Politique de confidentialité

La présente politique de confidentialité explique comment Kodless.ai (« Aillo », « nous ») recueille, utilise, communique et protège les renseignements personnels lorsque des entreprises utilisent le service de réceptionniste IA Aillo (le « Service ») et lorsque des personnes appellent une entreprise qui l'utilise. Elle vise à satisfaire aux exigences de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25), de la LPRPDE du Canada, du Règlement général sur la protection des données (RGPD) de l'Union européenne, du RGPD du Royaume-Uni et de la Data Protection Act 2018, de la Loi n° 6698 sur la protection des données personnelles de la Türkiye (KVKK) et des lois applicables des États américains en matière de protection de la vie privée.

1. Qui nous sommes et notre rôle

Kodless.ai, Montréal, Québec, Canada (entreprise individuelle d’Özge Savasci, numéro d’entreprise du Québec 2282178096), exploite le Service.

• À l'égard des titulaires de compte (entreprises, agences et leurs utilisateurs), nous déterminons l'utilisation de leurs renseignements personnels. Nous sommes l'organisation qui en a la responsabilité au sens de la Loi 25 et de la LPRPDE, le responsable du traitement au sens du RGPD et du RGPD du Royaume-Uni, et le responsable du traitement des données (veri sorumlusu) au sens de la KVKK.
• À l'égard des personnes qui appellent une entreprise utilisant Aillo, c'est l'entreprise qui détermine les fins pour lesquelles ses appels sont traités et qui est responsable de ces renseignements. Nous agissons selon ses instructions à titre de prestataire de services — sous-traitant au sens du RGPD et du RGPD du Royaume-Uni, sous-traitant des données (veri işleyen) au sens de la KVKK. Notre Addenda sur le traitement des données énonce ces engagements. Voir la section 9.

2. Responsable de la protection des renseignements personnels et coordonnées

La personne responsable de la protection des renseignements personnels est Özge Savasci, propriétaire. Pour toute question, demande ou plainte relative à la protection des renseignements personnels, écrivez à [email protected].

3. Renseignements que nous recueillons

Auprès des titulaires de compte

• Données du compte — nom, adresse courriel, mot de passe (conservé uniquement sous forme de hachage sécurisé), rôle et, pour les agences, les renseignements sur leur entreprise.
• Configuration de l'entreprise — nom de l'entreprise, secteur, langue, fuseau horaire, heures d'ouverture, services et prix, noms des membres du personnel, numéros de renvoi, message d'accueil et connaissances que vous fournissez à votre assistant.
• Documents de vérification des numéros — pour les numéros locaux en France, au Royaume-Uni, en Allemagne et en Türkiye, les pièces d'identité, les justificatifs d'adresse et les renseignements exigés par l'autorité de réglementation des télécommunications. Ils sont transmis directement à notre fournisseur de télécommunications Telnyx aux fins de sa vérification réglementaire; Aillo n'en conserve aucune copie, seulement l'état de la vérification et la date à laquelle vous avez accepté le processus.
• Facturation — forfait, solde, utilisation et factures. Les paiements par carte sont traités par Stripe; nous ne voyons ni ne conservons jamais votre numéro de carte complet.
• Connexion d'agenda (facultative) — si vous connectez Google Agenda ou Microsoft Outlook, un jeton d'accès chiffré ainsi que les plages occupées et les événements nécessaires pour éviter les doubles réservations.
• Soutien et assistant intégré — les messages que vous nous envoyez et les questions que vous posez à l'assistant d'aide du tableau de bord.
• Données techniques et de sécurité — historique des connexions, adresse IP, renseignements sur le navigateur et l'appareil, et journaux nécessaires à l'exploitation et à la sécurité du Service.

Auprès des appelants (pour le compte de l'entreprise qu'ils appellent)

• Le numéro de téléphone de l'appelant ainsi que la date, l'heure, la durée et l'issue de l'appel.
• L'audio des appels est traité en temps réel et n'est ni enregistré ni conservé. Une transcription écrite de la conversation est conservée afin que l'entreprise puisse y donner suite.
• Ce que l'appelant choisit de communiquer : nom, numéro de rappel, demande de rendez-vous, message et tout autre détail qu'il mentionne. Les appelants ne devraient pas communiquer de renseignements sensibles (comme des renseignements sur leur santé), sauf si l'entreprise en a besoin pour les servir.

4. Utilisation des renseignements et fondements juridiques

• Fournir le Service — répondre aux appels, prendre des rendez-vous, prendre des messages, aviser l'entreprise, renvoyer des appels, faire fonctionner le tableau de bord et les outils pour agences. Fondement juridique (RGPD/RGPD du Royaume-Uni/KVKK) : exécution d'un contrat.
• Facturer et prévenir les abus — traiter les paiements et l'utilisation, détecter la fraude, appliquer les limites. Contrat; intérêts légitimes; obligation légale pour les registres fiscaux et comptables.
• Assurer la sécurité et la fiabilité du Service — surveillance, dépannage, intervention en cas d'incident. Intérêts légitimes.
• Communiquer avec vous — avis relatifs au service, à la sécurité et à la facturation, et soutien. Contrat; intérêts légitimes.
• Respecter nos obligations légales — fiscalité, vérifications réglementaires en télécommunications, réponse aux demandes légitimes des autorités. Obligation légale.

