Le RGPD et LumaKol

Cette page s’adresse aux entreprises qui utilisent LumaKol et qui détiennent des données sur des personnes situées dans l’Espace économique européen (EEE) ou au Royaume-Uni, ou qui les appellent. Le Règlement général sur la protection des données (RGPD) ou le RGPD britannique s’applique alors à ces données personnelles, où que votre entreprise soit établie.

LumaKol est fourni par BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India, une entreprise établie en Inde. Le Service n’est pas hébergé dans l’EEE ni au Royaume-Uni ; voir « Où les données sont hébergées » ci-dessous.

Cette page explique comment fonctionne LumaKol, ce qu’il fait et ce qu’il ne fait pas. Elle ne constitue pas un conseil juridique. Les règles dépendent de l’endroit où vous et les personnes que vous appelez vous trouvez, de votre secteur et de la raison de vos appels ; consultez donc votre propre avocat avant de vous y fier.

Le RGPD répartit les responsabilités entre un responsable du traitement, qui décide pourquoi et comment les données personnelles sont utilisées, et un sous-traitant, qui les traite pour le compte du responsable du traitement.

• Votre entreprise est responsable du traitement des données personnelles relatives à vos leads et contacts que vous saisissez dans LumaKol : noms, numéros de téléphone, adresses e-mail, notes, journaux d’appels, enregistrements et tout ce que votre équipe stocke. Vous décidez qui appeler, pourquoi, et combien de temps conserver les données.
• LumaKol est votre sous-traitant pour ces données. Nous les stockons et les traitons uniquement pour fournir le Service et sur vos instructions documentées, comme le prévoit l’Avenant relatif au traitement des données.
• LumaKol est responsable du traitement des données dont nous avons besoin pour gérer votre compte et vous facturer : les noms, adresses e-mail et numéros de téléphone de vos utilisateurs, les données de connexion et d’appareil, et les documents de facturation. La Politique de confidentialité explique comment nous les utilisons.

Nous n’utilisons pas les données de vos leads à nos propres fins, nous ne les vendons pas et nous ne les utilisons pas à des fins publicitaires.

Comme vous êtes responsable du traitement des données de vos leads, il vous appartient de choisir et de consigner une base légale pour les traiter et pour contacter ces personnes. Pour les appels commerciaux, il s’agit généralement du consentement ou de l’intérêt légitime, et les règles de chaque pays sur les appels marketing (par exemple PECR au Royaume-Uni) s’appliquent en plus du RGPD.

LumaKol ne recueille pas le consentement de vos leads et ne décide pas si vous pouvez appeler quelqu’un. Il vous offre des emplacements pour en conserver la trace : des notes sur chaque lead, des champs personnalisés que vous définissez (par exemple une date de consentement ou le lieu où il a été donné), la source d’où provient chaque lead, et un historique de chaque appel et de chaque résultat.

Les bases légales sur lesquelles LumaKol s’appuie pour son propre traitement des données de compte sont indiquées dans la Politique de confidentialité.

Les personnes dont vous détenez les données ont le droit d’être informées, d’accéder à leurs données, de les faire rectifier ou effacer, de limiter le traitement ou de s’y opposer, à la portabilité des données, et de s’opposer à tout moment à la prospection directe. En tant que responsable du traitement, vous répondez à ces demandes, normalement dans un délai d’un mois, et nous vous aidons à le faire.

Si l’un de vos leads contacte directement LumaKol, nous ne donnons pas suite nous-mêmes à la demande. Nous la transmettons à votre espace de travail dans les meilleurs délais et vous aidons à y répondre, comme le décrit la Politique de confidentialité.

Si une personne s’oppose à vos appels sans avoir demandé l’effacement, conservez le lead avec le résultat « Ne plus contacter » plutôt que de le supprimer. Un lead supprimé n’empêche pas le même numéro d’être importé à nouveau plus tard comme nouveau lead.

Le propriétaire d’un espace de travail peut le fermer en supprimant son compte dans l’application Android ou iPhone, dès lors que plus personne d’autre n’y est actif (sinon, la propriété doit d’abord être transférée). Les leads, appels, notes, enregistrements d’appels, imports et données d’équipe de l’espace de travail sont alors effacés. Les personnes qui n’ont pas accès à l’application peuvent demander la suppression sur la page Supprimer votre compte.

Lorsqu’un espace de travail est mis en pause pour défaut de paiement, ou qu’un abonnement résilié atteint la fin de sa période payée, les données de l’espace de travail sont supprimées 90 jours plus tard, comme le décrivent les Conditions de paiement.

Lorsqu’un membre de l’équipe supprime son propre compte, son nom, son adresse e-mail, son numéro de téléphone et ses informations de connexion sont supprimés. Les leads sur lesquels il a travaillé appartiennent à votre entreprise et restent dans l’espace de travail.

