POLITIQUE DE CONFIDENTIALITÉ ET DE PROTECTION DES DONNÉES – SACHA OMON AI

1. Objet de la présente Politique

La présente Politique de confidentialité et de protection des données (la « Politique ») explique comment les données à caractère personnel sont collectées, utilisées, hébergées, transmises, protégées, conservées et supprimées dans le cadre des services commercialisés sous la marque Sacha Omon AI.

Elle s’applique notamment aux sites et services accessibles via sacha-omon.app, sacha-omon.ai, sacha-omon.com, leurs sous-domaines, interfaces, tableaux de bord, widgets, pages hébergées, API, agents IA, services vocaux, canaux connectés, outils de génération de leads, outils publicitaires et autres services officiels opérés sous la marque Sacha Omon.

Cette Politique couvre deux situations distinctes :

1. les traitements pour lesquels Sacha Omon détermine lui-même les finalités et les moyens essentiels du traitement, notamment les données de compte, de facturation, de relation commerciale, de sécurité et d’utilisation de ses propres sites ;
2. les traitements réalisés pour le compte d’un Client professionnel, notamment les conversations, prospects, contacts, documents RAG, données CRM, appels, messages, rendez-vous et autres données que le Client confie à la Solution ou fait traiter par celle-ci.

Lorsque Sacha Omon traite des données pour le compte d’un Client, le Client demeure en principe le responsable du traitement, ou agit lui-même comme sous-traitant pour le compte de son propre donneur d’ordre, et Sacha Omon agit comme sous-traitant ou sous-traitant ultérieur selon le cas. Les obligations correspondantes sont complétées par le Data Processing Agreement (« DPA ») applicable à la relation contractuelle.

La présente version remplace toute politique de confidentialité antérieure applicable aux Services Sacha Omon. Toute description antérieure de l’architecture ou de fournisseurs techniques qui serait incompatible avec la présente Politique est remplacée par la présente version.

2. Identité de l’opérateur et responsable du traitement

Les Services sont exploités sous la marque et le nom commercial « Sacha Omon » / « Sacha Omon AI » par une activité commerciale enregistrée en Israël.

Pour les traitements pour lesquels Sacha Omon détermine les finalités et les moyens essentiels, le responsable du traitement est Sacha Omon AI, opérateur du Service.

Localisation de l’opérateur : Netanya, Israël.

Contact relatif à la confidentialité et à la protection des données : sacha @ sacha-omon.com.

Les coordonnées juridiques et contractuelles complètes de l’opérateur sont communiquées dans les documents contractuels, de facturation ou de commande applicables. La présente Politique n’exige pas la publication d’un numéro d’appartement, d’un numéro d’identification personnel ou d’un identifiant fiscal du dirigeant.

« Sacha Omon » et « Sacha Omon AI » désignent dans la présente Politique l’opérateur enregistré du Service ainsi que, après toute incorporation, apport, réorganisation, cession, fusion, acquisition, novation ou transfert licite de l’activité, l’entité qui lui succédera dans l’exploitation de la Solution.

3. Technologie propriétaire, Sacha Engine et architecture

Sacha Omon AI est un logiciel propriétaire développé et exploité par Sacha Omon. Le cœur applicatif, l’orchestration agentique, Sacha Engine, les mécanismes RAG, les workflows, les interfaces, les tableaux de bord, les fonctions Builder, Booking, Call et les autres composants propriétaires de la Solution sont développés et contrôlés par Sacha Omon, sous réserve des bibliothèques, infrastructures, réseaux, API ou services tiers expressément utilisés pour fournir certaines fonctions.

L’architecture actuelle n’est pas fondée sur Supabase ou n8n comme plateforme centrale d’hébergement, de base de données ou d’orchestration. Le cœur de la Solution est déployé sur une infrastructure Cloudflare et sur les composants propriétaires de Sacha Omon.

La Solution est conçue selon une architecture « single-tenant » au niveau de l’environnement applicatif et de l’isolation logique des données : les données et configurations d’un Client sont séparées de celles des autres Clients. Cette notion ne signifie pas nécessairement que chaque Client dispose d’un serveur physique exclusivement dédié, sauf engagement écrit contraire.

Des services tiers peuvent néanmoins être nécessaires à certaines fonctions, par exemple la téléphonie, les SMS, WhatsApp, Messenger, les paiements, les campagnes publicitaires, l’envoi d’e-mails, certains modèles ou services d’intelligence artificielle, la détection de fraude ou d’autres intégrations demandées ou activées par le Client. L’utilisation d’un service tiers ne lui confère aucun droit de propriété sur Sacha Engine, sur la Solution ou sur la technologie propriétaire de Sacha Omon.

4. Nos rôles en matière de protection des données

4.1 Données pour lesquelles Sacha Omon agit comme responsable du traitement

Sacha Omon agit notamment comme responsable du traitement pour les données nécessaires à :

• la création et l’administration des comptes Clients ;
• la gestion de la relation commerciale et contractuelle ;
• la facturation, le suivi des paiements et la comptabilité ;
• l’assistance et le support ;
• la sécurité de la plateforme, la prévention de la fraude et des abus ;
• la journalisation technique nécessaire au fonctionnement et à la sécurité ;
• la gestion des visiteurs de ses propres sites ;
• ses communications professionnelles et, lorsqu’elles sont autorisées, ses communications commerciales ;
• le respect de ses obligations légales, fiscales, réglementaires et judiciaires.

4.2 Données traitées pour le compte d’un Client

Lorsqu’un Client utilise Sacha Omon pour interagir avec ses prospects, clients, salariés, fournisseurs ou autres utilisateurs finaux, Sacha Omon traite en principe les données concernées uniquement pour fournir les Services et sur instruction du Client.

Cela peut inclure les conversations, formulaires, demandes de rappel, rendez-vous, données de leads, données CRM, messages, pièces jointes, contenus RAG, historiques, enregistrements ou transcriptions d’appels, métadonnées de communication et données issues des intégrations activées par le Client.

