Contrat et rôles
- Existe-t-il un accord de traitement des données (DPA) selon l'art. 28 RGPD, et comment le conclure ?
- Qui est responsable du traitement et qui est sous-traitant, pour quelles données ?
- Les mesures techniques et organisationnelles sont-elles décrites ?
- Existe-t-il une liste des sous-traitants avec leur localisation ?
- Comment êtes-vous informé de nouveaux sous-traitants ?
Localisation et transferts hors UE
- Où se trouvent la base de données, les fichiers, les sauvegardes et les serveurs média des appels ?
- Quelles données quittent l'UE – et pourquoi ?
- Sur quelle base se font les transferts : décision d'adéquation, Data Privacy Framework UE–États-Unis, clauses contractuelles types ?
- À quel droit le fournisseur est-il soumis, et où est-il établi ?
Chiffrement et contrôle d'accès
- Les connexions sont-elles chiffrées, et le contenu est-il chiffré au repos ?
- Le chiffrement de bout en bout est-il disponible – et que perd-on alors (recherche, IA, enregistrement) ?
- Qui gère les clés ?
- Y a-t-il des rôles et permissions jusqu'au niveau de chaque salon ?
- Authentification unique, authentification à deux facteurs, obligatoire pour tous si nécessaire ?
- Existe-t-il un journal d'audit des actions d'administration et des accès ?
Traitement par l'IA
- Où s'exécutent transcription, traduction et résumés – chez le fournisseur ou chez un service d'IA externe ?
- Le contenu sert-il à entraîner des modèles ?
- Peut-on désactiver les fonctions d'IA par organisation, espace ou réunion ?
- Une personne peut-elle refuser d'être transcrite ?
- Les personnes voient-elles quelles fonctions d'IA ont traité leur contenu ?
Suppression, export et sortie
- Pouvez-vous fixer des durées de conservation, par exemple pour les enregistrements ?
- Existe-t-il un concept de suppression – sauvegardes comprises ?
- Chaque personne peut-elle exporter ses propres données (art. 15 et 20 RGPD) ?
- Pouvez-vous exporter un espace de travail entier, et dans quels formats ?
- Que deviennent vos données à la fin du contrat ?
Comment Coviqo répond à ces questions
- DPA
- Pour le contenu des espaces d'organisations, Coviqo est sous-traitant au sens de l'art. 28 RGPD. Avec les offres Business et Enterprise, les administrateurs lisent, téléchargent et concluent le DPA dans les paramètres de l'organisation.
- Localisation
- Base de données, fichiers, sauvegardes, serveurs média des appels et IA fonctionnent dans des centres de données en Allemagne. L'exploitant est établi au Luxembourg. Détails sur Pourquoi l'Europe.
- Sous-traitants
- Listés avec finalité et localisation sur Pourquoi l'Europe et dans la politique de confidentialité – la même liste aux deux endroits.
- Pays tiers
- Cloudflare (États-Unis) protège le site et l'application et traite des données de connexion. Les paiements passent par Stripe. Fournisseurs de connexion et intégrations uniquement si vous les choisissez. Base : Data Privacy Framework ou clauses contractuelles types.
- Chiffrement
- TLS pour toutes les connexions. Le contenu est stocké chiffré avec une clé distincte par espace (AES-256-GCM) – côté serveur, pas de bout en bout. Les messages directs peuvent être chiffrés de bout en bout dans toutes les offres, des salons entiers à partir de Business.
- Contrôle d'accès
- Rôles et permissions par espace, catégorie et salon, authentification à deux facteurs, journal d'audit. Authentification unique (SAML, OIDC, SCIM) et MFA obligatoire à partir de Business.
- IA
- Transcription, traduction et résumés s'exécutent sur les propres serveurs de Coviqo. Le contenu n'est pas envoyé à des fournisseurs d'IA externes ni utilisé pour entraîner des modèles tiers. Chacun peut refuser d'être transcrit.
- Suppression
- Les comptes supprimés sont effacés après un délai de grâce (14 jours par défaut). Les sauvegardes sont conservées 12 mois au maximum. Quand un espace est définitivement supprimé, sa clé l'est aussi. Les organisations peuvent raccourcir la conservation des enregistrements.
- Export
- Chaque personne peut exporter ses données sous forme d'archive ZIP avec un rapport PDF. Les propriétaires et administrateurs d'un espace peuvent exporter l'espace entier – salons, messages, notes, tâches, événements, membres et fichiers.
Plus sur les mesures techniques : Sécurité.
Questions fréquentes
Un outil hébergé dans l'UE est-il automatiquement conforme au RGPD ?
Non. La localisation n'est qu'un point parmi d'autres. Contrats, transferts vers des pays tiers, contrôle d'accès, suppression et votre usage de l'outil comptent aussi.
Faut-il un DPA pour un outil d'équipe ?
En règle générale, oui, lorsqu'un fournisseur traite des données personnelles pour votre compte. Chez Coviqo, les organisations Business et Enterprise le concluent dans le produit ; pour toute question, contactez-nous.
Le chiffrement par espace équivaut-il au chiffrement de bout en bout ?
Non. Avec le chiffrement au repos, le serveur peut déchiffrer le contenu pendant l'utilisation – c'est ce qui permet la recherche et l'IA. Avec le chiffrement de bout en bout, seuls les appareils des membres peuvent le lire. Coviqo propose les deux, pour des usages différents.
Où fonctionne l'IA de Coviqo ?
Sur les propres serveurs de Coviqo dans l'UE. L'audio, les transcriptions et le contenu ne sont pas envoyés à des fournisseurs d'IA externes.
Dans le guide d'utilisation
Instructions pas à pas (en anglais)