Politique de Confidentialité du Produit

Valide à partir du : 11 mars 2026

1. Introduction

Cette Politique de confidentialité des produits (« Politique ») décrit comment Kolsetu GmbH (« Kolsetu », « nous », « notre ») traite les données personnelles des individus qui accèdent et utilisent la plateforme d'automatisation vocale Elba AI en tant qu'administrateurs, opérateurs ou agents (« Utilisateurs de la plateforme ») pour le compte d'un client professionnel. Les Utilisateurs de la plateforme sont les individus qui se connectent, configurent et exploitent la plateforme – que ce soit dans le cadre d'un abonnement Entreprise accepté via un Bon de commande, ou d'un abonnement Libre-service accepté via un enregistrement de compte en ligne. Lorsqu'une disposition s'applique à une seule voie, cela est indiqué explicitement.

Cette Politique régit le traitement par Kolsetu des données des Utilisateurs de la plateforme en sa qualité de responsable du traitement. Elle ne régit pas le traitement par Kolsetu des données pour le compte de clients professionnels en sa qualité de sous-traitant – cette relation est couverte par l'Accord de Traitement des Données (DPA), disponible sur www.kolsetu.com. En particulier, les données personnelles appartenant aux clients finaux de nos clients professionnels (c'est-à-dire les individus qui interagissent avec les agents vocaux alimentés par Elba) sont traitées exclusivement dans le cadre du DPA et sortent entièrement du champ d'application de cette Politique.

Le traitement des données personnelles en relation avec les visites sur le site web de Kolsetu est régi séparément par la Politique de confidentialité du site web, disponible sur www.kolsetu.com.

Flux de paiement et de téléphonie. Le traitement des paiements – y compris les frais d'abonnement et les achats de crédits – est effectué par les Utilisateurs de la plateforme directement sur l'interface du fournisseur de paiement. Kolsetu ne reçoit qu'un événement de confirmation de transaction (par exemple, « paiement réussi ») ; aucune donnée de carte de paiement, identifiants de compte bancaire ou autres données d'instrument financier ne sont transmis à Kolsetu ou à la plateforme Elba, ni stockés par ceux-ci. De même, lorsque les clients Libre-service provisionnent des numéros de téléphone via l'interface Twilio intégrée à la plateforme, cette interaction a lieu directement entre le client et Twilio. Kolsetu ne reçoit qu'une confirmation de provisionnement. Dans les deux cas, le fournisseur concerné agit en tant que contrôleur indépendant des données financières ou de téléphonie sous-jacentes.

2. Responsable du traitement

Le responsable du traitement des données personnelles des Utilisateurs de la plateforme en vertu de cette Politique est :

3. Données personnelles que nous traitons

Kolsetu collecte et traite uniquement les données personnelles nécessaires aux fins décrites dans cette Politique (art. 5(1)(c) RGPD – minimisation des données). Les catégories de données traitées concernant les Utilisateurs de la plateforme sont énoncées ci-dessous. Les données relatives aux clients finaux de nos clients professionnels ne sont pas couvertes ici ; elles sont traitées dans le DPA.

3.1 Données de compte et d'identité

Il s'agit des données essentielles requises pour créer et maintenir un compte d'Utilisateur de la plateforme : nom, adresse e-mail professionnelle et numéro de téléphone s'ils sont fournis. Elles incluent également le nom de l'entreprise, le titre du poste et le rôle organisationnel, qui sont utilisés pour la gestion du compte et la configuration des accès. Les identifiants de connexion se limitent à l'adresse e-mail ; les mots de passe sont stockés sous forme hachée et salée et ne sont pas lisibles par Kolsetu. Les préférences de compte et les paramètres de notification sont également inclus dans cette catégorie.

3.2 Données d'utilisation et d'activité

Lorsqu'un Utilisateur de la plateforme interagit avec la plateforme Elba, nous collectons des données sur la manière et le moment où la plateforme est utilisée. Cela comprend les horodatages de connexion, la durée des sessions et les journaux d'activité ; les actions de configuration telles que la création de flux de travail, la configuration d'intégrations et la configuration d'agents ; les données d'utilisation des fonctionnalités et les entrées de piste d'audit ; ainsi que les métadonnées techniques incluant l'adresse IP, le type de navigateur, le système d'exploitation et les identifiants d'appareil. Ces données sont utilisées à des fins de sécurité de la plateforme, de stabilité du système et de responsabilité d'audit.

