Contrat de sous-traitance
Lorsque vous utilisez Rinqo, nous traitons des données personnelles pour votre compte. Le RGPD exige pour cela un contrat de sous-traitance (art. 28). Nous l'avons préparé, avec les clauses contractuelles types de l'UE et la liste complète des sous-traitants.
Modèle en préparation
La version juridiquement finalisée arrivera avant le lancement commercial. D'ici là, nous vous envoyons volontiers le modèle par e-mail, avec une réponse généralement sous un jour ouvré.
Rinqo traite les données de vos clients, nom, numéro de téléphone, e-mail, contenu des conversations, détails de rendez-vous, pendant toute la durée de votre contrat. À l'issue du contrat, nous supprimons toutes les données personnelles sous 30 jours, sauf obligation légale de conservation.
Catégories : données de contact, données de contenu (conversations, e-mails, chats), données d'utilisation. Personnes concernées : vos clients, prospects et collaborateurs qui interagissent avec Rinqo. Données sensibles (art. 9 du RGPD, par ex. santé) uniquement si vous le configurez expressément et disposez d'une base juridique pour cela.
Chiffrement AES-256-GCM de toutes les données de contenu, TLS 1.3 pour la transmission, contrôle d'accès basé sur les rôles, journal d'audit à chaque accès en écriture, authentification à deux facteurs pour tous les collaborateurs de Rinqo, tests d'intrusion au moins annuels. Les MTO complètes sont jointes en annexe au DPA.
Nous recourons à des prestataires avec un DPA au sens de l'art. 28 du RGPD et des clauses contractuelles types ; le traitement a lieu dans l'UE : Hetzner (hébergement, DE), Twilio Ireland (téléphonie), Microsoft Ireland Operations Ltd. (Azure OpenAI Service comme fournisseur LLM principal – Sweden Central, Microsoft EU Data Boundary, aucun entraînement sur les données clients), KugelAudio GmbH, Hanovre (TTS, hébergement dans l'UE), Deepgram (STT, région UE), Brevo (e-mail, FR). OVHcloud Roubaix se tient prêt comme fournisseur de secours 100 % UE activable en option et ne devient sous-traitant qu'après activation. Remarque : Deepgram est un groupe américain disposant de sa propre région UE – le traitement reste dans l'UE. Vous êtes averti 30 jours à l'avance lorsque nous ajoutons un nouveau sous-traitant, avec un droit d'opposition. La liste complète, avec les entités juridiques et les types de données, figure dans la documentation TIA du tableau de bord.
Nous vous assistons pour les demandes d'accès, de rectification, de suppression et de portabilité (art. 15 à 20 du RGPD). En libre-service depuis le tableau de bord, vous pouvez exporter ou supprimer des enregistrements individuels. Sur demande par e-mail, nous répondons sous 48 heures.
Nous vous signalons les incidents de protection des données sans délai, au plus tard dans les 24 heures suivant leur découverte. Les rapports d'incident précisent : la nature de l'incident, les données concernées, les mesures prises et des recommandations pour votre propre notification à l'autorité de contrôle au titre de l'art. 33 du RGPD.
Vous pouvez nous auditer une fois par an, et à tout moment en cas de motif concret. Sur demande, nous fournissons des rapports (ISO 27001 en préparation, équivalent SOC 2). Audits sur site avec un préavis de deux semaines.
La liste complète et à jour de nos sous-traitants, avec finalité, siège et statut du DPA, figure sur la page Sécurité. Chaque modification y est documentée et annoncée 30 jours avant sa prise d'effet.
Voir la liste des sous-traitantsNotre équipe protection des données vous aide pour les clauses spécifiques, les exigences propres à votre secteur ou lorsque votre délégué à la protection des données a des questions.
datenschutz@rinqo.de