Politique de confidentialité

1. Responsable du traitement

Deux questions, et elles n’ont pas la même réponse. Savoir qui exploite ce site web et signe votre contrat est une question ; savoir qui est le responsable du traitement des données personnelles que vous nous envoyez par son intermédiaire en est une autre. Les mentions légales répondent à la première : AUDACT AI LIMITED (Irlande, CRO 822514) exploite ce site et signe les contrats clients, de pilote et fournisseurs. Cette section répond à la seconde, et aujourd’hui il ne s’agit pas de la même société. C’est énoncé plutôt qu’atténué, parce qu’un visiteur qui se trompe écrit à la mauvaise autorité de contrôle.

Responsable du traitement pour ce site web et pour ce que vous nous envoyez par son intermédiaire : Audact AI Ltd, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Royaume-Uni (société n° 17059133) — « Audact », « nous ». Contact : privacy@audact.ai

Ce qui change lorsque le contrat est transféré. AUDACT AI LIMITED (Irlande, CRO 822514, constituée le 29 juillet 2026) est la société d’exploitation de l’UE et la partie contractante désignée dans le pied de page de ce site et dans les mentions légales. Un contrat signé avec la société du Royaume-Uni lui est cédé par notification écrite. Cette page n’affirme pas que la cession a déjà eu lieu, car cela n’est pas établi ici. Lorsque c’est le cas, la société irlandaise est le responsable du traitement pour cet enregistrement et la Data Protection Commission est l’autorité de contrôle, et non l’ICO. Si vous avez besoin que ce point soit tranché avant de signer, posez la question à privacy@audact.ai et obtenez la réponse par écrit.

Lorsqu’Audact n’est pas responsable du traitement. Les données personnelles qui transitent par le déploiement d’un client — appelants, transcriptions, reçus — sont traitées sur instruction de ce client. Audact y est un sous-traitant ou un sous-traitant ultérieur et non un responsable du traitement, et ce traitement s’inscrit dans l’accord de traitement des données joint au bon de commande signé du client ; la version publiée ici est un projet en cours d’examen par un conseil juridique. La section 1A présente les deux chaînes.

1A. Qui est responsable du traitement, et qui est sous-traitant

Il y a deux voies pour acheter Audact, et elles placent les mêmes parties dans des rôles différents. La voie applicable est fixée pour chaque déploiement dans le contrat que vous signez, et non par cette page.

Trois axes se confondent facilement et aucun n’est identique aux autres : fournisseur et déployeur relèvent de l’AI Act, fabricant relève de la directive sur la responsabilité du fait des produits, et responsable du traitement et sous-traitant relèvent du RGPD. Une agence en marque blanche peut tenir un rôle différent sur chacun des trois en même temps.

2. Données que nous collectons

Candidature d’agence. Le formulaire de /for-agencies/apply comporte trois champs obligatoires — nom de l’agence et votre fonction, adresse e-mail et secteur dans lequel vous travaillez — et huit champs facultatifs derrière un seul interrupteur : clients finaux actifs, plateforme actuelle, juridictions de l’UE où vous déployez, langues que parlent vos agents, minutes mensuelles, fenêtre de mise en production, ce que vous facturez par mois à un client final et préférence contractuelle. Laisser ces huit champs vides n’a aucune incidence sur la candidature.

Enregistrés à chaque envoi, que vous remplissiez ou non les champs facultatifs : l’heure, l’adresse IP d’où provient la requête, et le lien qui vous a conduit au formulaire (l’une de deux valeurs, « apply » ou « pilot »). Le formulaire comporte aussi un champ masqué que seul un envoi automatisé remplit ; sa valeur est vérifiée et jamais stockée.

Où va un envoi. L’enregistrement est écrit dans une base de données située dans la région indiquée à la section 4. Les mêmes champs nous sont aussi envoyés sous forme de notification et écrits dans le journal d’application de notre hébergeur, afin qu’une demande ne soit pas perdue si l’un des deux échoue. Ces copies ne constituent pas un registre distinct et ne servent à aucune autre finalité. Les demandes issues du formulaire entreprise sont également publiées dans un canal Slack qui nous appartient ; Slack figure comme sous-traitant ultérieur dans l’accord de traitement des données.

Autres formulaires de ce site. Le formulaire de demande entreprise collecte nom, organisation, adresse e-mail et secteur, ainsi que, de façon facultative, un volume mensuel, un message libre et cinq réponses de cadrage (classe d’action, contrôle actuel, phase, système, cadre de référence). La liste d’attente, la demande de bac à sable développeur, la notification du plugin WordPress et la lettre d’information collectent une adresse e-mail ; le téléchargement d’une ressource (comme le kit de migration) enregistre aussi quelle ressource, et vous ajoute éventuellement à la liste des parcours de migration si vous cochez cette case. Tous enregistrent l’heure et l’adresse IP de la même manière.