Dans le cadre du RGPD, Sacha Omon agit alors comme sous-traitant ou sous-traitant ultérieur, selon le rôle du Client. Dans le cadre du droit israélien applicable, Sacha Omon peut agir comme « détenteur » ou prestataire externe traitant des données pour le compte du responsable de la base de données. Dans le cadre des lois américaines applicables, notamment en Californie, Sacha Omon peut agir comme « service provider » ou « contractor » lorsque les conditions légales sont réunies.

Le Client demeure responsable de la licéité de la collecte, de la finalité, des informations fournies aux personnes concernées, des consentements lorsqu’ils sont nécessaires, de la durée de conservation qu’il configure et des instructions qu’il adresse à Sacha Omon.

5. Personnes concernées

Selon le contexte, les personnes concernées peuvent être :

• les représentants, dirigeants, salariés, prestataires et utilisateurs autorisés des Clients ;
• les visiteurs des sites Sacha Omon ;
• les prospects et contacts commerciaux de Sacha Omon ;
• les prospects, clients et utilisateurs finaux des Clients qui interagissent avec un agent Sacha Omon ;
• les personnes qui contactent un Client par Web, WhatsApp, Messenger, e-mail, SMS ou téléphone lorsque ces canaux sont connectés ;
• les personnes dont les données sont contenues dans les documents, catalogues, bases de connaissances, CRM ou intégrations fournis par un Client ;
• les personnes concernées par des campagnes publicitaires ou des formulaires de génération de leads gérés à la demande d’un Client ;
• les interlocuteurs des équipes de support, de sécurité, de conformité ou de facturation.

6. Catégories de données traitées

Selon les Services utilisés et les informations effectivement fournies, Sacha Omon peut traiter les catégories suivantes.

6.1 Données de compte et d’identification professionnelle

Nom, prénom, fonction, société, adresse professionnelle, e-mail, téléphone, identifiants de compte, rôle, autorisations, langue, pays, préférences, informations de connexion et autres données nécessaires à la gestion du compte.

6.2 Données contractuelles, de facturation et de paiement

Offre souscrite, historique de commande, factures, identifiants de transaction, statut de paiement, devise, informations fiscales, pays de facturation et données nécessaires au traitement des paiements. Les données complètes de carte bancaire sont normalement traitées directement par le prestataire de paiement ou le Merchant of Record et ne sont pas destinées à être stockées par Sacha Omon.

6.3 Données Client, RAG et base de connaissances

Documents, catalogues, offres, tarifs, scripts, procédures, FAQ, règles métier, documents techniques, politiques internes, textes, fichiers, contenus de site, informations produit, données CRM, données d’intégrations, attributs personnalisés et autres informations fournies ou sélectionnées par le Client pour construire ou alimenter son environnement RAG.

6.4 Données de prospects, contacts et utilisateurs finaux

Nom, prénom, société, e-mail, téléphone, adresse, zone géographique, besoin exprimé, réponses à des formulaires, informations de qualification, historique de contact, source du lead, rendez-vous, notes, statut commercial et autres informations communiquées par la personne ou injectées par le Client dans le Service.

6.5 Conversations et communications multicanales

Messages Web, WhatsApp, Messenger, e-mails, SMS, messages audio, pièces jointes, prompts, réponses de l’agent, historique de conversation, réactions, feedback, transferts à un humain, horodatage, canal utilisé et identifiants associés.

6.6 Voix, téléphonie et enregistrements

Lorsque les fonctions vocales sont activées : numéro appelant ou appelé, identifiants d’appel, date, heure, durée, statut, routage, audio, enregistrement lorsque celui-ci est activé et licite, transcription, résumé, tags, actions générées à partir de l’appel et métadonnées techniques associées.

L’enregistrement d’un appel n’est pas systématique. Il dépend de la configuration du Client, des fonctions activées et du droit applicable. Le Client demeure responsable de l’obtention de toute information, notification ou consentement légalement requis auprès des personnes appelées ou appelantes.

Par défaut, Sacha Omon n’utilise pas la voix ou les enregistrements pour créer un identifiant biométrique, une empreinte vocale ou un modèle biométrique destiné à identifier ou authentifier une personne. Une telle fonctionnalité ne peut être activée que si elle est expressément proposée, contractuellement autorisée et mise en œuvre avec les informations, consentements et garanties exigés par le droit applicable.

6.7 Données publicitaires et de génération de leads

Lorsque le Client active Alix ou des connexions publicitaires : identifiants de compte publicitaire, campagnes, ensembles de publicités, annonces, audiences, formulaires, données de leads, événements de conversion, budgets, statistiques, coûts, résultats, attributs de campagne, contenus publicitaires, données de mesure et informations nécessaires au pilotage des campagnes Meta ou Google.

6.8 Données techniques et de sécurité

Adresse IP, type d’appareil, navigateur, système d’exploitation, langue, identifiants de session, journaux d’accès, événements d’authentification, logs d’erreur, latence, performance, consommation, événements de sécurité, données anti-fraude, informations de diagnostic, requêtes API et autres données techniques nécessaires au fonctionnement, à la sécurité ou à la maintenance de la Solution.

6.9 Données de support

Demandes de support, échanges avec le Client, captures d’écran, fichiers transmis, enregistrements de diagnostic, tickets, historique de résolution et informations nécessaires à l’assistance.

7. Sources des données

Nous pouvons recevoir des données :

• directement d’un Client, d’un utilisateur autorisé ou d’un utilisateur final ;
• depuis un formulaire, une landing page, un widget ou une page hébergée par Sacha Omon ;
• depuis les canaux que le Client choisit de connecter à la Solution ;
• depuis un CRM, calendrier, catalogue, fichier ou autre système connecté par le Client ;
• depuis Meta, WhatsApp, Messenger, Google ou d’autres plateformes activées par le Client ;
• depuis un opérateur de communications tel que Twilio lorsque les fonctions concernées sont utilisées ;
• depuis un prestataire de paiement ou Merchant of Record tel que Paddle lorsque le Client achète un Service par son intermédiaire ;
• depuis les journaux techniques et systèmes de sécurité de Sacha Omon ;
• depuis des sources publiques ou professionnelles lorsque cela est licite et nécessaire à la relation commerciale.

