Choisir un outil de visioconférence respectueux de la vie privée

Chaque fonction entraîne ses propres traitements de données. Un simple appel audio n’est pas une réunion enregistrée avec transcription et résumé IA. Notez donc d’abord ce que vous utilisez vraiment :

• Des réunions avec des invités externes sans compte ?
• Des salons vocaux permanents pour une équipe ou une communauté ?
• Des enregistrements – et qui pourra les visionner ensuite ?
• Des transcriptions, des sous-titres ou des résumés IA ?
• Un accès par téléphone ?
• Chat, fichiers et notes au même endroit ?

Cette liste détermine quelles questions comptent le plus pour vous. Si vous n’enregistrez jamais, la durée de conservation des enregistrements est secondaire. Si vous transcrivez chaque réunion, les questions sur l’IA passent en premier.

Un fournisseur sérieux peut y répondre par écrit, généralement avec un lien vers une page publique. Si les réponses restent floues, c’est aussi une réponse.

1. Qui exploite le service, et quel droit s’applique ? Nom, pays d’immatriculation et juridiction du contrat.
2. Où se trouvent les serveurs, le stockage de fichiers et les sauvegardes ? Demandez les trois. Les sauvegardes sont souvent oubliées.
3. Qu’est-ce qui quitte l’UE, et pourquoi ? Exemples typiques : services de protection réseau, prestataires de paiement et connexion facultative avec des comptes externes.
4. Existe-t-il une liste à jour des sous-traitants ? Et comment les clients sont-ils informés des changements ?
5. Un contrat de sous-traitance (DPA) est-il disponible ? Pour les organisations, il est obligatoire selon l’article 28 du RGPD.
6. Comment les données sont-elles chiffrées ? En transit, au repos – et quelque chose est-il chiffré de bout en bout ? Si oui, qu’est-ce qui n’y fonctionne pas ?
7. Quelles sont les durées de conservation par défaut des enregistrements, transcriptions et messages ? Les administrateurs peuvent-ils les réduire ?
8. Comment les participants sont-ils informés du démarrage d’un enregistrement ou d’une transcription ?
9. Pouvez-vous exporter vos données et les supprimer entièrement – par personne et pour toute l’équipe ?

Notre checklist RGPD pour les outils reprend ces questions sous une forme à parcourir avec votre équipe.

Cette liste nomme les entreprises qui traitent des données personnelles pour le compte du fournisseur. Elle comporte en général trois colonnes : nom, finalité et localisation. Lisez-la ainsi :

1. 1

   Regardez les localisations

   Repérez chaque entrée hors UE/EEE, ainsi que les localisations vagues comme « mondial ».

2. 2

   Rapprochez les finalités de votre usage

   Un prestataire de paiement ne voit que des données de facturation. Un service de transcription ou d’IA peut voir le contenu de vos réunions. Le second pèse bien plus lourd.

3. 3

   Vérifiez la base du transfert

   Pour les transferts hors UE/EEE, le fournisseur doit indiquer la base juridique, par exemple une décision d’adéquation ou des clauses contractuelles types.

4. 4

   Vérifiez l’exhaustivité et la fraîcheur

   Des emplacements vides ou une liste sans date sont un signal d’alerte. Tout comme une liste qui ne change jamais alors que le produit évolue visiblement.

Si votre organisation utilise un outil dans le cadre de son activité, le fournisseur traite des données personnelles pour votre compte. L’article 28 du RGPD exige alors un contrat. Vérifiez au minimum qu’il couvre :

• l’objet, la durée, la finalité et les catégories de données traitées
• un traitement uniquement sur vos instructions documentées
• la confidentialité des personnes qui traitent les données
• les mesures techniques et organisationnelles
• les règles relatives aux sous-traitants ultérieurs et l’information sur les changements
• l’assistance pour les demandes des personnes concernées et les violations de données
• la suppression ou la restitution des données en fin de contrat
• votre droit d’audit ou d’information

Les fonctions d’IA brassent beaucoup de contenu : des conversations entières, transformées en texte. Demandez précisément :

• Quelles fonctions utilisent l’IA – sous-titres, transcriptions, résumés, recherche ?
• Le fournisseur exploite-t-il lui-même les modèles, ou appelle-t-il un service d’IA externe ? Si externe : lequel, et où ?
• Les contenus servent-ils à entraîner des modèles ?
• Qui peut désactiver l’IA – l’organisation, l’équipe, chaque réunion ? Une personne peut-elle s’y opposer individuellement ?
• Les résultats de l’IA sont-ils signalés comme tels, et s’agit-il de suggestions ou de décisions automatiques ?
• Combien de temps les transcriptions sont-elles conservées ?

Nous avons conçu Coviqo pour que ces réponses soient faciles à trouver :

Opérateur

Luxembourg

Serveurs, stockage, sauvegardes

Allemagne (UE)

IA

Reconnaissance vocale et modèle de langage sur des serveurs que nous exploitons ; aucun fournisseur d’IA externe, aucun entraînement avec vos contenus

Ce qui quitte l’UE

Protection réseau par un fournisseur CDN/proxy devant le site et l’application, le prestataire de paiement, fournisseurs de connexion et intégrations facultatifs que vous choisissez – voir Pourquoi une plateforme européenne

Sous-traitants

Liste publique, identique à celle de la politique de confidentialité

Contrat de sous-traitance

Disponible pour les organisations, conclu dans les paramètres

Transcriptions

Conservées 90 jours par défaut dans les nouveaux espaces ; chacun peut refuser d’être transcrit

Les détails figurent sur Pourquoi une plateforme européenne. Pour les applications vocales en particulier, consultez la checklist des applications vocales.