Accord de traitement des données

1. Parties

Responsable du traitement : vous (le « Client »), le déployeur d’IA, l’agence ou la plateforme qui utilise les services d’Audact. Lorsque vous êtes vous-même sous-traitant à l’égard de votre propre client final et non responsable du traitement, le présent accord fonctionne comme un accord de sous-traitance ultérieure et les mêmes conditions s’appliquent. Lequel de ces deux rôles vous tenez est fixé pour chaque déploiement dans le contrat que vous signez, et non par cette page.

Sous-traitant : la société Audact désignée comme sous-traitant sur le bon de commande que vous signez. Deux sociétés existent et elles font un travail différent. Audact AI Ltd, 71-75 Shelton Street, London WC2H 9JQ, Royaume-Uni (société n° 17059133), détient la propriété intellectuelle. AUDACT AI LIMITED (Irlande, CRO 822514, constituée le 29 juillet 2026) est la société d’exploitation de l’UE, et c’est l’entité désignée comme partie contractante dans les mentions légales et dans le pied de page de ce site. Quelle que soit celle des deux qui est désignée, elle traite les métadonnées d’interaction pour votre compte en tant que sous-traitant au sens de l’article 28 du RGPD, aux conditions ci-dessous.

Savoir laquelle des deux est partie à votre contrat est un point ouvert, et cette section le dit plutôt que de le supposer. Un contrat signé avec Audact AI Ltd est cédé à AUDACT AI LIMITED par notification écrite, avec effet à la date de cette notification et sans dégradation des droits du Client. Cette section n’affirme pas que chaque contrat existant a déjà été cédé, car cela n’est pas établi ici. Avant la signature, c’est le bon de commande qui prévaut ; si vous avez besoin que ce point soit tranché d’abord, demandez à legal@audact.ai quelle entité est votre sous-traitant aujourd’hui et obtenez la réponse par écrit.

2. Périmètre du traitement (RGPD, art. 28, paragraphe 3)

Objet et durée : fourniture de la plateforme de conformité d’Audact ; durée égale à celle du contrat de service sous-jacent, augmentée de toute durée de conservation imposée par la loi.

Nature et finalité : validation de la conformité, génération de la chaîne de preuves et tenue de la piste d’audit, selon les instructions du Client données par la configuration de la plateforme.

Catégories de données : métadonnées d’appel (horodatages, identifiants de juridiction, décisions de politique, résultats de validation, empreintes de preuve, enregistrements de consentement) ; audio d’appel en transit, conservé uniquement lorsque le Client active l’enregistrement ; texte conversationnel transcrit ; le résultat transmis à l’appelant ; et les enregistrements de reçu, de politique et de consentement qui en découlent. Lorsque le cas d’usage du Client amène dans une interaction encadrée des catégories particulières de données personnelles relevant de l’article 9, le Client, en tant que responsable du traitement, détermine la condition de l’article 9 et donne ses instructions à Audact en conséquence.

Personnes concernées : utilisateurs finaux / appelants / participants au chat du déploiement d’IA du Client.

Non conservé : l’audio transite par les sous-traitants ultérieurs énumérés à la section 3 (reconnaissance vocale, synthèse vocale et modèle de langage), car un appel encadré ne peut pas l’être sans cela. Il n’est pas conservé par défaut. Lorsque le Client active l’enregistrement, l’audio d’appel est conservé jusqu’à 90 jours puis supprimé. Au-delà de ce que la validation de conformité exige, aucune autre donnée personnelle n’est stockée. Les données personnelles détectées dans un appel encadré sont chiffrées par défaut ; effacement par crypto-shredding : la clé qui déchiffre les données personnelles est détruite et la chaîne de preuves reste intacte ; la possibilité de rattacher à une personne les empreintes qui subsistent fait l’objet d’un nouveau test, et les enregistrements d’appels ne sont pas couverts.

Obligations du sous-traitant (art. 28, paragraphe 3) : Audact (a) traite les données uniquement sur instructions documentées du Client ; (b) veille à ce que son personnel soit tenu à la confidentialité ; (c) met en œuvre les mesures de sécurité de l’art. 32 (section 5) ; (d) ne recourt à des sous-traitants ultérieurs que selon les conditions de la section 3 ; (e) aide le Client en matière de droits des personnes concernées et pour les obligations des art. 32 à 36 ; (f) supprime ou restitue les Données du Client à la fin du contrat (section 8) ; (g) met à disposition les informations nécessaires pour démontrer le respect des obligations et permet les audits selon la section 10.

