Politique de confidentialité

1. Qui nous sommes

Voxaa est une plateforme d’enquêtes conversationnelles éditée par Nerk Company Inc., société canadienne. Nous conduisons pour le compte de nos clients des questionnaires, des entretiens et des carnets de bord sur WhatsApp et sur d’autres canaux de messagerie. Nous appliquons le RGPD européen, la loi canadienne sur la protection des renseignements personnels (PIPEDA) et les cadres locaux propres à chaque pays d’enquête. Toute question relative à cette politique peut nous être adressée depuis la page de contact du site.

2. Notre rôle dépend des données concernées

La même plateforme nous place tantôt en responsable de traitement, tantôt en sous-traitant. C’est cette distinction qui détermine à qui adresser une demande.

• Responsable de traitement pour les visiteurs du site, les comptes clients, la facturation et nos propres salariés et prestataires.
• Sous-traitant pour l’intégralité des réponses d’enquête : le client commanditaire décide de la finalité, nous n’agissons que sur son instruction documentée.
• Un répondant qui souhaite accéder à ses réponses, les corriger ou les faire supprimer peut nous écrire : nous transmettons la demande à l’organisation à l’origine de l’enquête et l’accompagnons jusqu’à sa prise en charge. L’opposition, elle, est immédiate : répondre STOP arrête les envois sans délai.

3. Ce que nous collectons — visiteurs du site

La consultation du site voxaa et l’envoi d’un formulaire donnent lieu à une collecte limitée.

• Ce que vous nous confiez : nom, adresse professionnelle, entreprise, numéro de téléphone et contenu de votre message ou de votre demande de démonstration.
• Ce qui est collecté automatiquement : adresse IP, type et version de navigateur, appareil, système d’exploitation, pages consultées, durée de visite, page d’origine et journaux de diagnostic.
• Les mesures d’audience et les cookies décrits plus bas, uniquement dans les limites du consentement que vous donnez au bandeau.

4. Ce que nous collectons — titulaires de compte

L’usage de la plateforme par une organisation cliente suppose des données de compte et d’exécution du contrat.

• Identité professionnelle : nom, adresse électronique, organisation, fonction et éléments d’authentification.
• Usage de la plateforme : fonctionnalités utilisées, enquêtes créées, dates de connexion, journaux d’erreur et actions sensibles tracées.
• Éléments contractuels et de facturation, y compris les pièces exigées par la réglementation comptable et fiscale.

5. Ce que nous collectons — répondants

Le détail dépend de chaque enquête : le client décide des questions posées, et la participation reste volontaire à chaque étape.

• Identifiants de contact : numéro WhatsApp ou mobile, parfois nom et adresse électronique lorsque le client les fournit.
• Réponses : texte, notes vocales, photos, vidéos et captures d’écran transmises pendant l’échange.
• Éléments de sélection et de profil demandés par l’enquête : tranche d’âge, genre, zone géographique, tranche de revenus, usage d’un produit ou d’un service.
• Identifiants techniques nécessaires à l’acheminement et au suivi : identifiant de contact du canal, référence d’invitation, horodatage des messages. La géolocalisation n’est collectée que si l’enquête la demande explicitement.

6. Pourquoi nous les utilisons et sur quelle base

Chaque traitement dont nous sommes responsables repose sur une base légale identifiée.

• Répondre à une demande de contact, de devis ou de démonstration : intérêt légitime et mesures précontractuelles.
• Fournir, maintenir et sécuriser la plateforme : exécution du contrat.
• Facturer, recouvrer et conserver les pièces comptables : exécution du contrat et obligation légale.
• Mesurer l’audience du site et améliorer le produit : consentement pour les cookies non essentiels, intérêt légitime pour les mesures internes.
• Adresser des communications marketing : consentement, avec retrait possible à tout moment et lien de désabonnement dans chaque envoi.
• Prévenir la fraude, l’abus et les incidents de sécurité, et faire valoir nos droits : intérêt légitime et obligation légale. Pour les données d’enquête, la base légale est déterminée par le client commanditaire, en pratique le consentement du répondant.

7. Données sensibles

Certaines enquêtes touchent à la santé, à la situation financière, aux opinions ou à l’appartenance ethnique. Nous ne lançons ce type de terrain qu’après confirmation écrite du client sur la base légale retenue — en pratique le consentement explicite du répondant — et validation du texte d’information présenté avant la première question. Lorsque la sensibilité et le volume l’exigent, une analyse d’impact relative à la protection des données doit être réalisée par le client avant le lancement. Un répondant peut refuser une question sensible et poursuivre l’enquête, ou l’interrompre, sans avoir à se justifier.

