Politique de confidentialité et de protection des données

CONSILIO, éditeur du service CERVOX, accorde une importance fondamentale à la protection des données personnelles et à la sécurité des informations qui lui sont confiées. La présente politique décrit, de manière transparente, quelles données sont traitées, pour quelles finalités, sur quelles bases légales, avec quelles garanties de sécurité, et quels sont vos droits. Elle est conforme au Règlement Général sur la Protection des Données (RGPD – Règlement UE 2016/679) et à la loi n°78-17 du 6 janvier 1978 dite « Informatique et Libertés ».

1. Responsable du traitement

Le responsable du traitement est CONSILIO (SASU), 10 rue des Pliettes, 63400 Chamalières.
Pour toute question ou demande relative à vos données : support@cervox.io.

Pour les données que le client traite via l'application CERVOX dans le cadre de son activité, CONSILIO agit en qualité de sous-traitant au sens de l'article 28 du RGPD, le client étant responsable de traitement. Les conditions de cette sous-traitance figurent dans les CGV et, le cas échéant, dans un accord de traitement des données (DPA) distinct.

2. Données collectées

a) Données de contact et de compte : civilité, nom, prénom, adresse e-mail professionnelle, nom de l'entreprise, fonction, numéro de téléphone, taille de l'entreprise, identifiants de connexion.

b) Données de demande de démonstration ou d'essai gratuit : informations renseignées dans les formulaires (besoin exprimé, secteur d'activité, effectif).

c) Données de facturation et de paiement : raison sociale, adresse de facturation, historique d'abonnement. Les paiements sont traités par Stripe ; CONSILIO ne collecte ni ne stocke les numéros de carte bancaire, traités directement par le prestataire dans un environnement certifié PCI-DSS.

d) Données bancaires de consultation (le cas échéant) : lorsque le client active la connexion bancaire, celle-ci s'effectue exclusivement en lecture seule, via des prestataires régulés agréés ACPR dans le cadre de la directive sur les services de paiement (DSP2). CERVOX ne peut initier aucun virement ni aucune opération sur les comptes.

e) Données d'usage et de navigation : pages consultées, événements d'usage, données techniques (type d'appareil, navigateur), collectées via des outils de mesure d'audience, sous réserve de votre consentement.

f) Données traitées dans le cadre du service : documents, fichiers et informations que le client confie à l'application pour exécution des tâches (factures, contrats, tableaux, etc.). Ces contenus sont traités pour le seul compte du client.

3. Finalités et bases légales

4. Destinataires et sous-traitants

Vos données sont destinées aux services habilités de CONSILIO et à ses sous-traitants techniques, sélectionnés pour leurs garanties de sécurité et liés par des engagements contractuels conformes à l'article 28 du RGPD, notamment :

• OVH — hébergement des données en France ;
• Netlify, Inc. — hébergement du site cervox.io et réception des demandes envoyées par ses formulaires, accompagnées de la source de campagne de la visite (traitement susceptible d’avoir lieu aux États-Unis) ;
• Anthropic, PBC — traitement, par les modèles d’IA Claude, des demandes adressées aux agents du service (traitement susceptible d’avoir lieu aux États-Unis) ;
• Google Ireland Limited — mesure d’audience (Google Analytics 4) et mesure de l’efficacité de nos annonces (Google Ads), uniquement avec votre consentement ; si vous avez accepté la mesure publicitaire et arrivez par une annonce, l’identifiant de clic Google est joint à votre demande (traitement susceptible d’avoir lieu aux États-Unis) ;
• Stripe — traitement sécurisé des paiements (certifié PCI-DSS) ;
• les prestataires régulés ACPR / DSP2 assurant la connexion bancaire en lecture seule, lorsque le client l'active ;
• les prestataires d'outils techniques strictement nécessaires au fonctionnement du service (par exemple infrastructure, transcription, traitement IA).

Vos données ne sont jamais vendues ni louées à des tiers à des fins commerciales.

5. Transferts hors Union européenne

L'hébergement des données du service est réalisé en France. Certains sous-traitants techniques peuvent toutefois opérer des traitements impliquant un transfert hors de l'Union européenne. Dans ce cas, ces transferts sont encadrés par des garanties appropriées au sens des articles 44 et suivants du RGPD : clauses contractuelles types adoptées par la Commission européenne, décision d'adéquation, ou mécanismes équivalents. Vous pouvez obtenir une copie de ces garanties en écrivant à support@cervox.io.

6. Durées de conservation

• Prospects / demandes de démo ou d'essai : jusqu'à 3 ans à compter du dernier contact.
• Données de client : pendant toute la durée de la relation contractuelle.
• Documents et contenus confiés au service : pendant la durée de l'abonnement ; ils peuvent être exportés par le client et sont supprimés ou anonymisés à l'issue d'un délai raisonnable après la fin du contrat, sauf obligation légale de conservation.
• Pièces comptables et factures : jusqu'à 10 ans, conformément aux obligations légales.
• Traceurs / cookies : 13 mois maximum pour les traceurs déposés avec consentement.

À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

7. Sécurité des données

CONSILIO met en œuvre des mesures techniques et organisationnelles appropriées, au sens de l'article 32 du RGPD, afin de garantir un niveau de sécurité adapté au risque. Ces mesures incluent notamment :

• Hébergement des données en France (OVH) : les données du service sont hébergées sur des infrastructures situées sur le territoire français.
• Isolation des données par client : chaque client dispose d'un identifiant unique non modifiable ; des mécanismes d'isolation logique (de type Row Level Security) empêchent tout accès aux données d'un client par un autre.
• Connexion bancaire en lecture seule : réalisée via des prestataires régulés ACPR dans le cadre de la DSP2. Aucune opération de paiement, virement ou prélèvement ne peut être initiée par CERVOX.
• Chiffrement : chiffrement des données en transit (TLS) et des données sensibles au repos ; jetons d'authentification chiffrés.
• Gestion des accès et des habilitations : contrôle des accès fondé sur les rôles, principe du moindre privilège, traçabilité des actions sensibles.
• Validation humaine : aucune action engageante (envoi, paiement préparé, transmission à un tiers) n'est exécutée sans la validation explicite de l'utilisateur. Le client conserve à tout moment le contrôle final.
• Minimisation et cloisonnement : seules les données nécessaires aux finalités sont traitées ; les environnements sont cloisonnés.
• Sauvegardes et continuité : des sauvegardes régulières sont réalisées afin de permettre la restauration du service en cas d'incident.
• Sous-traitants : chaque sous-traitant est sélectionné pour ses garanties de sécurité et lié par des obligations contractuelles de confidentialité et de protection.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, CONSILIO s'engage à notifier la CNIL dans un délai de 72 heures et, le cas échéant, à informer les personnes concernées, conformément aux articles 33 et 34 du RGPD.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données : droit d'accès, de rectification, d'effacement (« droit à l'oubli »), de limitation du traitement, d'opposition, de portabilité, de retrait de votre consentement à tout moment, et du droit de définir des directives relatives au sort de vos données après votre décès.

Vous pouvez exercer ces droits en écrivant à support@cervox.io, en justifiant de votre identité. CONSILIO s'engage à répondre dans un délai d'un mois, pouvant être prolongé de deux mois en cas de demande complexe.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés – 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 – www.cnil.fr).

9. Modifications

CONSILIO peut faire évoluer la présente politique pour l'adapter aux évolutions légales, réglementaires ou techniques. La version applicable est celle publiée sur le site à la date de votre consultation ; les modifications substantielles font l'objet d'une information appropriée.