Avis : Cette version française est fournie à titre informatif uniquement. En cas de divergence entre les versions, la version anglaise fait foi.

Le présent Accord-cadre de traitement des données (« MDPA ») est incorporé par renvoi dans l'accord régissant l'utilisation des services de Voice2Evolve (l'« Accord ») conclu entre vous, le Client (tel que défini dans l'Accord) (le « Client »), et Voice2Evolve UG (haftungsbeschränkt) (« Voice2Evolve »), afin de refléter l'accord des Parties relatif au traitement des données à caractère personnel par Voice2Evolve exclusivement pour le compte du Client. Les deux parties sont ci-après collectivement désignées les « Parties » et individuellement une « Partie ».

Sauf disposition contraire dans le présent MDPA, les dispositions de l'Accord restent pleinement en vigueur. Tout terme en majuscule non défini dans le présent MDPA a la signification qui lui est attribuée dans l'Accord. Tout accord ou clause relatif à la protection des données ou à la vie privée antérieurement conclu entre Voice2Evolve et le Client est remplacé et supplanté par le présent MDPA.

Le présent MDPA a pris effet le 08.02.2026 et a été mis à jour pour la dernière fois le 20 septembre 2026. Il est en vigueur entre le Client et Voice2Evolve à compter de la date d'entrée en vigueur de l'Accord (la « Date d'entrée en vigueur du MDPA »).

Les Parties conviennent de ce qui suit : (MDPA)

1. Définitions

Sauf définition contraire dans le présent accord, les termes en majuscule ont la signification qui leur est attribuée par les lois applicables en matière de protection des données.

Affilié : Toute entité contrôlant directement ou indirectement une Partie, contrôlée par elle, ou sous contrôle commun avec elle.
Juridiction approuvée : Tout pays appartenant à l'EEE ou reconnu par la Commission européenne comme assurant un niveau de protection adéquat.
Responsable du traitement : L'entité déterminant les finalités et les moyens du traitement des données à caractère personnel.
Sous-traitant : L'entité traitant des données à caractère personnel pour le compte d'un responsable du traitement.
Données à caractère personnel : Toute information se rapportant à une personne physique identifiée ou identifiable.
Traitement : Toute opération effectuée sur des données à caractère personnel, telle que la collecte, le stockage, la modification, la transmission ou la suppression.
Sous-traitant ultérieur : Un sous-traitant tiers engagé par Voice2Evolve.
Personne concernée : Une personne physique identifiable à laquelle se rapportent les données à caractère personnel.
Mesures de sécurité : Les mesures techniques et organisationnelles mises en œuvre par Voice2Evolve, telles que décrites à l'Annexe A.
Violation de données : Tout incident de sécurité entraînant la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données à caractère personnel.
Autorité de contrôle : Une autorité publique indépendante instituée en vertu de l'article 51 du RGPD.
Catégories particulières de données à caractère personnel : Telles que définies à l'article 9 du RGPD, notamment les données relatives à la santé, les données biométriques ou les données relatives aux condamnations pénales.
Lois sur la protection des données : Le RGPD, le UK RGPD, le CPRA, et, le cas échéant, la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE/PIPEDA) et la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (telle que modifiée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, L.Q. 2021, c. 25, « Loi 25 »), collectivement.

2. Rôles et responsabilités

2.1 Relation entre les Parties

Le Client agit en qualité de Responsable du traitement, et Voice2Evolve agit en qualité de Sous-traitant.

2.2 Instructions du Client

Voice2Evolve traitera les données à caractère personnel uniquement sur la base des instructions documentées du Client. Si Voice2Evolve estime qu'une instruction enfreint le RGPD ou le droit applicable, elle en informera immédiatement le Client.

2.3 Périmètre et finalité

Le traitement couvre le sparring vocal par IA, la transcription, la notation et les analyses associées.

2.4 Durée

Le traitement se poursuit pendant la durée de l'Accord et prend fin lorsque toutes les données ont été restituées ou supprimées conformément à l'article 14.

2.5 Catégories particulières et données vocales

Les Services traitent de l'audio vocal en direct aux fins du sparring conversationnel, de la formation et de l'analyse basés sur l'IA. Dans le flux de service actuellement documenté, Voice2Evolve ne conserve pas l'audio brut de la session après traitement. Voice2Evolve ne traite pas de données vocales dans le but d'identifier de manière unique une personne physique (identification biométrique) au sens de l'article 9, paragraphe 1, du RGPD. En conséquence, l'audio vocal en direct traité dans le cadre du présent MDPA n'est pas considéré comme une Catégorie particulière de données à caractère personnel du seul fait qu'il s'agit de données vocales. Le Client ne doit pas soumettre aux Services des Catégories particulières de données à caractère personnel (article 9 du RGPD) sauf accord écrit express.

2.6 Prise de décision automatisée

Les Services génèrent des scores, des analyses et des retours d'information à l'aide de modèles d'IA. Ces résultats sont fournis à des fins d'information et de formation uniquement et ne produisent pas d'effets juridiques ou d'effets significatifs similaires sur les Personnes concernées au sens de l'article 22, paragraphe 1, du RGPD. Aucune décision ayant des conséquences juridiques ou équivalentes n'est prise sur la seule base d'un traitement automatisé.

2.7 Isolation des données par client

Voice2Evolve maintient des mesures techniques et organisationnelles conçues pour isoler logiquement les données à caractère personnel de chaque Client des données des autres clients. Ces mesures comprennent une authentification limitée au client, des contrôles d'accès à la base de données et des contrôles d'autorisation au niveau de l'application adaptés à l'architecture et aux risques des Services.

