Confier son téléphone à un agent vocal IA, c'est confier des données personnelles : voix, noms, numéros, parfois des informations sensibles. Le RGPD encadre tout cela — et c'est une bonne chose, y compris pour vous. Voici l'essentiel à comprendre, sans jargon juridique, et les questions à poser à tout prestataire avant de signer. Cet article est une vulgarisation, pas un conseil juridique : pour votre cas précis, votre conseil habituel reste la référence.
Qui est responsable de quoi ?
Le RGPD distingue deux rôles, et il faut les avoir en tête :
- Vous, l'entreprise, êtes « responsable de traitement » : c'est votre numéro, vos clients, votre relation commerciale. C'est vous qui décidez pourquoi les données sont collectées (prendre des réservations, des rendez-vous…).
- Le prestataire du standard IA est « sous-traitant » : il traite les données pour votre compte, selon vos instructions. Il doit vous proposer un contrat de sous-traitance (souvent appelé DPA) qui décrit ce qu'il fait des données, où, et combien de temps.
Conséquence pratique : vous ne pouvez pas vous contenter de « c'est le prestataire qui gère ». Mais un bon prestataire fait l'essentiel du travail de conformité et vous fournit les documents pour le prouver.
Les cinq exigences concrètes
1. Informer les appelants. Les personnes doivent savoir qu'elles parlent à un assistant vocal et que l'appel peut être enregistré, dès le début de la conversation. C'est à la fois une exigence du RGPD (transparence) et de l'AI Act — nous détaillons ce second volet dans notre article sur l'AI Act. Chez Rispondu, cette annonce est systématique et non désactivable.
2. Ne collecter que le nécessaire. Pour réserver une table, il faut un nom, un numéro, une date et un nombre de couverts — pas la date de naissance de l'appelant. Un agent bien conçu est bridé sur les questions qu'il pose : c'est le principe de minimisation.
3. Limiter la conservation. Enregistrements et transcriptions ne peuvent pas être gardés indéfiniment. Le prestataire doit annoncer des durées claires (par exemple : journal d'appels conservé quelques mois, puis purgé) et s'y tenir. Demandez ces durées par écrit.
4. Sécuriser et localiser. Les données doivent être protégées (chiffrement, contrôle d'accès) et vous devez savoir où elles sont hébergées. Un hébergement dans l'Union européenne simplifie considérablement votre conformité : pas de transfert hors UE à encadrer. C'est un critère de choix majeur, développé dans notre article sur l'hébergement UE.
5. Respecter les droits des personnes. Un client peut demander l'accès à ses données, leur rectification ou leur effacement. Votre prestataire doit pouvoir retrouver et supprimer les enregistrements d'un appelant sur demande — testez-le : posez la question avant de signer.
Le cas particulier des données sensibles
Santé, situations personnelles délicates : certains métiers exposent l'agent à des données dites sensibles, dont le traitement est plus strictement encadré. Un cabinet médical, par exemple, relève de règles renforcées (dont l'hébergement de santé conforme en France) — c'est pourquoi les offres sérieuses conditionnent le secrétariat médical à ces garanties, comme nous l'expliquons dans notre article sur la permanence médicale. Si votre activité touche à ces sujets, dites-le clairement au prestataire dès le premier échange.
La conformité, chez Rispondu
Annonce systématique en début d'appel, données hébergées en Europe, durées de conservation documentées, journal consultable et exportable : la conformité fait partie du produit, pas des options. Posez-nous vos questions RGPD avant même la démo.
La check-list à envoyer à tout prestataire
- Où sont hébergées les données (pays, prestataire d'hébergement) ? Y a-t-il des transferts hors UE, y compris chez vos propres sous-traitants (moteurs de voix, de langage) ?
- Quelles données sont conservées (audio, transcription, métadonnées) et combien de temps, poste par poste ?
- Fournissez-vous un contrat de sous-traitance (DPA) ? Un registre des sous-traitants ultérieurs ?
- Comment traitez-vous une demande d'effacement d'un de mes clients ?
- L'annonce « assistant vocal + enregistrement » est-elle systématique et audible dans toutes les langues ?
Un prestataire qui répond à ces cinq questions par écrit, sans se cacher derrière du flou, est un prestataire avec qui on peut travailler. Un prestataire qui élude est un risque — pour vos clients d'abord, pour vous ensuite. Le RGPD n'est pas l'ennemi du standard IA : bien appliqué, il est précisément ce qui rend la confiance possible entre vous, vos clients et la machine qui décroche.
— L'équipe Rispondu