Politique de confidentialité

ARTICLE 1 - RESPONSABLE DU TRAITEMENT

AI ARTEDUSA est responsable du traitement pour les données liées à la relation client (compte et facturation des institutions clientes). Pour les données personnelles des appelants et utilisateurs finaux traitées via le Service (enregistrements audio, transcriptions, synthèses), l'institution cliente — musée, bibliothèque, théâtre, galerie, ou la collectivité territoriale dont elle relève — est le responsable du traitement, et AI ARTEDUSA agit en qualité de sous-traitant au sens de l'article 28 du RGPD, pour le compte et sur instruction du responsable. Un accord de sous-traitance (DPA) est mis à disposition des clients. Contact : support@artedusa.com.

ARTICLE 2 - DONNÉES COLLECTÉES

Dans le cadre du fonctionnement du Service, les catégories de données suivantes sont collectées et traitées :

• Données d'identification : nom, prénom, adresse e-mail, numéro de téléphone, nom de l'entreprise
• Données de facturation : adresse postale, numéro de SIRET, informations bancaires (gérées par Stripe)
• Données vocales : enregistrements audio des conversations téléphoniques entre les appelants et le bot IA
• Données de transcription : texte issu de la conversion voix-texte des conversations
• Données d'utilisation : logs de connexion, statistiques d'appels, données de navigation sur le tableau de bord
• Données de la base de connaissances : documents téléchargés par l'Utilisateur

ARTICLE 3 - FINALITÉS ET BASES LÉGALES

Les données sont traitées pour les finalités suivantes :

Exécution du contrat : Fonctionnement du Service (réception et traitement des appels, transcription, synthèse), gestion du compte utilisateur, facturation.

Intérêt légitime : Amélioration du Service, analyse statistique anonymisée, prévention des fraudes et abus.

Obligation légale : Conservation des factures et données comptables conformément à la législation en vigueur.

ARTICLE 4 - SOUS-TRAITANTS ET TRANSFERTS DE DONNÉES

Les données sont traitées par les sous-traitants suivants, tous engagés contractuellement à respecter le RGPD :

Le traitement vocal (reconnaissance et synthèse de la parole), la recherche sémantique et le stockage des données sont assurés sur une infrastructure européenne contrôlée par AI ARTEDUSA, sans recours à un sous-traitant tiers : ces données ne quittent pas l'Union européenne.

L'ensemble des sous-traitants est établi dans l'Union européenne. Pour les seuls paiements par carte des clients privés (B2B), Stripe — en tant que groupe international — peut recourir à des traitements aux États-Unis, encadrés par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914).

• OVHcloud (groupe français, hébergement dans l'Union européenne) : hébergement de l'infrastructure applicative et des données (serveurs, base PostgreSQL, cache Redis, base vectorielle Qdrant), raccordement téléphonique (trunk SIP) et envoi des e-mails transactionnels (SMTP)
• Mistral AI (France, UE) : modèle de langage et calcul des embeddings pour le traitement des conversations et la recherche augmentée
• Stripe Payments Europe (Irlande, UE) : traitement des paiements par carte, pour les clients privés (B2B) uniquement

ARTICLE 5 - DURÉE DE CONSERVATION

Les données sont conservées pendant les durées suivantes :

• Données de compte : conservées pendant toute la durée d'utilisation du Service, puis supprimées à la clôture du compte. Sur demande d'effacement (droit à l'effacement, art. 17 RGPD), elles sont supprimées dans les meilleurs délais.
• Données vocales (enregistrements audio) : 90 jours après l'appel, sauf demande de suppression anticipée
• Transcriptions et synthèses : 12 mois après l'appel
• Données de facturation : 10 ans conformément aux obligations comptables
• Logs de connexion : 12 mois

ARTICLE 6 - DROITS DES PERSONNES CONCERNÉES

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d'accès : Obtenir une copie de vos données personnelles
• Droit de rectification : Corriger des données inexactes
• Droit à l'effacement : Demander la suppression de vos données
• Droit à la portabilité : Recevoir vos données dans un format structuré
• Droit d'opposition : S'opposer au traitement de vos données
• Droit de limitation : Demander la limitation du traitement