Lorsque des données n’ont pas été collectées directement auprès de la personne concernée, l’identité de la source dépend du service utilisé et, pour les Données Client, relève principalement du Client qui a choisi de les transmettre ou de connecter la source concernée.

8. Finalités du traitement et bases juridiques

Lorsque Sacha Omon agit comme responsable du traitement, les données peuvent être utilisées pour les finalités suivantes.

8.1 Fournir et administrer les Services

Création du compte, activation des Services, authentification, gestion des utilisateurs, mise à disposition du tableau de bord, assistance, exécution du contrat, configuration et suivi de la souscription.

Base juridique : exécution du contrat ou mesures précontractuelles ; intérêts légitimes pour les contacts d’une personne morale lorsque le droit applicable l’autorise.

8.2 Facturation, paiement, fiscalité et comptabilité

Émission et conservation des factures, suivi des paiements, lutte contre les impayés, obligations fiscales, justificatifs et rapprochements comptables.

Base juridique : exécution du contrat, obligation légale et intérêt légitime à établir, exercer ou défendre des droits.

8.3 Sécurité, prévention de la fraude et protection de la plateforme

Détection des accès anormaux, prévention des abus, spam, attaques, fraude, détournement de compte, utilisation interdite, incidents de sécurité et protection des personnes, des Clients et de la Solution.

Base juridique : intérêt légitime, exécution du contrat et, selon les cas, obligation légale.

8.4 Support et amélioration du Service

Diagnostic, dépannage, mesure de performance, correction d’erreurs, amélioration des interfaces et des fonctionnalités, analyse de la qualité du Service.

Base juridique : exécution du contrat et intérêt légitime à maintenir et améliorer le Service.

8.5 Communications commerciales propres à Sacha Omon

Information sur les Services, nouvelles fonctionnalités, invitations commerciales ou contenus professionnels, uniquement lorsque ces communications sont autorisées par le droit applicable.

Base juridique : consentement lorsqu’il est requis ; sinon intérêt légitime dans les situations où la prospection B2B est autorisée.

8.6 Conformité juridique et défense des droits

Répondre aux obligations légales, demandes juridiquement contraignantes, audits, contentieux, réclamations, investigations, sanctions, contrôles et exigences réglementaires.

Base juridique : obligation légale et intérêt légitime à protéger nos droits et ceux de nos Clients.

Lorsque Sacha Omon agit comme sous-traitant, la base juridique du traitement est déterminée par le Client, et Sacha Omon traite les données sur instruction documentée du Client, conformément au DPA et au contrat applicable.

9. Traitement par l’intelligence artificielle et fonctionnement agentique

Sacha Omon utilise des technologies d’intelligence artificielle pour comprendre des demandes, rechercher des informations dans le RAG du Client, produire des réponses, résumer des échanges, qualifier des prospects, extraire des informations, proposer des actions, préparer des relances, faciliter la prise de rendez-vous, traiter des interactions vocales et exécuter d’autres tâches configurées.

Le traitement peut inclure la transformation d’un message ou d’un appel en texte, l’analyse du contexte, la recherche d’informations pertinentes dans les données du Client, la génération d’une réponse, l’exécution d’un outil ou d’une action autorisée et l’enregistrement de l’historique nécessaire à la continuité de la conversation.

Sacha Engine constitue le moteur propriétaire d’orchestration et d’exécution de Sacha Omon. Selon les fonctionnalités activées, Sacha Engine peut faire appel à des services d’infrastructure, de communication ou d’intelligence artificielle tiers en qualité de sous-traitants ou prestataires techniques. Ces prestataires ne deviennent pas propriétaires des données du Client ni de Sacha Engine du seul fait de leur intervention technique.

Sacha Omon ne doit pas être utilisé pour prendre, sans garanties appropriées, une décision entièrement automatisée produisant des effets juridiques ou des effets similaires significatifs sur une personne lorsque la loi applicable exige une intervention humaine, une analyse d’impact, une information particulière ou d’autres garanties. Le Client est responsable de déterminer si son cas d’usage nécessite de telles garanties.

10. Absence d’entraînement inter-clients sur les Données Client

Sacha Omon n’utilise pas les documents RAG, conversations, enregistrements, données CRM, données de leads ou autres Données Client pour entraîner un modèle général destiné à être partagé entre des Clients ou commercialisé à des tiers comme modèle entraîné sur les données d’un Client.

Les Données Client peuvent être traitées dans l’environnement du Client pour fournir, sécuriser, diagnostiquer et améliorer le Service fourni à ce Client. Sacha Omon peut également utiliser des données techniques, statistiques ou de performance agrégées ou rendues raisonnablement non identifiantes afin de mesurer, sécuriser et améliorer la plateforme, à condition qu’elles ne permettent pas raisonnablement d’identifier le Client, un utilisateur final ou une personne physique.

Lorsqu’un fournisseur tiers de modèle ou de calcul est utilisé pour une fonctionnalité activée, Sacha Omon cherche à encadrer son intervention afin que les données soient traitées pour fournir le service concerné et conformément aux engagements de confidentialité et de protection des données applicables au service professionnel utilisé.

11. Données Client et propriété des contenus

Le Client conserve ses droits sur ses Données Client et Contenus Client. La présente Politique ne transfère pas à Sacha Omon la propriété des catalogues, documents, marques, bases de connaissances, données CRM, contenus commerciaux ou données personnelles du Client.

Sacha Omon reçoit uniquement les droits techniques nécessaires pour héberger, indexer, rechercher, transformer, transmettre, afficher et traiter ces données dans la mesure nécessaire à la fourniture des Services et aux instructions du Client.

Inversement, la propriété des Données Client ne confère aucun droit au Client sur Sacha Engine, le logiciel Sacha Omon, les workflows propriétaires, les interfaces, le code, les modèles d’orchestration, les tableaux de bord ou les autres éléments de propriété intellectuelle de Sacha Omon.