La durée du traitement est fixée par objet à la section 2A, parce que les six éléments qu’un appel encadré laisse derrière lui ne sont pas conservés pour la même raison ni pour la même durée.

2A. Conservation, par objet

Une interaction encadrée laisse six éléments derrière elle. Ils sont conservés pour des raisons différentes, pour des durées différentes et — c’est le point qui compte — ils ne sont pas tous fixés par la même partie. Une ligne chacun.

Aucune durée de conservation ne découle de l’AI Act. L’article 50 est une obligation de transparence et ne fixe aucune durée de conservation, et les lignes directrices de la Commission C(2026)5054, point (73), précisent qu’une chaîne de provenance complète n’est pas obligatoire. Lorsqu’une durée s’applique, elle provient du présent accord ou d’une règle applicable au secteur propre du Client.

L’organisation définit le mandat ; Audact le fait appliquer. La conservation suit la même répartition. Le Client fixe les durées que ses propres règles exigent et Audact les applique ; Audact ne conseille pas le Client sur la durée pendant laquelle il doit conserver quoi que ce soit.

Les enregistrements de la chaîne de preuves sont conservés pendant la durée du contrat, puis seulement aussi longtemps que votre règle applicable l’exige. Aucune durée de conservation ne découle de l’AI Act ; celle qui s’applique est celle de votre contrat.

3. Sous-traitants ultérieurs

Tous les tiers qui traitent des données pour le compte d’Audact ou de nos clients. Cette liste est tenue à jour comme l’exige l’article 28 du RGPD.

La liste actuelle des sous-traitants ultérieurs est aussi publiée sur notre Centre de confiance.

Nous donnons un préavis d’au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer par écrit pendant ce délai pour des motifs raisonnables ; si aucune solution acceptable n’est trouvée, vous pouvez résilier le service concerné.

4. Localisation des données

Hébergement principal de l’application : Francfort. AWS eu-central-1 ; une région de sauvegarde dans AWS eu-west-1 (Irlande) est en cours de mise en place. Les données de conformité du Client (métadonnées d’interaction, chaînes de preuves, journaux d’audit) sont stockées et traitées sur cette infrastructure, dans l’EEE.

Plusieurs des sous-traitants ultérieurs énumérés à la section 3 sont établis hors de l’EEE. Lorsqu’ils traitent des données personnelles, le mécanisme de transfert est constitué des clauses contractuelles types (module 3, de sous-traitant à sous-traitant, décision (UE) 2021/914), avec des mesures techniques et organisationnelles appropriées. Le tableau ci-dessus indique, pour chaque sous-traitant ultérieur, ce qu’il traite et où.

5. Mesures de sécurité (RGPD, art. 32)

• Chiffrement au repos (AES-256) et en transit (TLS 1.3)
• Chiffrement des données personnelles pour que le crypto-shredding s’applique : lors d’une demande d’effacement, la clé qui déchiffre les données personnelles est détruite et la chaîne de preuves reste intacte.
• Chaînes d’empreintes SHA-256 pour l’intégrité des preuves. Chaque interaction encadrée produit un reçu de conformité ; le Client peut recalculer l’empreinte d’entrée, l’empreinte de sortie et le lien avec le reçu précédent à partir du seul fichier exporté, sans clé et sans accès aux systèmes d’Audact. La forme exacte est publiée à /sample-receipt-readme.txt.
• Contrôle d’accès basé sur les rôles (RBAC)
• SOC 2 Type II : prévu, aucun auditeur mandaté, placé après les premiers déploiements payants
• Analyse des vulnérabilités des dépendances et de l’infrastructure. Aucun test d’intrusion externe n’a encore été réalisé ; un premier test est programmé avant le premier déploiement payant.

Audact est non certifiée ISO 27001 et ne détient aujourd’hui aucun rapport SOC 2. Un SOC 2 Type II est prévu, et son calendrier suit les premiers déploiements payants. Lorsque le présent accord renvoie à des rapports d’audit de tiers, il renvoie à des rapports qui n’existent pas encore.

