Politique de confidentialité

Ringfully est vendu aux entreprises, et presque tout ce qu’il détient concerne l’entreprise de quelqu’un d’autre. Cela crée deux relations distinctes, et celle dans laquelle vous vous trouvez détermine à qui vous devriez vous adresser.

Si vous êtes l’employé d’un client, ou une personne ayant appelé un client

Votre employeur, ou l’entreprise que vous avez appelée, décide de ce qui est recueilli et pourquoi. C’est lui le responsable du traitement. Nous détenons et traitons les renseignements suivant ses instructions, à titre de sous-traitant. Adressez-vous d’abord à lui ; si vous vous adressez à nous, nous transmettrons la demande et vous dirons que nous l’avons fait.

Si vous êtes client de Ringfully, un client potentiel ou un visiteur de ce site

C’est nous le responsable du traitement. La présente politique nous incombe, et les coordonnées de la clause 10 sont celles à utiliser.

[TBD], sise au [TBD], est la société derrière tout ceci. Notre personne responsable de la protection des renseignements personnels est John, [TBD], que l’on peut joindre à [email protected].

Compte et identité. Le nom d’une personne, son courriel professionnel, une empreinte de son mot de passe, son rôle et ses permissions, son poste téléphonique et (lorsqu’elle a choisi de les indiquer) un numéro mobile et un numéro de renvoi. Aussi la date de sa dernière connexion, le nombre de tentatives infructueuses et un champ de localisation libre sur son profil.

Registres d’appels. Pour chaque appel : les numéros de part et d’autre, qui a répondu, quand il a commencé, a été pris et s’est terminé, combien de temps il a duré, par quelle file il est passé, chaque mise en attente et chaque transfert, et qui était en conférence à tout moment. Les notes attachées à un appel. Une chronologie des changements de disponibilité de chaque personne.

Enregistrements et messages vocaux. Lorsqu’une organisation enregistre les appels, l’audio est détenu par Twilio et nous en conservons une référence et les métadonnées. L’audio des messages vocaux est transcrit automatiquement, et nous conservons le texte de la transcription.

Messages et contacts. Le texte intégral de chaque message envoyé et reçu sur les numéros d’un client. Les fiches de contact (nom, numéro, entreprise, notes libres), dont bon nombre sont créées automatiquement à partir d’un numéro inconnu lors d’un appel entrant ou sortant.

Données de flux d’appel. Les touches composées par un appelant, tout ce qu’un flux a cherché à son sujet, et les numéros de rappel laissés par des personnes en attente dans une file.

Registres de sécurité. Pour chaque session : l’adresse IP et le navigateur depuis lesquels elle a été créée, et sa dernière utilisation. L’adresse IP depuis laquelle une réinitialisation de mot de passe a été demandée. Un journal des courriels et messages texte envoyés par le système, y compris l’adresse ou le numéro de destination.

Appels d’urgence. Un registre permanent de chaque composition du 9-1-1 ou du 9-3-3 : qui a composé, quel numéro a été présenté, s’il s’agissait d’un essai, l’issue, et qui a accusé réception de l’alerte. Celui-là est conservé délibérément et n’est pas supprimé sur demande. Voir la clause 6.

Ce site Web. Ce que vous envoyez par le formulaire de contact : votre nom, votre courriel, votre entreprise si vous l’indiquez, le forfait choisi, le nombre de personnes qui répondent au téléphone et votre message, avec la page et la langue depuis lesquelles vous l’avez envoyé. Si vous acceptez l’analytique, Google Analytics comptabilise votre visite pour nous. Les outils gratuits sous /fr/outils lisent votre fichier dans votre propre navigateur et ne nous envoient rien : aucun téléversement, aucune copie de notre côté. Voir la clause 8.

Pour exploiter le service téléphonique que notre client paie : établir les appels, les acheminer, montrer à la personne qui répond qui appelle, permettre à un administrateur de voir ce qui s’est passé, et mesurer l’utilisation pour qu’une facture soit juste. Cela relève de l’exécution de notre contrat avec le client et de l’intérêt légitime d’une entreprise à conserver un registre de ses propres communications.