12. Voix, appels, SMS, WhatsApp, Messenger et e-mail

Lorsque le Client active des canaux de communication, les données nécessaires à leur fonctionnement peuvent être transmises au prestataire ou au réseau concerné.

Twilio peut être utilisé comme opérateur ou prestataire technique pour certains appels, SMS, fonctions vocales, routages, numéros, enregistrements ou services de communication. Meta/WhatsApp peut traiter les données nécessaires aux communications WhatsApp ou Messenger. Les opérateurs téléphoniques et réseaux de destination traitent également certaines métadonnées nécessaires à l’acheminement des communications.

Le Client demeure responsable de la licéité de ses campagnes, appels, messages, listes de contacts, consentements, opt-ins, préférences de désinscription, scripts et horaires de contact. Il doit respecter les règles applicables dans les pays où il contacte des personnes, y compris les règles relatives à la prospection, à l’enregistrement des appels et aux communications électroniques.

13. Alix, Meta Ads, Google Ads et données publicitaires

Lorsque le Client utilise Alix ou connecte un compte Meta Ads ou Google Ads, Sacha Omon peut recevoir ou transmettre les données nécessaires à la création, au pilotage, à l’optimisation, à la mesure et au suivi des campagnes, notamment des données de leads ou de conversion lorsque le Client l’a configuré.

Ces traitements sont réalisés pour le compte du Client et selon ses instructions, sauf lorsque Meta, Google ou un autre opérateur détermine lui-même certaines finalités de traitement conformément à ses propres conditions et politiques.

Sacha Omon ne vend pas les Données Client à Meta ou Google. Lorsque le Client active volontairement une intégration publicitaire, la transmission de données à la plateforme concernée constitue une opération demandée par le Client pour exécuter la campagne, mesurer les conversions ou fournir la fonctionnalité activée. Le Client est responsable de la licéité de cette transmission et de la configuration de ses comptes publicitaires.

14. Paiements et Merchant of Record

Les paiements peuvent être traités par Paddle ou par un autre prestataire de paiement ou Merchant of Record indiqué au moment de la commande.

Lorsqu’un Merchant of Record intervient, celui-ci peut agir comme revendeur du produit et comme responsable indépendant du traitement pour certaines données de paiement, de facturation, de fiscalité, de lutte contre la fraude et de conformité. Sacha Omon reçoit uniquement les informations nécessaires à l’activation du Service, au support, à la gestion de la relation Client et à ses propres obligations comptables ou contractuelles.

La présente Politique ne remplace pas la politique de confidentialité du prestataire de paiement applicable au checkout.

15. Cookies et technologies similaires

Les sites Sacha Omon peuvent utiliser des cookies, stockages locaux, pixels ou technologies similaires pour :

• assurer le fonctionnement essentiel du site et des sessions ;
• sécuriser l’authentification et prévenir la fraude ;
• mémoriser certains choix ;
• mesurer l’utilisation et les performances du site ;
• permettre des fonctionnalités demandées par l’utilisateur ;
• lorsque cela est autorisé et, si nécessaire, après consentement, mesurer l’efficacité de campagnes marketing.

Les cookies strictement nécessaires peuvent être déposés sans consentement lorsque la loi applicable l’autorise. Les cookies non essentiels soumis au consentement ne doivent être activés qu’après obtention du consentement requis dans les territoires concernés.

Lorsqu’un mécanisme de gestion des préférences est disponible, l’utilisateur peut modifier son choix à tout moment. Une politique Cookie distincte peut compléter la présente Politique et détailler les cookies effectivement déployés.

16. Données techniques, Service Data et données agrégées

Sacha Omon peut générer des données techniques relatives au fonctionnement du Service, telles que statistiques de performance, latence, taux d’erreur, volumes, usage des fonctionnalités, consommation, événements de sécurité, disponibilité, diagnostics et métriques techniques.

Lorsque ces données contiennent des données personnelles, elles sont traitées conformément à la présente Politique et uniquement pour des finalités légitimes telles que la sécurité, le support, la facturation, la prévention des abus et l’amélioration du Service.

Sacha Omon peut utiliser librement des données statistiques ou de performance agrégées ou rendues raisonnablement non identifiantes, notamment pour améliorer la Solution, planifier la capacité, évaluer les fonctionnalités et produire des statistiques internes, à condition que ces données ne permettent pas raisonnablement d’identifier une personne physique ni de révéler les informations confidentielles d’un Client.

17. Vente, partage publicitaire et monétisation des données

Sacha Omon ne vend pas les Données Client ni les données personnelles des utilisateurs finaux en contrepartie d’un paiement.

Sacha Omon n’utilise pas les Données Client pour construire des profils publicitaires inter-clients ou pour faire de la publicité comportementale au bénéfice de tiers.

Lorsque le Client active une intégration publicitaire ou un canal tiers, certaines données peuvent être transmises à ce tiers sur instruction du Client, comme expliqué dans la présente Politique. Cette transmission fonctionnelle ne signifie pas que Sacha Omon vend les Données Client.

18. Données sensibles et catégories particulières

La Solution n’est pas conçue, par défaut, pour recevoir des données hautement sensibles qui ne sont pas nécessaires au cas d’usage du Client.

Sauf accord écrit spécifique et mise en place des garanties appropriées, le Client ne doit pas transmettre ou faire traiter intentionnellement par Sacha Omon des données biométriques utilisées pour identifier une personne, données médicales détaillées, données génétiques, mots de passe, numéros complets de cartes bancaires, secrets d’authentification, données relatives à la vie sexuelle, opinions politiques, convictions religieuses, appartenance syndicale, données relatives aux infractions pénales, numéros d’identification gouvernementaux ou autres catégories de données bénéficiant d’une protection renforcée, lorsque ces données ne sont pas strictement nécessaires et licites.

Si un Client souhaite utiliser le Service pour un cas d’usage impliquant des données sensibles, il doit préalablement vérifier la base juridique, les obligations de sécurité, les analyses d’impact, les contrats nécessaires et les restrictions du Service concerné.