6. Droits des personnes concernées

Le responsable du traitement dispose d’un mois, en vertu de l’article 12, paragraphe 3, pour répondre à la personne concernée, prorogeable de deux mois supplémentaires. Le délai propre d’Audact ci-dessous est le temps dont Audact dispose pour assister ce responsable du traitement ; ce n’est pas le délai du responsable du traitement.

Audact aide le Client à donner suite aux demandes des personnes concernées (accès, rectification, effacement, portabilité) dans un délai de 72 heures après notification. Effacement par crypto-shredding : la clé qui déchiffre les données personnelles est détruite et la chaîne de preuves reste intacte ; la possibilité de rattacher à une personne les empreintes qui subsistent fait l’objet d’un nouveau test, et les enregistrements d’appels ne sont pas couverts.

7. Notification des violations (RGPD, art. 33, paragraphe 2)

Les 72 heures sont celles du Client, pas celles d’Audact. L’article 33, paragraphe 1, donne au responsable du traitement 72 heures pour notifier son autorité de contrôle, à compter du moment où il en a connaissance. L’article 33, paragraphe 2, n’impose aucun délai fixe au sous-traitant : il exige une notification au responsable du traitement dans les meilleurs délais. Un sous-traitant qui traiterait les 72 heures comme son propre budget remettrait au responsable du traitement un délai déjà écoulé.

Cela compte plus qu’il n’y paraît : selon les lignes directrices du CEPD sur la notification des violations, le Client est considéré comme ayant connaissance de la violation dès qu’Audact en a connaissance. La notification d’Audact n’est donc pas planifiée sur ces 72 heures — chaque heure qu’elle prend est une heure retirée du propre délai du Client. Audact notifie dans les meilleurs délais après en avoir eu connaissance et, en tout état de cause, au plus tard dans un délai de 72 heures, qui est une limite extrême et non un objectif. Lorsque le Client a besoin qu’une fenêtre fixe plus courte soit inscrite au contrat, elle est convenue dans le bon de commande ; ce projet publié n’en fixe aucune. La notification comprend : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements affectés, les conséquences probables, et les mesures prises ou proposées pour remédier à la violation et en atténuer les effets. Lorsqu’un élément n’est pas encore connu, Audact le dit et complète l’information par étapes plutôt que de retarder la première notification. Audact apporte une assistance raisonnable pour permettre au Client de remplir ses obligations au titre des art. 33 et 34 envers les autorités de contrôle et les personnes concernées.

8. Durée et résiliation

Le présent DPA est en vigueur pendant la durée du contrat de service. À la résiliation, Audact supprime ou restitue toutes les Données du Client dans un délai de 30 jours (phase (3) du cycle de sortie), sauf lorsqu’une conservation est exigée par le droit de l’Union ou d’un État membre applicable au Client ou à Audact, ou par les durées convenues à la section 2A. Les chaînes de preuves cryptographiques peuvent être conservées sous une forme non personnelle, limitée aux empreintes, afin de préserver l’intégrité de l’audit pendant la durée applicable au titre de la section 2A.

Aucune durée ici ne découle de l’AI Act. L’article 50 est une obligation de transparence et ne fixe aucune durée de conservation, et un plafond de dix ans est une règle qui s’applique au secteur du Client et non une règle qu’Audact fixe. Les deux figurent à la section 2A, dans la ligne où la partie qui les fixe est nommée.

9. Transferts internationaux

Les données de conformité du Client sont stockées et traitées dans l’EEE. Lorsque les sous-traitants ultérieurs énumérés à la section 3 qui sont établis hors de l’EEE traitent des données personnelles, y compris l’audio d’appel en transit et le texte conversationnel, le mécanisme de transfert est constitué des clauses contractuelles types (module 3, de sous-traitant à sous-traitant, décision (UE) 2021/914), complétées par des mesures techniques et organisationnelles appropriées.

10. Droits d’audit

Sur demande écrite raisonnable, et pas plus d’une fois par période de 12 mois, Audact met à disposition les informations nécessaires pour démontrer le respect du présent DPA, y compris des rapports d’audit de tiers dès lors que de tels rapports existent. Lorsque le Client exige raisonnablement un audit supplémentaire, les parties conviennent du périmètre, du calendrier et du coût ; les audits ne doivent pas perturber les autres clients et sont soumis à la confidentialité.

11. Contact

Questions relatives au DPA : dpo@audact.ai

Historique des versions

Dernière modification le 8 octobre 2026. Les versions antérieures de ce document sont disponibles sur demande.