Politique de confidentialité

1. Introduction

Nous protégeons les données des personnes qui visitent callifly.com, nous écrivent, ou demandent à découvrir Cali, notre assistant vocal IA. Ce document explique ces traitements. Il s'applique avec le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés.

Le responsable du traitement, pour les données décrites ici, est :

• Callifly, société par actions simplifiée au capital de 8 100 euros
• 68 rue Émile Zola, 34130 Mauguio, France
• 953 123 544 R.C.S. Montpellier — SIRET 95312354400025 — TVA FR85953123544
• Président : Loïc Sitbon
• Contact général : contact@callifly.com
• Délégué à la protection des données : Dr Tancho Markovik — tancho@callifly.com (alias privacy@callifly.com)

Cette politique couvre le site callifly.com, ses visiteurs et les prospects qui nous contactent depuis le site, un formulaire LinkedIn ou une prise de rendez-vous.

Les données que nos clients font traiter par Cali (appels, messages, transcriptions de leurs propres contacts) relèvent de ces clients, qui sont responsables du traitement. Callifly agit alors en sous-traitant, selon le contrat et l'accord de traitement publié sur dashboard.callifly.com/dpa.

Dans ce document, nous expliquons :

• pourquoi des données sont collectées ;
• quelles données ;
• sur quelle base juridique ;
• quels sous-traitants interviennent ;
• à qui les données peuvent être communiquées ;
• combien de temps elles sont conservées, et comment exercer vos droits.

2. Hébergement du site web

Les pages de callifly.com sont des fichiers statiques. Elles sont hébergées par Amazon Web Services (Amazon S3), dans la région AWS eu-central-1 (Francfort).

Données collectées et traitées

• Adresse IP
• Données techniques de connexion (date, page demandée, navigateur, appareil)
• Journaux techniques nécessaires à la diffusion et à la sécurité du site

Base juridique

• Intérêt légitime (article 6, paragraphe 1, point f, du RGPD) : faire fonctionner le site et le protéger

Sous-traitants impliqués

• Amazon Web Services EMEA SARL, 38, avenue John F. Kennedy, L-1855 Luxembourg : hébergement et diffusion du site, Union européenne, région eu-central-1 (Francfort). Pour un compte dont le pays est la France, c'est cette société qui contracte.

Informations complémentaires

L'hébergement principal est dans l'Union européenne. Les certifications citées pour cet hébergeur (ISO 27001, SOC 2, PCI-DSS) sont celles d'AWS, pas celles de Callifly.

3. Démonstration de Cali

Le site ne lance pas d'appel test depuis la page. Pour essayer Cali, vous laissez votre adresse e-mail dans un formulaire (« Créer votre premier agent » ou équivalent). Le formulaire « Nous contacter » collecte l'adresse e-mail, le prénom, le nom, le nom de l'entreprise et, si vous le renseignez, le numéro de téléphone (section 4). Nous vous recontactons. Si une démonstration vocale a ensuite lieu, les prestataires ci-dessous peuvent traiter la voix et le texte de l'échange.

Données collectées et traitées

• Adresse e-mail professionnelle saisie dans le formulaire
• Page d'origine et langue du formulaire
• Lors d'un échange vocal éventuel : voix, transcription, et ce que vous dites à Cali

Base juridique

• Mesures précontractuelles (article 6, paragraphe 1, point b, du RGPD) : répondre à une demande d'essai
• Pour un transfert vers les États-Unis : Data Privacy Framework lorsque la certification est active (Twilio Inc., Eleven Labs Inc., Google LLC, et Amazon Web Services, Inc. en tant qu'entité couverte d'Amazon.com, Inc.). Sinon, clauses contractuelles types (Deepgram, Inc., Anthropic, OpenAI). Mistral AI est établi en France.

Sous-traitants impliqués

Noms issus de la politique interne du 2 septembre 2026. Les adresses ci-dessous viennent des documents publics de chaque prestataire.