Nous ne vendons pas et ne louons pas de renseignements personnels, nous ne les communiquons pas à des fins de publicité comportementale intercontextuelle et nous n'utilisons pas le contenu des appels à des fins publicitaires ni pour entraîner nos propres modèles d'IA. Lorsque la loi exige un consentement (par exemple pour des fonctionnalités facultatives), nous le demandons et vous pouvez le retirer en tout temps.

5. IA, traitement automatisé et information des appelants

Le Service utilise l'intelligence artificielle pour comprendre les appelants et leur répondre. Au début de chaque appel, l'assistant informe l'appelant qu'il est l'assistant virtuel (IA) de l'entreprise et que l'appel est transcrit, et il ne prétend jamais être un humain. Si un appelant décrit une situation d'urgence, l'assistant lui indique de raccrocher et de composer le numéro d'urgence local.

L'assistant prend des rendez-vous et des messages dans le cadre des règles fixées par l'entreprise. Il ne prend aucune décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou des effets similaires importants à l'égard d'une personne. Si vous croyez qu'une décision vous concernant a été automatisée, communiquez avec nous : vous pouvez demander à être informé des renseignements personnels et des principaux facteurs utilisés, à les faire rectifier et à faire réviser la décision par une personne.

6. À qui nous communiquons les renseignements

Nous ne communiquons des renseignements personnels qu'à des prestataires de services qui les traitent pour notre compte, en vertu d'ententes écrites qui les obligent à les protéger et à ne les utiliser que pour fournir leur service :

• Supabase — base de données et authentification (données hébergées au Canada).
• Railway — hébergement de l'application (États-Unis) et du service vocal (Union européenne).
• Cloudflare — acheminement réseau et sécurité (réseau mondial).
• Telnyx — numéros de téléphone, connectivité des appels et vérification des numéros (États-Unis).
• Google (Gemini) — compréhension de la parole et réponse en temps réel pendant les appels (États-Unis).
• OpenAI — l'assistant d'aide du tableau de bord et de notre site Web (États-Unis).
• Stripe — paiements (États-Unis et autres pays).
• Resend — courriels transactionnels (États-Unis).
• Google Agenda / Microsoft Outlook — seulement si vous les connectez.

Dans le cas des clients d'une agence, l'agence gestionnaire peut consulter et gérer la configuration, les appels et les messages de ses clients. Nous pouvons également communiquer des renseignements lorsque la loi l'exige, pour protéger des droits et la sécurité, ou dans le cadre d'une fusion ou de la vente de l'entreprise, sous une protection équivalente.

7. Transferts internationaux

Les renseignements personnels peuvent être traités à l'extérieur de la province, de l'État ou du pays où ils ont été recueillis, notamment au Canada, dans l'Union européenne et aux États-Unis. Avant toute communication à l'extérieur du Québec, nous évaluons, comme l'exige la Loi 25, si les renseignements bénéficieront d'une protection adéquate. Les transferts de données personnelles depuis l'Espace économique européen et le Royaume-Uni reposent sur la décision d'adéquation visant le Canada, sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) et son extension au Royaume-Uni lorsque le destinataire est certifié, ou sur les clauses contractuelles types de la Commission européenne et l'addendum du Royaume-Uni. Les transferts depuis la Türkiye sont effectués conformément à l'article 9 de la KVKK, au moyen des contrats types qu'elle prévoit ou d'un autre mécanisme légal. Vous pouvez nous demander plus de renseignements sur ces garanties.

8. Conservation

Nous ne conservons les renseignements personnels que le temps nécessaire aux fins énoncées ci-dessus ou exigé par la loi. Un nettoyage automatique applique les durées maximales suivantes :

• Audio des appels — non conservé.
• Transcriptions des appels — effacées 90 jours après l'appel. L'enregistrement de l'appel lui-même (date, heure, durée, numéro de l'appelant, issue, coût) est conservé à des fins de facturation et de comptabilité.
• Messages — supprimés 12 mois après leur prise, une fois lus. Un message non lu est conservé jusqu'à ce que l'entreprise le supprime.
• Rendez-vous — le nom, le numéro de téléphone et les notes du client sont retirés 24 mois après le rendez-vous; la réservation est conservée sans ces renseignements.
• Données du compte, de l'entreprise et de facturation — tant que le compte est actif, puis uniquement le temps exigé par les obligations légales, comptables et fiscales.
• Vérification des numéros — Aillo ne conserve que l'état de la vérification; Telnyx conserve les documents comme l'exige l'autorité de réglementation des télécommunications.

Les entreprises peuvent supprimer un appel, un message ou un rendez-vous depuis leur tableau de bord en tout temps; la suppression est immédiate et définitive. Pour fermer un compte et en effacer les données, écrivez à [email protected].