2.8 Contact en matière de protection des données

Le contact désigné pour toutes les questions relatives à la protection des données au titre du présent MDPA est : Voice2Evolve UG (haftungsbeschränkt) — E-mail : help@voice2evolve.com

3. Obligations du responsable du traitement

Le Client informera sans délai Voice2Evolve de toute réclamation, demande ou enquête émanant d'une Autorité de contrôle ou d'une Personne concernée et portant sur des activités de traitement réalisées dans le cadre du présent MDPA. Les deux Parties coopéreront afin d'assurer une communication cohérente et rapide avec les régulateurs et les Personnes concernées, dans le respect de la transparence et de la conformité.

Le Client doit :

S'assurer de l'existence d'une base légale pour toutes les données fournies.
Remplir les obligations d'information et de consentement envers les Personnes concernées.
Fournir des données exactes et minimisées.
Documenter ses finalités de traitement et informer Voice2Evolve de tout changement.

4. Obligations du sous-traitant (art. 28(3)(a)–(h) du RGPD) et conformité transfrontalière

Voice2Evolve respecte également les obligations équivalentes de sous-traitant au titre des lois américaines sur la protection de la vie privée, notamment le CPRA (Californie) et le CDPA (Virginie), ainsi qu'au titre des lois canadiennes sur la protection de la vie privée, notamment la LPRPDE (PIPEDA) et la Loi 25 du Québec, garantissant que les mêmes principes de protection des données, de confidentialité et de droits des consommateurs sont appliqués de manière cohérente dans toutes les juridictions.

Voice2Evolve doit :

Traiter les données à caractère personnel uniquement sur la base des instructions écrites du Client.
Assurer la confidentialité du personnel (art. 28(3)(b)).
Mettre en œuvre des mesures techniques et organisationnelles appropriées (art. 28(3)(c)).
Respecter l'autorisation relative aux sous-traitants ultérieurs et tenir à jour une liste de ceux-ci (art. 28(3)(d)).
Aider le Client à répondre aux demandes des Personnes concernées (art. 28(3)(e)).
Aider le Client dans le cadre des analyses d'impact et des consultations auprès des autorités de contrôle (art. 28(3)(f)).
Supprimer ou restituer les données après la résiliation, sauf obligation légale (art. 28(3)(g)).
Mettre à disposition toutes les informations nécessaires pour démontrer la conformité et soutenir la vérification telle que décrite à l'article 10 (art. 28(3)(h)).
Coopérer avec les autorités de contrôle.
Tenir des registres de traitement conformément à l'art. 30(2) du RGPD.

5. Sous-traitance ultérieure

Voice2Evolve peut engager des sous-traitants ultérieurs tels que listés à l'Annexe B et dans la liste publique actuelle des sous-traitants ultérieurs. Les sous-traitants ultérieurs qui traitent des données à caractère personnel pour le compte de Voice2Evolve sont soumis à des conditions écrites de traitement des données, à des garanties de transfert et à des obligations de sécurité adaptées à leur rôle de traitement. Voice2Evolve reste responsable des actes et omissions des sous-traitants ultérieurs qu'elle engage au titre du présent MDPA.

Pour éviter toute ambiguïté : lorsqu'une personne concernée choisit de s'authentifier au moyen d'un fournisseur d'identité externe (par exemple Google ou Microsoft Azure), ce fournisseur d'identité peut agir en qualité de responsable du traitement indépendant pour les traitements réalisés dans le cadre de son propre service d'authentification. Ces fournisseurs d'identité ne sont pas engagés par Voice2Evolve comme sous-traitants ultérieurs, sauf s'ils sont expressément listés à l'Annexe B pour le traitement des Données personnelles client pour le compte du Client.

5.1 Notification préalable de nouveaux sous-traitants ultérieurs

Voice2Evolve informera le Client au moins trente (30) jours calendaires avant d'autoriser un nouveau sous-traitant ultérieur à traiter des données à caractère personnel. La notification sera transmise via les coordonnées associées au compte du Client ou par le biais d'un mécanisme de notification de changement auquel le Client peut s'abonner.

5.2 Droit d'opposition

Le Client peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données, en notifiant Voice2Evolve par écrit dans le délai de préavis de trente (30) jours. Voice2Evolve fera des efforts commercialement raisonnables pour traiter l'objection, notamment en proposant un sous-traitant ultérieur ou une configuration alternative. Si Voice2Evolve ne peut pas raisonnablement satisfaire à l'objection dans un délai de trente (30) jours suivant sa réception, le Client peut résilier les Services concernés — ou, si le sous-traitant ultérieur est indispensable à l'ensemble du Service, l'Accord — sans pénalité, en adressant un avis écrit avant que le nouveau sous-traitant ultérieur ne commence à traiter les données.

6. Mesures de sécurité (art. 32 du RGPD)

Voice2Evolve maintient les Mesures de sécurité décrites à l'Annexe A, notamment :

Chiffrement des données au repos et en transit.
Contrôle d'accès basé sur les rôles et sur le principe du moindre privilège.
Authentification multifacteur.
Journalisation, surveillance et gestion des incidents.
Évaluations régulières des vulnérabilités et tests de sécurité, adaptés aux risques.
Contrôles de conservation et de suppression sécurisée décrits à la Section 14.

