transfert est encadré par une décision d'adéquation (cadre de protection des données UE–États-Unis pour les entreprises certifiées) ou par les clauses contractuelles types de la Commission européenne.

Le client :

• dispose d'une base légale pour chaque traitement qu'il confie à Kroov, et informe les personnes concernées, notamment ses clients de l'usage d'un assistant de support par IA ;
• n'appelle par l'assistant téléphonique que des personnes qu'il est en droit de contacter, ne fait pas de prospection automatisée, et respecte les demandes d'opposition ;
• règle la durée de conservation des transcriptions et des fichiers selon ses besoins ;
• signale à Kroov sans délai toute demande d'une personne concernée qui requiert son aide.

• Hébergement dans l'Union européenne, échanges chiffrés (HTTPS).
• Jetons d'accès aux comptes connectés chiffrés (AES-256-GCM), clés dans un gestionnaire de secrets.
• Contrôle d'accès à chaque requête, selon l'appartenance à l'espace, le rôle et la visibilité des données.
• Journal d'audit des actions sensibles, conservé 13 mois.
• Fichiers dans un stockage privé, servis par des liens temporaires.
• Limitation de débit, vérification de signature des notifications reçues.
• Aucun enregistrement audio des appels ; durées de conservation réglables et purges automatiques.
• Sauvegardes chiffrées de la base, effacées par rotation.