3.3 Données de support et de communication

Lorsque qu'un Utilisateur de la plateforme contacte Kolsetu pour obtenir de l'aide, nous traitons le contenu des demandes de support, des rapports de bugs et de la correspondance associée, ainsi que le statut des tickets, l'historique des résolutions et les journaux de communication. Ces données sont conservées pour permettre un support efficace et pour conserver un enregistrement des problèmes et de leurs résolutions.

3.4 Données de confirmation d'abonnement et de facturation

Pour les clients Entreprise et Libre-service, nous conservons des informations sur le niveau d'abonnement, le cycle de facturation et le statut du compte. Nous recevons et stockons également des événements de confirmation de transaction de la part des fournisseurs de paiement – par exemple, une notification qu'un paiement a réussi ou que des crédits ont été achetés. Nous ne recevons, ne détenons ni ne traitons les données sous-jacentes de carte de paiement, les identifiants de compte bancaire ou toute autre donnée d'instrument financier. Pour les clients Entreprise, nous détenons en outre les détails des Bons de commande et les enregistrements contractuels. Toutes les transactions financières sont effectuées sur l'infrastructure du fournisseur de paiement ; l'exposition des données de Kolsetu est limitée à l'événement de confirmation.

4. Finalités et bases juridiques

Nous traitons les données des Utilisateurs de la plateforme uniquement pour des finalités déterminées, explicites et légitimes (art. 5(1)(b) RGPD). Le tableau ci-dessous présente chaque finalité et sa base juridique applicable en vertu de l'art. 6 RGPD.

Équilibrage des intérêts légitimes. Lorsque nous nous appuyons sur l'art. 6(1)(f), nous avons évalué que nos intérêts légitimes ne sont pas supplantés par les intérêts ou les droits fondamentaux des utilisateurs de la plateforme. Cette évaluation prend en compte le contexte relationnel interentreprises, les catégories limitées de données concernées, ainsi que les mesures techniques et organisationnelles mises en place. Les évaluations des intérêts légitimes sont disponibles sur demande à l'adresse privacy@kolsetu.com.

Absence de prise de décision automatisée. Kolsetu ne prend aucune décision concernant les utilisateurs de la plateforme qui produit des effets juridiques ou des effets significatifs similaires sur la seule base d'un traitement automatisé (art. 22 RGPD). Les décisions de contrôle d'accès au sein de la plateforme sont exécutées selon les instructions documentées des administrateurs du client professionnel.

Nous n'utilisons pas les données des utilisateurs de la plateforme à des fins publicitaires, de profilage comportemental ou d'entraînement de modèles d'IA.

5. Sous-traitants

Dans l'exploitation de la plateforme Elba, Kolsetu fait appel à des sous-traitants qui peuvent traiter les données des utilisateurs de la plateforme pour le compte de Kolsetu. Ceux-ci se limitent aux fournisseurs d'infrastructure de base, d'outils de communication interne et de systèmes opérationnels. Les fournisseurs de services de paiement et de téléphonie ne sont pas des sous-traitants dans le contexte de cette politique – comme décrit dans la section 1, ils opèrent en dehors du flux de données Elba et agissent en tant que contrôleurs indépendants des données qu'ils traitent.

La liste faisant foi et à jour des sous-traitants – couvrant à la fois les données des utilisateurs de la plateforme et les données des clients finaux traitées dans le cadre du DPA – est maintenue dans l'Annexe I-C de l'Accord de Traitement des Données, disponible sur www.kolsetu.com. Tous les sous-traitants sont liés par des obligations de protection des données non moins protectrices que celles appliquées par Kolsetu, et Kolsetu reste pleinement responsable de leur performance en matière de protection des données. Les clients professionnels sont informés des changements de sous-traitants avec un préavis écrit minimum de 30 jours ouvrables, conformément au DPA.

6. Transferts internationaux de données

Kolsetu GmbH est établie en Allemagne et l'ensemble du traitement principal a lieu au sein de l'EEE. Lorsque les données des utilisateurs de la plateforme sont traitées par des sous-traitants situés en dehors de l'EEE, les transferts s'effectuent exclusivement sur la base de l'un des mécanismes suivants, appliqués par ordre de préférence : une décision d'adéquation de la Commission européenne (art. 45 RGPD) ; les clauses contractuelles types de l'UE (Décision 2021/914 de la Commission) ; ou le Cadre de protection des données UE-États-Unis lorsque cela est applicable. Des évaluations d'impact des transferts sont réalisées pour tous les sous-traitants dans des pays tiers, et la documentation est disponible sur demande à l'adresse privacy@kolsetu.com.

