Les documents que demande une revue de sécurité, avant qu’elle ne les demande.

1 · L’accord

Accord de sous-traitance.

L’accord de l’article 28 couvre le périmètre du traitement, la chaîne de sous-traitants ultérieurs, la localisation des données, les mesures de sécurité de l’article 32, la notification des violations et le crypto-effacement comme mécanisme d’effacement. Il est publié sous forme de projet en revue juridique, et non envoyé après un échange.

Le texte final est entre les mains d’un conseil externe. Si le texte publié et le PDF contresigné diffèrent après cette revue, le PDF prévaut et la modification est signalée sur cette page.

2 · La chaîne

Le registre des sous-traitants ultérieurs, et un exemple du format de fichier.

Le registre qui fait foi est le tableau du Centre de confiance : chaque sous-traitant ultérieur avec sa finalité, sa catégorie de données, son pays et son mécanisme de transfert, y compris les clauses contractuelles types lorsqu’elles s’appliquent. Les clients bénéficient d’un préavis de 30 jours avant l’ajout d’une partie et peuvent s’y opposer pendant ce délai.

Le CSV ci-dessous n’est pas ce registre. C’est un exemple du format lisible par machine qu’un système d’achats peut ingérer, avec des numéros de référence d’accord de sous-traitance donnés à titre d’exemple, qui n’ont pas été vérifiés par rapport aux contrats sous-jacents. Le tableau des sous-traitants ultérieurs du Centre de confiance est le registre actuel qui fait foi.

3 · Qui doit quoi

Obligations de l’article 50, réparties dans le contrat.

Le contrat de revendeur attribue à Audact les obligations côté fournisseur (intégrité de la chaîne de preuves et attestation de l’information de la personne) et à l’agence les obligations côté déployeur (contenu des scripts, intégration des clients finaux, recueil des consentements). Ce qu’il ne fait pas encore, c’est plafonner quoi que ce soit en argent : les plafonds de responsabilité seront fixés dans le modèle de contrat de revendeur une fois qu’un conseil de l’UE l’aura examiné, et tant que cet examen n’est pas terminé, ni les conditions d’utilisation ni cette page ne prennent d’engagement chiffré. Demandez le montant au moment où il existe, plutôt que d’en supposer un derrière la répartition.

Cela compte plus qu’il n’y paraît. La directive révisée sur la responsabilité du fait des produits défectueux (UE) 2024/2853 s’applique aux produits mis sur le marché après le 8 décembre 2026, logiciels compris, et les États membres la transposent d’ici le 9 décembre 2026. Savoir si une agence qui appose son propre nom ou sa propre marque sur l’agent vocal est traitée comme son fabricant dépend de cette transposition nationale et des faits ; votre conseil doit l’apprécier, en partant de la répartition des rôles figurant sur la page de la marque blanche. La section 4 des conditions d’utilisation dit la même chose des plafonds, dans les mêmes termes.

4 · Le départ

Changement de fournisseur et portabilité selon le Data Act de l’UE.

Le chapitre VI du règlement (UE) 2023/2854 s’applique depuis le 12 septembre 2025 ; le premier et le troisième point ci-dessous sont donc des droits que vous détenez dès aujourd’hui, seule l’interdiction des frais de changement commence plus tard. Le troisième est un droit dont la mise en œuvre a été remesurée le 26 août sur des appels depuis un navigateur, et cela est indiqué ici plutôt que découvert à la sortie, car c’est au moment de partir qu’un acheteur est le plus souvent surpris.

• Un préavis de sortie de deux mois (phase 1), le maximum prévu au chapitre VI, pour les changements initiés par le client.
• Aucun frais de changement à partir du 12 janvier 2027.
• Export de votre chaîne de preuves dans un format structuré, couramment utilisé et lisible par machine. Le droit découle du chapitre VI et s’applique que le contrat le rappelle ou non. La mise en œuvre a été remesurée le 26 août, après le déploiement : cinq appels, trente tours validés, trente reçus. Cette mesure porte sur des appels depuis un navigateur et non sur une ligne téléphonique ; cette ligne porte donc le droit et la mesure plutôt qu’une garantie contractuelle.

5 · État de certification

Ce que nous détenons, et ce que nous ne détenons pas.

Aucune des trois. C’est dit ici dans les mêmes termes que dans le Centre de confiance, car une équipe de sécurité qui trouve deux réponses différentes cesse de se fier à l’une comme à l’autre.

6 · L’analyse

Modèle d’AIPD.

Il n’existe pas de modèle d’AIPD à télécharger. Cette section décrit le contenu prévu, et non un document existant : le flux de données d’Audact, les valeurs de conservation par défaut, les options de base juridique et les mesures d’atténuation des risques pour l’IA vocale sortante au titre de l’article 35 du RGPD, rédigé pour être adapté par votre propre délégué à la protection des données et non pour être signé tel quel.

7 · Le lot

Exemple d’export pour un DPO.

Le lot JSON qu’un délégué à la protection des données reçoit sur demande : des exemples de reçus, les versions de politique sous lesquelles ils ont été encadrés, l’origine du consentement et la matrice des sous-traitants ultérieurs à ce moment-là. L’exemple ci-dessous est anonymisé et comporte des valeurs synthétiques.

8 · Signaler un problème

Divulgation coordonnée des vulnérabilités.

Les signalements vont à security@audact.ai, chiffrés avec notre clé publique PGP si vous le souhaitez. Elle est disponible sur demande, et le contact sécurité est publié à l’adresse /.well-known/security.txt conformément à la RFC 9116. Accusé de réception sous 48 heures.

L’engagement de safe harbour et la politique complète figurent sur leur propre page, y compris ce qui compte comme agir de bonne foi et le délai que nous demandons avant toute divulgation publique.