RGPD & DPA

Données que nous traitons

Selon votre usage, Voxquel peut traiter les catégories suivantes :

• Données de compte — nom, e-mail, mot de passe (haché), préférences (langue, fuseau horaire, notifications).
• Données de facturation — forfait, identifiant d'abonnement PayPal, historique de factures. Aucune donnée de carte bancaire ne transite ni n'est stockée par Voxquel : le paiement est géré par PayPal.
• Identifiants de connexion Odoo — URL, base, utilisateur et clé d'API, chiffrés au repos.
• Données métier Odoo — enregistrements lus ou écrits via la couche modèle d'Odoo (clients, devis, factures…), selon les permissions que vous accordez. Un cache local par connexion peut conserver une copie de travail, isolée par compte, pour accélérer les requêtes.
• Journaux — audit des actions MCP (qui, quoi, quand), métadonnées techniques et journaux d'erreurs.

Localisation & hébergement

L'infrastructure et les bases de données sont hébergées par OVHcloud en France (Union européenne). Vos données au repos sont stockées dans l'UE.

Exception : lorsque vous interrogez votre ERP via Claude, le contenu de vos requêtes et les données Odoo correspondantes sont transmis à Anthropic pour produire la réponse (voir sous-traitants et transferts internationaux).

Sous-traitants ultérieurs

Voxquel s'appuie sur un nombre limité de sous-traitants, sélectionnés pour leurs garanties :

Mesures de sécurité

• Chiffrement en transit (TLS) et chiffrement au repos des secrets (identifiants Odoo, clés OAuth et PayPal).
• Isolation multi-tenant stricte : le compte est la racine d'isolation ; aucune donnée n'est partagée entre comptes.
• Accès Odoo limité à la couche modèle (search, read, create, write, unlink, aggregate) : pas de SQL brut, pas d'exécution de code serveur, pas de modification de vues.
• Permissions granulaires : vous définissez les modèles et les actions que chaque connexion autorise ; lecture et écriture ne sont jamais mélangées dans un même outil.
• Journal d'audit horodaté de chaque action MCP.
• Mots de passe hachés ; secrets jamais journalisés ni commités.

Durées de conservation

• Données de compte — pendant la vie du compte, puis supprimées sous 30 jours après sa clôture (sauf obligation légale).
• Factures — conservées 10 ans (obligation comptable française).
• Cache Odoo — purgé à la suppression d'une connexion ou à votre demande ; vous pouvez le vider à tout moment.
• Journaux d'audit — 12 mois.

Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Transferts internationaux

Vos données sont par défaut traitées dans l'Union européenne. Les transferts hors UE — notamment vers Anthropic, aux États-Unis, lors de l'usage de Claude — sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne et par des garanties appropriées.

Accord de traitement des données (DPA)

Si vous traitez des données personnelles via Voxquel, nous concluons avec vous un accord de traitement conforme à l'article 28 du RGPD, intégré à nos conditions générales. Il précise l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, ainsi que nos obligations de sous-traitant.

Pour recevoir notre DPA signé ou une version adaptée à votre organisation, écrivez à [email protected].

Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous vous en informons sans délai injustifié. En tant que sous-traitant, nous assistons le responsable de traitement dans ses obligations de notification (art. 33 et 34 du RGPD).