Politique de confidentialité

Préambule

SYLEN SAS (ci-après « Sylen », « nous » ou « notre ») accorde la plus grande importance à la protection de vos données personnelles. La présente Politique de confidentialité (ci-après « PC ») décrit de manière transparente comment nous collectons, utilisons, partageons et conservons vos données dans le cadre du site sylen.ai et de l'application app.sylen.ai.

Elle s'applique à trois catégories de personnes :

• les clients professionnels souscrivant aux services Sylen et leurs utilisateurs ;
• les visiteurs du site sylen.ai ;
• les appelants dont les communications sont traitées par l'agent IA configuré par un client Sylen.

01Responsable du traitement

Le responsable du traitement des données collectées via le site sylen.ai et l'application app.sylen.ai est :

SYLEN SAS n'est pas soumise à l'obligation de désigner un Délégué à la Protection des Données au sens de l'article 37 du RGPD. Les questions RGPD sont traitées par un point de contact dédié (contact@sylen.ai). SYLEN SAS réévaluera la nécessité de désigner un DPO indépendant en cas d'évolution de son activité susceptible de la rendre obligatoire au titre de l'article 37.1.b du RGPD.

02Qualification des rôles

Selon la nature des données concernées, Sylen agit alternativement comme responsable du traitement ou sous-traitant :

Pour les données traitées au titre de la sous-traitance, les conditions sont régies par le Data Processing Agreement (DPA), faisant partie intégrante des CGV et accepté par le Client à la souscription.

03Données collectées

3.1 Données du Compte Client

• Identité : nom, prénom, fonction
• Coordonnées professionnelles : email, numéro de téléphone
• Informations entreprise : raison sociale, adresse, SIRET, TVA
• Données de facturation : adresse de facturation, identifiant Stripe Customer (les données bancaires complètes ne sont jamais accessibles à Sylen, elles sont gérées par Stripe)
• Identifiants de connexion : email, mot de passe haché, jeton 2FA
• Logs techniques : adresse IP, date/heure de connexion, navigateur, journal d'activité

3.2 Données liées au service

• Configuration de l'agent : prompt système, voix sélectionnée, plages horaires, règles métier, intégrations
• Numéros de téléphone attribués au Client
• Calendrier (si intégration activée) : événements et créneaux de disponibilité

3.3 Données liées aux appels

• Métadonnées : numéro de l'appelant, horodatage, durée, statut (répondu/manqué/transféré)
• Transcription textuelle de la conversation (échanges entre l'IA et l'appelant)
• Résumé automatique et intention détectée (ex : prise de RDV, demande d'information)
• Nom de l'appelant tel que communiqué oralement, et coordonnées le cas échéant
• Rendez-vous créés par l'agent
• SMS de rendez-vous envoyés à l'appelant qui l'a accepté pendant l'appel : numéro, texte, date, statut

3.4 Données de navigation (site sylen.ai)

• Adresse IP, type de navigateur, système d'exploitation, pages consultées, durée de visite
• Données de cookies et traceurs (voir Politique de cookies)

3.5 Programme d'affiliation

• Pour le programme d'affiliation : données d'identification et de facturation des affiliés, code d'affilié associé à une souscription, clics enregistrés avec empreintes chiffrées d'adresse IP et de navigateur (voir la section « Programme d'affiliation » ci-dessous).

3.6 Catégories de données particulières

Sylen ne collecte ni ne traite intentionnellement aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, religion, vie sexuelle, etc.). Le Client est contractuellement tenu, en application des CGV, de ne pas configurer son agent pour collecter ce type de données auprès des appelants.

Professionnels de santé. Sylen n'étant pas certifié hébergeur de données de santé, les comptes de professionnels de santé bénéficient d'une minimisation renforcée : l'agent ne recueille que les informations administratives, aucune transcription ni aucun enregistrement audio n'est conservé, ni chez Sylen ni chez le prestataire de la voix, et le contenu des appels, des messages et des rendez-vous passés est effacé au bout de 30 jours.

04Finalités et bases légales

05Sous-traitants techniques

Sylen fait appel à des sous-traitants techniques pour la fourniture du Service. Chaque sous-traitant est encadré par un contrat de sous-traitance conforme à l'article 28 du RGPD.

