Ce que nos assistantes font — et ne font pas — avec vos données

1. Transparence IA : vous savez que c'est une IA (AI Act, article 50)

Depuis le 2 août 2026, toute personne qui parle à un système d'IA doit en être informée clairement, dès le début. C'est une règle du règlement européen sur l'IA (l'AI Act, art. 50 §1). Il n'y a pas d'exception pour les PME, et une phrase dans des conditions générales ne suffit pas.

Chez Secondia : l'assistante téléphonique se présente comme « assistante IA de [votre entreprise] » dès sa première phrase, sans prénom humain. Le chat de ce site se présente comme une IA. Les emails préparés par une assistante (relances, réponses) l'indiquent aussi. Ces mentions ne sont jamais retirées pour « faire plus humain ».

2. Aucun enregistrement audio, par conception

En Belgique, enregistrer une conversation téléphonique sans l'accord de tous les participants est interdit (art. 314bis du Code pénal et art. 124 de la loi sur les communications électroniques), sauf rares exceptions prévues par la loi. L'Autorité de protection des données (l'organisme belge qui veille au respect de la vie privée) a rappelé qu'un simple message d'accueil ne vaut pas accord.

Secondia n'enregistre donc aucun fichier audio des appels. Ce n'est pas une option désactivée : c'est la façon dont le service est construit. L'assistante produit seulement une transcription (le texte de la conversation) et un résumé. Ils servent à vous transmettre le message et à vous laisser vérifier ce qui a été dit.

3. Conservation : 30 jours

Les transcriptions et les résumés d'appels sont gardés 30 jours à partir de l'appel, puis supprimés. Ce délai vous laisse le temps de traiter un message, de vérifier une consigne ou de nous signaler une erreur. Il est le même pour tous les clients.

Les autres données (compte client, factures suivies, historique des relances, journal d'activité) suivent les durées fixées dans l'accord de traitement des données (DPA). À la fin du contrat, elles sont supprimées ou vous sont rendues sous 30 jours, sauf obligation légale de les conserver.

4. Base légale (pourquoi la loi l'autorise) et rôles

Pour les données des personnes qui appellent et de celles qui reçoivent un rappel de facture, votre entreprise est le « responsable de traitement » (c'est elle qui décide pourquoi et comment ces données sont utilisées). Secondia est le « sous-traitant » (art. 28 RGPD) : nous traitons ces données pour votre compte, uniquement selon vos consignes écrites.

La « base légale » est la raison qui rend ce traitement légal. C'est vous qui la choisissez ; les plus courantes sont l'exécution du contrat avec votre client (prise de message, rendez-vous, rappel d'une facture due) et votre intérêt légitime (assurer l'accueil téléphonique de votre activité).

Aucune donnée de santé n'est traitée : ni motif de consultation, ni symptôme, ni diagnostic. Cette limite est écrite dans le contrat (DPA §3, CGV §9) et guide la conception des assistantes, en particulier pour les cabinets médicaux.

5. Droits des personnes

Toute personne dont la voix a été transcrite, ou qui a reçu un rappel de facture, peut demander à voir ses données, les corriger, les effacer, en limiter l'usage ou s'y opposer (art. 15 à 21 RGPD). Elle s'adresse d'abord à l'entreprise cliente. Secondia l'aide, et peut aussi être contactée directement à contact@secondia.app : réponse sous 24 h ouvrées, traitement dans le délai légal d'un mois.

En cas de désaccord, une plainte peut être déposée auprès de l'Autorité de protection des données (autoriteprotectiondonnees.be).

6. Sous-traitants

Un « sous-traitant ultérieur » est une entreprise à qui Secondia confie une partie du travail (hébergement, paiement…). Seuls ceux listés à l'article 6 du DPA sont autorisés. Si un fournisseur de téléphonie ou de voix est nécessaire, il est nommé dans votre contrat. Tout changement vous est annoncé, et Secondia reste responsable de ses sous-traitants.

Quand un sous-traitant traite des données hors de l'Union européenne, le transfert est encadré par des règles types approuvées par l'UE (clauses contractuelles types) ou par une décision de l'UE qui reconnaît le pays comme sûr (décision d'adéquation). Les données sont hébergées dans l'UE chaque fois que c'est possible.

• Vercel — hébergement applicatif
• Supabase — base de données (UE)
• Stripe — paiement
• Anthropic — modèles d'IA
• Resend — emails transactionnels
• + le fournisseur de téléphonie/voix nommé dans votre contrat, le cas échéant

7. Sécurité et incidents

Les échanges sont chiffrés pendant leur transfert (illisibles pour un tiers), l'accès est contrôlé, les actions sont notées dans un journal et les données de chaque client sont séparées. Les messages entrants sont filtrés contre les tentatives de piéger l'assistante et contre la saisie de coordonnées bancaires (IBAN). En cas de fuite de données, Secondia prévient le client dans le délai prévu au DPA, pour qu'il puisse respecter ses propres obligations.