8. Intelligence artificielle

L’IA intervient sur des tâches délimitées, jamais comme juge d’une situation individuelle.

• Rédaction et reformulation des questions, des relances et des messages envoyés aux répondants.
• Transcription des notes vocales, codification et synthèse des réponses ouvertes.
• Nos prestataires d’IA sont contractuellement interdits d’entraîner des modèles de fondation sur les données de nos clients ou de leurs répondants.
• Une sélection automatisée peut déterminer l’éligibilité à une enquête ou à une incitation ; aucune décision produisant un effet juridique n’est prise sans intervention humaine, et une relecture humaine peut être demandée.

9. Canaux de messagerie

Les enquêtes sont majoritairement conduites via WhatsApp Business Platform. Meta traite le numéro de téléphone et les métadonnées nécessaires à l’acheminement, selon ses propres conditions ; le contenu des messages est ensuite conservé et traité par Voxaa selon la présente politique. Un échange avec un compte professionnel ne bénéficie pas des protections d’une conversation personnelle, puisque l’entreprise destinataire lit nécessairement ce qu’elle reçoit. Répondre STOP, à tout moment, met fin aux envois et déclenche la suppression des réponses lorsque les instructions du client et la loi applicable le permettent. Voxaa n’est ni affiliée à WhatsApp ou Meta, ni approuvée par elles.

10. Cookies et traceurs

Le site et la plateforme utilisent des cookies et des technologies équivalentes, regroupés en quatre familles.

• Strictement nécessaires : session, authentification, protection contre les abus. Ils ne peuvent pas être refusés sans empêcher le service de fonctionner.
• Préférences : mémorisation de vos choix d’affichage. Déposés avec votre consentement.
• Mesure d’audience : compréhension de l’usage des pages pour améliorer le site. Déposés avec votre consentement.
• Publicité et mesure de conversion : évaluation de nos campagnes. Déposés avec votre consentement, refusables sans perte de fonctionnalité. Vos choix se modifient à tout moment depuis le bandeau ou les réglages de votre navigateur.

11. Avec qui nous partageons ces données

Nous ne vendons aucune donnée personnelle. Les seuls destinataires sont les suivants.

• Nos sous-traitants techniques : hébergement infonuagique, acheminement des messages, modèles d’IA, mesure d’audience, recrutement de panel et versement des incitations. Chacun est lié par un accord de traitement écrit et un engagement de confidentialité.
• Le client commanditaire de l’enquête, destinataire des réponses collectées pour son compte.
• Nos conseils : commissaires aux comptes, avocats, experts-comptables et assureurs, tenus au secret professionnel.
• Les autorités, lorsqu’une obligation légale, une décision de justice ou une réquisition régulière l’impose, ou lorsque la prévention d’un dommage grave le justifie.
• Un acquéreur ou un partenaire, en cas de fusion, de cession ou de réorganisation ; clients et répondants concernés en sont alors informés.

12. Transferts internationaux

Nos clients opèrent sur plusieurs marchés et nos services techniques sont répartis entre l’Union européenne, le Canada et les pays d’enquête. Chaque organisation cliente choisit sa région d’hébergement principale, Union européenne ou Canada, et ses données y restent stockées. Lorsqu’un transfert hors de cette région est nécessaire — acheminement des messages, support technique — nous nous appuyons sur une décision d’adéquation, sur les clauses contractuelles types de la Commission européenne ou sur un mécanisme équivalent, complété par des mesures techniques et organisationnelles. Les documents correspondants sont communiqués sur demande.

13. Combien de temps nous les conservons

Pour les données d’enquête, la durée est fixée par le client dans son accord de traitement ; à défaut d’instruction, elles sont supprimées vingt-quatre mois après la clôture du projet. Pour les données dont nous sommes responsables, les durées sont les suivantes.