Les affiliés du programme d'affiliation ne reçoivent aucune donnée nominative sur les clients. Nos prestataires techniques (hébergement, paiement, courriels) interviennent pour le programme comme pour le reste du service.

Les outils propres à la prospection commerciale de Sylen ne servent pas au Service : ils sont listés à part, en section 13.

La liste à jour des sous-traitants est tenue à disposition à contact@sylen.ai. Toute modification substantielle (ajout d'un nouveau sous-traitant traitant des données du Client) est notifiée aux clients par email avec un préavis raisonnable.

06Transferts hors Union européenne

6.1 Les données du Service sont stockées dans l'Union européenne : base de données Supabase en Irlande, application exécutée par Vercel à Paris, serveur vocal Railway aux Pays-Bas, appels de la plupart des numéros traités par Twilio en Irlande. En revanche, certains traitements ont lieu hors de l'EEE, principalement aux États-Unis : le moteur vocal (ElevenLabs), qui traite l'audio des appels et produit la transcription et la réponse de l'agent ; l'analyse des textes (OpenAI), qui rédige notamment le résumé de chaque appel ; l'envoi des SMS et les appels de certains numéros (Twilio) ; l'envoi des emails (Resend). Les sociétés américaines qui exploitent Vercel, Railway et Twilio, et la société singapourienne qui exploite Supabase, peuvent en outre accéder aux données à des fins d'exploitation et de support. Telegram, établi hors de l'Union européenne, ne reçoit que les alertes internes décrites au §5.

6.2 Ces transferts sont encadrés par les garanties prévues aux articles 44 à 46 du RGPD, indiquées pour chaque sous-traitant dans le tableau de la section 05, à savoir :

• les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (décision 2021/914) ;
• le Data Privacy Framework UE-États-Unis lorsque le sous-traitant est certifié ;
• des mesures techniques et organisationnelles complémentaires (chiffrement TLS en transit, chiffrement au repos, contrôles d'accès stricts).

6.3 Une copie des garanties applicables (clauses contractuelles types, références de certification) peut être obtenue sur simple demande à contact@sylen.ai.

07Durées de conservation

Sylen applique une politique de rétention différenciée selon la nature des données. Un cron quotidien automatise les suppressions et anonymisations.

7.1 Suppression post-résiliation

Après résiliation effective du Contrat :

• 30 jours : période d'export à disposition du Client (téléchargement complet des données depuis l'espace personnel) ;
• au-delà : suppression automatique des transcriptions, messages, rendez-vous, intégrations et paramètres, et anonymisation des appels ;
• les données de facturation et obligations légales sont conservées le temps requis par la loi.

08Sécurité des données

Sylen met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, altération ou destruction :

• Chiffrement en transit (TLS 1.2+) sur l'ensemble des communications site, application et API ;
• Chiffrement au repos des données stockées en base ;
• Authentification renforcée : mots de passe hachés (bcrypt), double authentification (2FA) disponible sur tous les comptes ;
• Contrôles d'accès stricts avec Row Level Security (RLS) au niveau de la base de données ;
• Tokens HMAC pour l'authentification des connexions WebSocket temps réel ;
• Headers de sécurité : HSTS, X-Frame-Options, X-Content-Type-Options, Content-Security-Policy ;
• Limitation de débit (rate limiting) sur les endpoints sensibles ;
• Sauvegardes automatiques quotidiennes de la base de données ;
• Surveillance et journalisation des accès administrateurs ;
• Sensibilisation interne à la protection des données.

8.1 Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Sylen s'engage à :

• notifier la CNIL dans les 72 heures conformément à l'article 33 du RGPD ;
• informer les personnes concernées dans les meilleurs délais lorsque le risque est élevé (article 34 RGPD).

09Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement / « droit à l'oubli » (art. 17) : demander la suppression de vos données dans les conditions prévues par la loi
• Droit à la limitation du traitement (art. 18) : suspendre temporairement le traitement
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement
• Droit d'opposition (art. 21) : vous opposer au traitement pour des motifs tenant à votre situation particulière, notamment en matière de prospection commerciale
• Droit de retirer votre consentement à tout moment, lorsque le traitement repose sur le consentement
• Droit de définir des directives post-mortem relatives au sort de vos données après votre décès

L'exercice de ces droits est gratuit. Sylen pourra demander une preuve d'identité en cas de doute raisonnable sur l'identité du demandeur, conformément à l'article 12 du RGPD.