7. Notification de violation de données (art. 33 du RGPD)

Voice2Evolve informera le Client de toute violation de données à caractère personnel affectant les Données du Client dans les meilleurs délais après en avoir pris connaissance. La notification initiale inclura, dans la mesure du possible à ce stade, la nature de la violation, les catégories et le nombre approximatif de Personnes concernées et d'enregistrements de données à caractère personnel affectés, les conséquences probables, ainsi que les mesures prises ou envisagées pour y remédier. Lorsque des informations complètes ne sont pas encore disponibles au moment de la notification initiale, Voice2Evolve fournira les informations restantes par étapes sans nouveau délai indu.

8. Droits des personnes concernées

Vérification de l'identité des personnes concernées

Avant de donner suite à toute demande d'une Personne concernée, Voice2Evolve vérifie l'identité du demandeur conformément à l'article 12(6) du RGPD. Les méthodes de vérification peuvent inclure l'authentification via les identifiants de compte enregistré de l'utilisateur ou d'autres processus de vérification raisonnables visant à prévenir tout accès ou divulgation non autorisés de données à caractère personnel. (Art. 15–22 du RGPD)

Voice2Evolve aidera le Client à répondre aux demandes d'accès, de rectification, de limitation, de suppression, de portabilité des données ou d'opposition. Pour les demandes de portabilité des données, Voice2Evolve mettra à disposition les données à caractère personnel concernées dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV). Voice2Evolve ne répondra pas directement aux Personnes concernées sauf autorisation du Client.

9. Transferts internationaux (art. 44–49 du RGPD)

Voice2Evolve réalise des Analyses d'impact des transferts (TIA) préalablement à tout transfert international de données, conformément aux orientations du CEPD, en prenant en compte les législations en matière de surveillance, l'accès des autorités publiques et les voies de recours disponibles. Les TIA sont consignées dans nos dossiers fournisseurs et sont accessibles aux Clients sur demande légitime.

Les transferts hors de l'EEE s'appuient sur :

Les Clauses contractuelles types UE (Annexe C),
L'Addendum britannique (Annexe D), ou
Des décisions d'adéquation ou d'autres garanties légales.

Voice2Evolve s'assure que les données transférées vers des pays tiers bénéficient d'un niveau de protection équivalent à celui du RGPD.

10. Vérification de la conformité et documentation

Voice2Evolve mettra à disposition les informations raisonnablement nécessaires pour démontrer la conformité via une documentation écrite et des mesures d'assurance à distance conçues pour protéger la sécurité, la confidentialité et la vie privée des autres clients. Les inspections sur site régulières des résidences privées, des bureaux à domicile ou des installations de centres de données tiers ne sont pas proposées.

Le Client peut demander des informations relatives à la conformité annuellement ou après une violation de données à caractère personnel confirmée affectant les Données du Client.
Voice2Evolve peut satisfaire à ces demandes par des politiques, des résumés de sécurité, des réponses à des questionnaires, des résumés de rapports d'audit indépendants ou de certifications, et des sessions de clarification à distance.
Toute inspection allant au-delà de la révision documentaire ou à distance requiert l'accord écrit préalable de Voice2Evolve ou une obligation légale contraignante émanant d'une autorité de contrôle compétente.
Toute la documentation nécessaire à la démonstration de la conformité sera maintenue et fournie sur demande, sous réserve de garanties de confidentialité, de sécurité et de proportionnalité.

11. Responsabilité

La responsabilité entre les Parties découlant du présent MDPA ou s'y rapportant est régie exclusivement par la Section 11 du MSA.

Aucune disposition du présent MDPA ne limite les droits légaux des Personnes concernées ni la responsabilité qui ne peut être limitée au titre des Lois applicables sur la protection des données.

Chaque Partie reste responsable des amendes administratives, pénalités ou sanctions qui lui sont directement imposées par une Autorité de contrôle en raison de son propre non-respect des Lois applicables sur la protection des données, dans la mesure requise par le droit applicable.

12. Conformité à la protection des données en Suisse (LPD/FADP)

Voice2Evolve se conforme également à la Loi fédérale suisse sur la protection des données (LPD/FADP). Pour les transferts de données depuis la Suisse, les mêmes garanties, clauses contractuelles types et mesures de sécurité que celles prévues dans le présent MDPA s'appliquent. L'autorité de contrôle compétente pour un tel traitement est le Préposé fédéral à la protection des données et à la transparence (PFPDT).

13. Droit applicable et juridiction

Le présent MDPA est régi par le droit de la République fédérale d'Allemagne. La juridiction compétente pour tout litige est Stuttgart, Allemagne, sauf disposition impérative contraire.

14. Politique de conservation et de suppression des données

Voice2Evolve maintient des calendriers clairs de conservation et de suppression des données conformément aux articles 30 et 32 du RGPD. Toutes les données à caractère personnel sont stockées uniquement aussi longtemps que nécessaire pour accomplir les finalités du traitement ou pour satisfaire aux obligations légales. Les durées de conservation sont définies selon les critères suivants :