Pour assurer la sécurité des comptes : les adresses IP et le décompte des connexions existent pour détecter une session volée et verrouiller un compte attaqué, et rien d’autre ne les lit.

Pour respecter des obligations légales, dont le registre des appels d’urgence, qui existe pour qu’un organisme de réglementation ou un intervenant puisse reconstituer ce qui s’est passé.

Nous ne vendons pas de renseignements personnels. Nous ne les communiquons pas à des fins de publicité comportementale intercontextuelle. Nous ne nous en servons pas pour entraîner des modèles d’apprentissage automatique, ni les nôtres ni ceux de qui que ce soit.

Notre base de données et nos serveurs sont aux États-Unis : la région US East (Virginie du Nord) d’Amazon Web Services. Rien n’est conservé au Canada. L’audio des appels et des messages vocaux, ainsi que la transcription de ces derniers, sont traités par Twilio, qui ne nous garantit aucune région de stockage.

Le marché de lancement de Ringfully est le Canada. Si vous êtes une entreprise canadienne, ou une personne au Canada ayant appelé l’une d’elles, cela veut dire que des renseignements personnels vous concernant sont conservés à l’extérieur du pays et sont assujettis aux lois du pays où ils se trouvent, y compris l’accès licite par les autorités de ce pays, suivant des procédures auxquelles nous ne serions pas partie.

Nous vous le disons franchement plutôt qu’en note de bas de page parce que la Loi 25 du Québec exige d’une entreprise qu’elle évalue une telle communication avant de l’effectuer, et parce qu’un client d’un secteur réglementé peut tout simplement ne pas avoir le droit de l’accepter. Posez la question avant d’acheter plutôt qu’après.

La liste complète, ce qui parvient à chacun et où, se trouve à la page des sous-traitants. En résumé : Twilio achemine chaque appel et chaque message et détient l’audio des enregistrements et des messages vocaux ; Amazon Web Services héberge nos serveurs, notre base de données et nos secrets, et achemine les messages du formulaire de contact de ce site par Amazon SES ; Cloudflare héberge ce site Web et exécute la vérification antipourriel du formulaire de contact ; Google Analytics comptabilise les visites de ce site pour les visiteurs qui l’acceptent ; Stripe traite les renseignements de paiement, qui ne touchent jamais nos systèmes ; Sentry reçoit les rapports d’erreur, configuré pour exclure le corps des requêtes et les adresses IP ; et Anthropic reçoit la parole des appelants provenant d’un flux qui utilise le bloc d’assistant IA, lequel est désactivé à moins qu’un client ne l’ait demandé.

Nous communiquerons également des renseignements lorsque la loi nous y contraint. Lorsqu’il nous est permis de dire au client que nous y avons été contraints, nous le ferons.

Si l’entreprise était un jour vendue, les renseignements personnels suivraient, et vous en seriez informé au préalable.

La majeure partie est désormais supprimée selon un calendrier. Il existe huit fenêtres de conservation, une par catégorie de données. Un administrateur les règle dans le produit, sous Paramètres, Conservation des données ; tant qu’il ne l’a pas fait, nos valeurs par défaut s’appliquent. Une tâche s’exécute chaque nuit et supprime ce qui a dépassé sa fenêtre. Nos valeurs par défaut sont de trente jours pour les enregistrements d’appels ; quatre-vingt-dix jours pour les messages vocaux et leurs transcriptions ; un an pour le contenu des messages, le journal de ce que le système a envoyé par courriel et par message texte, et l’historique de disponibilité ; et environ sept ans pour les registres d’appels et le journal d’audit, qui constituent une preuve de facturation et de litige. Chacune des huit fenêtres peut être fixée entre un jour et dix ans.