19. Mineurs

Les Services Sacha Omon sont des services B2B destinés aux professionnels et ne sont pas conçus pour être achetés ou administrés par des mineurs.

Un Client ne doit pas utiliser la Solution pour cibler intentionnellement des enfants ou collecter leurs données d’une manière qui enfreindrait les règles applicables relatives à la protection des mineurs, au consentement parental ou à la publicité destinée aux enfants.

Tout contenu impliquant l’exploitation sexuelle d’un mineur, le grooming, la sexualisation d’enfants ou tout autre contenu pédocriminel est strictement interdit et peut entraîner une suspension immédiate, la préservation des preuves et les signalements requis par le droit applicable.

20. Destinataires et sous-traitants

L’accès aux données est limité aux personnes et prestataires qui en ont besoin pour fournir, sécuriser, administrer ou supporter les Services.

Selon les fonctionnalités activées, les catégories de destinataires ou sous-traitants peuvent inclure :

• Cloudflare, pour l’infrastructure cloud, le réseau, la sécurité, l’exécution et certains services de stockage ou de traitement ;
• Twilio et les opérateurs télécoms associés, pour la téléphonie, les SMS, la voix ou certains services de communication ;
• Meta, WhatsApp ou Messenger, lorsque le Client active ces canaux ;
• Google, lorsque le Client active Google Ads, des API Google ou d’autres intégrations Google ;
• Paddle ou un autre prestataire de paiement / Merchant of Record, lorsque le paiement est réalisé par son intermédiaire ;
• des fournisseurs de modèles d’IA, de calcul ou de services techniques lorsque leur intervention est nécessaire à une fonction activée ;
• des prestataires professionnels tels qu’avocats, experts-comptables, auditeurs, assureurs ou conseillers lorsque cela est nécessaire et soumis à des obligations de confidentialité ;
• des autorités ou juridictions lorsque la divulgation est légalement obligatoire.

La liste des sous-traitants matériels peut évoluer lorsque la Solution évolue. Une liste actualisée peut être demandée à sacha @ sacha-omon.com et peut également être publiée sur une page « Subprocessors » dédiée.

Sacha Omon impose, lorsque cela est requis, des obligations contractuelles de confidentialité, sécurité et protection des données adaptées au rôle du prestataire.

21. Hébergement, régions et transferts internationaux

Sacha Omon est exploité depuis Israël et commercialisé à l’international, notamment en Europe et aux États-Unis.

L’architecture permet de configurer le traitement principal de certains environnements Clients dans une région européenne ou une région américaine, selon la localisation du Client, la configuration du Service, les options souscrites et les exigences contractuelles ou réglementaires applicables.

Cloudflare exploite un réseau mondial. Selon les produits Cloudflare utilisés et les options de localisation activées, certaines opérations de réseau, de sécurité, de routage ou certaines métadonnées peuvent transiter ou être traitées dans plusieurs pays. Une promesse de résidence exclusive des données dans un territoire donné ne s’applique que lorsqu’elle figure expressément dans une Commande, un DPA ou un engagement de localisation spécifique et que les contrôles techniques correspondants ont été activés.

Lorsque des données personnelles sont transférées depuis l’Espace économique européen, le Royaume-Uni, Israël ou un autre territoire vers un pays ne bénéficiant pas du niveau de protection requis, Sacha Omon utilise, lorsque la loi l’exige, des mécanismes reconnus tels que des clauses contractuelles types, un addendum britannique, des engagements contractuels de protection ou un autre mécanisme de transfert valide.

Les Services Tiers utilisés par le Client peuvent également traiter des données dans les territoires prévus par leurs propres infrastructures et conditions.

22. Durées de conservation

Sacha Omon ne conserve pas les données plus longtemps que nécessaire au regard des finalités décrites dans la présente Politique, des instructions du Client, du DPA, des exigences légales et des besoins de sécurité ou de défense des droits.

Les critères suivants s’appliquent en principe :

22.1 Données Client traitées comme sous-traitant

Les Données Client sont conservées pendant la durée du Service et selon la politique de conservation configurée ou convenue avec le Client. À la fin du contrat, elles sont restituées ou supprimées conformément au DPA et aux instructions applicables.

Après la fin du Service ou une demande de suppression valide, les données de production restant sous le contrôle de Sacha Omon sont supprimées ou rendues inaccessibles dans le délai prévu par le DPA ou, à défaut de délai contractuel spécifique, dans un délai technique raisonnable compte tenu de l’architecture utilisée. Les copies résiduelles de sauvegarde, lorsqu’elles existent, sont supprimées ou écrasées selon leur cycle technique normal et ne sont pas réintroduites dans les systèmes de production, sauf nécessité de restauration, obligation légale ou incident de sécurité. Lorsqu’une durée maximale spécifique est contractuellement requise, elle est précisée dans la Commande ou le DPA applicable.

22.2 Données de compte et relation commerciale

Elles sont conservées pendant la relation contractuelle puis pendant la durée nécessaire à la gestion des obligations post-contractuelles, des réclamations, de la sécurité et de la défense des droits.

22.3 Factures et pièces comptables

Elles sont conservées pendant la durée exigée par les règles fiscales, comptables et légales applicables, qui peut atteindre plusieurs années après la fin de la relation.

22.4 Logs de sécurité et données techniques

Ils sont conservés pour la durée nécessaire au diagnostic, à la sécurité, à la prévention des abus et à l’investigation d’incidents. La durée peut être prolongée lorsqu’un incident, un litige, une fraude ou une obligation légale le justifie.

22.5 Données de prospection propres à Sacha Omon

Elles sont conservées pendant une durée proportionnée à la relation commerciale ou au dernier contact pertinent, puis supprimées ou archivées lorsque leur conservation n’est plus justifiée.

Lorsqu’une obligation de conservation légale s’applique, les données concernées peuvent être isolées et conservées uniquement pour satisfaire cette obligation.