Transcriptions de session : Elles sont soumises au paramètre de conservation configurable du Client (7 à 365 jours ; valeur par défaut : 30 jours). À l'expiration, le Client peut choisir d'expurger le contenu de la transcription — en remplaçant les propos transcrits par une mention d'expurgation tout en conservant les métadonnées de session — plutôt que de supprimer entièrement les lignes de transcription. L'expurgation à l'expiration est activée par défaut. Sans paramètre du Client, le contenu des transcriptions est expurgé ou supprimé dans les 30 jours suivant la fin de la session. Les artefacts de traitement associés qui ne sont pas destinés à l'utilisateur sont supprimés selon le même calendrier.
Analyses et scores de session : Les scores, résultats d'analyse, métriques comportementales ainsi que les citations de transcription ou extraits probants limités nécessaires à l'affichage et à la compréhension du rapport historique sont conservés pendant la durée du compte utilisateur et supprimés lors de la suppression du compte utilisateur ou du tenant Client, sauf demande de suppression antérieure du Client ou de la Personne concernée. Ces extraits limités font partie du rapport d'analyse et ne prolongent pas la conservation de la transcription brute ni des artefacts de traitement non destinés à l'utilisateur.
Rapports d'évaluation de la qualité du service : Les rapports générés par le processus automatisé d'évaluation de la qualité du service sont conservés 30 jours puis supprimés. Ces rapports évaluent les composants du service et ne contiennent pas de données d'évaluation des utilisateurs. Voir Section 15.1.
Données agrégées anonymisées : Les données comportementales agrégées entièrement anonymisées et k-anonymes — à partir desquelles aucun individu, session ou locataire ne peut être ré-identifié — sont conservées indéfiniment car elles ne relèvent pas de la définition des données à caractère personnel au sens de l'article 4(1) du RGPD et du Considérant 26. Voir Section 15.2.
Restitution des données après résiliation : À la résiliation ou à l'expiration de l'Accord, Voice2Evolve mettra les données à caractère personnel du Client à disposition pour export pendant une période de quatre-vingt-dix (90) jours calendaires. À l'expiration de cette période de transition, Voice2Evolve supprimera ou anonymisera de manière sécurisée toutes les données à caractère personnel restantes conformément à la présente Section 14, sauf si leur conservation est requise par le droit applicable.
Données de compte utilisateur : Conservées pendant la durée du compte et supprimées de manière sécurisée dans les 30 jours suivant la clôture.
Données de paiement et de facturation : Maintenues pendant les délais légaux de conservation fiscale et comptable (généralement 6 à 10 ans) avant suppression.
Journaux d'audit et de sécurité : Conservés 90 jours sauf si une conservation plus longue est requise pour l'investigation d'incidents ou la conformité.

Voice2Evolve s'assure que toutes les suppressions utilisent des méthodes d'effacement sécurisé et que des pistes d'audit sont enregistrées pour documenter les activités de suppression. La société révise les politiques de conservation annuellement et ajuste les calendriers pour refléter les exigences réglementaires et opérationnelles en vigueur.

15. Finalités secondaires autorisées de Voice2Evolve

Nonobstant la Section 4.1, les utilisations secondaires suivantes des Données du Client sont expressément autorisées par l'Accord et ne constituent pas un traitement en dehors des instructions documentées du Client :

15.1 Évaluation de la qualité du service

Voice2Evolve exploite un processus automatisé d'évaluation de la qualité du service qui traite des transcriptions de sessions et des résultats d'analyse à l'aide de sous-traitants LLM tiers (tels que listés à l'Annexe B), uniquement dans le but de maintenir et d'améliorer la qualité technique des Services fournis au Client. Il n'évalue pas les utilisateurs individuels, ne produit aucun résultat visible par l'utilisateur et ne génère aucun score ni profil utilisateur. Les rapports d'évaluation de la qualité ne sont pas accessibles via l'application orientée client et sont supprimés dans les 30 jours.

15.2 Analyses agrégées anonymisées

Tel qu'autorisé par l'Accord et la présente Section 15.2, Voice2Evolve dérive des statistiques comportementales entièrement anonymisées et agrégées à partir des données de session pour améliorer les Services et développer des benchmarks produits. Avant l agregation, les identifiants directs et indirects sont supprimes. L'agrégation est soumise à des seuils de k-anonymat (minimum 50 sessions par groupe de dimensions) ; les groupes en dessous de ce seuil sont entièrement exclus. Une fois anonymisées selon ce standard, les données résultantes ne constituent plus des données à caractère personnel au sens de l'article 4(1) du RGPD et du Considérant 26 et ne sont pas soumises aux restrictions du présent MDPA.

ANNEXE A – MESURES DE SÉCURITÉ

(Développement détaillé conformément à l'art. 32 du RGPD)

Contrôles techniques :

Chiffrement : Les données à caractère personnel du Client sont protégées par le chiffrement en transit et au repos au moyen des capacités de chiffrement de l'infrastructure et des prestataires de services managés concernés. Les clés de chiffrement sont gérées au moyen de contrôles documentés du cycle de vie alignés sur des pratiques de sécurité reconnues.
Contrôle d'accès : Des contrôles d'accès fondés sur les rôles et le principe du moindre privilège sont utilisés pour le personnel de Voice2Evolve et les accès administratifs. L'authentification multifacteur est appliquée au niveau administratif et de l'infrastructure lorsqu'elle est prise en charge et appropriée. Les comptes des utilisateurs finaux des clients sont protégés par des contrôles sécurisés d'authentification et de gestion des sessions. Les autorisations d'accès sont examinées périodiquement et les accès pertinents pour la sécurité sont journalisés.
Journalisation et surveillance : Les événements administratifs et système pertinents pour la sécurité sont journalisés et surveillés au moyen d'une surveillance centralisée ou native du fournisseur adaptée aux risques des Services. Les journaux de sécurité sont conservés conformément à la Section 14 et examinés lorsqu'ils sont pertinents pour les opérations de sécurité et l'investigation des incidents.
Sécurité réseau : Voice2Evolve utilise une infrastructure de plateforme et de cloud managée. Les protections réseau, notamment le filtrage du trafic, la mitigation DDoS, les pare-feu, l'isolation et les contrôles associés, sont fournies en partie par les fournisseurs d'infrastructure concernés. Les accès administratifs aux plateformes des fournisseurs sont limités au personnel autorisé et protégés par authentification multifacteur lorsqu'elle est prise en charge.
Pseudonymisation : Les données analytiques et de transcription sont pseudonymisées, lorsque cela est approprié, par la séparation des identifiants et l'utilisation d'identifiants ou de jetons non sémantiques afin de réduire la possibilité de liaison directe.
Développement logiciel sécurisé : Des contrôles de sécurité sont intégrés au cycle de développement logiciel au moyen de revues de code, de la gestion des dépendances, d'analyses de vulnérabilités et de tests adaptés au changement et au risque.
Sauvegarde et récupération : Des capacités chiffrées de sauvegarde et de restauration sont maintenues pour les données de production au moyen de contrôles d'infrastructure managée. Les procédures de restauration sont documentées et les tests de restauration ou exercices de reprise après sinistre sont réalisés périodiquement selon le risque du service.