10Comment exercer vos droits

Pour exercer vos droits, plusieurs canaux sont à votre disposition :

• Depuis votre espace client app.sylen.ai :
  • Modification de vos informations personnelles via la page Profil
  • Export complet de vos données via la fonction Exporter mes données dans votre espace client (format ZIP, droit à la portabilité, article 20 du RGPD)
  • Suppression de votre compte via la page Profil → Supprimer mon compte
• Par email : contact@sylen.ai en précisant l'objet de votre demande
• Par courrier postal : SYLEN SAS - Référent RGPD - 31 rue de Turique, 54000 Nancy, France

10.1 Spécificité - droits des appelants

Pour les appelants dont les conversations ont été traitées par un agent IA d'un Client Sylen, l'exercice des droits doit être adressé en priorité au Client qui les a collectées (le responsable du traitement). Sylen, en qualité de sous-traitant, transmettra toute demande reçue au Client concerné dans les meilleurs délais et l'assistera dans la mise en œuvre.

11Cookies et traceurs

L'utilisation de cookies et traceurs sur sylen.ai et app.sylen.ai est décrite en détail dans la Politique de cookies.

Vous pouvez à tout moment modifier vos préférences via le lien « Gérer les cookies » en pied de page.

11.1 Mesure d'audience anonyme de sylen.ai (sans cookie, sans consentement)

Le site sylen.ai compte ses visites avec un compteur interne que nous exploitons nous-mêmes. Il ne dépose aucun cookie et n'écrit rien dans votre navigateur.

• Ce qui est compté. La page vue, le nom de domaine du site d'où vous venez, le type d'appareil (ordinateur, mobile ou tablette), le pays et, si vous arrivez d'une annonce, les paramètres utm_source, utm_medium, utm_campaign, utm_content et utm_term du lien (jamais d'identifiant de clic comme gclid). Les clics sur un numéro de téléphone et sur un bouton d'inscription sont comptés sans aucune information sur la personne qui clique.
• Ce qui n'est jamais conservé. Votre adresse IP et votre navigateur. Ils servent, en mémoire et le temps de la requête, à calculer un identifiant de visiteur valable une seule journée (HMAC-SHA-256 avec une clé secrète changée chaque jour). Il ne peut pas être recalculé sans la clé ni relié d'un jour à l'autre, et ne sert qu'à ne pas compter deux fois la même visite dans la journée.
• Durées. Toutes les heures, les visites de plus de 24 heures sont réduites en totaux par jour et par page, et l'identifiant du jour est effacé. Les totaux sont conservés 25 mois au plus.
• Base légale et limites. Intérêt légitime (article 6.1.f du RGPD) de Sylen à connaître la fréquentation de son site et l'efficacité de ses annonces. La mesure sert uniquement le site de Sylen, pour son propre compte ; elle n'est recoupée avec aucune autre donnée, n'est transmise à aucun tiers pour son propre compte et ne suit personne d'un site à l'autre. À ces conditions, elle relève des mesures d'audience dispensées de consentement par les lignes directrices de la CNIL (délibération n° 2020-091 du 17 septembre 2020).
• S'y opposer. Si votre navigateur envoie « Ne pas me suivre » (DNT) ou « Global Privacy Control », votre visite n'est pas comptée. Vous pouvez aussi écrire à contact@sylen.ai. Les données conservées ne permettant plus d'identifier une personne, nous ne pouvons pas retrouver ni effacer une visite en particulier.

11.2 Mesure d'audience avec Google Analytics 4 (avec votre consentement)

C'est une autre mesure, distincte de la précédente : Google Analytics 4 dépose des cookies et n'est actif que si vous acceptez la catégorie « Mesure d'audience » du bandeau. Le détail est dans la Politique de cookies.

12Programme d'affiliation

Sylen propose à des professionnels indépendants (les « affiliés ») de recommander son service et d'être rémunérés par une prime pour chaque nouveau client apporté. Ce programme implique trois catégories de personnes : les affiliés, les visiteurs qui arrivent par le lien d'un affilié, et les clients dont la souscription est attribuée à un affilié.