• Mesure d’audience et cookies : treize mois au plus.
• Demandes de contact et de démonstration : vingt-quatre mois après le dernier échange, sauf si un contrat prend le relais.
• Contacts marketing : jusqu’au retrait du consentement, ou trente-six mois sans interaction.
• Comptes clients et pièces comptables : la durée du contrat, puis la durée de conservation imposée par la réglementation fiscale.
• Journaux d’accès applicatifs et traces d’audit de sécurité : de deux à cinq ans selon leur nature ; journaux d’erreur : quatre-vingt-dix jours.
• Sauvegardes : cycle glissant de trente jours. Une suppression demandée est d’abord logique, puis définitive à l’issue d’un délai de grâce de trente jours, les sauvegardes étant purgées au fil du cycle.

14. Sécurité

La confidentialité, l’intégrité et la disponibilité des données reposent sur un dispositif documenté, revu régulièrement.

• Chiffrement des données en transit (TLS) et au repos, avec des algorithmes et des longueurs de clé à l’état de l’art.
• Contrôle d’accès par rôle, principe du moindre privilège, revue annuelle des habilitations et authentification à deux facteurs.
• Isolation des données de chaque organisation dans un environnement multi-tenant, et séparation stricte des environnements de test et de production.
• Sécurité réseau et infrastructure : segmentation, pare-feu, détection d’intrusion, journalisation et supervision continue.
• Toute modification de production passe par une revue de code et un déploiement tracé.
• Sauvegardes chiffrées, plan de reprise et de continuité d’activité, procédures d’incident et de violation de données testées. Aucune méthode de transmission ou de stockage n’est absolument sûre : notre engagement porte sur la rigueur du dispositif et sur la rapidité de la réaction.

15. Violation de données

Lorsque nous agissons comme sous-traitant, le client responsable de traitement est notifié dans les vingt-quatre heures suivant la confirmation d’une violation, puis tenu informé à mesure des constatations. Lorsque nous sommes responsables de traitement, l’autorité de contrôle compétente est notifiée dans les meilleurs délais, et au plus tard soixante-douze heures après la prise de connaissance, sauf lorsque la violation est peu susceptible d’engendrer un risque. Les personnes concernées sont averties directement lorsque le risque pour leurs droits et libertés est élevé.

16. Vos droits

Selon votre pays de résidence, vous disposez de tout ou partie des droits suivants.

• Être informé de la collecte de vos données et, le cas échéant, d’un accès non autorisé les concernant.
• Accéder à vos données et en obtenir une copie.
• Faire rectifier une donnée inexacte, incomplète ou périmée.
• Obtenir l’effacement de vos données dans les cas prévus par la loi.
• Demander la limitation d’un traitement, ou vous y opposer pour un motif tenant à votre situation.
• Recevoir vos données dans un format structuré et lisible par machine, et les faire transmettre à un autre prestataire lorsque c’est techniquement possible.
• Retirer votre consentement à tout moment, sans que cela remette en cause la licéité des traitements déjà réalisés, et vous opposer sans motif à toute prospection.

17. Comment exercer vos droits

Adressez-nous votre demande depuis la page de contact, en précisant l’enquête ou le compte concerné. Nous pouvons avoir à vérifier votre identité avant de répondre. Nous traitons les demandes dans un délai d’un mois, prolongeable de deux mois lorsque la demande est complexe ou nombreuse, et nous vous informons alors du motif de la prolongation. Ces demandes sont gratuites. Si vous êtes répondant à une enquête, le client commanditaire est responsable de traitement : nous lui transmettons votre demande et nous nous assurons qu’elle est prise en charge. Vous pouvez à tout moment saisir l’autorité de protection des données de votre pays de résidence.

18. Mineurs

Le site et les comptes de la plateforme s’adressent à des professionnels et ne visent pas les mineurs. Une enquête auprès de personnes de moins de dix-huit ans n’est lancée qu’après confirmation écrite du client sur le recueil du consentement du parent, du tuteur ou de la personne compétente, dans le respect de l’âge minimal fixé par la loi locale — et de l’âge le plus protecteur lorsque plusieurs cadres s’appliquent. Ces terrains font l’objet de garanties documentées et d’une approbation préalable en interne. Si vous pensez qu’un mineur a été interrogé sans autorisation valable, écrivez-nous : nous vérifions, informons le client et supprimons les données concernées.

19. Évolutions de cette politique

Cette politique est revue au moins une fois par an, et à chaque évolution significative de nos traitements. La date de mise à jour figure en tête du document. Toute modification substantielle affectant les personnes concernées est annoncée aux titulaires de compte, par courriel ou par une mention visible dans la plateforme, avant son entrée en vigueur.