Contrôles organisationnels :

Gouvernance de la sécurité : Les politiques de sécurité de l'information et les contrôles associés sont examinés périodiquement par la direction et mis à jour lorsque des changements importants l'exigent.
Confidentialité : Le personnel et les sous-traitants ayant accès aux données à caractère personnel sont soumis à des obligations de confidentialité adaptées à leur rôle.
Formation : Les exigences de formation en matière de protection des données et de sécurité sont documentées pour le personnel ayant accès aux données à caractère personnel, et les preuves d'achèvement sont conservées lorsqu'il y a lieu.
Gestion des fournisseurs : Les sous-traitants ultérieurs font l'objet d'un examen fondé sur les risques et d'exigences contractuelles de protection des données adaptées à leur rôle de traitement.
Réponse aux incidents : Des procédures documentées couvrent la détection, l'escalade, la mitigation, la notification et la revue post-incident. Les notifications de violation de données à caractère personnel sont traitées conformément à la Section 7 et au droit applicable.
Audit et révision : Les examens internes, les revues de direction et les dossiers d'actions correctives sont conservés conformément au processus de gestion de la sécurité de la Société. Les rapports d'audit indépendants ou certifications sont examinés lorsqu'ils sont disponibles et pertinents.
Continuité des activités : Les procédures de continuité des activités et de reprise après sinistre couvrent les scénarios importants d'interruption des Services, la restauration et la réponse aux urgences selon les risques des Services.
Sécurité physique : Voice2Evolve n'exploite pas ses propres centres de données. La sécurité physique de l'infrastructure hébergée est assurée par les fournisseurs tiers concernés et examinée dans le cadre de la gestion des fournisseurs, y compris les certifications indépendantes ou rapports d'assurance disponibles lorsqu'ils sont pertinents.

ANNEXE B – SOUS-TRAITANTS ULTÉRIEURS

Voice2Evolve maintient un processus documenté pour les révisions et mises à jour régulières des sous-traitants ultérieurs et accorde aux Clients une autorisation générale de recourir à des sous-traitants ultérieurs conformément à l'article 28(2) du RGPD. Les Clients peuvent s'abonner aux notifications de changement pour recevoir un préavis raisonnable de tout nouvel engagement de sous-traitant ultérieur.

Fournisseur	Rôle	Localisation	Base juridique / Garanties
Supabase Inc.	Base de données, Authentification	UE (Stockholm, Suède — hébergement principal) ; transferts ultérieurs vers des sous-traitants aux États-Unis / Singapour	DPA Supabase + CCT + mesures supplémentaires documentées dans la TIA Supabase
OpenAI, L.L.C.	Inférence IA et traitement vocal lorsque utilisés	UE / États-Unis / international, selon la configuration du service	DPA OpenAI + CCT + garanties contractuelles et techniques supplémentaires le cas échéant
Google Cloud Platform (Google Cloud EMEA Limited / Google LLC)	Inférence IA et traitement cloud lorsque utilisés	UE / États-Unis / régions Google Cloud sélectionnées selon la configuration du service	CDPA Google Cloud + CCT + DPF le cas échéant
Microsoft Azure (Microsoft Ireland Operations Limited / Microsoft Corporation)	Inférence IA et traitement cloud lorsque utilisés	UE / États-Unis / régions Microsoft Azure sélectionnées selon la configuration du service	DPA Microsoft Products and Services + CCT + DPF le cas échéant
Stripe Payments Europe Ltd.	Paiements	UE / États-Unis	DPA RGPD + CCT
Vercel Inc.	Hébergement frontend (CDN)	UE / États-Unis (AWS + Microsoft Azure + GCP ; régions edge UE : Paris, Francfort, Suède)	CCT (Module 2, C2P) + IDTA britannique
Railway Corp. (railway.com)	Infrastructure backend	États-Unis / déploiement région UE (infrastructure sous-jacente : GCP)	DPA exécutée + CCT UE (Module 2, C2P) + DPF
Cloudflare, Inc.	Résolution DNS, Relais TURN WebRTC	UE / États-Unis	DPA RGPD + CCT
Sentry, Inc.	Surveillance des erreurs	UE / États-Unis	DPA RGPD + DPF + CCT + IDTA britannique
Rybbit	Analytique web et produit (pages d'application sélectionnées uniquement ; chemins sensibles exclus ; enregistrement de sessions non activé)	UE (EEE — Hetzner ; Cloudflare Object Storage)	DPA RGPD (acceptée par l'utilisation) + CCT
Plus Five Five, Inc. (Resend)	E-mail transactionnel	États-Unis	DPA RGPD + DPF + CCT + IDTA britannique
Anthropic PBC	Inférence IA (LLM)	États-Unis	DPA RGPD + CCT
Haufe-Lexware GmbH & Co. KG (Lexware)	Synchronisation des factures et de la comptabilité	UE (Allemagne)	DPA RGPD (AVV)

