Accord de traitement des données (ATD)

1. Parties et objet

Le responsable du traitement est le Cabinet en tant que client des services Voxtra ; le sous-traitant est Voxtra GmbH (en constitution), Zurich. Voxtra traite des données personnelles d'appelants et d'autres personnes concernées exclusivement sur instruction documentée du Cabinet, pour la durée de l'abonnement plus la période de transition pour le retour et la suppression.

2. Nature et finalité du traitement

• Réponse aux appels téléphoniques au nom du Cabinet.
• Transcription des enregistrements d'appels.
• Réservation, déplacement et annulation de rendez-vous dans le système d'agenda connecté.
• Envoi de notifications par SMS et e-mail aux appelants et au personnel.
• Conservation des enregistrements et transcriptions pour les durées indiquées dans la politique de confidentialité.
• Production de métriques anonymisées et agrégées pour le Cabinet.

3. Catégories de données et de personnes concernées

• Catégories de données : identifiants de contact (numéro de téléphone, nom, le cas échéant adresse e-mail), audio des appels, transcriptions qui en dérivent, détails de réservation (prestation, horaire, remarques), et données techniques telles qu'horodatages et journaux système.
• Catégories de personnes concernées : les appelants du Cabinet, les membres du personnel mentionnés dans les appels, et d'autres personnes mentionnées lors d'un appel.

4. Obligations du Cabinet

Le Cabinet détermine les finalités et les moyens du traitement, donne ses instructions via la configuration du service ou par écrit, informe Voxtra rapidement des changements, et garantit les annonces et consentements requis envers les appelants, en particulier l'annonce d'enregistrement.

5. Obligations de Voxtra

• Traitement exclusivement sur instruction documentée, y compris pour les transferts vers des pays tiers ; nous informons le Cabinet à l'avance des obligations légales contradictoires, dans la mesure du possible.
• Engagement de confidentialité de toutes les personnes impliquées.
• Mise en œuvre des mesures techniques et organisationnelles de l'annexe A.
• Recours à des sous-traitants uniquement selon la section 7.
• Assistance du Cabinet pour les demandes des personnes concernées, les analyses d'impact et les obligations de notification.
• Notification des violations de données sans délai injustifié, au plus tard dans les 72 heures (section 8).
• Retour ou suppression des données à la fin du contrat (section 9) et démonstration de la conformité, y compris audits raisonnables (section 10).

6. Confidentialité

Toute personne chez Voxtra ayant accès à des données personnelles est soumise à une obligation de confidentialité contractuelle ou légale.

7. Sous-traitants

Le Cabinet autorise les sous-traitants figurant à l'annexe B. Voxtra lie contractuellement chaque sous-traitant au moins dans la même mesure que le présent accord. Les sous-traitants nouveaux ou remplacés sont annoncés au moins 30 jours à l'avance par e-mail ou dans le portail ; le Cabinet peut s'y opposer dans les 14 jours pour des raisons de protection des données. En l'absence d'accord, le Cabinet peut résilier l'abonnement sans pénalité.

8. Notification des violations

Voxtra notifie au Cabinet toute violation de la sécurité des données personnelles sans délai injustifié, au plus tard 72 heures après en avoir pris connaissance, avec la nature et l'étendue, les conséquences probables, les mesures prises et un point de contact. Voxtra documente tous les incidents et soutient les obligations de notification du Cabinet.

9. Demandes des personnes concernées, retour et suppression

Si une personne concernée adresse directement une demande à Voxtra, nous la transmettons sans délai au Cabinet et ne répondons que sur instruction du Cabinet. Après la fin du contrat, Voxtra retourne toutes les données personnelles dans un format courant lisible par machine ou les supprime dans les 30 jours au choix du Cabinet, sous réserve des obligations légales de conservation.

