Responsable du traitement
En bref :
- vos données ne sont jamais vendues et ne servent jamais à entraîner des modèles tiers ;
- hébergement et traitement au sein de l'Union européenne, chiffrement en transit et au repos ;
- aucun cookie publicitaire ni traceur à des fins de ciblage publicitaire ;
- vos droits RGPD sont exerçables à tout moment auprès de rgpd@qencia.com.
Le responsable du traitement des données collectées via le site qencia.com est la société Qencia (SAS, RCS Toulouse 993 262 054), dont le siège est situé 55 avenue Louis Bréguet, 31400 Toulouse.
Dans le cadre de la fourniture de sa plateforme à ses clients professionnels, Qencia agit en qualité de sous-traitant au sens de l'article 28 du RGPD : elle traite les données des contacts de ses clients sur instruction et pour le compte de ceux-ci, qui demeurent responsables de traitement. La présente politique décrit principalement les traitements pour lesquels Qencia agit en tant que responsable (visiteurs et prospects du site).
Contact protection des données : rgpd@qencia.com.
Qencia n'a pas d'obligation légale de désigner un Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD ; l'adresse ci-dessus reste le point de contact dédié à la protection des données. Qencia tient un registre des activités de traitement conformément à l'article 30 du RGPD, et a réalisé une analyse d'impact relative à la protection des données (AIPD) pour le traitement conversationnel assisté par intelligence artificielle.
Données que nous traitons
Lorsque vous utilisez le site et nos canaux de contact
- Données d'identification et de contact : nom, prénom, numéro de téléphone, adresse e-mail, société — que vous nous communiquez (demande de démo, prise de rendez-vous, échange WhatsApp).
- Données d'échange : contenu des messages que vous nous adressez et de nos réponses.
- Données techniques strictement nécessaires au fonctionnement du site.
Lorsque nous traitons des contacts pour le compte de nos clients
Pour le compte de nos clients responsables de traitement, la plateforme traite :
- données d'identification : nom, prénom, numéro de téléphone, adresse e-mail ;
- données conversationnelles : messages envoyés et reçus, réponses, intentions détectées, horodatage ;
- données contextuelles : source du contact, campagne d'origine, statut dans le parcours, historique des interactions ;
- données déclaratives de qualification : projet, budget déclaré, délai envisagé, préférences exprimées ;
- données techniques : identifiants internes, journaux d'accès et d'interaction.
Aucune donnée sensible au sens de l'article 9 du RGPD (santé, origine, opinions politiques, convictions religieuses, appartenance syndicale, données biométriques ou génétiques, orientation sexuelle) n'est sollicitée ni traitée.
Finalités et bases légales
- Répondre à vos demandes (démo, contact, rendez-vous) — base légale : votre consentement et/ou l'intérêt légitime de Qencia à traiter votre demande.
- Fournir et exécuter la plateforme pour le compte de nos clients — base légale : l'exécution du contrat conclu avec le client responsable de traitement, qui s'assure de disposer d'une base légale valable pour les contacts traités.
- Améliorer nos services — uniquement à partir de données anonymisées de façon irréversible ou agrégées ; ces données ne sont jamais revendues.
- Mesurer l'audience et l'usage du site (statistiques de fréquentation, usage de certaines fonctionnalités) — base légale : intérêt légitime de Qencia, sans finalité publicitaire ni croisement avec d'autres sites. Vous pouvez vous y opposer à tout moment (voir « Vos droits »).
- Respecter nos obligations légales (comptables, fiscales) — base légale : obligation légale.
Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles ne sont communiquées qu'aux prestataires techniques strictement nécessaires à la fourniture du service, soumis par contrat à des obligations de protection équivalentes :
- 360dialog GmbH (Berlin, Allemagne) — relais technique officiel de la WhatsApp Business API. Traitement en UE.
- Meta Platforms Ireland Ltd (Dublin, Irlande) — opérateur de la WhatsApp Business Platform ; traite uniquement les métadonnées d'acheminement (numéros, horodatages, statuts de livraison) et n'accède pas au contenu des messages. Traitement en UE.
- Mistral AI SAS (Paris, France) — modèles de langage des agents conversationnels. Traitement en UE.
- OVH SAS (OVHcloud) (Roubaix, France) — hébergement et infrastructure cloud. Traitement en UE.
- o2switch SAS (Clermont-Ferrand, France) — hébergement web. Traitement en France.