ANNEXE C – CLAUSES CONTRACTUELLES TYPES (TEXTE INTÉGRAL)

Conformément à l'article 46 du RGPD et à la Décision d'exécution de la Commission UE 2021/914, les Clauses contractuelles types (Module 2 : Responsable du traitement vers Sous-traitant) sont incorporées par renvoi dans leur intégralité et font partie intégrante du présent Accord. Le texte officiel complet est publié au Journal officiel de l'Union européenne (JO L 199, 7.6.2021, p. 31–61) et est disponible à l'adresse https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

ANNEXE I – DÉTAILS DU OU DES TRANSFERT(S)

A. Liste des parties

Exportateur de données (Responsable du traitement) : Le Client tel qu'identifié dans l'Accord.
Importateur de données (Sous-traitant) : Voice2Evolve UG (haftungsbeschränkt), immatriculée en Allemagne. Contact : help@voice2evolve.com.

B. Description du transfert

Catégories de personnes concernées : Utilisateurs finaux (employés, candidats ou autres personnes) utilisant les Services pour le compte du Client ou sur instruction de celui-ci.
Catégories de données à caractère personnel : Audio vocal en direct pendant les sessions, transcriptions de sessions, analyses et scores de sessions, données de compte utilisateur (nom, adresse e-mail), métadonnées d'utilisation et adresses IP.
Catégories particulières de données : Aucune (voir Section 2.5).
Fréquence du transfert : Continue, pour la durée de l'Accord.
Nature et finalité du traitement : (1) Fourniture de services de sparring vocal, de formation, de transcription, de notation et d'analyse basés sur l'IA, tels que décrits dans l'Accord et la Section 2.3. (2) Lorsque le Client est une agence de recrutement agissant dans le cadre de l'Avenant pour les agences de recrutement : fourniture de sessions de préparation aux entretiens assistées par IA et génération d'analyses de coaching accessibles à la fois au candidat et au Client à des fins de débriefing et de soutien à la préparation, conformément à la Section 16 du présent MDPA.
Période de conservation : Telle que précisée à la Section 14.

C. Autorité de contrôle compétente L'autorité de contrôle compétente est l'autorité de protection des données de l'État membre de l'UE dans lequel l'Exportateur de données est établi, ou — lorsque l'Exportateur de données n'est pas établi dans l'UE — l'autorité de contrôle de l'État membre dans lequel le représentant UE de l'Exportateur de données est établi. Lorsqu'aucun des deux ne s'applique, l'autorité compétente est le Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Allemagne).

Pour les Données du Client soumises au droit canadien : l'autorité compétente est le Commissariat à la protection de la vie privée du Canada (CPVP) (www.priv.gc.ca). Pour le traitement impliquant des résidents du Québec, l'autorité compétente supplémentaire est la Commission d'accès à l'information du Québec (CAI) (www.cai.quebec.ca).

ANNEXE II – MESURES TECHNIQUES ET ORGANISATIONNELLES Voir Annexe A (Mesures de sécurité)

ANNEXE III – SOUS-TRAITANTS ULTÉRIEURS Voir Annexe B (Sous-traitants ultérieurs)

ANNEXE D – ADDENDUM BRITANNIQUE (ICO)

S'applique aux transferts de données depuis le Royaume-Uni en vertu de l'Addendum approuvé par l'ICO aux CCT UE. L'Addendum assure des transferts licites au titre du UK RGPD et du Data Protection Act 2018.

Dispositions clés :

Les Clauses contractuelles types UE (Module 2) sont adoptées avec les modifications requises par l'Addendum britannique.
Les références au RGPD sont lues comme des références au UK RGPD.
Les références à l'Union européenne ou aux États membres sont interprétées comme incluant le Royaume-Uni.
L'autorité de contrôle compétente est l'Information Commissioner's Office (ICO).
Droit applicable et juridiction : Angleterre et Pays de Galles.

Ces dispositions assurent des transferts de données licites entre le Royaume-Uni et les pays tiers, conformément au droit britannique de la protection des données.

ANNEXE D.1 – ADDENDUM SUISSE (LPD/FADP)

S'applique aux transferts de données depuis la Suisse conformément à la Loi fédérale suisse sur la protection des données (LPD/FADP) et à l'Ordonnance relative à la LPD. Les mêmes Clauses contractuelles types UE (Module 2) sont adoptées pour les transferts depuis la Suisse, avec les ajustements nécessaires :

Les références au RGPD sont interprétées comme des références à la LPD/FADP.
L'autorité de contrôle compétente est le Préposé fédéral à la protection des données et à la transparence (PFPDT).
Les références aux États membres de l'UE incluent la Suisse.

Ces clauses garantissent que les transferts de données depuis la Suisse vers des pays tiers maintiennent un niveau de protection adéquat équivalent à celui requis par la LPD/FADP.

ANNEXE E – ADDENDUM SUR LA VIE PRIVÉE AUX ÉTATS-UNIS

La présente Annexe s'applique uniquement dans la mesure où les lois américaines sur la protection de la vie privée régissent l'utilisation des Services par le Client.

