Politique de confidentialité.

Quels services sont couverts par cette politique ?

Cette politique couvre tous les services et applications Heedify :

• Les applications Heedify pour Microsoft Teams (centre de contact, console réceptionniste, console agent)
• L'agent IA réceptionniste Heedify (Heedify AI Receptionist), notre agent vocal IA qui répond aux appels dans Microsoft Teams Phone
• Le portail d'administration Heedify, reporting inclus
• Le site web Heedify (https://www.heedify.io)

Notre rôle : responsable de traitement ou sous-traitant

Heedify est responsable de traitement pour les données des personnes qui visitent notre site, qui nous contactent, et pour les données de compte des utilisateurs de nos clients.

Heedify est sous-traitant (article 28 du RGPD) pour les données traitées dans nos services pour le compte de nos clients, en particulier les données d'appel, les enregistrements, les transcriptions et les données traitées par l'agent IA réceptionniste Heedify. Dans ce cas, notre client (l'organisation qui utilise Heedify) est responsable de traitement et décide de la configuration du service. Un accord de traitement des données (DPA) est disponible pour chaque client.

Si vous avez appelé une organisation qui utilise Heedify et souhaitez exercer vos droits, vous pouvez contacter directement cette organisation ou nous écrire : nous l'aiderons à vous répondre.

Quelles données nous collectons et d'où elles viennent

Identité et accès aux applications

Quand un administrateur Office 365 souscrit à Heedify, il consent aux autorisations Microsoft Graph de l'application Heedify. Heedify s'appuie entièrement sur Microsoft Entra ID (anciennement Azure Active Directory) pour la gestion des identités. Nous n'accédons jamais aux mots de passe, nous ne les collectons pas et nous ne les stockons pas. Les données utilisateur que nous utilisons viennent de Microsoft Entra ID et de Microsoft 365 :

• Nom et prénom
• Adresse email
• Langue
• Numéro de téléphone
• La présence et, si le client l'active, la disponibilité dans le calendrier, utilisées pour orienter les appels vers la bonne personne

Données de téléphonie et de centre de contact

Quand nos clients utilisent Heedify pour leurs appels, nous traitons des données sur les personnes qui les appellent et sur les collaborateurs qui répondent :

• Numéro de l'appelant et métadonnées d'appel (date, heure, durée, file d'attente, issue de l'appel)
• Enregistrements audio et transcriptions des conversations, uniquement si le client les active explicitement
• Notes et messages saisis par les collaborateurs

Agent IA réceptionniste Heedify

Quand un client active l'agent IA réceptionniste Heedify, l'agent répond aux appels, comprend la demande de l'appelant et transfère l'appel, ou un message structuré, à la bonne personne dans Microsoft Teams. Pour cela, il traite :

• La voix de l'appelant, en temps réel, pour que l'agent comprenne et réponde
• La transcription de la conversation
• La langue détectée de l'appelant
• Ce que l'appelant dit de lui et de sa demande : nom, société, motif de l'appel, message, et toute autre information qu'il choisit de partager
• La carte de passation envoyée au collaborateur dans Microsoft Teams (nom, numéro, intention et résumé)
• La décision d'orientation prise par l'agent et les métadonnées de l'appel

Ces données viennent de l'appelant lui-même, pendant l'appel, et de l'annuaire Microsoft 365 de notre client (pour les noms, la présence et la disponibilité des personnes vers qui les appels peuvent être orientés). La voix de l'appelant ne sert pas à l'identifier : nous ne créons pas d'empreinte vocale.

Navigation sur le site web

Quand vous consultez notre site, votre navigateur transmet des informations comme sa version et votre système d'exploitation. Nous les enregistrons, avec les pages consultées, les temps de chargement et le site d'origine, à des fins statistiques comme le taux de conversion. Ces mesures sont liées à votre adresse IP. Nous utilisons pour cela Google Analytics et le code de suivi LinkedIn, uniquement après votre consentement via le bandeau cookies. Quand vous remplissez un formulaire, nous recevons les données saisies (nom, société, email, téléphone, message).

Ce que nous ne collectons pas

Nous ne collectons pas de catégories particulières de données comme l'origine raciale ou ethnique, la religion, l'orientation sexuelle, la santé ou les données biométriques. Un appelant peut toutefois mentionner spontanément ce type d'information pendant un appel : elle est alors traitée uniquement dans le cadre de l'appel et n'est jamais analysée pour ces caractéristiques.

