Question 1

Où nos données sont-elles hébergées ?

Accepted Answer

L’hébergement principal de l’application est à Francfort (eu-central-1), physiquement dans l’UE. Le fournisseur est constitué aux États-Unis ; un passage à un fournisseur de propriété européenne est à l’étude et aucune date n’est fixée. Nous indiquons ouvertement cette exposition à des procédures juridiques hors UE plutôt que de décrire la configuration comme exclusivement européenne.

Question 2

Qui sont vos sous-traitants ultérieurs, et la liste est-elle à jour ?

Accepted Answer

La liste complète est publiée (fournisseur, pays, fonction et catégorie de données), et les clients sont informés 30 jours avant l’ajout d’un nouveau sous-traitant. Tout transfert hors de l’EEE s’effectue au titre de clauses contractuelles types. Si la liste est périmée, c’est un défaut : elle porte la date de sa dernière revue.

Question 3

Un accord de traitement des données est-il disponible avant la signature ?

Accepted Answer

Oui, et il se lit sur le site plutôt que d’être envoyé après la conclusion d’un contrat. Il couvre le périmètre du traitement, les sous-traitants ultérieurs, les mesures de sécurité, les droits d’audit et la notification des violations, aligné sur l’article 28 du RGPD.

Question 4

Quelles sont les durées de conservation, et le déploiement figure-t-il dans notre registre des traitements ?

Accepted Answer

L’audio des appels n’est pas conservé par défaut ; lorsque le client active l’enregistrement, il est conservé jusqu’à 90 jours puis supprimé. Les métadonnées des reçus sont conservées pendant la durée de l’accord, puis uniquement aussi longtemps qu’une règle applicable au client l’exige. Le registre des activités de traitement est publié ; vous pouvez donc reprendre les lignes pertinentes directement dans votre propre registre au titre de l’article 30.

Question 5

Comment les demandes des personnes concernées et les demandes de suppression sont-elles traitées ?

Accepted Answer

En tant que sous-traitant, nous aidons pour les demandes d’accès, de portabilité et d’effacement, et la procédure pour chacune est publiée plutôt que négociée au cas par cas. L’effacement sur demande détruit la clé qui déchiffre la charge utile, de sorte que la séquence reste contrôlable alors que le contenu a disparu.

Question 6

L’information au titre de l’article 50 est-elle délivrée, et en existe-t-il une preuve ?

Accepted Answer

L’information est diffusée dans le déroulement de l’appel à l’endroit que la règle applicable au pays concerné exige (Allemagne active · Pays-Bas en cours · Belgique, Autriche en file d’attente). L’enregistrement de preuve de l’appel contient le texte d’information approuvé, sa langue et le moment où son audio a fini d’être envoyé. Il n’enregistre pas que l’appelant l’a entendue ou comprise. Un exemple de reçu au format de production est disponible au téléchargement : les champs que le moteur émet, avec des valeurs synthétiques. Les textes d’entrée et de sortie figurent à côté du reçu afin que les empreintes puissent être recalculées ; un reçu de production ne porte que les empreintes. Statut : En tests contrôlés.

Question 7

Que se passe-t-il en cas de violation de données ?

Accepted Answer

Nous vous informons dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel. Le délai de l’article 33, paragraphe 1, à l’égard de l’autorité de contrôle reste de votre côté, en tant que responsable du traitement. Les constats de sécurité sont envoyés à security@audact.ai dans le cadre d’une politique de divulgation responsable, y compris ceux de personnes qui ne sont pas clientes.

Question 8

Comment les données sont-elles chiffrées et l’accès contrôlé ?

Accepted Answer

TLS 1.3 en transit, AES-256 au repos ; effacement sur demande par crypto-shredding. L’accès est fondé sur les rôles, l’authentification multifacteur est obligatoire pour l’accès administratif, et le journal d’accès est conservé.

Question 9

Quelles certifications détenez-vous ?

Accepted Answer

Non certifié. Audact ne détient ni ISO 27001, ni ISO 42001, ni rapport SOC 2 de type I ou de type II, et aucun audit de certification n’est programmé. La documentation des contrôles est mise en correspondance avec ces normes comme point de départ.

Question 10

Pouvons-nous tout obtenir au même endroit ?

Accepted Answer

Oui. Le Centre de confiance contient l’accord de traitement des données, la liste des sous-traitants ultérieurs, les modèles de l’article 50, le registre des activités de traitement et la synthèse de sécurité, de sorte que le dossier d’achat peut être constitué sans échange d’e-mails.

Dix questions que votre DPO va poser.

Dix questions, dix réponses, dix endroits pour les vérifier.