• Deepgram, Inc., 548 Market St, Suite 25104, San Francisco, CA 94104-5401, États-Unis — reconnaissance vocale. Transfert : clauses contractuelles types. Deepgram, Inc. n'est pas inscrit sur la liste du Data Privacy Framework.
• Twilio Ireland Limited, 78 Sir John Rogerson's Quay, Dublin 2, D02 R296, Irlande — téléphonie et SMS. Transfert vers Twilio Inc. (États-Unis) : Data Privacy Framework.
• Eleven Labs Inc., 169 Madison Ave #2484, New York, NY 10016, États-Unis — synthèse vocale. Les conditions d'utilisation applicables à l'Espace économique européen sont conclues avec cette société. La politique de confidentialité désigne, pour les résidents de cette zone, ElevenLabs Poland sp. z o.o., Lipska 27/22, 03-908 Varsovie, Pologne, comme responsable du traitement. Transfert vers Eleven Labs Inc. : Data Privacy Framework (nom public sur la liste : ElevenLabs).
• Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irlande — modèles Claude, via AWS Bedrock pour Haiku. Les conditions commerciales désignent cette société lorsque le client est dans l'Espace économique européen. Un traitement peut avoir lieu aux États-Unis. Anthropic n'est pas inscrit sur la liste du Data Privacy Framework : clauses contractuelles types. Si le traitement passe par Amazon Web Services, Inc., cette société est une entité couverte de la certification active d'Amazon.com, Inc. : Data Privacy Framework.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande — modèles et services d'IA. Un traitement peut avoir lieu aux États-Unis. Transfert vers Google LLC : Data Privacy Framework.
• OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlande — modèles d'IA générative. Un traitement peut avoir lieu aux États-Unis. OpenAI n'est pas inscrit sur la liste du Data Privacy Framework : clauses contractuelles types.
• Mistral AI, société française immatriculée à Paris sous le numéro 952 418 325, 15 rue des Halles, 75001 Paris — modèles d'IA. Pas de Data Privacy Framework : l'établissement est en France.
• HubSpot, Inc., Two Canal Park, Cambridge, MA 02141, États-Unis — réception des formulaires du site. Le formulaire de contact est envoyé directement à HubSpot. Pour l'Espace économique européen : HubSpot Ireland Limited. HubSpot, Inc. est certifié EU-US Data Privacy Framework.

Informations complémentaires

L'intérêt de ce traitement est de vous faire essayer le service avant un éventuel contrat. Callifly ne crée pas d'empreinte vocale pour vous identifier. Les enregistrements servent à transcrire, comprendre la demande et la résumer. Ils ne servent pas à entraîner des modèles de fondation.

Lors d'un échange avec Cali, ne communiquez pas de catégories particulières de données (article 9 du RGPD) : origine dite raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d'identification, données de santé, données relatives à la vie sexuelle ou à l'orientation sexuelle. Le plus simple est de ne pas les prononcer.

Les démonstrations avec Cali sont enregistrées (audio et transcription). Ces enregistrements sont hébergés chez AWS à Francfort, conservés 180 jours, puis supprimés automatiquement.

4. Prise de contact par e-mail ou formulaire

Vous pouvez nous écrire à contact@callifly.com, utiliser le formulaire de contact du site, ou réserver un créneau sur une page Google Agenda. Le formulaire de contact collecte l'adresse e-mail, le prénom, le nom, le nom de l'entreprise et, si vous le renseignez, le numéro de téléphone. Ces informations sont envoyées à HubSpot.