12.1 Si vous êtes affilié

Nous traitons votre identité (nom ou dénomination, représentant légal), vos coordonnées, votre numéro SIRET, votre régime de TVA, votre relevé d'identité bancaire et les derniers caractères de votre IBAN, les supports que vous utilisez, la preuve de votre acceptation du contrat (version, date, heure, adresse IP, navigateur), vos relevés et vos factures. Nous les traitons pour gérer le programme, vous attribuer un code et un lien, calculer et vous payer vos primes, émettre vos factures en votre nom (autofacturation), et respecter nos obligations comptables et fiscales (déclaration des honoraires, vigilance sociale). Bases légales : l'exécution du contrat d'affiliation et nos obligations légales. Vos données sont transmises, pour ces finalités, à nos prestataires d'hébergement, de paiement et d'envoi de courriels, et à l'administration fiscale ou aux organismes sociaux lorsque la loi l'exige. Durées de conservation : la durée du contrat puis cinq (5) ans pour le contrat, sa preuve d'acceptation et vos échanges ; dix (10) ans pour les factures, relevés et pièces comptables ; votre relevé d'identité bancaire est supprimé à la fin du contrat, après le dernier paiement.

12.2 Si vous arrivez par le lien d'un affilié

Le lien d'un affilié contient le code de cet affilié. Voici exactement ce que nous faisons de ce code.

• Avec votre accord : un cookie. Si vous avez accepté la finalité « Partenaires et affiliation » sur sylen.ai, nous déposons un cookie nommé sylen_aff (domaine .sylen.ai, déposé par nos serveurs) qui contient le code de l'affilié pendant quatre-vingt-dix (90) jours. Il sert à attribuer votre éventuelle souscription à l'affilié qui vous a recommandé Sylen et à vous accorder la remise de 10 % de première année. Sa base légale est votre consentement (article 82 de la loi du 6 janvier 1978 et article 6.1.a du RGPD). Il est facultatif et refusable séparément des autres cookies.
• Sans votre accord : aucun cookie. Nous ne déposons rien et l'usage du site ne change pas. Le code du lien que vous venez d'ouvrir est seulement repris dans l'adresse des pages de la visite en cours, pour préremplir le champ « Code partenaire » au moment de souscrire. Il n'est écrit nulle part sur votre appareil, et vous pouvez le modifier ou le supprimer.
• Le code que vous saisissez. Un code partenaire saisi au moment de souscrire est une donnée que vous nous transmettez par un formulaire, pas un traceur : il fonctionne que vous ayez accepté ou refusé le cookie, et il passe avant tout lien.
• Pas de suivi par adresse IP ou empreinte pour l'attribution. Nous n'utilisons ni votre adresse IP, ni une empreinte de votre navigateur ou de votre appareil pour décider à quel affilié une souscription est attribuée.
• Retirer votre accord. À tout moment, avec « Gérer les cookies » en pied de page de sylen.ai. Le cookie n'est alors plus lu ; vous pouvez aussi le supprimer dans votre navigateur, et il s'efface de lui-même au bout de 90 jours.

Par ailleurs, lorsque vous cliquez sur un lien d'affilié, nous enregistrons le clic avec une empreinte chiffrée (non réversible) de votre adresse IP et de votre navigateur, uniquement pour établir des statistiques de clics et détecter les clics frauduleux (base légale : notre intérêt légitime à protéger le programme contre la fraude). Cette empreinte n'intervient jamais dans l'attribution d'une souscription. Ces enregistrements sont conservés treize (13) mois.

12.3 Si votre souscription est attribuée à un affilié

Nous enregistrons que votre souscription lui est attribuée (moyen d'attribution, dates de création de compte et de paiements, formule), pour calculer sa prime, vous appliquer votre remise et lui rendre compte. L'affilié ne reçoit jamais votre nom, votre adresse électronique ni vos coordonnées : il voit seulement un numéro d'ordre, la formule et la date d'inscription. Pour prévenir l'auto-parrainage et la fraude, nous comparons, sous forme chiffrée, votre adresse électronique, votre numéro SIREN, votre domaine de messagerie professionnelle et l'empreinte de votre carte avec ceux de l'affilié (base légale : notre intérêt légitime ; vous pouvez vous y opposer en écrivant à l'adresse ci-dessous). Ces données sont conservées pendant la durée de votre relation avec Sylen, puis cinq (5) ans à titre de preuve de l'attribution de la prime, et dix (10) ans pour les pièces comptables qui s'y rattachent.

