Version 1.6 — Dernière mise à jour : 28 septembre 2026
La présente Politique de confidentialité décrit la manière dont Aura Soft collecte, utilise et protège les données à caractère personnel dans le cadre du service Lutinia, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).
1 — Responsable du traitement
Le responsable du traitement des données de ses propres clients professionnels et visiteurs est :
Aura Soft — SAS au capital de 1 000 €, siège social : 25 avenue Maréchal Foch, 43000 Le Puy-en-Velay, France — SIREN 107 235 640, RCS Le Puy-en-Velay, TVA FR30 107 235 640. Contact : direction@aura-soft.fr.
2 — Deux rôles distincts au regard du RGPD
Le rôle d'Aura Soft varie selon les données concernées.
| Catégorie de données | Rôle d'Aura Soft | Responsable du traitement |
|---|---|---|
| Données du commerçant client (compte, facturation, usage du Service) | Responsable de traitement | Aura Soft |
| Données des clients finaux du commerçant (réservations, messages, coordonnées) | Sous-traitant | Le commerçant client |
Pour les données des clients finaux, le commerçant détermine les finalités et les moyens du traitement. Aura Soft agit sur ses instructions, dans les conditions de l'Accord de traitement des données (DPA) qui complète les Conditions Générales de Vente.
3 — Données collectées et finalités (Aura Soft responsable)
3.1 Données du commerçant client
| Finalité | Données | Base légale |
|---|---|---|
| Création et gestion du compte | Nom, prénom, raison sociale, adresse électronique, téléphone | Exécution du contrat (art. 6.1.b RGPD) |
| Facturation et paiement | Coordonnées de facturation, historique d'abonnement | Exécution du contrat / obligation légale comptable (art. 6.1.b et c) |
| Assistance et relation client | Échanges avec le support | Intérêt légitime (art. 6.1.f) |
| Amélioration et sécurité du Service | Journaux de connexion, données d'usage | Intérêt légitime (art. 6.1.f) et obligation légale de conservation des données de connexion (art. 6.1.c) |
| Prospection commerciale | Adresse électronique professionnelle | Intérêt légitime pour la prospection entre professionnels portant sur des produits analogues (art. 6.1.f) |
4 — Données des clients finaux (Aura Soft sous-traitant)
Dans le cadre de l'utilisation du Service par le commerçant, Aura Soft traite, pour le compte de ce dernier, les données des clients finaux nécessaires à la réservation :
- coordonnées (numéro de téléphone, identifiant de messagerie du canal utilisé, et le cas échéant prénom)
- contenu des messages échangés avec l'assistant
- historique et préférences de rendez-vous
- le cas échéant, transcriptions des appels vocaux
- données techniques liées aux échanges (horodatage, canal utilisé, journaux d'envoi des notifications)
Ces traitements sont réalisés sur les seules instructions du commerçant, responsable de l'information de ses clients finaux et, lorsqu'il est requis, du recueil de leur consentement.
Le Service n'a pas pour finalité de collecter des données sensibles au sens de l'article 9 du RGPD. Le commerçant s'engage à ne pas en solliciter via le Service.
5 — Destinataires et sous-traitants ultérieurs
Les données ne sont jamais revendues. Elles sont accessibles aux seules personnes habilitées d'Aura Soft et à ses sous-traitants techniques, dans la stricte mesure nécessaire à la fourniture du Service :
| Sous-traitant | Finalité | Localisation des traitements | Garantie de transfert (art. 46 RGPD) |
|---|---|---|---|
| Vercel Inc. | Hébergement de l'application (fonctions exécutées en région Paris) | Union européenne (Paris) ; éditeur établi aux États-Unis | Clauses contractuelles types (CCT) |
| Supabase, Inc. | Base de données et authentification | Union européenne (Paris, eu-west-3) ; éditeur domicilié à Singapour | Clauses contractuelles types (CCT) |
| Hostinger International Ltd. | Serveur d'orchestration | Union européenne | Sans transfert (traitement dans l'Union européenne) |
| OVHcloud SAS | Serveur de secours (bascule en cas d'incident) | Union européenne (France) | Sans transfert (traitement dans l'Union européenne) |
| Anthropic, PBC | Modèle d'intelligence artificielle conversationnelle | États-Unis | Clauses contractuelles types (CCT) |
| OpenAI Ireland Ltd. | Modèle d'intelligence artificielle de secours | Union européenne (Irlande) ; transferts intragroupe vers OpenAI, LLC (États-Unis) | Clauses contractuelles types (CCT) |
| Google LLC | Modèle vocal du répondeur téléphonique (Gemini Live, audio natif) | Union européenne / États-Unis | Clauses contractuelles types (CCT) |
| Telnyx LLC | Téléphonie (voix) | Union européenne (Allemagne) | Clauses contractuelles types (CCT) |
| Sendinblue SAS (Brevo) | Envoi des e-mails transactionnels et de prospection | Union européenne (France) | Sans transfert (traitement dans l'Union européenne) |
| Functional Software, Inc. (Sentry) | Supervision des erreurs applicatives (instance européenne) | Union européenne ; éditeur établi aux États-Unis | Clauses contractuelles types (CCT) ; éditeur certifié Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Traitement des paiements | Union européenne (Irlande) ; transferts intragroupe vers Stripe, Inc. (États-Unis) | Clauses contractuelles types (CCT) |
| Meta Platforms Ireland Ltd. | Messagerie WhatsApp | Union européenne / États-Unis | Clauses contractuelles types (CCT) |
| Telegram Messenger Inc. | Messagerie Telegram (API Bot) | Données des utilisateurs de l'Espace économique européen hébergées aux Pays-Bas sur des serveurs de l'éditeur ; éditeur établi hors Union européenne (Îles Vierges britanniques), représentant dans l'Union : EDPO | Aucune clause contractuelle type proposée par l'éditeur ; canal ouvert par le client final depuis son propre compte Telegram, et information dès le premier message qu'il échange avec un assistant automatisé (article 50 du règlement européen sur l'intelligence artificielle) |
Aura Soft conclut avec chacun de ces sous-traitants un accord de sous-traitance conforme à l'article 28 du RGPD. La liste à jour des sous-traitants est publiée à l'adresse https://app.lutinia.fr/sous-traitants.