Données collectées et traitées

• Adresse e-mail
• Prénom
• Nom
• Nom de l'entreprise
• Numéro de téléphone, si vous le renseignez
• Contenu du message, si vous nous écrivez
• Page d'origine et langue, pour un formulaire du site

Base juridique

• Intérêt légitime (article 6, paragraphe 1, point f, du RGPD) : répondre à une question sur nos offres
• Mesures précontractuelles (article 6, paragraphe 1, point b, du RGPD), lorsque la demande prépare un contrat

Sous-traitants impliqués

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande — messagerie (Gmail et Google Workspace) et pages de réservation Google Agenda. Un transfert vers Google LLC (États-Unis) est couvert par le Data Privacy Framework.
• Le formulaire de contact est envoyé à HubSpot, Inc. (section 3).

Informations complémentaires

N'indiquez pas dans votre message de catégories particulières de données (liste à la section 3).

5. Prise de rendez-vous en ligne

Certaines pages proposent un lien de réservation HubSpot Meetings, sur le domaine meetings-eu1.hubspot.com. Ce lien ouvre l'outil de prise de rendez-vous, il n'est pas un module intégré dans la page.

Données collectées et traitées

• Nom
• Prénom
• Adresse e-mail
• Nom de l'entreprise

Base juridique

• Mesures précontractuelles (article 6, paragraphe 1, point b, du RGPD)
• Le lien indique un point de présence « eu1 ». Un transfert vers HubSpot, Inc. (États-Unis) est couvert par le Data Privacy Framework.

Sous-traitants impliqués

• HubSpot France S.A.S., 91 boulevard Haussmann, 75008 Paris — Meetings. Les pages de réservation Google Agenda relèvent de la section 4.

Informations complémentaires

Le lien figure notamment sur un article du blog. N'y déposez pas de catégories particulières de données. Vous évitez ce traitement en ne réservant pas de créneau.

6. Formulaires LinkedIn Lead Gen

Callifly diffuse des publicités LinkedIn avec un formulaire. Si vous l'envoyez, nous recevons les champs que vous y avez saisis.

Données collectées et traitées

• Prénom
• Nom
• Adresse e-mail
• Entreprise
• Site web

Base juridique

• Consentement (article 6, paragraphe 1, point a, du RGPD)
• Intérêt légitime (article 6, paragraphe 1, point f, du RGPD), pour la prospection
• LinkedIn agit comme sous-traitant pour la transmission de ces leads.

Sous-traitants impliqués

• LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irlande — formulaire de génération de leads et Insight Tag (section 7). LinkedIn agit comme sous-traitant. Transfert vers LinkedIn Corporation (États-Unis) : Data Privacy Framework.

Informations complémentaires

LinkedIn vous présente le formulaire dans son propre environnement. Nous utilisons les coordonnées pour vous recontacter au sujet de Callifly. La durée de conservation est indiquée à la section 12.

7. Mesure d'audience et publicité

Les pages du site chargent Google Tag Manager et, après votre accord, le LinkedIn Insight Tag. Google Tag Manager charge Google Analytics 4 seulement si vous acceptez le « stockage d'analyse ». Ces outils servent à mesurer l'audience du site et l'efficacité de nos campagnes LinkedIn. Votre choix est recueilli par le bandeau Axeptio (section 11).

Données collectées et traitées

• Identifiant Google Analytics 4 : G-3DGK0YDJDT
• LinkedIn Insight Tag : identifiant partenaire 9742674
• Google Tag Manager : GTM-TKRNPVSV. Ce conteneur sert à charger Google Analytics après votre consentement au « stockage d'analyse ».
• Adresse IP, appareil, navigateur, pages vues, événements de conversion
• Cookies déposés par ces outils (liste à la section 11)

Base juridique

• Consentement (article 6, paragraphe 1, point a, du RGPD), recueilli par finalité dans le bandeau Axeptio
• Transfert vers Google LLC et vers LinkedIn Corporation (États-Unis) : Data Privacy Framework

Sous-traitants impliqués

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande : Analytics et Tag Manager. Transfert vers Google LLC : Data Privacy Framework.
• LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irlande : Insight Tag. Transfert vers LinkedIn Corporation : Data Privacy Framework.