Les factures et documents de paiement sont conservés aussi longtemps que la législation fiscale l’exige. Les sauvegardes expirent selon le calendrier glissant décrit dans la Politique de confidentialité ; des données supprimées peuvent donc subsister brièvement dans une sauvegarde avant d’en disparaître. Exportez tout ce dont vous avez besoin avant de fermer un espace de travail : les données effacées ne peuvent pas être restaurées.

LumaKol n’enregistre pas lui-même les appels. Lorsqu’un espace de travail utilise cette fonction, l’application Android retrouve les enregistrements déjà réalisés par le composeur du téléphone et les envoie vers le lead correspondant. Ces enregistrements sont stockés sur les propres serveurs de LumaKol, et Paramètres → Confidentialité détermine quels rôles peuvent les écouter.

L’enregistrement des appels est réglementé dans de nombreux pays et exige souvent d’en informer l’interlocuteur ou d’obtenir son consentement. La décision d’enregistrer ou non les appels de votre équipe, et ce que vous dites aux personnes que vous appelez, relèvent de votre responsabilité en tant que responsable du traitement.

Les notes vocales et les photos de visites terrain ne sont pas stockées sur les serveurs de LumaKol. Elles sont enregistrées dans le Google Drive du membre de l’équipe qui l’a connecté, et LumaKol conserve une référence vers le fichier. Les connexions Google Drive ne sont pas encore disponibles ; d’ici là, il n’est pas possible d’ajouter des notes vocales ni des photos de visite.

Les données sont chiffrées en transit et la base de données est chiffrée au repos, chaque requête est filtrée par espace de travail afin que les données d’un client restent séparées de celles d’un autre, les mots de passe sont hachés avec Argon2id, et l’accès du personnel aux données clients est limité et journalisé. Les rôles, le masquage des numéros, les autorisations d’export et l’accès aux enregistrements sont des paramètres que vous contrôlez.

La page Sécurité décrit ces mesures plus en détail, et l’Avenant relatif au traitement des données énumère les mesures auxquelles nous nous engageons.

Si nous avons connaissance d’une violation de données personnelles affectant des données que nous traitons pour vous, nous en informerons le propriétaire de l’espace de travail dans les meilleurs délais. Nous décrirons ce qui s’est passé, les données et les personnes susceptibles d’être concernées, les conséquences probables et les mesures que nous prenons, et nous vous fournirons les informations nécessaires pour remplir votre propre obligation de notification à votre autorité de contrôle dans un délai de 72 heures et, le cas échéant, aux personnes concernées.

Nous vous tiendrons informé à mesure que nous en apprendrons davantage et travaillerons avec vous sur la réponse.

L’application LumaKol fonctionne sur des serveurs situés à Singapour, où sont également stockés les enregistrements d’appels, et la base de données est hébergée au Japon. Un réseau mondial de diffusion de contenu sert et protège le site.

D’autres prestataires prennent en charge des parties spécifiques du Service, comme l’e-mail, les paiements, les rapports de plantage et les notifications push. L’Avenant relatif au traitement des données décrit chaque type de sous-traitant et le lieu où il opère, et les clients peuvent en demander les noms à [email protected].

Les données personnelles relatives à des personnes situées dans l’EEE ou au Royaume-Uni sont transférées hors de l’EEE et du Royaume-Uni lorsqu’elles sont stockées dans LumaKol : vers l’Inde, où BlackLens Studio est établi, vers Singapour et le Japon, où le Service est hébergé, et vers les pays où opèrent nos sous-traitants.

Pour ces transferts, nous nous appuyons sur les clauses contractuelles types de l’UE et, pour les données britanniques, sur l’UK International Data Transfer Addendum, comme le prévoit l’Avenant relatif au traitement des données. Nous appliquons les mêmes mesures de sécurité où que les données soient conservées. Nous ne proposons pas d’hébergement dans l’EEE ni au Royaume-Uni.

L’article 28 du RGPD exige un contrat écrit entre un responsable du traitement et son sous-traitant. Notre Avenant relatif au traitement des données est ce contrat. Il fait partie des Conditions d’utilisation pour les clients qui traitent des données personnelles de l’UE ou du Royaume-Uni ; il s’applique donc dès que vous utilisez LumaKol pour ces données, sans signature distincte.

Si votre organisation a besoin d’un exemplaire contresigné pour ses archives, écrivez à [email protected].

Les questions sur le RGPD, les demandes d’exercice des droits et le DPA sont à adresser à [email protected]. Une personne lit chaque message.

Les personnes situées dans l’EEE ou au Royaume-Uni peuvent également introduire une réclamation auprès de leur autorité locale de protection des données, comme l’Information Commissioner’s Office au Royaume-Uni.