Voice2Evolve agit en qualité de Prestataire de services et de Sous-traitant au titre des lois américaines applicables sur la protection de la vie privée, notamment :

California Consumer Privacy Act (CCPA) tel que modifié par le California Privacy Rights Act (CPRA),
Virginia Consumer Data Protection Act (CDPA),
Colorado Privacy Act (CPA),
Connecticut Data Privacy Act (CTDPA),
et toute autre loi américaine sur la protection de la vie privée imposant à Voice2Evolve des obligations de sous-traitant ou de prestataire de services en lien avec les Services.

Au titre de ces lois, Voice2Evolve doit :

Traiter les données à caractère personnel uniquement sur la base des instructions documentées du Client et à des fins commerciales contractuelles.
Ne pas vendre, partager ni utiliser les données à caractère personnel à des fins de publicité ciblée, de profilage ou à des fins non contractuelles.
Aider le Client (Responsable du traitement) à répondre aux demandes vérifiées de droits des consommateurs, notamment les droits d'accès, de correction, de suppression, de portabilité et d'opposition à la publicité ciblée.
S'assurer que tout transfert ultérieur de données à caractère personnel respecte les exigences applicables des lois sur la protection de la vie privée et les garanties contractuelles.
Mettre en œuvre des pratiques de sécurité raisonnables adaptées à la sensibilité des données à caractère personnel.
Maintenir la documentation des activités de traitement et des évaluations de protection des données lorsque la loi l'exige.
Notifier sans délai le Client de toute violation de données, plainte ou demande relative à la conformité au CDPA ou au CPRA.
Permettre au Client de vérifier la conformité par le biais de la documentation écrite et de mesures d'assurance à distance, sous réserve de la Section 10.
Supprimer ou restituer les données à caractère personnel sur demande ou à la résiliation de l'Accord, sauf si leur conservation est requise par la loi.

La conservation des données reste limitée à la durée du service ou aux obligations légales. Voice2Evolve confirme sa conformité à toutes les réglementations américaines applicables sur la protection de la vie privée régissant son rôle de Sous-traitant/Prestataire de services.

Illinois Biometric Information Privacy Act (BIPA) - Note de périmètre : Les fonctionnalités vocales de Voice2Evolve sont limitées à l IA conversationnelle et au traitement parole-vers-texte. Voice2Evolve n effectue pas d identification du locuteur et ne traite pas les données vocales pour identifier une personne physique de manière unique. Voice2Evolve obtient le consentement explicite de l utilisateur avant le début de chaque session vocale.

ANNEXE F – ADDENDUM CANADIEN SUR LA VIE PRIVÉE

La présente Annexe s'applique dans la mesure où le droit fédéral ou provincial canadien sur la protection de la vie privée régit l'utilisation des Services par le Client ou le traitement des données à caractère personnel par Voice2Evolve pour le compte du Client.

F.1 Lois applicables

Le présent Addendum traite des obligations au titre de :

LPRPDE/PIPEDA — la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (L.C. 2000, ch. 5), telle que modifiée ;
Loi 25 du Québec — la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (RLRQ c P-39.1), telle que modifiée par L.Q. 2021, c. 25 ;
la Personal Information Protection Act (PIPA, SA 2003, c P-6.5) de l'Alberta et la Personal Information Protection Act (PIPA, SBC 2003, c 63) de la Colombie-Britannique, dans la mesure applicable.

F.2 Rôles

Voice2Evolve agit en qualité d'organisation traitant des renseignements personnels pour le compte du Client (en tant que Responsable du traitement) conformément aux instructions documentées du Client, en cohérence avec les rôles définis à la Section 2 du présent MDPA.

F.3 Obligations au titre de la LPRPDE (PIPEDA)

Voice2Evolve doit, en ce qui concerne les renseignements personnels de résidents canadiens :

Collecter, utiliser et divulguer les renseignements personnels uniquement aux fins identifiées auprès du Client et uniquement avec son autorisation, conformément aux principes d'identification des fins et de limitation de la collecte de la LPRPDE.
Mettre en œuvre des mesures de protection techniques et organisationnelles appropriées, proportionnées à la sensibilité des renseignements personnels, conformément au principe des mesures de protection de la LPRPDE et aux mesures prévues à l'Annexe A.
Conserver les renseignements personnels uniquement aussi longtemps que nécessaire pour accomplir les fins pour lesquelles ils ont été collectés, conformément au principe de limitation de l'utilisation, de la communication et de la conservation de la LPRPDE et au calendrier de conservation de la Section 14.
Aider le Client à satisfaire aux demandes d'accès et de correction de résidents canadiens dans un délai raisonnable, conformément aux Principes 9 et 10 de la LPRPDE.
Notifier le Client dès que possible après la découverte d'une atteinte à la protection des renseignements personnels lorsqu'il est raisonnable de croire que l'atteinte crée un risque réel de préjudice grave pour une personne, conformément aux exigences de notification de violation de la LPRPDE (art. 10.1 à 10.3 LPRPDE). Voice2Evolve conservera les registres de toutes ces atteintes pendant une période minimale de deux (2) ans.
S'assurer que tout transfert ultérieur de renseignements personnels de résidents canadiens vers des sous-traitants est soumis à des protections contractuelles équivalentes à celles du présent MDPA.