Informations complémentaires

• Le LinkedIn Insight Tag ne se charge que si vous acceptez « Publicité et mesure LinkedIn ».
• Google Analytics 4 est chargé par Google Tag Manager uniquement après que vous avez accepté le « stockage d'analyse ». Aucun signal Google Analytics n'est envoyé avant ce consentement.
• L'espace client dashboard.callifly.com utilise Hotjar pour l'analyse de sessions. Le site callifly.com n'utilise pas Hotjar.

8. Contenus tiers et polices

Le pied de page contient des liens vers la chaîne YouTube de Callifly et la page LinkedIn de l'entreprise. Ce sont des liens sortants, pas des vidéos ni des modules intégrés. Tant que vous ne cliquez pas, votre navigateur ne contacte pas ces services pour afficher la page.

La police Montserrat est servie depuis callifly.com (/assets/fonts/). Les pages du site de production n'appellent pas Google Fonts.

Données collectées et traitées

• Aucune donnée n'est envoyée à YouTube ou LinkedIn du seul fait d'afficher la page
• Si vous suivez le lien, le service de destination s'applique, selon sa propre politique

Base juridique

• Pas de traitement par Callifly au titre de l'affichage de la page

Sous-traitants impliqués

Aucun pour l'affichage de ces liens ou de la police.

Informations complémentaires

Nous ne maîtrisons pas ce que YouTube ou LinkedIn font une fois que vous avez quitté callifly.com. YouTube est un service de Google. Pour une personne située dans l'Espace économique européen, Google indique Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Google LLC est certifié Data Privacy Framework. Les pages de réservation Google Agenda sont décrites à la section 4. L'outil HubSpot Meetings est décrit à la section 5.

9. Transferts hors UE et Data Privacy Framework

L'hébergement principal est dans l'Union européenne. Certains prestataires d'IA vocale, de téléphonie et de publicité peuvent traiter des données aux États-Unis. Les données ne restent donc pas toutes dans l'Union européenne.

Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation pour le cadre UE–États-Unis de protection des données (Data Privacy Framework). Une entreprise américaine inscrite sur la liste publique de ce cadre est réputée offrir un niveau de protection adéquat.

Nous n'indiquons le Data Privacy Framework comme base d'un transfert que si le prestataire est sur cette liste, avec une certification EU-US active. Vérification du 10 octobre 2026 sur la liste publique :

• Certification active : Amazon.com, Inc. (Amazon Web Services, Inc. est une entité couverte), Twilio Inc., ElevenLabs (raison sociale Eleven Labs Inc.), Google LLC, HubSpot, Inc., LinkedIn Corporation, Stripe, LLC.
• Absents de la liste, donc clauses contractuelles types : Deepgram, Inc., Anthropic, OpenAI.
• Pas de Data Privacy Framework : Mistral AI, établi en France. GoCardless SAS est établi en France. Un transfert vers GoCardless Ltd au Royaume-Uni repose sur la décision d'adéquation du Royaume-Uni.

10. Clauses contractuelles types

Lorsque le prestataire n'est pas couvert par une décision d'adéquation, nous encadrons le transfert par les clauses contractuelles types de la Commission européenne (décision 2021/914). Ces clauses obligent l'importateur à protéger les données à un niveau comparable à celui de l'Union européenne. Elles sont publiées par la Commission.

La politique interne du 2 septembre 2026 indique que ces clauses sont signées avec les sous-traitants concernés situés aux États-Unis, et que des analyses d'impact des transferts sont réalisées. Le chiffrement en transit (TLS) et au repos ne constitue pas un chiffrement de bout en bout des conversations.

11. Cookies, consentement et stockage local

Un cookie est un petit fichier déposé sur votre terminal. Le site utilise aussi le stockage de session du navigateur.

Le bandeau de consentement

Lors de votre première visite, un bandeau Axeptio s'affiche après quelques secondes ou dès que vous faites défiler la page. Il vous propose :

• « OK pour moi » : vous acceptez toutes les finalités ;
• « Non merci » : vous refusez tout, en un clic ;
• « Je choisis » : vous décidez finalité par finalité.