Lorsqu’un enregistrement ou un message vocal dépasse sa fenêtre, l’audio est d’abord supprimé chez Twilio, et la fiche conservée ici n’est effacée qu’une fois que Twilio a confirmé sa disparition. Un enregistrement supprimé laisse un jalon qui retient son identifiant, la date de destruction de l’audio et le motif, afin que la suppression puisse être démontrée par la suite. Un registre d’appel portant un tel jalon n’est pas supprimé par le calendrier et survit à sa propre fenêtre.

Certaines choses échappent au calendrier. Les fiches de contact n’ont aucune fenêtre : une entrée de répertoire est une donnée de carnet d’adresses plutôt que le registre d’un événement, et elle est donc supprimée sur demande et non par minuterie. Les registres de session n’en ont pas davantage. Une personne désactivée est conservée plutôt qu’effacée, parce que son nom est rattaché à des registres d’appels qui doivent demeurer attribuables. Et le registre des appels d’urgence est conservé environ sept ans comme pièce de conformité, puisque son objet même est de survivre à l’incident.

Selon l’endroit où vous êtes, vous pouvez nous demander de :

1. vous dire ce que nous détenons à votre sujet et pourquoi ;
2. vous en remettre une copie, dans un format structuré et couramment utilisé ;
3. les corriger lorsqu’ils sont inexacts ;
4. les supprimer, lorsque nous ne sommes pas tenus de les conserver ;
5. expliquer une décision prise par des moyens automatisés, y compris les renseignements utilisés et ce qui a le plus pesé, et faire réexaminer la décision par une personne ; et
6. retirer un consentement déjà donné.

Ce que le produit lui-même peut faire, précisément : un administrateur détenant les permissions requises peut extraire tout ce que nous détenons sur une personne dans un seul fichier JSON, ou une section à la fois en CSV, et lancer un effacement qui agit sur toutes les tables d’un coup. Un effacement doit être confirmé en saisissant l’identifiant même de la personne visée, et il est simulé par défaut, de sorte qu’une demande mal saisie ne supprime rien. Les enregistrements d’appels et les messages vocaux peuvent être supprimés, un à un ou par un effacement : l’audio est d’abord retiré chez Twilio, et la fiche conservée ici n’est effacée qu’une fois que Twilio a confirmé. Le journal d’audit peut être exporté en fichier CSV sans passer par nous. Tout cela se trouve dans le produit, sous Paramètres et sur la page du journal d’audit, et chaque exportation comme chaque effacement inscrivent leur propre entrée au journal.

Deux choses qu’un effacement ne fait pas, dites ici plutôt que laissées à découvrir. Les registres d’appels ne sont pas supprimés : les identifiants qu’ils contiennent sont retirés et la ligne subsiste, parce qu’elle est le registre à partir duquel une facture a été calculée et que la loi fiscale exige de la conserver. Le journal d’audit n’est pas effacé non plus, parce qu’il est la preuve que nous avons donné suite à la demande ; le nom et le courriel professionnel d’une personne partie subsistent donc dans les entrées qui décrivent ce qu’elle a fait.

Le processus autour demeure manuel. Rien dans le produit n’enregistre qui a fait la demande, ne vérifie que cette personne est bien celle qu’elle dit être, ni ne déclenche le délai de trente jours, et vous n’avez aucun moyen de faire une demande vous-même. Comment faire une demande précise exactement comment demander et à quoi nous pouvons répondre. Écrivez à [email protected] et nous répondrons dans les trente jours. Si vous êtes l’employé d’un client de Ringfully, nous transmettrons votre demande à celui-ci, parce que ce sont ses données et sa décision.

Si vous êtes insatisfait de notre traitement d’une demande, vous pouvez porter plainte auprès de votre organisme de surveillance : le Commissariat à la protection de la vie privée du Canada, ou la Commission d’accès à l’information du Québec si vous êtes au Québec.

ringfully.com ne dépose aucun témoin et ne conserve rien dans votre navigateur tant que vous n’avez pas répondu à la bannière de témoins, et ne charge Google Analytics que si vous choisissez « Tout accepter ». Les polices de caractères sont servies depuis notre propre domaine. Cloudflare héberge le site, de sorte que chaque requête de page passe par son réseau.