F.4 Obligations supplémentaires au titre de la Loi 25 du Québec

En plus des obligations prévues à F.3, pour les renseignements personnels de résidents du Québec, Voice2Evolve doit :

Traiter les renseignements personnels uniquement aux fins spécifiques communiquées au Client, conformément aux exigences de limitation des finalités de la Loi 25.
Coopérer avec le Client pour répondre aux demandes de déindexation (droit de rendre des informations moins accessibles) et de portabilité des données (remise des renseignements personnels dans un format technologique structuré et couramment utilisé) de résidents du Québec, dans la mesure techniquement faisable.
Notifier le Client de tout incident de confidentialité (atteinte à la protection des renseignements personnels) impliquant des renseignements personnels de résidents du Québec sans délai indu, permettant au Client de remplir ses propres obligations de notification envers la Commission d'accès à l'information (CAI) et les personnes concernées, le cas échéant, en vertu de la Loi 25.
Appliquer la minimisation des données et la limitation des finalités conformément aux exigences de la Loi 25 pour tout traitement automatisé de renseignements personnels de résidents du Québec.

F.5 Sous-traitants ultérieurs

Les sous-traitants ultérieurs listés à l'Annexe B qui traitent des renseignements personnels de résidents canadiens le font en vertu de clauses contractuelles imposant des obligations de protection des données matériellement équivalentes à celles du présent Addendum. Voice2Evolve reste responsable des actes et omissions de ses sous-traitants ultérieurs concernant un tel traitement.

F.6 Autorité compétente

Les litiges ou plaintes relatifs au traitement de renseignements personnels de résidents canadiens en vertu du présent Addendum peuvent être adressés au Commissariat à la protection de la vie privée du Canada (CPVP) (www.priv.gc.ca) ou, pour les résidents du Québec, à la Commission d'accès à l'information du Québec (CAI) (www.cai.quebec.ca), en plus de tout droit prévu dans le corps principal du présent MDPA.

16. Traitement par les agences de recrutement

La présente section s'applique lorsque le Client est une agence de recrutement, un cabinet de chasseurs de têtes, un cabinet de conseil en recrutement ou une entreprise de travail temporaire utilisant les Services pour soutenir la préparation et le coaching de candidats dans le cadre de l'Avenant pour les agences de recrutement au MSA.

16.1 Nature des personnes concernées

Dans le modèle agence de recrutement, les personnes concernées (candidats) sont des tiers qui n'ont pas directement contracté avec Voice2Evolve. Il s'agit de personnes invitées par le Client (en tant que Responsable du traitement) à utiliser les Services sur instruction du Client. Le Client reste le Responsable du traitement pour toutes les données personnelles traitées dans ce contexte.

16.2 Obligation de notice de confidentialité candidat

Le Client, en tant que Responsable du traitement, doit fournir à chaque candidat une notice de confidentialité conforme à l'article 13 du RGPD avant le début de toute session, conformément à l'Avenant pour les agences de recrutement. Voice2Evolve met à disposition un modèle de notice de confidentialité candidat à l'adresse https://voice2evolve.com/legal/candidate-privacy-notice-template.

16.3 Base légale

Le Client doit identifier et documenter une base légale au titre de l'article 6 du RGPD et, le cas échéant, toute condition nationale supplémentaire applicable aux données d'emploi, telle que le §26 al. 1 BDSG, pour le traitement des données personnelles des candidats via les Services. Le consentement seul peut être insuffisant dans les contextes de recrutement lorsque le droit applicable le considère comme peu fiable en raison du déséquilibre entre recruteur et candidat. Le Client ne doit pas instruire Voice2Evolve de traiter des données de candidats sans base légale documentée.

16.4 Droits des personnes concernées — Accès des candidats

Voice2Evolve assiste techniquement le Client dans le traitement des demandes d'exercice de droits des candidats au titre des articles 15 à 22 du RGPD, conformément à la section 8 du présent MDPA. Voice2Evolve ne répond pas directement aux candidats ; toutes les réponses relatives aux droits sont coordonnées avec le Client en tant que Responsable du traitement et émises par ce dernier.

16.5 Transparence au titre de l'article 22 du RGPD

Les analyses de coaching IA produites par les Services constituent du profilage au sens de l'article 4, point 4 du RGPD. Voice2Evolve affichera sur la page d'analyse accessible au candidat une brève mention indiquant que le rapport de coaching est également visible par le Client (recruteur) à des fins de soutien à la préparation. Cette mention soutient les obligations de transparence du Client au titre de l'article 22, paragraphe 3 du RGPD.

16.6 Finalité de traitement supplémentaire

Aux fins de l'Annexe C (Annexe I des CCT) et de tout AIPD applicable, la finalité de traitement supplémentaire suivante s'applique dans le modèle agence de recrutement : fourniture de sessions de préparation aux entretiens assistées par IA organisées par un Client agence de recrutement ; génération d'analyses de coaching IA (audio vocal en direct pendant les sessions, transcriptions, scores de session, recommandations d'amélioration) accessibles à la fois au candidat et au Client à des fins de débriefing et de soutien à la préparation, conformément à la section 16 du présent MDPA.

16.7 Disponibilité linguistique

Le présent MDPA est actuellement publié en anglais, allemand et français. Les versions en italien et en espagnol n'existent pas encore. Les clients agences de recrutement dont la langue principale de contractualisation est l'italien ou l'espagnol doivent utiliser la version anglaise, qui prévaut conformément à la clause de langue contractuelle du présent MDPA.

Le présent MDPA est conclu par voie électronique et fait partie intégrante de l'Accord. Il devient juridiquement contraignant lors de l'acceptation de l'Accord par le Client par voie électronique, notamment via une case à cocher ou un mécanisme similaire.