Les finalités proposées sont :

• Partage de données avec Google : stockage d'analyse (mesure d'audience Google Analytics), stockage de publicité, données utilisateur pour la publicité, personnalisation des publicités. Chaque élément a son propre interrupteur.
• Publicité et mesure LinkedIn : LinkedIn Insight Tag (mesure des conversions et ciblage publicitaire LinkedIn).

Aucun cookie de mesure d'audience ou de publicité n'est déposé avant votre accord. Le LinkedIn Insight Tag n'est pas chargé tant que vous ne l'avez pas accepté. Google Analytics 4 n'est chargé via Google Tag Manager, et aucun signal n'est envoyé à Google Analytics, tant que vous n'avez pas accepté le « stockage d'analyse ».

Conservation de votre choix

Axeptio enregistre votre choix dans des cookies sur votre terminal, pour ne pas vous le redemander à chaque visite. Ces cookies contiennent un identifiant de consentement aléatoire, la date et vos choix. Ils sont conservés 190 jours, soit environ 6 mois. Le bandeau vous est ensuite présenté à nouveau.

Modifier ou retirer votre consentement

Vous pouvez changer d'avis à tout moment, aussi simplement que vous avez donné votre accord. Vous pouvez rouvrir le bandeau par le lien « Gérer les cookies » dans le pied de page, ou par le bouton Axeptio en bas à gauche des pages. Vous pouvez aussi supprimer les cookies dans les réglages de votre navigateur (Chrome, Firefox, Safari, Edge). Le retrait ne remet pas en cause les traitements déjà faits.

Liste des cookies et traceurs

Espace client

Des cookies d'authentification, de sécurité et de session peuvent être nécessaires. Ils ne demandent pas de consentement.

Sous-traitant

• Agilitation SAS (Axeptio), 15 rue du Général Campredon, 34000 Montpellier, RCS Montpellier 821 947 009 : gestion et preuve du consentement. Société établie en France.

12. Durée de conservation

Nous gardons les données le temps de la finalité, puis nous les supprimons, sauf obligation légale.

• Facturation : 10 ans (Code de commerce, article L123-22)
• Compte après résiliation ou suppression : 30 jours pour réactiver le compte ou en exporter les données, puis suppression des systèmes de production dans les 60 jours. Les sauvegardes sont écrasées au plus tard 90 jours après la suppression.
• Données traitées pour le compte d'un client (conversations) : 6 mois, sauf instruction écrite contraire du client
• Journaux de sécurité : 12 mois
• Démonstrations vocales avec Cali (audio et transcription), hébergées chez AWS à Francfort : 180 jours, puis suppression automatique
• Prospects (formulaire du site, LinkedIn, rendez-vous) : 3 ans après votre dernier contact

Avant la suppression du compte, un export JSON ou CSV peut être demandé. Passé les 30 jours, la récupération n'est plus possible.

13. Communication des données

Nous ne vendons pas vos données. Nous les communiquons uniquement lorsqu'un prestataire doit exécuter le service, lorsque la loi l'exige, ou lorsque vous nous le demandez.

Catégories de destinataires :

• Sous-traitants nommés dans cette politique (hébergement, voix, messagerie, prise de rendez-vous, mesure d'audience, gestion du consentement)
• Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlande — cartes. Entité contractante pour un client de l'Espace économique européen. Un transfert vers Stripe, LLC (États-Unis) est couvert par le Data Privacy Framework. Les numéros de carte ne sont pas stockés sur nos serveurs.
• GoCardless SAS, 7 rue de Madrid, 75008 Paris — prélèvement SEPA. Entité contractante pour un marchand de l'Espace économique européen. Le Data Privacy Framework ne s'applique pas. GoCardless indique que la majorité des données personnelles est traitée chez GoCardless Ltd, Sutton Yard, 65 Goswell Road, Londres EC1V 7EN : ce transfert repose sur la décision d'adéquation du Royaume-Uni.