12.4 Vos droits

Pour ces traitements, vous disposez des droits décrits à la section « Vos droits » : accès, rectification, effacement, limitation, opposition et, lorsque le traitement repose sur un contrat, portabilité. Pour les exercer, ou pour retirer votre consentement, écrivez à contact@sylen.ai. Vous pouvez aussi saisir la CNIL (cnil.fr/fr/plaintes).

13Prospection commerciale B2B

Sylen prospecte des entreprises pour leur présenter son agent vocal IA. Cette section concerne les professionnels contactés par Sylen sans être encore clients. Elle ne concerne ni les particuliers, ni les appelants de nos clients.

13.1 Les données que nous utilisons

Uniquement des données professionnelles rendues publiques par l'entreprise ou par un registre officiel :

• l'identité de l'entreprise : raison sociale, enseigne, SIREN, adresse, métier, date de création ;
• ses coordonnées publiées : site web, téléphone et adresse email que l'entreprise affiche elle-même (site, fiche d'établissement Google, annuaire officiel), et le prénom du dirigeant lorsqu'il est publié ;
• un signal public qui justifie le contact : une offre d'emploi pour un poste d'accueil ou de secrétariat, une création d'entreprise, une qualification RGE récente, ou des avis publics qui évoquent un téléphone qui ne répond pas. Le texte des avis et le nom de leurs auteurs ne sont pas conservés : seul le signal l'est.

Nous ne prenons jamais un contact dans une offre d'emploi, et nous n'achetons pas de fichiers. Le premier message indique d'où vient l'adresse utilisée.

13.2 Base légale, contact et opposition

La base légale est l'intérêt légitime de Sylen à présenter son service à des professionnels (art. 6.1.f du RGPD), pour une offre en rapport avec leur activité. Le contact se fait par email à l'adresse professionnelle publiée, et parfois par téléphone au numéro publié par l'entreprise.

Vous pouvez vous opposer à tout moment, sans justification : par le lien de désinscription présent dans chaque email, en répondant « stop » à l'un de nos messages, en le disant au téléphone, ou en écrivant à contact@sylen.ai. L'opposition vaut pour toute l'entreprise (adresse, domaine, SIREN, téléphone) et elle est vérifiée avant chaque envoi et chaque appel. Pour la respecter durablement, nous gardons ces identifiants sous forme d'empreintes chiffrées, sans les conserver en clair.

13.3 Durée

Une entreprise collectée mais jamais contactée est supprimée 30 jours après la collecte. Une entreprise contactée est supprimée 3 ans après le dernier contact venant d'elle (réponse, appel abouti), à défaut 3 ans après la collecte. Ces suppressions sont automatiques. Un prospect devenu client relève ensuite des règles du Compte Client.

13.4 Outils utilisés pour la prospection

Ces outils servent uniquement à la prospection de Sylen. Ils sont distincts des sous-traitants du Service (section 05) et ne reçoivent aucune donnée des clients ni de leurs appelants.

Lorsque l'un de ces prestataires est établi hors de l'Union européenne, le transfert est encadré comme indiqué en section 06.

14Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle française :

Nous vous encourageons à nous contacter en premier lieu à contact@sylen.ai, ce qui nous permettra de répondre à vos préoccupations avant tout recours.

15Mineurs

Sylen est un service strictement professionnel (B2B). Il n'est pas destiné aux mineurs de moins de 18 ans, qui ne peuvent souscrire un contrat. Si vous constatez qu'un mineur a fourni des données personnelles à Sylen, merci de nous contacter à contact@sylen.ai afin que nous puissions procéder à leur suppression.

16Modifications de la politique

Sylen se réserve le droit de modifier la présente Politique de confidentialité à tout moment, notamment pour se conformer à une évolution légale, réglementaire ou technique.

Toute modification substantielle est notifiée :

• aux clients par courriel adressé à l'adresse renseignée dans leur Compte Client, avec un préavis de 30 jours avant prise d'effet ;
• aux visiteurs et appelants par publication de la nouvelle version sur cette page, avec mise à jour de la date.

L'utilisation continue des services après publication des modifications vaut acceptation tacite de la nouvelle version.

17Contact

Pour toute question relative à la présente Politique de confidentialité ou au traitement de vos données personnelles :