Google Analytics. Si vous acceptez, Google Analytics 4 comptabilise les visites et les pages lues. Il dépose le témoin _ga, et Google reçoit votre adresse IP et la page où vous vous trouvez. Il est configuré pour la mesure uniquement : le stockage publicitaire, la personnalisation des annonces et les données publicitaires sont tous refusés. Lorsqu’un message est envoyé par le formulaire de contact, il consigne qu’un message a été envoyé et quel forfait a été choisi, jamais ce que vous avez saisi. Si vous choisissez « Essentiels seulement », ou si vous ne répondez pas, le script n’est jamais chargé et rien n’est envoyé à Google.

Le formulaire de contact. Ce que vous saisissez est envoyé à une fonction Cloudflare Pages sur ce domaine. La vérification Turnstile de Cloudflare confirme qu’une personne l’a envoyé ; pour cela, elle lit des signaux de votre navigateur et reçoit votre adresse IP. Le message est ensuite acheminé vers notre boîte de courriel des ventes par Amazon SES, aux États-Unis. Le site lui-même n’en garde aucune copie. Nous nous en servons pour vous répondre.

Votre réponse à la bannière de témoins est conservée dans votre navigateur, afin que nous ne posions pas la question deux fois. La page sur les témoins l’énumère, avec le témoin de Google Analytics et chacune des onze choses que le produit conserve une fois que vous y êtes connecté. Un test charge chaque page dans les deux langues et vérifie que rien n’est écrit avant votre réponse.

Do Not Track. Si votre navigateur envoie un signal Do Not Track ou Global Privacy Control, nous le traitons comme un refus : la bannière ne s’affiche pas, et Google Analytics n’est jamais chargé, même si vous l’aviez accepté auparavant.

Le produit auquel vous vous connectez est différent : il conserve une session pour vous garder connecté, ainsi qu’une préférence de thème. Ces éléments sont strictement nécessaires à son fonctionnement.

Les mots de passe sont hachés avec bcrypt et ne sont jamais conservés sous une forme que nous puissions lire. Les jetons d’accès sont de courte durée ; les jetons de rafraîchissement sont rotatifs, et la réutilisation d’un ancien est traitée comme un vol et révoque toute la chaîne. Les échecs répétés de connexion verrouillent le compte. Le trafic est chiffré en transit. Chaque requête portant sur les données d’un client filtre sur un identifiant d’organisation lu dans le jeton vérifié, et il existe une suite de tests dont l’unique fonction est de tenter un accès entre clients et de vérifier qu’il échoue.

Soyons tout aussi clairs sur les lacunes : nous ne détenons aucun rapport soc 2 ni certification équivalente, et le service ne convient pas aux renseignements de santé protégés ni à quoi que ce soit d’autre exigeant un traitement de calibre hipaa. Les utilisateurs peuvent activer un deuxième facteur sur leur propre compte, mais une organisation ne peut pas encore l’exiger de tous ses utilisateurs. L’authentification multifacteur est obligatoire sur notre propre console d’exploitation, pas sur les comptes clients. Notre page sur la sécurité est plus détaillée et tout aussi directe.

Si une atteinte crée un risque réel de préjudice sérieux, nous en aviserons les personnes concernées et l’organisme compétent, et nous tenons un registre des incidents qu’ils atteignent ou non ce seuil.

Questions et demandes relatives à la vie privée : [email protected], ou par la poste au [TBD], à l’attention de [TBD].

Nous afficherons les modifications ici et mettrons à jour la date en haut de page. Lorsqu’une modification touche de façon importante la manière dont nous traitons des renseignements déjà recueillis, nous en informerons les clients directement plutôt que de compter sur le fait que vous le remarquiez.