14. Sécurité des données

Nous appliquons des mesures techniques et d'organisation proportionnées au risque. Les échanges sont chiffrés en transit (TLS). Les données au repos sont chiffrées (AES-256 dans la politique interne). Ce n'est pas un chiffrement de bout en bout des conversations.

L'accès aux données suit le principe du moindre privilège. L'authentification à plusieurs facteurs est recommandée pour les comptes clients. Elle n'est pas imposée. L'hébergement est chez AWS. Les certifications de sécurité de l'hébergeur ne sont pas des certifications de Callifly.

Une analyse d'impact relative à la protection des données existe pour nos traitements. Elle est disponible sur demande à privacy@callifly.com.

15. Retrait du consentement

Lorsque le traitement repose sur votre consentement (article 6, paragraphe 1, point a, du RGPD), vous pouvez le retirer à tout moment. Le retrait ne remet pas en cause les traitements déjà faits. Pour les cookies, utilisez le lien « Gérer les cookies » dans le pied de page, ou le bouton Axeptio en bas à gauche des pages (section 11). Vous pouvez aussi écrire aux adresses de la section 1.

16. Caractère facultatif de la fourniture des données

Visiter callifly.com ne vous oblige pas, en droit, à nous donner des données d'identité. Vous pouvez ne pas remplir de formulaire, ne pas réserver de rendez-vous et ne pas envoyer de formulaire LinkedIn. Sans adresse e-mail, nous ne pouvons pas répondre à une demande de démonstration ni créer d'accès. Les cookies strictement nécessaires à l'espace client sont, eux, requis pour s'y connecter.

17. Vos droits

Vous pouvez exercer les droits ci-dessous en écrivant à privacy@callifly.com ou tancho@callifly.com. Indiquez votre nom, l'e-mail concerné et le droit que vous exercez. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe. Nous vous prévenons dans ce cas. Un justificatif d'identité peut être demandé.

Si vous êtes le contact d'une entreprise cliente de Callifly, et non un client direct, adressez-vous d'abord à cette entreprise. Si vous ne savez pas laquelle, écrivez-nous : nous vous aiderons à l'identifier.

Droit d'accès

Vous pouvez demander si nous traitons des données vous concernant, et en recevoir une copie.

Droit de rectification

Vous pouvez faire corriger des données inexactes ou incomplètes.

Droit à la portabilité

Lorsque le traitement est automatisé et fondé sur votre consentement ou sur un contrat, vous pouvez recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, ou demander que nous les transmettions à un autre organisme lorsque c'est techniquement possible.

Droit à la limitation

Vous pouvez demander que nous gelions un traitement, par exemple le temps de vérifier une contestation, ou pour la seule conservation de données dont vous avez besoin.

Droit à l'effacement

Vous pouvez demander la suppression de vos données lorsque la loi le permet, notamment si elles ne sont plus nécessaires ou si vous retirez un consentement.

Droit d'opposition

Vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation. Lorsque le traitement sert la prospection, vous pouvez vous y opposer à tout moment, sans avoir à motiver la demande. Nous cessons alors cette prospection.

Directives post-mortem

En droit français, vous pouvez définir des directives sur le sort de vos données après votre décès : directives générales, déposées auprès d'un tiers de confiance certifié par la CNIL, ou directives particulières adressées à Callifly. Sans directive, vos héritiers peuvent exercer certains droits, dans les conditions prévues par la loi.

Réclamation auprès de la CNIL

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

18. Modifications de cette politique

Nous mettrons cette page à jour lorsque nos traitements changeront. La date en tête de page est celle de la version en vigueur. Pour une modification importante (finalités, sous-traitants, durées), la politique interne prévoit une information par e-mail, dans l'espace client, ou par un bandeau sur le site.

Dernière mise à jour : 19 octobre 2026.