23. Sécurité

Sacha Omon met en œuvre des mesures techniques et organisationnelles raisonnables et proportionnées au risque afin de protéger les données contre l’accès non autorisé, la perte, l’altération, la destruction, la divulgation ou l’utilisation illicite.

Ces mesures peuvent notamment comprendre, selon le composant concerné :

• chiffrement des communications en transit ;
• chiffrement ou protections équivalentes des données stockées lorsque le service concerné le permet ;
• isolation logique des environnements Clients ;
• contrôle d’accès et principe du moindre privilège ;
• authentification et gestion des sessions ;
• journalisation et surveillance de sécurité ;
• protections réseau et mécanismes anti-abus ;
• sauvegardes ou mécanismes de résilience lorsqu’ils sont applicables ;
• procédures de réponse aux incidents ;
• engagements de confidentialité des personnes autorisées ;
• évaluation et encadrement contractuel des sous-traitants pertinents.

Aucun système connecté à Internet ne peut offrir une sécurité absolue. Le Client doit également protéger ses identifiants, comptes connectés, API, numéros, appareils et accès administrateurs, et informer rapidement Sacha Omon de toute suspicion de compromission.

En cas de violation de données personnelles relevant d’un traitement effectué pour le compte d’un Client, Sacha Omon informe le Client conformément au DPA et au droit applicable afin de lui permettre de satisfaire ses propres obligations.

24. Droits des personnes concernées

Selon le territoire et la loi applicable, une personne peut bénéficier notamment des droits suivants :

• droit d’être informée ;
• droit d’accès aux données la concernant ;
• droit de rectification ;
• droit à l’effacement ;
• droit à la limitation du traitement ;
• droit d’opposition ;
• droit à la portabilité lorsque ce droit s’applique ;
• droit de retirer un consentement, sans affecter la licéité du traitement antérieur ;
• droits relatifs à certaines décisions automatisées ou au profilage ;
• droit d’introduire une réclamation auprès de l’autorité de protection des données compétente.

Pour exercer un droit relatif à des données pour lesquelles Sacha Omon agit comme responsable du traitement, la personne peut écrire à sacha @ sacha-omon.com.

Sacha Omon peut demander les informations raisonnablement nécessaires pour vérifier l’identité du demandeur et éviter une divulgation frauduleuse.

25. Demandes concernant les données d’un Client

Lorsqu’un utilisateur final exerce un droit concernant des données que Sacha Omon traite uniquement pour le compte d’un Client, le Client est l’interlocuteur principal et demeure responsable de la réponse.

Si Sacha Omon reçoit directement une telle demande, Sacha Omon peut orienter la personne vers le Client concerné et, lorsque cela est permis, transmettre la demande au Client. Sacha Omon fournit au Client l’assistance raisonnablement requise par le DPA et le droit applicable.

26. Dispositions pour l’Espace économique européen et le Royaume-Uni

Lorsque le RGPD ou le UK GDPR s’applique, Sacha Omon traite les données conformément aux principes de licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de conservation, intégrité, confidentialité et responsabilité.

Pour les traitements effectués pour son propre compte, Sacha Omon s’appuie, selon le cas, sur l’exécution du contrat, le respect d’une obligation légale, le consentement ou ses intérêts légitimes, sous réserve de la mise en balance requise.

Pour les traitements effectués pour le compte d’un Client, les instructions, mesures de sécurité, sous-traitants ultérieurs, transferts, assistance aux droits, incidents, audits et suppression sont régis par le DPA applicable.

Lorsque des données doivent être transférées vers un territoire ne bénéficiant pas d’un mécanisme d’adéquation applicable, des garanties appropriées peuvent être mises en œuvre, notamment les Clauses Contractuelles Types de la Commission européenne et, pour le Royaume-Uni, l’addendum ou les mécanismes reconnus par le droit britannique.

Sacha Omon fournit les informations exigées par les articles 13 et 14 du RGPD, notamment l’identité et les coordonnées du responsable du traitement, les finalités et bases juridiques, les catégories de données et de destinataires, les durées ou critères de conservation, les transferts internationaux et les droits applicables.

Lorsque l’article 27 du RGPD impose la désignation d’un représentant dans l’Union à un responsable du traitement ou sous-traitant non établi dans l’Union, Sacha Omon procède à cette désignation et met à disposition les coordonnées du représentant concerné par un moyen aisément accessible. La désignation d’un représentant dans l’Union ne modifie pas la responsabilité de Sacha Omon au titre du RGPD.

Lorsqu’une analyse d’impact relative à la protection des données est requise pour un traitement à risque élevé, Sacha Omon réalise l’analyse requise pour ses propres traitements et assiste raisonnablement le Client pour les traitements effectués pour son compte, conformément au DPA.

27. Dispositions pour Israël

Sacha Omon est exploité depuis Israël et applique le droit israélien de la protection de la vie privée lorsqu’il est applicable, notamment la Privacy Protection Law, 5741-1981, telle que modifiée, les règlements de sécurité des données et les règles relatives aux transferts internationaux.

Dans la mesure où Sacha Omon agit pour le compte d’un Client, la répartition des responsabilités tient compte du rôle du responsable de la base de données et du prestataire externe qui détient ou traite des données pour son compte.

Lorsque le droit israélien impose une notification, un enregistrement, la désignation d’un responsable ou délégué, des mesures de sécurité ou un mécanisme particulier pour un transfert à l’étranger, Sacha Omon applique ces exigences dans la mesure où elles lui sont applicables.

28. Californie et autres lois américaines sur la vie privée

Lorsque le California Consumer Privacy Act (« CCPA »), tel que modifié, ou une autre loi américaine de protection des données s’applique à un traitement réalisé par Sacha Omon comme « business » ou « controller », les résidents concernés disposent des droits prévus par la loi applicable. Ces droits peuvent notamment inclure l’accès ou la connaissance, la correction, la suppression, la portabilité, l’opposition à la vente ou au partage, l’opposition à certaines formes de publicité ciblée ou de profilage, la limitation de certaines utilisations de données sensibles, le recours à un mandataire autorisé, ainsi que le droit de ne pas subir de discrimination ou de représailles pour l’exercice d’un droit.

