Politique de confidentialité

1. Introduction

La présente politique de confidentialité décrit la manière dont Revowind SRL (numéro d'entreprise BE 0745.825.575), éditeur du service Cephor, collecte, utilise, partage et protège vos données à caractère personnel conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

En utilisant les services Cephor, vous reconnaissez avoir pris connaissance de la présente politique. Si vous n'acceptez pas ces conditions, veuillez ne pas utiliser nos services.

2. Responsable du traitement

3. Données collectées

Dans le cadre de la fourniture de nos services, nous collectons et traitons les catégories de données suivantes :

3.1 Données d'identification et de compte

• Nom et prénom
• Adresse email
• Mot de passe (stocké sous forme chiffrée)
• Informations liées à vos Expériences (URLs de sites, contenus extraits, paramètres d'assistant, etc.)

3.2 Données des conversations (visiteurs de vos sites)

Lorsque des visiteurs interagissent avec une Expérience Cephor intégrée sur votre site (voix ou texte), nous pouvons traiter :

• Contenu des échanges (transcriptions, messages)
• Numéros de téléphone (lors d'appels vocaux)
• Date, heure et durée des conversations
• Enregistrements vocaux des appels (pour le traitement par IA et la qualité de service)
• Métadonnées techniques (adresse IP, user-agent, type d'appareil)

3.3 Données techniques

• Adresse IP
• Type de navigateur et version
• Système d'exploitation
• Données de connexion et journaux d'accès
• Identifiants de session

3.4 Données de facturation

• Informations de paiement (traitées par Stripe)
• Historique des transactions et consommation de crédits

4. Finalités et bases légales du traitement

Vos données sont traitées pour les finalités suivantes, selon les bases légales correspondantes :

5. Sous-traitants et partenaires technologiques

Pour fournir nos services, nous faisons appel à des sous-traitants et partenaires technologiques. Conformément à l'article 28 du RGPD, des garanties appropriées (contrats de sous-traitance, clauses types, etc.) sont mises en place avec chacun d'eux.

Cette liste peut évoluer pour intégrer de nouvelles technologies ou améliorer nos prestations. Nous vous informerons de tout changement significatif via la mise à jour de cette politique.

5.1 Hébergement et infrastructure

• Vercel Inc. (États-Unis) – Hébergement de l'application web (frontend). Transfert encadré par le Data Privacy Framework UE-États-Unis ou les Clauses Contractuelles Types (CCT).
• Google Cloud Platform (GCP) – Backend et hébergement de fichiers (CDN). Données pouvant être traitées dans l'Union européenne selon la région configurée ; transferts hors EEE encadrés par les CCT ou le Data Privacy Framework.
• Supabase Inc. – Bases de données. Infrastructure hébergée dans l'Union européenne (région configurée) lorsque applicable ; transferts hors EEE encadrés par les CCT.

5.2 Télécommunications

• Twilio Inc. (États-Unis) – Téléphonie (appels vocaux). Transfert encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne.

5.3 Intelligence artificielle et voix

• ElevenLabs Inc. – Synthèse vocale et agents conversationnels vocaux. Données traitées conformément aux garanties contractuelles et, le cas échéant, aux CCT.
• OpenAI LP (États-Unis) – Traitement du langage naturel. Transfert encadré par les CCT.
• Anthropic PBC (États-Unis) – Intelligence artificielle (modèles Claude). Transfert encadré par les CCT.

5.4 Paiements

• Stripe Inc. (États-Unis) – Traitement des paiements. Stripe est certifié PCI-DSS niveau 1. Transfert encadré par le Data Privacy Framework ou les CCT.

5.5 Envoi d'emails

• Resend Inc. – Envoi d'emails transactionnels et de notification. Données traitées conformément aux garanties contractuelles et, le cas échéant, aux CCT.

5.6 Monitoring et qualité du service

• Sentry (Functional Software Inc.) (États-Unis) – Surveillance des erreurs et de la performance de l'application. Sentry peut collecter des données techniques (type de navigateur, système d'exploitation, adresse IP) et des enregistrements de session pour nous aider à identifier et corriger les problèmes techniques. Transfert encadré par les CCT.

6. Transferts internationaux de données

Certains de nos sous-traitants sont établis en dehors de l'Espace économique européen (EEE), notamment aux États-Unis. Pour ces transferts, nous nous assurons que des garanties appropriées sont en place :

• Data Privacy Framework UE-États-Unis : Pour les entreprises certifiées (Vercel, Stripe, etc.).
• Clauses Contractuelles Types (CCT) : Approuvées par la Commission européenne pour les autres transferts.
• Mesures supplémentaires : Chiffrement des données, pseudonymisation lorsque possible, et évaluation des risques.

Vous pouvez obtenir une copie des garanties appropriées en nous contactant à privacy@cephor.io.