7. Conservation

Les données des utilisateurs de la plateforme ne sont conservées que le temps nécessaire aux fins énoncées dans la présente politique, ou tel qu'exigé par la loi applicable. Lors de la résiliation de la relation contractuelle, les données du compte sont supprimées ou anonymisées dans un délai de 90 jours, sauf obligation légale de conservation contraire. Les périodes spécifiques suivantes s'appliquent :

8. Vos droits

En tant qu'utilisateur de la plateforme, vous disposez des droits suivants en vertu du RGPD concernant vos données personnelles traitées dans le cadre de cette politique. Pour exercer l'un de ces droits, contactez privacy@kolsetu.com. Nous répondrons dans un délai d'un mois à compter de la réception, ce délai pouvant être prolongé de deux mois supplémentaires pour des demandes complexes ou nombreuses, moyennant un préavis.

• Droit d'accès (art. 15 RGPD) : obtenir la confirmation que nous traitons ou non vos données personnelles et, si tel est le cas, recevoir une copie ainsi que les informations supplémentaires requises par l'art. 15.

• Droit de rectification (art. 16 RGPD) : faire rectifier les données personnelles inexactes et faire compléter les données incomplètes sans délai indu.

• Droit à l'effacement (art. 17 RGPD) : demander la suppression de vos données personnelles lorsque le traitement n'est plus nécessaire, que le consentement a été retiré, ou que le traitement est illicite, sous réserve des obligations légales de conservation.

• Droit à la limitation du traitement (art. 18 RGPD) : demander que nous limitions le traitement dans des circonstances spécifiées, par exemple lorsque l'exactitude des données est contestée.

• Droit à la portabilité des données (art. 20 RGPD) : recevoir les données personnelles que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, lorsque le traitement est basé sur un contrat ou un consentement.

• Droit d'opposition (art. 21 RGPD) : vous opposer à tout moment au traitement basé sur des intérêts légitimes. Nous cesserons le traitement, sauf si nous pouvons démontrer des motifs légitimes impérieux qui prévalent sur vos intérêts, droits et libertés, ou lorsque le traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice.

• Droit de retirer son consentement (art. 7(3) RGPD) : lorsque tout traitement est basé sur le consentement, le retirer à tout moment sans affecter la licéité du traitement effectué avant le retrait.

Certains droits sont soumis à des limitations légales en vertu du droit applicable – par exemple, les enregistrements de confirmation de facturation soumis à des obligations de conservation commerciales en droit allemand ne peuvent être effacés avant l'expiration de la période de conservation obligatoire. Nous vous informerons de toute limitation de ce type lors de la réponse à votre demande.

Droit d'introduire une réclamation. Si vous estimez que notre traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente à tout moment, sans préjudice de tout autre recours administratif ou judiciaire. L'autorité de contrôle principale pour Kolsetu GmbH est le Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Klosterwall 6 (Block C), 20095 Hambourg, mailbox@datenschutz.hamburg.de. Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle de votre lieu de résidence habituelle ou de votre lieu de travail au sein de l'UE.

9. Sécurité

Kolsetu met en œuvre et maintient des mesures techniques et organisationnelles appropriées (TOMs) conformément à l'art. 32 RGPD pour protéger les données des utilisateurs de la plateforme contre la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès. Ces mesures comprennent le chiffrement des données en transit et au repos, des contrôles d'accès basés sur les rôles et l'authentification multifacteur pour les accès privilégiés, l'isolement logique des locataires dans tous les environnements clients, des tests de pénétration et une gestion des vulnérabilités réguliers, ainsi que des procédures documentées de détection, de réponse et d'escalade des incidents.

Les détails complets des mesures techniques et organisationnelles de Kolsetu sont exposés dans l'Annexe 2 de l'Accord de Traitement des Données, disponible sur www.kolsetu.com.

10. Modifications de cette politique

Nous pouvons mettre à jour cette politique de temps à autre. La politique révisée sera publiée sur www.kolsetu.com avec une date d'entrée en vigueur/de validité mise à jour. Nous distinguons les modifications matérielles des modifications non matérielles. Les modifications matérielles sont celles qui affectent les finalités du traitement, les catégories de données collectées, les bases juridiques invoquées ou les droits dont disposent les utilisateurs de la plateforme ; nous informerons les utilisateurs de la plateforme des modifications matérielles avec un préavis d'au moins 30 jours via l'interface de la plateforme ou par e-mail à l'adresse du compte enregistré. Les modifications non matérielles – telles que les corrections éditoriales ou les clarifications qui n'affectent pas la substance de la politique – prennent effet dès leur publication sans préavis.

11. Contact

Pour toute question relative à la protection de la vie privée, pour exercer vos droits en vertu de l'article 8, ou pour demander une copie d'une évaluation des intérêts légitimes, veuillez contacter :