28.1 Notice at Collection et catégories d’informations personnelles

Lorsque le CCPA s’applique, la présente section complète le « Notice at Collection ». Au cours des douze mois précédents, selon les Services effectivement utilisés, Sacha Omon peut avoir collecté les catégories suivantes d’informations personnelles : identifiants et coordonnées professionnelles ; informations commerciales et de transaction ; activité Internet ou réseau ; données de compte et d’authentification ; informations professionnelles ; données de communication électronique ; données audio et vocales lorsque ces fonctions sont activées ; données de localisation approximative déduites d’une adresse IP ; informations publicitaires et de conversion ; inférences limitées nécessaires à la qualification, au routage ou au fonctionnement du Service ; et, uniquement lorsque le Client ou la personne les fournit et que le traitement est licite, certaines informations pouvant relever de catégories sensibles.

Les sources comprennent la personne concernée, le Client, les utilisateurs autorisés, les formulaires et pages hébergées, les canaux connectés, les CRM et autres intégrations, les plateformes publicitaires ou de communication activées, les prestataires de paiement, les journaux techniques et de sécurité et, lorsqu’elles sont licites, certaines sources publiques ou professionnelles.

Les finalités sont celles décrites dans la présente Politique, notamment fournir et administrer le Service, exécuter les instructions du Client, sécuriser les comptes et la plateforme, assurer le support, traiter les paiements, mesurer les performances, prévenir la fraude et les abus, respecter la loi et, pour les données propres à Sacha Omon, réaliser les communications professionnelles autorisées.

Les catégories de destinataires et sous-traitants sont décrites à la section 20. Les critères de conservation par grande catégorie de traitement sont décrits à la section 22 et à l’Annexe 1.

28.2 Vente, partage, publicité ciblée et signaux universels d’opposition

Sacha Omon ne vend pas les Données Client ni les données personnelles des utilisateurs finaux contre rémunération. Sacha Omon n’utilise pas les Données Client pour de la publicité comportementale inter-contextuelle pour son propre compte.

Si des technologies utilisées sur les propres sites de Sacha Omon constituent, dans un territoire donné, une « vente », un « partage » ou de la « publicité ciblée » au sens de la loi applicable, Sacha Omon fournit les mécanismes d’opposition requis et traite les signaux universels d’opposition reconnus, notamment lorsqu’un signal tel que Global Privacy Control doit légalement être honoré.

28.3 Données sensibles

Sacha Omon n’utilise ni ne divulgue des informations personnelles sensibles pour déduire des caractéristiques d’une personne au-delà de ce qui est raisonnablement nécessaire à la fourniture, à la sécurité ou à la conformité du Service, sauf consentement ou autre fondement juridique valable lorsque la loi l’exige.

28.4 Service provider / processor / contractor

Lorsque Sacha Omon traite des informations personnelles pour le compte d’un Client, il agit, selon la loi applicable, comme « service provider », « contractor » ou « processor ». Il traite alors les données pour les finalités commerciales spécifiées dans le contrat et le DPA, selon les instructions du Client et sous les restrictions applicables à ce rôle.

28.5 Exercice des droits, vérification, mandataires et recours

Les demandes relatives aux données pour lesquelles Sacha Omon agit comme responsable peuvent être adressées à sacha @ sacha-omon.com. Sacha Omon peut demander les informations raisonnablement nécessaires pour vérifier l’identité ou l’autorité du demandeur. Un mandataire autorisé peut soumettre une demande lorsque le droit applicable le permet, sous réserve de la vérification de son mandat.

Lorsque la loi d’un État américain prévoit un droit de recours interne contre le refus d’une demande, la personne peut contester la décision en répondant à la notification de refus ou en écrivant à sacha @ sacha-omon.com avec la mention « Privacy Appeal ». Sacha Omon traite le recours dans le délai prévu par la loi applicable et indique, lorsque cela est requis, les modalités de saisine de l’autorité compétente.

28.6 Mineurs

Sacha Omon ne dirige pas ses Services vers les enfants de moins de 13 ans et ne cherche pas à collecter sciemment leurs données pour son propre compte. Sacha Omon ne vend pas ni ne partage sciemment, pour son propre compte, les informations personnelles de personnes de moins de 16 ans.

28.7 Mise à jour du dispositif américain

Lorsque le CCPA s’applique à Sacha Omon comme « business », la présente section est réexaminée et mise à jour au moins avec la fréquence requise par le droit applicable.

29. Communications commerciales et désinscription

Les communications commerciales propres à Sacha Omon sont adressées uniquement dans la mesure permise par les règles applicables.

Chaque destinataire peut utiliser le mécanisme de désinscription présent dans le message lorsqu’il existe ou contacter sacha @ sacha-omon.com afin de demander l’arrêt des communications marketing de Sacha Omon.

La désinscription des communications marketing n’empêche pas l’envoi de communications opérationnelles ou contractuelles nécessaires à un compte actif, à la sécurité, à la facturation ou au support.

Les communications réalisées par un Client au moyen de Sacha Omon sont sous la responsabilité du Client, qui doit gérer ses propres consentements et demandes de désinscription.

30. Demandes gouvernementales, judiciaires et d’urgence

Sacha Omon peut divulguer des données lorsqu’une loi applicable, une ordonnance, une décision de justice ou une demande juridiquement contraignante l’exige, ou lorsque cela est raisonnablement nécessaire pour protéger des personnes contre un risque grave et imminent dans les limites autorisées par la loi.

Lorsque cela est légalement permis et raisonnablement possible, Sacha Omon cherche à limiter la divulgation aux données nécessaires et peut informer le Client concerné avant la divulgation lorsque l’information n’est pas interdite.

31. Cession, future LTD, fusion ou vente de l’activité

Dans le cadre de la création d’une société, d’un apport de l’activité, d’une réorganisation, d’une levée de fonds, d’une fusion, d’une acquisition, d’une cession d’actifs, d’une vente de la technologie ou d’un transfert de l’activité Sacha Omon, les données et contrats associés peuvent être transférés à l’entité successeur ou acquéreur lorsque cela est nécessaire à la continuité de l’activité et autorisé par le droit applicable.

