Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via le site helloauptima.com et les services associés est :

• AUPTIMA — SASU au capital de 100 €
• Siège social : 27F Chemin de Champlong, 69450 Saint-Cyr-au-Mont-d'Or
• SIRET : 999 425 754 00010 — RCS Lyon n° 2026B00154
• Représentant légal : M. Coin
• Contact DPO / RGPD : [email protected] ou via le formulaire de contact

Lorsqu'AUPTIMA agit pour le compte d'un client (artisan, TPE, PME utilisant l'agent vocal IA), AUPTIMA agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Le client final reste responsable de traitement vis-à-vis de ses propres clients.

2. Données collectées

AUPTIMA collecte des données personnelles dans deux cas :

a) Visiteurs du site et prospects AUPTIMA

• Formulaire de contact (chatbot scripté ou démo Léa) : prénom, email ou téléphone, secteur d'activité, besoin exprimé
• Démo vocale (page /demo) : audio en temps réel pendant la session — non enregistré, non stocké ; transcription textuelle conservée 6 mois maximum pour l'amélioration continue de nos agents (téléphone, email, IBAN, CB et SIRET filtrés automatiquement avant tout stockage)
• Logs techniques : adresse IP, user-agent, horodatage, anonymisés au-delà de 6 mois

b) Appelants des clients AUPTIMA (agent vocal Marie)

Lorsque vous appelez un numéro géré par un agent vocal AUPTIMA pour le compte d'un artisan ou d'une entreprise :

• Numéro de téléphone
• Voix — utilisée uniquement pour la transcription en temps réel ; aucun enregistrement audio n'est conservé
• Informations communiquées volontairement à l'agent : nom, adresse, motif de l'appel, équipement concerné
• Métadonnées de l'appel : date, heure, durée, résumé textuel
• Transcription textuelle complète de l'échange (entrée et sortie) conservée 6 mois maximum, dans l'unique but d'améliorer la qualité du service et d'entraîner les futurs modèles d'agent vocal. Téléphone, email, IBAN, CB et SIRET sont filtrés automatiquement avant tout stockage. Annoncé en début d'appel.

3. Finalités et bases légales

4. Sous-traitants et destinataires

Pour fournir le service, AUPTIMA fait appel aux sous-traitants suivants. Chacun a signé un Data Processing Agreement (DPA) garantissant un niveau de protection conforme au RGPD :

Vos données ne sont jamais cédées, vendues ou louées à des tiers à des fins commerciales.

5. Durée de conservation

• Audio des appels et démos : aucune conservation. La voix transite en temps réel et n'est jamais stockée.
• Résumés textuels d'appel : 6 mois (puis suppression automatique).
• Transcriptions complètes des échanges (démo et appels) : 6 mois maximum, filtrées des coordonnées personnelles (téléphone, email, IBAN, CB) avant stockage.
• Coordonnées des leads (formulaire ou capture vocale) : durée de la relation commerciale + 3 ans à compter du dernier contact (durée légale prospection B2B).
• Données de facturation : 10 ans (obligation comptable, art. L123-22 Code de commerce).
• Logs techniques : 1 an, anonymisation après 6 mois.
• Cookies techniques : 13 mois maximum.

6. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès — obtenir une copie des données vous concernant
• Droit de rectification — corriger des données inexactes ou incomplètes
• Droit à l'effacement (« droit à l'oubli ») — demander la suppression de vos données
• Droit à la limitation du traitement — geler temporairement l'usage de vos données
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition — vous opposer au traitement, notamment à des fins de prospection
• Droit de retirer votre consentement à tout moment, lorsque celui-ci est la base légale du traitement

Pour exercer l'un de ces droits, écrivez à [email protected] ou utilisez le formulaire de contact (catégorie « Demande RGPD »), en précisant votre demande et un justificatif d'identité (pour éviter les usurpations). Nous répondons sous 30 jours maximum.

Si la réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : cnil.fr/fr/plaintes.

7. Transparence sur l'usage de l'IA

Conformément à l'article 50 du Règlement Européen sur l'Intelligence Artificielle (AI Act) :

• Lorsque vous interagissez avec l'un de nos agents vocaux ou textuels, ce dernier annonce systématiquement qu'il s'agit d'une intelligence artificielle dès l'ouverture de la conversation.
• Aucun de nos agents ne se fait passer pour un humain. Si vous lui demandez « êtes-vous une IA ? », il répond clairement par l'affirmative.
• L'agent peut prendre des actions limitées en votre nom (prendre un rendez-vous, transmettre vos coordonnées, escalader une urgence) — uniquement sur la base des informations que vous lui communiquez explicitement.

8. Cookies

Le site helloauptima.com n'utilise aucun cookie de traçage publicitaire ou analytique tiers. Seuls des cookies techniques strictement nécessaires au fonctionnement (session, préférences de navigation) peuvent être déposés. Aucun consentement n'est donc requis.

9. Sécurité

• Chiffrement des communications en transit (HTTPS/TLS 1.2+ via Cloudflare)
• Chiffrement au repos des bases de données (Supabase, AES-256)
• Authentification forte de l'accès aux données (basic auth + IP allowlist en pré-production)
• Limitation des accès au strict nécessaire (principe du moindre privilège)
• Audit de sécurité régulier des dépendances (npm audit, mises à jour critiques sous 7 jours)

En cas de violation de données affectant vos informations, AUPTIMA notifie la CNIL dans les 72 heures et informe les personnes concernées si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

10. Données utilisateur Google (Google API Services User Data)

Cette section décrit, en application de la Google API Services User Data Policy (y compris l'exigence Limited Use), comment AUPTIMA accède, utilise, stocke, partage, conserve et supprime les données utilisateur Google. This section describes how AUPTIMA accesses, uses, stores, shares, retains and deletes Google user data, in compliance with the Google API Services User Data Policy, including the Limited Use requirements.

a) Données accédées (Data accessed)

Lorsqu'un client professionnel (artisan, TPE) connecte volontairement son compte Google à AUPTIMA via OAuth 2.0, AUPTIMA demande un seul scope :

• https://www.googleapis.com/auth/calendar — accès en lecture et écriture à Google Calendar du compte connecté.

