Conformément à l’article 28 du Règlement (UE) 2016/679 (RGPD)
« Services » : appels automatisés, API KYC Match et API Device Location fournis par caicus, ainsi que tout nouveau service API futur.
« Client Final » : toute personne physique dont les données sont traitées via les Services, notamment les clients ou prospects du Membre.
« Sous-traitant ultérieur » : tout tiers mandaté par caicus pour effectuer des opérations de traitement, notamment Orange SA pour les Services API CAMARA et Stripe, Inc. pour le traitement des paiements.
« RGPD » : Règlement (UE) 2016/679 du 27 avril 2016. « CNIL » : Commission Nationale de l’Informatique et des Libertés. « Bloctel » : liste d’opposition au démarchage téléphonique (art. L.223-1 Code de la consommation).
caicus s’engage à traiter des données à caractère personnel pour le compte du Membre strictement aux fins de la fourniture des Services. Le présent Accord entre en vigueur à la date d’acceptation des Conditions Générales d’Utilisation et demeure en vigueur aussi longtemps que le Membre dispose d’un compte actif sur la plateforme caicus.
Le présent Accord couvre l’ensemble des Services actuels et futurs de caicus. Les détails de chaque traitement sont décrits dans les Annexes I-A, I-B et I-C ci-dessous.
Le Membre garantit qu’il :
caicus s’engage, conformément à l’article 28(3) du RGPD, à :
| Sous-traitant | Mission & lieu de traitement |
| Orange SA (France) | Fourniture des API CAMARA (KYC Match, Device Location) — traitement au sein de l’UE (France) |
| Stripe, Inc. (États-Unis) |
Traitement des paiements et gestion de la facturation. Transfert encadré par les Clauses Contractuelles Types (CCT, décision Commission européenne du 4 juin 2021, art. 46(2)(c) RGPD). DPA Stripe en vigueur : stripe.com/fr/legal/dpa |
| Prestataire d’hébergement | Hébergement de la plateforme caicus — Union Européenne |
Tout changement sera notifié avec un préavis de 30 jours via web.caicus.net/termsinfo. Droit d’opposition écrit dans ce délai.
Lorsque caicus intègre un nouveau Service impliquant un traitement de données, une nouvelle Annexe I est publiée avec un préavis de 30 jours. Le Membre peut s’y opposer par notification écrite dans ce délai. En l’absence d’opposition, le nouveau Service est couvert par le présent Accord.
| Catégorie | Durée & fondement |
| Données KYC (nom, téléphone) | Non conservées après l’appel API — minimisation (art. 5(1)(c) RGPD) |
| Données de localisation | Non conservées après l’appel API — minimisation (art. 5(1)(c) RGPD) |
| Données de campagne d’appels (contenu, paramètres) | 90 jours après désactivation du compte ou suppression par le Membre |
| Journaux d’appels téléphoniques (numéro, durée, statut) | 12 mois — obligation légale : art. L. 34-1 du Code des postes et des communications électroniques (CPCE) |
| Métadonnées d’audit (sans données personnelles) | 12 mois maximum |
| Données de facturation et documents comptables | 10 ans — obligation légale : art. L. 123-22 du Code de commerce |
Toute demande d’exercice de droits RGPD (à l’accès, rectification, effacement, limitation, portabilité, opposition) émanant d’un Client Final sera transmise au Membre dans les 5 jours ouvrés. caicus n’y répond pas directement. Le Membre demeure seul responsable de la notification à la CNIL en cas de violation de données (art. 33 RGPD).
caicus maintient les mesures techniques et organisationnelles décrites à l’Annexe II, révisées au minimum annuellement. En cas de violation, caicus notifie le Membre dans les 24 heures suivant sa prise de connaissance, avec description de la nature de la violation, catégories de personnes concernées, conséquences probables et mesures prises.
Les traitements opérés directement par caicus (appels automatisés, plateforme, hébergement) s’effectuent exclusivement au sein de l’Union Européenne.
Par exception, Stripe, Inc. (établie aux États-Unis) intervient en qualité de sous-traitant ultérieur pour le traitement des paiements (voir Article 06). Ce transfert est encadré par les Clauses Contractuelles Types adoptées par la Commission européenne (décision du 4 juin 2021, art. 46(2)(c) RGPD), offrant un niveau de protection adéquat conformément au Chapitre V du RGPD. Le DPA Stripe est accessible à l’adresse : stripe.com/fr/legal/dpa.
caicus ne transfère aucune autre donnée vers un pays tiers à l’UE/EEE sans le consentement écrit préalable du Membre et sans garantir un niveau de protection adéquat.
Le présent Accord se résilie automatiquement à la clôture du compte Membre. Chaque partie peut également résilier sur préavis écrit de 30 jours.
Carve-out légal. À la résiliation, caicus procède à la suppression ou restitution de toutes les données dans les 30 jours, sous réserve des obligations légales de conservation suivantes :
Passé ces délais, les données concernées sont purgées, conformément à l’article 17(3)(b) du RGPD. caicus confirme par écrit la suppression des données non soumises à conservation légale dans les 30 jours suivant la résiliation.