Remettez à votre DPO l’artefact plutôt que l’assurance.

Tout ce dont les achats ont besoin, au même endroit

Pages associées

Question	Notre réponse	À vérifier
Où nos données sont-elles hébergées ?	L’hébergement principal de l’application est à Francfort (eu-central-1), physiquement dans l’UE. Le fournisseur est constitué aux États-Unis ; un passage à un fournisseur de propriété européenne est à l’étude et aucune date n’est fixée. Nous indiquons ouvertement cette exposition à des procédures juridiques hors UE plutôt que de décrire la configuration comme exclusivement européenne.	Centre de confiance
Qui sont vos sous-traitants ultérieurs, et la liste est-elle à jour ?	La liste complète est publiée (fournisseur, pays, fonction et catégorie de données), et les clients sont informés 30 jours avant l’ajout d’un nouveau sous-traitant. Tout transfert hors de l’EEE s’effectue au titre de clauses contractuelles types. Si la liste est périmée, c’est un défaut : elle porte la date de sa dernière revue.	Liste des sous-traitants ultérieurs
Un accord de traitement des données est-il disponible avant la signature ?	Oui, et il se lit sur le site plutôt que d’être envoyé après la conclusion d’un contrat. Il couvre le périmètre du traitement, les sous-traitants ultérieurs, les mesures de sécurité, les droits d’audit et la notification des violations, aligné sur l’article 28 du RGPD.	Lire l’accord
Quelles sont les durées de conservation, et le déploiement figure-t-il dans notre registre des traitements ?	L’audio des appels n’est pas conservé par défaut ; lorsque le client active l’enregistrement, il est conservé jusqu’à 90 jours puis supprimé. Les métadonnées des reçus sont conservées pendant la durée de l’accord, puis uniquement aussi longtemps qu’une règle applicable au client l’exige. Le registre des activités de traitement est publié ; vous pouvez donc reprendre les lignes pertinentes directement dans votre propre registre au titre de l’article 30.	Registre des activités de traitement
Comment les demandes des personnes concernées et les demandes de suppression sont-elles traitées ?	En tant que sous-traitant, nous aidons pour les demandes d’accès, de portabilité et d’effacement, et la procédure pour chacune est publiée plutôt que négociée au cas par cas. L’effacement sur demande détruit la clé qui déchiffre la charge utile, de sorte que la séquence reste contrôlable alors que le contenu a disparu.	Procédure de suppression
L’information au titre de l’article 50 est-elle délivrée, et en existe-t-il une preuve ?	L’information est diffusée dans le déroulement de l’appel à l’endroit que la règle applicable au pays concerné exige (Allemagne active · Pays-Bas en cours · Belgique, Autriche en file d’attente). L’enregistrement de preuve de l’appel contient le texte d’information approuvé, sa langue et le moment où son audio a fini d’être envoyé. Il n’enregistre pas que l’appelant l’a entendue ou comprise. Un exemple de reçu au format de production est disponible au téléchargement : les champs que le moteur émet, avec des valeurs synthétiques. Les textes d’entrée et de sortie figurent à côté du reçu afin que les empreintes puissent être recalculées ; un reçu de production ne porte que les empreintes. Statut : En tests contrôlés.	Ouvrir l’explorateur de reçus
Que se passe-t-il en cas de violation de données ?	Nous vous informons dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel. Le délai de l’article 33, paragraphe 1, à l’égard de l’autorité de contrôle reste de votre côté, en tant que responsable du traitement. Les constats de sécurité sont envoyés à security@audact.ai dans le cadre d’une politique de divulgation responsable, y compris ceux de personnes qui ne sont pas clientes.	Sécurité
Comment les données sont-elles chiffrées et l’accès contrôlé ?	TLS 1.3 en transit, AES-256 au repos ; effacement sur demande par crypto-shredding. L’accès est fondé sur les rôles, l’authentification multifacteur est obligatoire pour l’accès administratif, et le journal d’accès est conservé.	Sécurité
Quelles certifications détenez-vous ?	Non certifié. Audact ne détient ni ISO 27001, ni ISO 42001, ni rapport SOC 2 de type I ou de type II, et aucun audit de certification n’est programmé. La documentation des contrôles est mise en correspondance avec ces normes comme point de départ.	Centre de confiance
Pouvons-nous tout obtenir au même endroit ?	Oui. Le Centre de confiance contient l’accord de traitement des données, la liste des sous-traitants ultérieurs, les modèles de l’article 50, le registre des activités de traitement et la synthèse de sécurité, de sorte que le dossier d’achat peut être constitué sans échange d’e-mails.	Centre de confiance