Cookies. Uniquement des cookies strictement nécessaires. Aucun cookie de suivi, aucun traceur publicitaire et aucun service d’analyse de tiers. Voir notre Politique relative aux cookies.

Utilisation de la plateforme (après le lancement) : métadonnées d’appel (horodatages, juridiction, décisions de politique, empreintes de preuve). L’audio n’est pas conservé par défaut ; lorsque l’enregistrement est activé, il est conservé jusqu’à 90 jours.

Site web : journaux de serveur de base (adresse IP, agent utilisateur, pages consultées). Aucun traceur publicitaire.

3. Finalité, base juridique et conservation (RGPD, art. 6)

Une ligne par catégorie de données de la section 2 : pourquoi nous les détenons, sur quelle base, et pendant combien de temps.

Une demande au titre de la section 6 couvre l’enregistrement dans tous ces systèmes.

4. Stockage et localisation des données

Hébergement principal de l’application : Francfort. AWS eu-central-1 ; une région de sauvegarde dans AWS eu-west-1 (Irlande) est en cours de mise en place. Les deux se trouvent dans l’EEE. Plusieurs des sous-traitants ultérieurs énumérés dans l’accord de traitement des données appartiennent à des sociétés américaines ; lorsqu’ils traitent des données personnelles, le mécanisme de transfert est constitué des clauses contractuelles types au titre du chapitre V du RGPD.

5. Conservation des données

Enregistrements de candidature (agence et entreprise) : tant que la candidature est ouverte, et jusqu’à 12 mois après notre dernier contact à son sujet. Si elle devient un contrat, l’enregistrement fait partie du dossier client et suit ce contrat.

Adresses de la liste d’attente, du bac à sable, de la notification du plugin et de la lettre d’information : jusqu’à ce que vous nous demandiez de vous retirer, ou 12 mois après l’inscription, selon la première de ces échéances.

Journaux d’application et de serveur : 30 jours.

Tout ce qui transite par un déploiement — audio d’appel, transcription, résultat diffusé, métadonnées de reçu — relève des données du client, et Audact y est un sous-traitant plutôt qu’un responsable du traitement. Ces durées sont fixées par objet dans l’accord de traitement des données, section 2A, avec l’indication de qui fixe chacune et pourquoi elle est conservée.

Aucune durée de conservation ne découle de l’AI Act. L’article 50 est une obligation de transparence et ne fixe aucune durée de conservation, et les lignes directrices de la Commission C(2026)5054, point (73), précisent qu’une chaîne de provenance complète n’est pas obligatoire. Lorsqu’une durée s’applique, elle provient du contrat ou d’une règle applicable au secteur propre du client — jamais de l’article 50.

6. Vos droits (RGPD, art. 15 à 22)

Vous avez le droit d’accéder à vos données, de faire rectifier les inexactitudes, de demander l’effacement (droit à l’oubli), de limiter le traitement, de bénéficier de la portabilité des données et de vous opposer au traitement. Exercez ces droits en écrivant à privacy@audact.ai. Nous répondons dans un délai de 30 jours (prorogeable de 60 jours au plus pour les demandes complexes, moyennant notification).

Effacement au titre du RGPD : Audact utilise le crypto-shredding : lors d’une demande d’effacement, la clé qui déchiffre les données personnelles est détruite et la chaîne de preuves reste intacte ; la possibilité de rattacher à une personne les empreintes qui subsistent fait l’objet d’un nouveau test, et les enregistrements d’appels ne sont pas couverts.

7. Sous-traitants ultérieurs

Nous faisons appel à des sous-traitants ultérieurs pour fournir nos services. Le tableau des sous-traitants ultérieurs du Centre de confiance est le registre de référence et à jour.

8. Contact et réclamations

Contact en matière de confidentialité : dpo@audact.ai. Audact ne publie pas la désignation d’un délégué à la protection des données au titre de l’article 37 ; lisez donc ceci comme le contact en matière de confidentialité et non comme un délégué désigné.

Autorité de contrôle : Information Commissioner’s Office (ICO), Royaume-Uni. AUDACT AI LIMITED (Irlande, CRO 822514, constituée le 29 juillet 2026) : Data Protection Commission (DPC), Irlande.

Historique des versions

Dernière modification le 27 août 2026. Les versions antérieures de ce document sont disponibles sur demande.