9. Appelants : comment exercer vos droits

Si vous avez appelé une entreprise qui utilise Aillo, cette entreprise est responsable de vos renseignements. Veuillez d'abord communiquer avec elle pour accéder à vos renseignements, les faire rectifier ou les faire supprimer; nous l'aidons à vous répondre. Vous pouvez aussi écrire à [email protected] en nous indiquant l'entreprise que vous avez appelée et votre numéro de téléphone : nous transmettrons votre demande à l'entreprise et agirons selon ses instructions.

10. Vos droits

Selon l'endroit où vous résidez, et sous réserve des limites prévues par la loi, vous disposez des droits suivants :

Québec et Canada (Loi 25, LPRPDE)

• accéder à vos renseignements personnels et être informé de la façon dont ils sont utilisés et communiqués;
• les faire rectifier s'ils sont inexacts, incomplets ou équivoques;
• retirer votre consentement et nous demander de cesser de les diffuser ou de les désindexer lorsque la loi le permet;
• recevoir les renseignements informatisés que vous avez fournis dans un format technologique structuré et couramment utilisé (portabilité).

Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec ou du Commissariat à la protection de la vie privée du Canada.

Union européenne et Royaume-Uni (RGPD, RGPD du Royaume-Uni)

• droit d'accès, de rectification et d'effacement;
• droit à la limitation du traitement et à la portabilité des données;
• droit de vous opposer au traitement fondé sur des intérêts légitimes et, en tout temps, à la prospection;
• droit de retirer votre consentement en tout temps, sans que cela porte atteinte au traitement effectué antérieurement.

Vous pouvez introduire une réclamation auprès de l'autorité de contrôle du lieu où vous résidez ou travaillez — par exemple la CNIL en France, votre autorité fédérale ou régionale de protection des données en Allemagne ou l'Information Commissioner's Office au Royaume-Uni.

Türkiye (KVKK, article 11)

Vous pouvez savoir si vos données personnelles sont traitées et demander des renseignements à ce sujet; connaître la finalité du traitement et savoir si elles sont utilisées conformément à celle-ci; connaître les tiers, en Türkiye ou à l'étranger, auxquels elles sont transférées; demander leur rectification, leur suppression ou leur destruction et que ces opérations soient notifiées aux destinataires; vous opposer à un résultat qui vous est défavorable découlant exclusivement d'une analyse automatisée; et réclamer réparation du préjudice causé par un traitement illicite. Transmettez votre demande à [email protected]; nous y répondons gratuitement dans un délai de 30 jours. Si votre demande est refusée ou reste sans réponse, vous pouvez porter plainte auprès de l'Autorité de protection des données personnelles (Kişisel Verileri Koruma Kurulu).

États-Unis

Les résidents des États américains dotés de lois sur la protection de la vie privée des consommateurs peuvent avoir le droit de savoir quels renseignements personnels les concernent, d'y accéder, de les faire rectifier, de les faire supprimer et d'en obtenir une copie, ainsi que de refuser leur vente, leur communication à des fins de publicité ciblée ou leur profilage. Nous ne vendons ni ne communiquons de renseignements personnels à ces fins. Nous ne ferons preuve d'aucune discrimination à votre égard parce que vous exercez vos droits. Vous pouvez recourir à un mandataire autorisé et contester un refus en répondant à notre réponse.

Pour exercer l'un de ces droits, écrivez à [email protected]. Nous pourrions devoir vérifier votre identité, et nous répondons dans un délai de 30 jours (un mois en vertu du RGPD), à moins que la loi ne permette une prolongation, auquel cas nous vous en indiquons les motifs.

11. Sécurité et incidents

Nous appliquons des mesures techniques et organisationnelles adaptées à la sensibilité des renseignements : chiffrement en transit, mots de passe hachés, jetons d'agenda chiffrés, contrôles d'accès stricts, cloisonnement afin que chaque entreprise ne voie que ses propres données, et journalisation. Nous tenons un registre des incidents de confidentialité. Si un incident présente un risque qu'un préjudice sérieux soit causé, nous en avisons la Commission d'accès à l'information et les personnes concernées; lorsque nous agissons à titre de sous-traitant, nous en informons l'entreprise dans les meilleurs délais afin qu'elle puisse remplir ses propres obligations de notification (par exemple dans un délai de 72 heures en vertu du RGPD).

12. Témoins (cookies)

Nous utilisons uniquement les témoins et le stockage du navigateur strictement nécessaires pour vous connecter, sécuriser votre session et mémoriser vos préférences, comme votre thème. Nous n'utilisons aucun témoin publicitaire, analytique ou de suivi tiers; aucune bannière de consentement n'est donc nécessaire.

13. Enfants

Le Service s'adresse aux entreprises et ne vise pas les enfants. Nous ne recueillons pas sciemment de renseignements personnels concernant des enfants de moins de 14 ans (16 ans dans certains pays), sauf dans la mesure où le message d'un appelant pourrait en contenir.

14. Modifications

Nous pouvons mettre à jour la présente politique. Nous informerons les titulaires de compte de toute modification importante par courriel ou dans le Service avant son entrée en vigueur, et nous mettrons à jour la date indiquée ci-dessus.

15. Nous joindre

Özge Savasci, propriétaire — Kodless.ai, Montréal, Québec, Canada — [email protected].