10. Audits

Sur demande raisonnable, au maximum une fois par période de douze mois, Voxtra fournit des attestations à jour ou répond à un questionnaire de protection des données raisonnable. Les audits sur place ne sont admis que lorsque la loi ou une autorité de contrôle l'exige, avec un préavis de 30 jours, pendant les heures ouvrables, de manière confidentielle et sans perturbation déraisonnable.

11. Transferts vers des pays tiers

Lorsque des données sont traitées hors de Suisse ou de l'UE, Voxtra s'appuie sur les décisions d'adéquation de la Commission européenne ou sur les clauses contractuelles types avec l'addendum suisse reconnu par le PFPDT, complétés par des mesures techniques. La vue d'ensemble actuelle figure à l'annexe B.

12. Responsabilité, rang, droit

La responsabilité est régie par les conditions d'utilisation. En cas de conflit, le présent accord prime sur les questions de protection des données. Le droit suisse s'applique ; for selon les conditions d'utilisation.

Annexe A: Mesures techniques et organisationnelles

• Confidentialité : contrôle d'accès basé sur les rôles selon le principe du moindre privilège avec comptes nominatifs ; authentification forte et authentification multifacteur pour les accès privilégiés ; accès aux bases de données uniquement via des chemins sécurisés ; TLS 1.2+ pour toutes les connexions externes ; chiffrement des espaces de données ; segmentation du réseau entre site web, application, téléphonie et base de données.
• Intégrité : journalisation complète des actions administratives avec acteur, horodatage et finalité (conservation 12 mois) ; revue de code et tests automatisés pour chaque changement en production ; entrées validées via des contrats d'API.
• Disponibilité : sauvegardes quotidiennes de la base de données avec procédure de restauration documentée et régulièrement testée ; surveillance continue de tous les points de terminaison publics avec alerte en cas de dégradation.
• Reprise : runbooks documentés avec objectifs de temps et de point de restauration définis ; plan de réponse aux incidents avec délai de notification de 72 heures.
• Minimisation des données : données des appelants uniquement dans la mesure nécessaire à la médiation des rendez-vous ; pseudonymisation lorsque techniquement possible ; suppression automatique à l'échéance des durées de conservation.
• Pas d'entraînement de modèles : les données clients ne servent pas à entraîner des modèles d'IA propres ou de tiers sans consentement explicite.
• Revue : ces mesures sont revues au moins une fois par an, avec en outre une surveillance continue des avis de sécurité des composants utilisés.

Annexe B: Sous-traitants

Avant le lancement de futures fonctionnalités (en particulier le traitement des paiements), nous compléterons la liste en temps utile selon la section 7.

• Hetzner Online GmbH: hébergement de serveurs; Allemagne (UE).
• Cloudflare Inc.: DNS, CDN, hébergement du site marketing, protection anti-bots; États-Unis/monde ; clauses contractuelles types plus addendum PFPDT.
• Sipcall (sipcall.ch): téléphonie SIP et numéros de téléphone; Suisse.
• Twilio Inc.: infrastructure de téléphonie et webhooks; États-Unis ; clauses contractuelles types plus addendum PFPDT.
• Google LLC: traitement de la parole (reconnaissance, synthèse, modèle de langage) et intégration Google Agenda; États-Unis ; clauses contractuelles types plus addendum PFPDT.
• Scaleway SAS: envoi d'e-mails; France (UE).
• TextBee (textbee.dev, projet open source): envoi de SMS via notre propre appareil passerelle avec numéro suisse; service de relais mondial ; clauses contractuelles types plus addendum PFPDT pour les transferts hors Suisse/UE.
• OneDoc SA: intégration de réservation, si le Cabinet utilise OneDoc; Suisse.
• ePhysio (Pharmed Solutions AG): intégration de réservation, si le Cabinet utilise ePhysio; Suisse.

Annexe C: Instructions

L'instruction est : fournir les services Voxtra tels que décrits dans les conditions d'utilisation et la documentation. La configuration concrète (prestations, lieux, horaires, absences, notifications) est faite par le Cabinet dans le portail. Les instructions sont modifiées via le portail ou par écrit à hello@voxtra.ch.