- PostHog (hébergé dans l'Union européenne) — mesure d'audience et analyse produit de première partie. Traitement en UE.
Les responsables de traitement concernés sont informés au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur.
Hébergement et transferts hors Union européenne
Qencia privilégie un hébergement et un traitement des données au sein de l'Union européenne. À ce jour, l'ensemble des sous-traitants listés ci-dessus opère au sein de l'UE/EEE, et le routage des messages WhatsApp s'appuie sur l'entité européenne de Meta (Irlande), sans transfert hors UE/EEE.
Pour tout transfert éventuel hors UE/EEE, Qencia s'appuierait sur une décision d'adéquation de la Commission européenne ou sur les Clauses Contractuelles Types 2021/914, complétées le cas échéant de mesures supplémentaires.
Durées de conservation
- Demandes de contact / prospects : le temps nécessaire au traitement de votre demande, puis jusqu'à 3 ans à compter du dernier contact à des fins de prospection.
- Contacts en cours de qualification (pour le compte des clients) : pendant la durée de la campagne, puis selon les instructions du client responsable de traitement.
- Journaux techniques et de sécurité : 12 mois.
- Données de facturation : 10 ans (obligation comptable et fiscale).
- Données de mesure d'audience (PostHog) : 13 mois maximum, conformément aux recommandations de la CNIL.
Les sauvegardes sont purgées selon leur cycle de rotation, dans un délai maximal de 90 jours.
Suppression de l'ensemble des données à la demande d'un client
Un client professionnel de Qencia peut demander la suppression complète de l'ensemble des données traitées pour son compte sur la plateforme, en écrivant àrgpd@qencia.com. Cette suppression totale n'est exécutée qu'après la rupture préalable du contrat liant Qencia au client concerné : pendant l'exécution du contrat, seules des demandes de suppression portant sur des données individuelles peuvent être traitées, la suppression de l'intégralité de la base rendant le Service inutilisable.
Une fois le contrat résilié, cette suppression complète est exécutée dans un délai de7 jours à compter de la demande — ou, à défaut de demande expresse, à l'issue du délai de récupération des données de trente jours prévu par nosConditions Générales de Vente. Les sauvegardes concernées sont ensuite purgées selon leur cycle de rotation habituel, dans la limite de 90 jours.
Sécurité des données
Qencia met en œuvre des mesures techniques et organisationnelles appropriées, notamment :
- chiffrement des données en transit (TLS 1.2+) et au repos (AES-256) ;
- authentification forte (MFA) pour les administrateurs et principe du moindre privilège ;
- cloisonnement logique des données entre clients (isolation multi-tenant) ;
- journalisation des accès, supervision et alerting de sécurité ;
- sauvegardes chiffrées quotidiennes et tests de restauration ;
- revue de code, gestion des vulnérabilités et tests d'intrusion périodiques ;
- filtrage des entrées/sorties des modèles d'IA ; absence d'entraînement de modèles de tiers sur les données clients ;
- procédure documentée de gestion des incidents et plan de reprise d'activité ;
- hébergement assuré par des prestataires certifiés (ISO/IEC 27001, et le cas échéant HDS).
Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment à la prospection et aux relances) et de portabilité de vos données, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Vous pouvez exercer ces droits, y compris demander la suppression de vos données, à tout moment, en écrivant à rgpd@qencia.com (ousecurity@qencia.com). Nous répondons dans un délai d'un mois à compter de la réception de votre demande, pouvant être porté à trois mois pour les demandes complexes ou nombreuses ; en pratique, les demandes de suppression sont traitées le plus rapidement possible. Lorsque vos données sont traitées pour le compte d'un de nos clients, votre demande est transmise à ce dernier, responsable de traitement, avec notre assistance technique.
Vous pouvez également introduire une réclamation auprès de la CNIL(www.cnil.fr).
Violations de données
En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, Qencia applique les procédures du RGPD : notification au responsable de traitement concerné dans les 48 heures suivant sa prise de connaissance, et assistance à la notification à la CNIL dans les 72 heures lorsqu'elle est requise.
Modifications et contact
La présente politique peut être mise à jour pour refléter les évolutions légales ou de nos services ; la date figure en haut de page. Pour toute question :rgpd@qencia.com ou par courrier à Qencia — 55 avenue Louis Bréguet, 31400 Toulouse.