L’entité qui succède à l’exploitant reprend les obligations de protection des données applicables aux informations transférées. Un tel transfert n’autorise pas l’acquéreur à utiliser les Données Client à des fins incompatibles avec les finalités pour lesquelles elles ont été collectées, sauf base juridique valable et information requise par la loi.

32. Liens et services tiers

La Solution peut contenir des liens ou connexions vers des services tiers. Lorsqu’une personne quitte un site Sacha Omon ou utilise directement un service tiers, le traitement réalisé par ce tiers peut être régi par sa propre politique de confidentialité.

Sacha Omon n’est pas responsable des pratiques de confidentialité d’un tiers lorsque celui-ci agit comme responsable indépendant du traitement. Lorsque le tiers agit comme sous-traitant de Sacha Omon, sa relation est encadrée conformément aux obligations applicables.

33. Modifications de la Politique

Sacha Omon peut mettre à jour la présente Politique afin de refléter l’évolution de la Solution, de son infrastructure, de ses sous-traitants, de ses pratiques, de ses obligations ou du droit applicable.

La date de version figurant en tête du document indique la dernière mise à jour. Lorsqu’une modification est substantielle et que la loi l’exige, Sacha Omon fournit une information appropriée avant ou au moment de l’entrée en vigueur de la nouvelle version.

Les versions antérieures peuvent être archivées pour assurer la traçabilité contractuelle et réglementaire.

34. Contact et réclamations

Pour toute question relative à la présente Politique, pour exercer un droit ou signaler un problème de confidentialité :

Sacha Omon AI Netanya, Israël E-mail : sacha @ sacha-omon.com

Sacha Omon peut demander les informations raisonnablement nécessaires pour vérifier l’identité d’un demandeur, protéger les données contre une divulgation frauduleuse et déterminer le rôle applicable de Sacha Omon ou du Client concerné.

Une personne concernée peut également saisir l’autorité de protection des données compétente dans son territoire lorsqu’elle estime que ses droits n’ont pas été respectés.

---

ANNEXE 1 – RÉSUMÉ DES PRINCIPAUX TRAITEMENTS

Compte Client

Données principales : identité professionnelle, e-mail, téléphone, rôle et authentification. Finalité : créer et administrer le compte. Rôle principal de Sacha Omon : responsable du traitement. Conservation : durée de la relation, augmentée de la période nécessaire aux obligations post-contractuelles.

Commandes et facturation

Données principales : offre, factures, transaction et informations fiscales. Finalité : paiement, comptabilité et preuve. Rôle principal de Sacha Omon : responsable du traitement ; certains prestataires de paiement peuvent agir comme responsables indépendants. Conservation : durée imposée par les obligations fiscales et comptables.

RAG et base de connaissances

Données principales : documents, catalogues, règles, FAQ et contenus métier. Finalité : alimenter l’agent et fournir le Service. Rôle principal de Sacha Omon : sous-traitant pour le compte du Client. Conservation : durée du Service puis suppression selon le DPA et le cycle technique applicable.

Conversations

Données principales : messages, prompts, réponses, pièces jointes et historique. Finalité : répondre, qualifier, relancer et assurer le support. Rôle principal de Sacha Omon : sous-traitant. Conservation : selon la configuration du Client et le DPA.

Leads, CRM et rendez-vous

Données principales : coordonnées, besoin, qualification, source et statut. Finalité : gestion commerciale et rendez-vous. Rôle principal de Sacha Omon : sous-traitant. Conservation : selon les instructions et la configuration du Client.

Téléphonie et voix

Données principales : numéros, audio, enregistrements, transcriptions et métadonnées. Finalité : appels, analyse, résumé et suivi. Rôle principal de Sacha Omon : sous-traitant. Conservation : selon la configuration du Client, le droit applicable et le DPA.

Publicité et Alix

Données principales : campagnes, leads, événements, budgets et performances. Finalité : création, pilotage et mesure des campagnes. Rôle principal de Sacha Omon : sous-traitant pour le Client ; les plateformes publicitaires peuvent avoir leur propre rôle. Conservation : selon la configuration et les politiques des plateformes.

Logs et sécurité

Données principales : IP, sessions, logs, erreurs et événements de sécurité. Finalité : sécurité, fraude, diagnostic et disponibilité. Rôle principal de Sacha Omon : responsable du traitement pour les logs propres à Sacha Omon ; sous-traitant pour certains logs Client. Conservation : durée proportionnée aux besoins de sécurité et d’investigation.

Support

Données principales : tickets, échanges et fichiers de diagnostic. Finalité : résoudre les demandes. Rôle principal de Sacha Omon : responsable ou sous-traitant selon le contenu. Conservation : durée nécessaire au support et à la défense des droits.

Données agrégées

Données principales : métriques non identifiantes. Finalité : performance, capacité et amélioration. Rôle principal de Sacha Omon : responsable du traitement lorsqu’aucune personne n’est identifiable. Conservation : selon les besoins légitimes de la plateforme.

ANNEXE 2 – PRINCIPES APPLICABLES AUX SOUS-TRAITANTS

Sacha Omon peut recourir à des sous-traitants ou fournisseurs techniques pour exécuter les Services. Lorsqu’ils traitent des données personnelles pour le compte de Sacha Omon, ils sont sélectionnés en tenant compte de leur rôle, de leurs mesures de sécurité, de leurs engagements contractuels et des obligations applicables.

Les sous-traitants matériels peuvent notamment intervenir dans les domaines suivants : infrastructure Cloudflare, téléphonie et communications Twilio, canaux Meta/WhatsApp/Messenger, services Google, paiement et Merchant of Record, outils de support, fournisseurs de calcul ou modèles d’IA et autres intégrations activées par le Client.

La liste active peut évoluer avec le Service. Le Client peut demander la liste à jour à sacha @ sacha-omon.com.