L'intelligence artificielle dans Heedify

Certaines fonctionnalités Heedify utilisent l'intelligence artificielle : l'agent IA réceptionniste Heedify et, si elles sont activées, la transcription, les résumés d'appel et la classification des appels dans le centre de contact. Voici comment nous l'utilisons.

• Technologie. Nos fonctionnalités d'IA tournent sur Microsoft Azure OpenAI Service (modèles GPT Realtime), déployé via Azure AI Foundry dans la région Sweden Central, dans l'Union européenne. Les filtres de contenu Azure AI Foundry et nos propres garde-fous (périmètre limité, consignes et contrôles sur ce que l'agent peut dire et faire) s'appliquent à chaque conversation.
• Aucun entraînement sur vos données. Les appels, transcriptions et messages ne servent jamais à entraîner des modèles d'IA, ni par Heedify ni par Microsoft. Microsoft ne les transmet pas à OpenAI.
• Surveillance des abus. Dans le cadre d'Azure OpenAI Service, Microsoft peut conserver temporairement les requêtes et les réponses, dans la même zone géographique, pendant 30 jours au plus, uniquement pour détecter et prévenir les abus du service.
• Transparence. L'agent IA réceptionniste Heedify indique à l'appelant, dès le début de l'appel, qu'il parle à un agent IA. L'appelant peut demander à parler à une personne à tout moment.
• Maîtrise par le client. Les fonctionnalités d'IA sont optionnelles. Elles sont activées et configurées par l'administrateur du client, qui peut les désactiver à tout moment : les appels sont alors traités par le routage Teams habituel et par des personnes.
• Décisions automatisées et profilage. L'agent IA décide vers qui orienter un appel et quel message transmettre. Il ne prend pas de décision produisant des effets juridiques ou des effets similaires significatifs pour l'appelant, et il ne construit pas de profil des appelants. Une personne peut toujours reprendre la conversation.

L'IA peut se tromper. Les réponses et résumés produits par l'agent sont là pour aider les collaborateurs, qui gardent la main sur la suite.

Finalités du traitement

Nous traitons des données personnelles pour :

• Authentifier les utilisateurs et gérer les accès
• Fournir le service et le support
• Répondre aux appels, les qualifier et les orienter, y compris avec l'agent IA réceptionniste Heedify s'il est activé
• Enregistrer, transcrire et analyser les appels à la demande du client
• Suivre et améliorer les performances et la sécurité du produit
• Mesurer l'audience du site et les conversions
• Respecter nos obligations légales et réglementaires

Bases légales du traitement

Nous nous appuyons sur les bases légales suivantes :

• Exécution d'un contrat (art. 6(1)(b) du RGPD) : fournir nos services à nos clients et à leurs utilisateurs
• Intérêt légitime (art. 6(1)(f)) : améliorer et sécuriser nos services et, pour nos clients, répondre aux appels entrants et les orienter efficacement, y compris avec l'IA
• Consentement (art. 6(1)(a)) : cookies de mesure d'audience, et enregistrement des appels quand la loi locale exige le consentement de l'appelant
• Obligation légale (art. 6(1)(c)) : respecter les exigences légales

Pour les données d'appel, le client, en tant que responsable de traitement, choisit la base légale applicable à son propre traitement et informe ses appelants en conséquence.

Partage des données personnelles

Nous ne vendons pas de données personnelles. Nous les partageons uniquement avec :

• Nos sous-traitants : Microsoft (hébergement Azure, Azure OpenAI Service et Azure AI Foundry, Microsoft Teams et Microsoft Graph) pour les services ; Google Analytics et LinkedIn pour le site web
• Les administrateurs de nos clients, quand le service est fourni dans le cadre d'un contrat professionnel
• Les autorités, uniquement quand la loi l'exige

Tous nos sous-traitants sont liés par des accords de traitement des données qui incluent des obligations de confidentialité et de protection des données. La liste à jour des sous-traitants figure dans notre DPA et est disponible sur demande.

Hébergement des données et transferts internationaux

Les données client traitées par nos services, y compris par l'IA, sont hébergées dans des datacenters Microsoft Azure situés dans l'Union européenne (Espace économique européen). L'agent IA réceptionniste Heedify utilise la région Azure Sweden Central. Les clients hors d'Europe peuvent demander un hébergement dans une autre région ; la région est alors précisée dans leur contrat.

