Données personnelles
Sous-traitants ultérieurs
Version projet du 28 octobre 2026 — relevée dans le code et la configuration de l’application, garanties vérifiées sur les pages officielles des fournisseurs le 28 octobre 2026
Cette liste constitue l’annexe 3 de l’accord de traitement des données. Closelya informe ses clients de tout ajout ou remplacement au moins trente (30) jours à l’avance. « DPF » désigne le cadre de protection des données UE–États-Unis (décision d’adéquation de la Commission du 10 juillet 2023) ; « CCT » les clauses contractuelles types de la Commission (décision d’exécution (UE) 2021/914).
1. Service téléphonique (données des appelants)
| Prestataire | Rôle et données | Localisation des données | Garanties de transfert | Source officielle |
|---|---|---|---|---|
| Telnyx LLC (Springfield, Illinois, États-Unis) | Numéros, acheminement des appels (flux audio vers le moteur vocal, sans enregistrement), messages vocaux de secours, envoi des SMS (numéro et texte du rendez-vous) | États-Unis par défaut ; points de présence et traitement possibles dans l’UE (Francfort, Amsterdam, Paris) selon configuration (configuration européenne non activée à ce jour) ; les SMS transitent par les opérateurs | DPF (Telnyx LLC, certification active) et CCT (modules 1 à 3) dans l’avenant de traitement | DPA · sous-traitants · services en Europe |
| OVH SAS (Roubaix, France) | Serveur privé virtuel hébergeant le moteur vocal (relais) : flux audio, transcription et réponses en transit ; aucun stockage d’audio ni de transcription ; journaux techniques sans contenu | France (Gravelines) | Prestataire de l’UE ; CCT annexées au DPA pour les éventuels transferts intra-groupe | DPA · sous-traitants · conditions VPS |
| Speechmatics (Cantab Research Ltd, Cambridge, Royaume-Uni) | Reconnaissance vocale en temps réel : voix de l’appelant | Point d’accès temps réel européen (eu2.rt.speechmatics.com) ; hébergeurs du fournisseur pouvant avoir des serveurs aux États-Unis | Royaume-Uni : décision d’adéquation (renouvelée le 19 décembre 2025, jusqu’au 27 décembre 2031) Conditions générales de Speechmatics ; avenant de traitement des données demandé | politique de confidentialité (§ 4, sous-traitants) · points d’accès régionaux |
| OpenAI (OpenAI Ireland Ltd pour les clients de l’EEE ; OpenAI OpCo, LLC, San Francisco) | Modèle de langage : consigne de l’établissement, transcription de la conversation pendant l’appel, rédaction du résumé | États-Unis (point d’accès par défaut api.openai.com) (résidence des données UE possible via eu.api.openai.com, sur approbation d’OpenAI — non activée) | Non certifié DPF ; contrat avec l’entité irlandaise, transferts vers les États-Unis par CCT intra-groupe. Pas d’entraînement sur les données de l’API ; journaux anti-abus conservés jusqu’à 30 jours (zéro rétention sur approbation) | DPA · sous-traitants · données de l’API |
| Microsoft (Azure AI Speech ; Microsoft Ireland Operations Ltd pour l’EEE) | Synthèse vocale : texte prononcé par l’assistant (peut contenir nom, créneau) | Région de la ressource : France Centre (ressource vérifiée dans le portail Azure le 28/10/2026) ; Frontière des données de l’UE | DPF (Microsoft Corporation) et CCT via le DPA Microsoft | DPA · régions · frontière UE |
2. Application, base de données et services associés
| Prestataire | Rôle et données | Localisation des données | Garanties de transfert | Source officielle |
|---|---|---|---|---|
| Vercel Inc. (Covina, Californie, États-Unis) | Hébergement de l’application et de l’Espace client, du site et de ses fonctions (formulaire de contact), tâches planifiées, journaux d’exécution, mesure d’audience du site sans cookie (Web Analytics) | Application : fonctions à Paris (cdg1) ; site : région par défaut des fonctions, Washington (iad1) ; réseau de diffusion mondial | DPF (Vercel Inc.) et CCT (modules 1 à 3) dans le DPA | DPA · sous-traitants · régions |
| Supabase (Supabase Pte. Ltd., Singapour) | Base de données Postgres : comptes, établissements, appels (numéro, résumé), rendez-vous, jetons d’agenda chiffrés, facturation | Union européenne : Paris (eu-west-3) | Non certifié DPF ; contractant établi à Singapour (sans décision d’adéquation) : CCT incorporées au DPA | DPA · sous-traitants · régions |
| Brevo (« Brevo » SAS, Paris, France) | E-mails transactionnels au client (vérification, mot de passe, paiement, notifications d’appels et de rendez-vous contenant numéro, nom et résumé) ; acheminement du formulaire de contact du site | France (OVH) et Belgique (Google Cloud) ; certains sous-traitants hors UE | Prestataire de l’UE ; CCT et DPF imposés à ses sous-traitants | conditions, DPA et annexe sous-traitants |
| Stripe (Stripe Payments Europe, Limited, Irlande) | Paiement, abonnement, factures, portail client : e-mail, identifiant de compte, moyen de paiement (non accessible à Closelya) | Irlande et États-Unis (Stripe, LLC) | DPF (Stripe, LLC) et CCT de secours dans l’avenant transferts. Stripe est aussi responsable de traitement pour la lutte contre la fraude | DPA · avenant transferts · sous-traitants |
| OVH SAS (Roubaix, France) | Messagerie électronique contact@closelya.com et zone DNS | France | Prestataire de l’UE | DPA |
3. Services connectés par le client (pas des sous-traitants de Closelya)
| Service | Données | Statut |
|---|---|---|
| Google Agenda (Google LLC) | Disponibilités (free/busy), création et suppression des événements de rendez-vous (motif, nom et téléphone de l’appelant) | Agenda du client, relevant de son propre contrat avec Google ; Closelya y accède par l’autorisation OAuth du client et s’engage à respecter la politique Google relative aux données des utilisateurs des services d’API (usage limité). Google LLC est certifiée DPF. |
| Annuaire des entreprises (recherche-entreprises.api.gouv.fr, État français) | SIREN/SIRET saisi par le client | Source publique interrogée, pas de sous-traitance |
4. Démonstration publique (site closelya.com, hors service client)
La démonstration téléphonique « Essayez par vous-même » utilise la même chaîne vocale (Telnyx, Speechmatics, OpenAI, Microsoft) et, selon la configuration de la démonstration, un tunnel réseau Cloudflare (Cloudflare, Inc., États-Unis). Aucune donnée de démonstration n’est conservée au-delà de 30 minutes.
Non utilisés à ce jour
Aucun outil de supervision externe (Better Stack ou équivalent), d’analyse d’audience ou de publicité n’est utilisé.