Chaque partie est responsable des dommages causés par un traitement non conforme au RGPD qui lui est imputable (art. 82 RGPD). caicus ne saurait être tenu responsable du défaut d’obtention d’une base légale valide par le Membre, de l’inexactitude des données soumises, ou de tout manquement du Membre à ses obligations réglementaires propres.
Le présent Accord est régi par le droit français. Tout litige relève de la compétence exclusive des tribunaux de Strasbourg.
| Objet | Exécution de campagnes d’appels téléphoniques automatisés vers les Clients Finaux du Membre |
| Nature | Composition automatique des numéros, diffusion de messages vocaux ou connexion à un SVI, journalisation des résultats d’appel |
| Finalité | Prospection commerciale, confirmation de rendez-vous, rappels, enquêtes — selon instructions du Membre |
| Catégories de données | Numéro de téléphone (MSISDN) ; paramètres d’appel ; résultat de l’appel (décroché, messagerie, occupé, etc.) |
| Données sensibles | Aucune — prohibées |
| Base légale requise du Membre | Consentement préalable OU intérêt légitime OU exécution d’un contrat. Vérification Bloctel obligatoire sauf exception légale. |
| Conservation (caicus) | Données de campagne : 90 jours après désactivation. Journaux téléphoniques : 12 mois (art. L. 34-1 CPCE). Documents comptables : 10 ans (art. L. 123-22 C. com.). |
| Lieu de traitement | Union Européenne (France) |
| Objet | Vérification que le nom fourni correspond à l’abonné d’un numéro de téléphone dans les bases Orange SA |
| Nature | Transmission du numéro et du nom à l’API Orange via OAuth 2.0 ; réception et restitution d’un résultat booléen (vrai/faux) |
| Finalité | Vérification d’identité des Clients Finaux pour le compte du Membre |
| Catégories de données | Numéro de téléphone mobile (MSISDN) ; nom complet tel que fourni par le Membre |
| Données non conservées | Le numéro et le nom ne sont pas conservés après l’appel API |
| Métadonnées d’audit | Horodatage, identifiant Membre, résultat booléen, code HTTP — conservés 12 mois |
| Base légale requise du Membre | Consentement explicite du Client Final (art. 6(1)(a) RGPD) |
| Sous-traitant ultérieur | Orange SA (France) — API CAMARA KYC Match |
| Lieu de traitement | Union Européenne (France) |
| Objet | Obtention de la localisation géographique approximative du terminal mobile d’un Client Final |
| Nature | Transmission du numéro à l’API Orange via OAuth 2.0 ; réception de coordonnées géographiques approximatives (latitude, longitude, rayon de précision) |
| Finalité | Localisation approximative de terminaux pour les cas d’usage définis par le Membre |
| Catégories de données | Numéro de téléphone mobile (MSISDN) ; coordonnées géographiques approximatives |
| Données non conservées | Le numéro et les coordonnées ne sont pas conservés après l’appel API |
| Métadonnées d’audit | Horodatage, identifiant Membre, code HTTP (sans coordonnées) — conservés 12 mois |
| Base légale requise du Membre | Consentement explicite du Client Final (art. 6(1)(a) RGPD), spécifique à la localisation |
| Sous-traitant ultérieur | Orange SA (France) — API CAMARA Device Location |
| Lieu de traitement | Union Européenne (France) |
| Chiffrement en transit | TLS 1.2 minimum imposé sur toutes les communications (HTTPS). Certificats Let’s Encrypt avec renouvellement automatique. |
| Chiffrement au repos | Journaux d’audit stockés dans une base de données chiffrée (AES-256). |
| Authentification Membres | Accès à la plateforme par session authentifiée avec mot de passe haché (BCrypt). |
| Authentification API Orange | OAuth 2.0 avec JWT signés RS256. Paire de clés RSA-2048 dédiée, distincte des clés SSH et TLS, stockée avec permissions restreintes (chmod 600). |
| Gestion des clés | Clés JWT hors dépôt de code source. Rotation possible sans interruption de service. |
| Contrôle des accès | Principe du moindre privilège. Accès serveur restreint au personnel technique autorisé. |
| Minimisation des données | Numéro, nom et coordonnées non conservés après chaque appel API. Seules les métadonnées techniques sont journalisées. |
| Journalisation d’audit | Chaque appel API journalisé (horodatage, identifiant Membre, résultat) sans donnée personnelle du Client Final. Rétention : 12 mois. |
| Gestion des vulnérabilités | Dépendances mises à jour régulièrement. Correctifs de sécurité appliqués sans délai. |
| Réponse aux incidents | Procédure de réponse aux incidents documentée. Notification au Membre dans les 24 heures suivant confirmation d’une violation. |
| Révision des mesures | Révisées au minimum annuellement ou à la suite de tout incident significatif. |