7. Durée de conservation des données

Nous conservons vos données personnelles uniquement pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées :

• Données de compte : Pendant toute la durée de votre utilisation du service, puis 3 ans après la clôture de votre compte (pour répondre à d'éventuelles réclamations).
• Données des conversations (transcriptions, enregistrements) : 90 jours maximum, sauf obligation légale contraire ou conservation plus courte selon la configuration.
• Données de facturation : 10 ans conformément aux obligations légales belges en matière comptable.
• Journaux techniques : 12 mois maximum.

8. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, modification, divulgation ou destruction :

• Chiffrement des données en transit (TLS) et au repos lorsque pertinent (AES-256)
• Authentification sécurisée avec hachage des mots de passe (bcrypt)
• Contrôle d'accès strict et principe du moindre privilège
• Surveillance et journalisation des accès
• Sauvegardes régulières
• Sélection de sous-traitants offrant des garanties de sécurité adaptées

Nous nous engageons à améliorer continuellement nos mesures de sécurité en fonction de l'évolution des menaces et des meilleures pratiques du secteur.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants concernant vos données personnelles :

• Droit d'accès (Art. 15) : Obtenir confirmation du traitement de vos données et en recevoir une copie.
• Droit de rectification (Art. 16) : Faire corriger les données inexactes vous concernant.
• Droit à l'effacement (Art. 17) : Demander la suppression de vos données dans certaines circonstances.
• Droit à la limitation du traitement (Art. 18) : Restreindre le traitement de vos données dans certains cas.
• Droit à la portabilité (Art. 20) : Recevoir vos données dans un format structuré et couramment utilisé.
• Droit d'opposition (Art. 21) : Vous opposer au traitement de vos données fondé sur l'intérêt légitime.
• Droit de retirer votre consentement : À tout moment, lorsque le traitement est fondé sur le consentement.

Pour exercer ces droits, contactez-nous à privacy@cephor.io. Nous répondrons dans un délai d'un mois conformément au RGPD.

Réclamation auprès d'une autorité de contrôle :
Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'Autorité de protection des données belge :

10. Cookies et technologies similaires

10.1 Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du service et sont exemptés de consentement conformément à la directive ePrivacy :

• Cookies de session : Maintien de votre connexion pendant votre visite.
• Cookies d'authentification : Identification sécurisée après connexion.
• Cookies de préférences : Mémorisation de vos choix d'interface.

10.2 Technologies de monitoring

Pour assurer la qualité et la stabilité de notre service, nous utilisons des technologies de surveillance technique :

• Sentry : Détection des erreurs et amélioration de la performance. Sentry peut enregistrer des sessions (clics, navigation) pour nous aider à résoudre les problèmes techniques. Ces données sont utilisées uniquement à des fins de débogage et d'amélioration du service, et ne sont pas utilisées à des fins publicitaires ou de profilage.

Ces technologies sont utilisées dans notre intérêt légitime d'assurer le bon fonctionnement et l'amélioration continue de notre service (Art. 6.1.f RGPD).

10.3 Cookies publicitaires

Nous n'utilisons aucun cookie publicitaire, de suivi marketing ou de profilage commercial.

11. Traitement automatisé et intelligence artificielle

Notre service repose sur des technologies d'intelligence artificielle pour :

• La reconnaissance et la synthèse vocale
• La compréhension du langage naturel
• La génération de réponses appropriées
• La gestion des conversations (voix et texte)

Ces traitements automatisés sont effectués dans le cadre de l'exécution du contrat. Vous pouvez contacter notre équipe pour toute question ou demande d'intervention humaine.

12. Données des visiteurs de vos sites

En tant qu'utilisateur professionnel de Cephor, vous êtes responsable du traitement des données personnelles des visiteurs qui interagissent avec vos Expériences sur vos sites. Cephor agit en qualité de sous-traitant pour ces données, dans le périmètre du Service.

Vous vous engagez à informer vos visiteurs de l'utilisation d'un assistant conversationnel (voix/texte) et à respecter vos propres obligations en vertu du RGPD (information, base légale, droits des personnes, etc.).

13. Modifications de la politique

Nous pouvons mettre à jour cette politique de confidentialité pour refléter les changements dans nos pratiques, nos partenaires technologiques ou la réglementation applicable.

Modifications substantielles : En cas de modification substantielle affectant vos droits ou la manière dont vos données sont traitées, nous vous en informerons par email ou via une notification sur la plateforme au moins 15 jours avant l'entrée en vigueur des modifications.

Exceptions : Des modifications peuvent être appliquées dans un délai plus court ou immédiatement en cas d'obligation légale ou réglementaire, de décision d'une autorité de protection des données, de nécessité de sécurité ou de changement de sous-traitant offrant des garanties équivalentes ou supérieures.

La date de dernière mise à jour est indiquée en haut de ce document.

14. Contact

Pour toute question concernant cette politique de confidentialité ou le traitement de vos données personnelles, contactez-nous :

• Email : privacy@cephor.io
• Courrier : Revowind SRL – Rue de la Mitingotte, 19 – 6640 Vaux-sur-Sûre, Belgique