6 — Transferts hors Union européenne
Certains sous-traitants sont susceptibles de traiter des données en dehors de l'Union européenne, notamment aux États-Unis ou à Singapour. Ces transferts sont encadrés par des garanties appropriées au sens des articles 44 et suivants du RGPD, notamment les clauses contractuelles types de la Commission européenne, et le cas échéant l'adhésion du prestataire au cadre de protection des données (Data Privacy Framework) pour les transferts vers les États-Unis. La garantie applicable à chaque sous-traitant figure dans le tableau de l'article 5 ci-dessus et dans l'article 6 de l'Accord de traitement des données (DPA) ; une copie des clauses peut être communiquée sur demande.
Pour le canal Telegram, en l'absence de garantie contractuelle proposée par l'éditeur, le transfert repose sur le consentement explicite du client final (article 49.1.a du RGPD), recueilli en début de conversation après information sur l'existence du transfert et sur l'absence de décision d'adéquation et de garanties appropriées. Le client final qui ne souhaite pas y consentir peut prendre rendez-vous par un autre canal (WhatsApp ou téléphone).
7 — Durées de conservation
| Donnée | Durée de conservation |
|---|---|
| Compte commerçant | Durée de l'abonnement, puis 30 jours à compter de la résiliation pour restitution ; en cas de Période d'essai non convertie en abonnement, 90 jours à compter de la fin de l'essai (souscription ou export possibles pendant ce délai), puis suppression ou anonymisation |
| Données de facturation | 10 ans (obligation comptable, art. L.123-22 C. com.) |
| Messages et conversations clients finaux | Durée fixée par le commerçant (responsable de traitement) ; à défaut d'instruction, 24 mois à compter du dernier échange dans la conversation (les messages sont supprimés avec elle) |
| Transcriptions des appels vocaux | Durée fixée par le commerçant (responsable de traitement) ; à défaut d'instruction, 30 jours à compter de l'appel |
| Enregistrements audio des appels | Non conservés par Aura Soft (éphémères chez l'opérateur téléphonique) |
| Journaux d'envoi des notifications | Durée fixée par le commerçant (responsable de traitement) ; à défaut d'instruction, 12 mois |
| Journaux de connexion à l'espace client | 7 jours (conservés par l'hébergeur de la base, non répliqués par Aura Soft) |
| Données de prospection (formulaire de contact) | 3 ans à compter du dernier contact |
Ces durées sont appliquées automatiquement par une purge quotidienne, et non sur demande. À leur expiration, les données sont supprimées ou anonymisées, sauf obligation légale de conservation : les rendez-vous encaissés et les écritures de caisse sont soumis à la durée de conservation comptable de dix ans.
8 — Sécurité
Aura Soft met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données contre la perte, l'accès non autorisé et la divulgation. Elles sont détaillées à l'article 5 de l'Accord de traitement des données (DPA) et comprennent notamment :
- le chiffrement de toutes les communications (TLS) et le chiffrement des données au repos ;
- le cloisonnement des données de chaque commerçant et le contrôle des habilitations, l'accès aux données de production étant limité aux dirigeants d'Aura Soft ;
- l'authentification à deux facteurs sur les consoles d'administration des prestataires techniques ;
- la journalisation des accès et des opérations sensibles ;
- des sauvegardes quotidiennes de la base de données, conservées sept jours, et une procédure de restauration ;
- la protection des formulaires contre les robots et le verrouillage de l'espace d'administration après tentatives de connexion infructueuses.
9 — Vos droits
Conformément au RGPD, vous disposez des droits suivants : droit d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, et le droit de définir des directives relatives au sort de vos données après votre décès.
- Exercice des droits : direction@aura-soft.fr
- Clients finaux d'un commerçant : les demandes doivent être adressées au commerçant, responsable de traitement.
- Réclamation : vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
10 — Délégué à la protection des données
Aura Soft n'est pas tenue de désigner un délégué à la protection des données au sens de l'article 37 du RGPD : son activité principale ne consiste ni en un suivi régulier et systématique à grande échelle, ni en un traitement à grande échelle de données sensibles.
Un point de contact unique en matière de protection des données est néanmoins désigné :
- Contact : direction@aura-soft.fr
- Adresse postale : Aura Soft — Protection des données, 25 avenue Maréchal Foch, 43000 Le Puy-en-Velay, France
Toute demande relative aux données personnelles ou à l'exercice des droits peut lui être adressée. Aura Soft réexaminera cette désignation si l'évolution de son activité le rend nécessaire.
11 — Cookies et autres traceurs
Le dépôt et la lecture de cookies et autres traceurs sur Lutinia sont décrits dans la Politique de cookies, qui complète la présente politique.
12 — Modification de la présente politique
La présente Politique de confidentialité peut être modifiée pour tenir compte des évolutions légales ou du Service. La version applicable est celle publiée en ligne, identifiée par son numéro de version et sa date de mise à jour. Toute modification substantielle est portée à la connaissance des clients.