RGPD et agent vocal : comment sont traitées les données de vos clients

Quelles données un agent vocal traite-t-il ?

• L'audio de l'appel, et le cas échéant son enregistrement ;
• La transcription de la conversation ;
• L'identité et les coordonnées de l'appelant ;
• Le motif de l'appel et les informations de rendez-vous ;
• parfois, des informations sensibles évoquées spontanément (situation familiale, santé, patrimoine).

Le principe de minimisation impose de ne collecter que ce qui est nécessaire à la finalité : l'agent doit être paramétré pour recueillir les informations utiles au rendez-vous, pas davantage. À noter : la voix ne constitue une donnée biométrique au sens du RGPD que si elle est traitée pour identifier une personne, ce qui n'est pas le cas d'un agent d'accueil.

Responsable de traitement, sous-traitant : qui fait quoi ?

L'étude détermine pourquoi et comment les données sont traitées : elle est responsable du traitement. Le fournisseur de l'agent vocal traite les données pour son compte : il est sous-traitant au sens de l'article 28 du RGPD.

Un agent vocal s'appuie généralement sur plusieurs briques techniques (téléphonie, reconnaissance et synthèse vocales, hébergement). Ces sous-traitants ultérieurs doivent être identifiés et leur intervention autorisée par l'étude.

Base légale et information des appelants

La prise de rendez-vous à la demande du client peut s'appuyer sur l'exécution de mesures précontractuelles (article 6.1.b du RGPD) ; d'autres traitements, comme l'amélioration du service, relèvent plutôt de l'intérêt légitime de l'étude.

L'information des appelants peut être donnée en deux temps : une mention courte dans le message d'accueil, puis une information complète accessible sur votre site (finalités, destinataires, durée de conservation, droits).

Hébergement et transferts hors de l’Union européenne

Demandez précisément où les données sont hébergées et traitées. Si un transfert hors de l'Union européenne intervient, il doit être encadré : décision d'adéquation de la Commission européenne (par exemple pour les entreprises américaines certifiées au titre du Data Privacy Framework) ou clauses contractuelles types.

Durée de conservation

Chaque catégorie de données doit avoir une durée de conservation définie et justifiée :

• les enregistrements audio, s'il y en a, sur une durée courte ;
• les transcriptions et fiches d'appel, le temps nécessaire au suivi de la demande ;
• les données de contact des personnes qui ne deviennent pas clientes : à titre de repère, la CNIL retient trois ans à compter du dernier contact pour les données de prospects.

Sécurité et droits des personnes

L'article 32 du RGPD impose des mesures de sécurité adaptées : contrôle des accès, cloisonnement des données entre clients du prestataire, chiffrement des échanges, traçabilité des actions.

Les appelants disposent de droits d'accès, de rectification, d'effacement et d'opposition : prévoyez avec votre prestataire comment y répondre. Pensez également à inscrire le traitement à votre registre ; selon l'ampleur et la nature du traitement, une analyse d'impact (AIPD) peut être requise — en cas de doute, documentez votre analyse.

Chez NotarIA

Chaque étude dispose d'un espace cloisonné, accessible uniquement à ses membres au moyen d'identifiants personnels ; les mots de passe ne sont jamais stockés en clair. L'hébergement est assuré par Cloudflare, comme indiqué dans nos mentions légales.

Vous avez une question sur les sous-traitants impliqués ou les durées de conservation ? Écrivez-nous : nous vous répondons en détail.