Nos outils de mesure d'audience du site (Google, LinkedIn) peuvent traiter des données aux États-Unis. Ces transferts s'appuient sur le Data Privacy Framework UE-États-Unis quand le fournisseur est certifié, et sur les clauses contractuelles types de la Commission européenne (article 46 du RGPD). Nos accords avec Microsoft incluent également les clauses contractuelles types.

Durée de conservation

• Les données de compte et d'utilisation sont conservées 365 jours au plus, sauf disposition contraire du contrat.
• Les enregistrements, transcriptions et données de conversation de l'agent IA réceptionniste (transcriptions, cartes de passation, messages) sont conservés selon la configuration du client, en général 6 mois au plus.
• Les données conservées temporairement par Microsoft pour la surveillance des abus d'Azure OpenAI sont supprimées au bout de 30 jours au plus.
• À la fin d'un contrat, les données client restent accessibles 90 jours, puis elles sont supprimées.
• Les données de mesure d'audience du site sont conservées selon les paramètres de chaque outil.

Vos droits

Heedify applique les mêmes droits à tout le monde, où que vous soyez. Ce sont les droits prévus par le Règlement général sur la protection des données (RGPD), dans les limites de la loi applicable :

• Droit à l'information. Vous avez le droit d'être informé clairement de l'utilisation de vos données. Cette politique sert à cela.
• Droit d'accès. Vous pouvez obtenir une copie des données personnelles que nous détenons sur vous, et des informations sur leur utilisation, leur partage, leur stockage et leur sécurité.
• Droit de rectification. Vous pouvez nous demander de corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli »). Vous pouvez nous demander de supprimer vos données, et de les faire supprimer par nos sous-traitants, dans les limites prévues par la loi. La suppression de certaines données peut empêcher nos applications de fonctionner ; elle peut alors entraîner la fermeture de votre compte.
• Droit à la limitation du traitement. Vous pouvez nous demander de limiter l'utilisation de vos données.
• Droit à la portabilité. Vous pouvez recevoir vos données dans un format structuré et les faire transmettre à un tiers.
• Droit d'opposition. Vous pouvez vous opposer aux traitements fondés sur notre intérêt légitime, et à tout moment à la prospection.
• Droits liés aux décisions automatisées, y compris le profilage. Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets similaires significatifs. Comme expliqué plus haut, notre agent IA ne prend pas ce type de décision, et vous pouvez toujours demander à parler à une personne.
• Droit de retirer votre consentement à tout moment, quand le traitement repose sur le consentement.

Pour exercer vos droits, écrivez à privacy@heedify.io. Certains droits peuvent aussi s'exercer directement dans le produit ou via le lien de désinscription de nos emails. Nous répondons à chaque demande sous un mois. Pour les données d'appel traitées pour le compte d'un client, nous transmettons votre demande à ce client et l'aidons à y répondre.

Droit d'introduire une réclamation

Vous avez le droit d'introduire une réclamation auprès d'une autorité de protection des données, notamment dans le pays où vous vivez ou travaillez. En France, il s'agit de :

CNIL (Commission Nationale de l'Informatique et des Libertés)
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France
Téléphone : +33 1 53 73 22 22
Site : https://www.cnil.fr

Pour trouver l'autorité d'un autre pays de l'UE, consultez la liste des membres du Comité européen de la protection des données.

Comment nous protégeons vos données

Heedify est certifié ISO/IEC 27001:2022. La sécurité est intégrée du code au réseau, jusqu'à l'exploitation au quotidien.

• Les données sont chiffrées en transit avec TLS 1.2 ou plus, et au repos en AES-256, y compris les sauvegardes, enregistrements et transcriptions.
• Le développement suit des pratiques de code sécurisé comme les recommandations OWASP, avec revue de code, audit des dépendances et alertes de sécurité.
• L'accès aux données client est réservé au personnel autorisé, selon le besoin d'en connaître.

Modifications et questions

Nous pouvons mettre à jour cette politique pour respecter la réglementation ou refléter de nouvelles pratiques. En cas de changement important, nous en informons nos clients et le publions ici, avec une nouvelle date de mise à jour.

Une question sur cette politique ? Écrivez à privacy@heedify.io.

Identité et coordonnées

Responsable de traitement :
Heedify EURL (anciennement Ocircle EURL)
R.C.S Paris 835 168 741
10 rue de la Paix, 75002 Paris, France
Email : privacy@heedify.io

Délégué à la protection des données (DPO) :
Vous pouvez contacter notre DPO directement à dpo@heedify.io.