Vos données, vos règles.

Où sont les données

Les services Iram tournent sur Google Cloud en Belgique (Union européenne), que la CNDP range parmi les destinations à protection adéquate (délibération 236-2015). Les modèles qui répondent aux clients sont des offres payantes de Google, sans entraînement sur vos données. Les appels arrivent par la ligne de l'hôtel sur la passerelle téléphonique de NyamTechs, en Belgique elle aussi, sans plateforme téléphonique intermédiaire. Un hébergement au Maroc est à l'étude pour les données qui l'exigent.

Lorsque l'assistant libre de la console est activé, il peut envoyer la question qu'il ne reconnaît pas, masquée comme ci-dessous (les noms ne le sont pas), et des chiffres agrégés, sans nom, à un modèle gratuit de Google (AI Studio, hors Union européenne), où Google peut les utiliser. La base de données est sauvegardée chaque jour.

Conformité au Maroc

Pour chaque client, nous préparons le dossier CNDP prévu par la loi 09-08 : déclaration ou autorisation, transferts, contrat de sous-traitance, information des personnes. Aucune donnée réelle n'est traitée avant ces démarches. WhatsApp (Meta) est un service américain ; Cloudbeds, le logiciel de gestion de l'hôtel, est hébergé aux États-Unis. Leurs transferts sont traités dans ce dossier et ne commencent qu'après les formalités CNDP de l'hôtel. WhatsApp, en option, n'est activé qu'après l'autorisation de la CNDP ; les frais de Meta sont payés par l'hôtel. La fiche de police en ligne est fermée par défaut : elle ne s'ouvre qu'après l'autorisation de la CNDP.

Données masquées

Iram ne demande jamais de numéro de carte ; un numéro de carte valide, s'il est écrit, est masqué avant le modèle et jamais conservé. À l'écrit, Iram masque aussi, avant qu'ils n'atteignent le modèle, les CIN marocaines et les passeports au format lettres suivies de chiffres, les e-mails et les numéros de téléphone marocains et français. Ils sont remplacés par des repères et restent sur le serveur. La voix, les vocaux et les images reçus sur WhatsApp ne sont pas masqués, car ils sont transmis tels quels.

Ce que nous ne faisons jamais

Demander une pièce d'identité sur WhatsApp ; conserver la photo d'un passeport envoyée par la page de pré-arrivée (elle est lue, puis jamais gardée) ; demander un numéro de carte bancaire (écrit, il est masqué avant le modèle et jamais conservé) ; confirmer une réservation ou un achat sans l'accord explicite du client ; vendre ou céder des données.

Contrôle humain

Chaque agent sait quand passer la main : alerte à l'équipe, transfert d'appel, suivi dans une console où chaque action est signée du nom de la personne.

Les rôles de la console

La console a quatre rôles : directeur, manager, réceptionniste et revenue manager. Seul le directeur gère les comptes et les droits des personnes.

Sécurité technique

Accès par compte et par rôle, secrets hors du code, messages entrants authentifiés (jeton de la passerelle téléphonique ; signature de WhatsApp si l'option est activée), journaux sans le contenu des échanges, tests automatiques à chaque modification.