Concrètement, AUPTIMA accède uniquement aux éléments suivants du calendrier principal du compte :

• Horaires de début et de fin des évènements existants (pour calculer les créneaux disponibles).
• Titres / résumés des évènements (pour éviter les doubles réservations en lisant les libellés « occupé » / « disponible »).
• Statut « busy / free » de chaque évènement.

AUPTIMA ne demande pas et n'accède pas aux scopes Gmail, Drive, Contacts, Tasks, Photos, YouTube, Profile étendu ni à aucune autre API Google utilisateur.

b) Utilisation des données (Data usage)

Les données Google Calendar sont utilisées exclusivement pour la finalité métier suivante :

• Lecture des évènements (events.list / freebusy.query) : calculer en temps réel les créneaux libres du professionnel, afin que l'agent vocal IA puisse proposer un horaire disponible à l'appelant.
• Création d'évènements (events.insert) : lorsqu'un appelant confirme un rendez-vous au téléphone avec l'agent vocal, AUPTIMA crée l'évènement correspondant dans le calendrier du professionnel (titre = nature de la prestation + nom de l'appelant, horaire convenu, notes éventuelles).

AUPTIMA ne réalise aucun autre traitement sur les données Google Calendar. En particulier :

• Les données ne sont pas utilisées pour de la publicité, ni pour du profilage, ni pour du scoring marketing.
• Les données ne sont pas utilisées pour entraîner de modèles d'intelligence artificielle généralisés ou tiers (ni Gemini, ni un autre LLM).
• Les données ne sont pas vendues, ni cédées, ni partagées à des fins commerciales.
• Aucun humain chez AUPTIMA ne consulte les données Google Calendar d'un client, sauf demande explicite du client lui-même pour résoudre un incident technique signalé par lui (support).

Cet usage respecte les exigences Limited Use de la Google API Services User Data Policy.

c) Partage des données (Data sharing)

Les données Google Calendar et le jeton OAuth associé ne sont partagés avec aucun tiers, à l'exception des sous-traitants techniques strictement nécessaires à l'hébergement du service :

• Hostinger (VPS Union européenne) : hébergement du serveur applicatif qui exécute les requêtes API Google. Pas de stockage persistant côté Hostinger au-delà des journaux système.
• Supabase (Postgres, région eu-west-3, Paris) : stockage du refresh token OAuth associé à chaque compte client, dans une table à accès restreint.

Aucune autre entité (publicitaire, courtier de données, partenaire commercial, fournisseur d'analytics tiers) ne reçoit de données Google Calendar. AUPTIMA ne transfère pas ces données hors UE.

d) Stockage et protection (Data storage & protection)

• Chiffrement en transit : toutes les communications avec les APIs Google (Calendar) et avec Supabase passent par HTTPS / TLS 1.2+.
• Chiffrement au repos : le refresh token OAuth est stocké dans Supabase Postgres avec chiffrement AES-256 au repos (chiffrement de disque géré par Supabase).
• Aucun stockage des évènements Google Calendar chez AUPTIMA : les évènements lus pour calculer les disponibilités sont traités en mémoire pendant la durée de l'appel téléphonique uniquement, puis libérés. Seul l'identifiant de l'évènement nouvellement créé (au moment d'une prise de RDV) est conservé pour permettre une modification ou annulation ultérieure.
• Accès restreint : seuls les processus serveur authentifiés via la base de données et le service account dédié peuvent lire le refresh token. Aucun export en masse n'est possible.
• Service Account Google : utilisé uniquement pour Vertex AI, jamais pour accéder à Calendar (qui requiert un token utilisateur).
• Pas de mise en cache des données Calendar côté CDN, ni côté navigateur.
• Audit régulier des dépendances (googleapis, google-auth-library) avec mise à jour critique sous 7 jours.

e) Conservation et suppression (Data retention & deletion)

• Durée de conservation du refresh token : tant que le client AUPTIMA conserve son compte actif. Aucune durée fixe au-delà.
• Révocation à tout moment par l'utilisateur, par l'un des deux canaux suivants :
  1. Côté Google : https://myaccount.google.com/permissions → retirer l'accès à AUPTIMA. Cela invalide immédiatement le refresh token.
  2. Côté AUPTIMA : écrire à [email protected] en demandant la suppression. Nous supprimons le refresh token et toute donnée associée sous 30 jours maximum (et confirmons par email).
• Suppression automatique du refresh token à la fermeture du compte client AUPTIMA.
• Évènements créés dans le calendrier du client : ils restent dans le Google Calendar de l'utilisateur même après suppression du refresh token chez AUPTIMA. L'utilisateur reste libre de les supprimer lui-même depuis Google Calendar.

f) Contact et réclamation

Pour toute question relative à l'usage des données utilisateur Google par AUPTIMA, ou pour exercer un droit RGPD spécifique à ces données : [email protected]. Réponse sous 30 jours maximum.

11. Modification de la politique

AUPTIMA peut mettre à jour la présente politique pour refléter des évolutions réglementaires ou techniques. La date de dernière mise à jour est indiquée en début de page. Les changements substantiels sont signalés directement aux utilisateurs concernés.