Sous-traitant RGPD et transcription IA : checklist DPA avant de signer

Un DPO ou un acheteur reçoit un devis pour un outil de transcription IA. La question n’est pas seulement « est-ce précis ? », c’est : ce prestataire est-il un sous-traitant au sens du RGPD, et le contrat de sous-traitance (souvent appelé DPA) est-il prêt avant le premier fichier audio ? Agilotext, solution française de transcription et de compte rendu, héberge les données en France chez AZ Network (hébergeur certifié HDS v2 et ISO 27001:2022) et se positionne comme sous-traitant documentable, pas comme badge marketing. Ce guide applique le cadre « sous-traitant RGPD » au cas concret de la transcription : quand l’article 28 s’applique, quelles clauses exiger, comment mettre à jour le registre, puis quoi vérifier avant de signer.

Quand un outil de transcription est sous-traitant

Selon la définition CNIL, le sous-traitant est la personne physique ou morale qui traite des données personnelles pour le compte d’un autre organisme, le responsable de traitement. Vous (entreprise, collectivité, cabinet, établissement) décidez pourquoi vous enregistrez et pourquoi vous transcrivez. L’éditeur SaaS exécute le traitement technique (stockage audio, speech-to-text, génération de compte rendu) sur vos instructions.

Un enregistrement de réunion et son transcript permettent le plus souvent d’identifier des personnes (voix, noms, fonctions, sujets professionnels). Dès que vous confiez ces fichiers à un prestataire cloud, vous n’êtes plus seul face au risque : vous devez pouvoir démontrer que le choix du fournisseur, le contrat et les usages internes tiennent. La CNIL détaille ce cadre dans son hub Travailler avec un sous-traitant.

Deux pièges fréquents : coller l’audio dans un chatbot grand public sans contrat adapté, ou choisir un outil « pratique » avec un slogan « conforme RGPD » sans DPA lisible. Pour la checklist produit (localisation, entraînement des modèles, anonymisation), voir notre outil de transcription conforme au RGPD. Ici, l’angle est le contrat : ce que l’article 28 impose avant la signature.

Article 28 : ce que le contrat (DPA) doit contenir

L’article 28 du RGPD impose au responsable de traitement de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes, et d’encadrer le traitement par un contrat (ou autre acte juridique) écrit, y compris électronique. Ce contrat doit notamment définir :

• l’objet et la durée du traitement ;

• la nature et la finalité du traitement ;

• le type de données à caractère personnel ;

• les catégories de personnes concernées ;

• les obligations et les droits du responsable de traitement.

Il doit aussi prévoir, entre autres, que le sous-traitant traite les données uniquement sur instructions documentées, assure la confidentialité des personnes autorisées, met en œuvre des mesures de sécurité appropriées, n’engage pas de sous-sous-traitant sans autorisation écrite, aide le responsable pour les droits des personnes et les obligations de sécurité, et, en fin de prestation, supprime ou restitue les données selon les instructions. La CNIL rappelle que le contrat ne doit pas se contenter de recopier le règlement : il doit expliquer concrètement comment les obligations sont mises en œuvre (identifier son rôle).

Des clauses contractuelles types (Commission européenne) peuvent servir de socle. Elles ne sont pas obligatoires si votre DPA contient déjà tous les éléments de l’article 28, mais elles fournissent un référentiel utile pour les achats SaaS. Pour la transcription, formalisez la finalité par écrit et interdisez, sauf accord contraire, toute réutilisation des contenus clients pour entraîner un modèle public.

Checklist DPA avant de signer (transcription)

Utilisez cette séquence en binôme DPO + métier + IT. Demandez des réponses écrites, pas seulement un pitch commercial.

• Localisation et hébergeur nommé. Où sont stockés audio, transcripts, sauvegardes et logs ? Exigez le pays des datacenters et le nom de l’hébergeur. « Europe » sans précision ne suffit pas pour beaucoup d’organismes français.

• Acte juridique écrit. Existe-t-il un DPA (ou annexe RGPD) signable, avec objet, durée, nature, types de données et personnes concernées adaptés à la transcription ?

• Sous-sous-traitants. Qui intervient derrière l’éditeur (hébergeur, éventuels prestataires) ? Autorisation écrite générale ou spécifique ? Modalités d’information en cas de changement ?

• Conservation et effacement. Quelles durées par défaut ? Comment supprimer un dossier, un compte, une exportation ? Alignement avec le droit à l’effacement et votre politique interne.

• Entraînement des modèles. Réponse contractuelle claire : pas d’entraînement sur données clients par défaut, ou opt-out explicite.

• Sécurité et incidents. Mesures techniques et organisationnelles (chiffrement, contrôle d’accès, journalisation). Délai et canal de notification en cas d’incident affectant vos données.

• Assistance et audit. Le sous-traitant fournit-il les informations nécessaires pour répondre aux personnes concernées et pour démontrer la conformité (y compris audits dans les limites contractuelles) ?

Tableau : clauses critiques à vérifier

Ce tableau complète, sans le dupliquer, le guide conformité RGPD transcription : ici l’enjeu est la signature, pas le panorama réglementaire général.

Registre des traitements et responsable de traitement

Vous restez responsable de traitement dès que vous décidez d’enregistrer et de faire transcrire. Le sous-traitant exécute. En pratique :

• Ajoutez ou mettez à jour une ligne dans le registre des traitements : finalité (CR / PV / archive), catégories de données (voix, identité, contenu de réunion), destinataires (outil nommé), durées, mesures de sécurité, sous-traitant.

• Informez les participants de l’enregistrement et de la finalité. Le DPA ne remplace pas l’information des personnes : voir pourquoi le consentement est essentiel avec la transcription.

• Limitez les accès internes au strict nécessaire (rédacteur du CR, secrétariat, personnes habilitées).

Le CEPD rappelle la distinction responsable / sous-traitant dans ses ressources PME (responsable de traitement ou sous-traitant). Pour l’acheteur : le DPA et les annexes permettent-ils de remplir le registre sans improvisation ?

Erreurs fréquentes avant de signer

Confondre slogan et preuve. « Conforme RGPD » sur une landing n’est pas un DPA. Exigez le document et les annexes (localisation, sous-traitants, sécurité).

Localisation floue ou chaîne incomplète. Sans pays ni hébergeur nommé, le dossier ne tient pas un audit. Si l’éditeur s’appuie sur un hébergeur absent du contrat, complétez avant signature.

Fin de contrat et annexes IA oubliées. Sans restitution / suppression opérationnelle, vous multipliez les stocks. Remontez la clause d’entraînement des modèles dans le DPA, pas seulement dans des CGU secondaires.

Reporter l’information des participants. Un excellent DPA n’excuse pas un enregistrement à l’insu ou une finalité opaque.

Comment cadrer Agilotext comme sous-traitant

Agilotext se positionne pour les organisations qui veulent un workflow de transcription et de compte rendu avec cadre contractuel et hébergement France, plutôt qu’un chatbot grand public.

• Hébergement : données hébergées en France chez AZ Network, hébergeur certifié HDS v2 et ISO/IEC 27001:2022. Agilotext n’est pas « certifié HDS » en tant qu’éditeur : c’est l’infrastructure d’hébergement qui porte ces certifications. Formulez-le ainsi dans vos questionnaires fournisseurs.

• Usage métier : transcription, modèles de compte rendu (objectif, structure, ton) avec prompt visible et modifiable, éditeur avancé (audio synchronisé, renommage de locuteurs), assistant IA pour email de suivi ou post LinkedIn, apps iOS/Android sur les fonctions cœur, extension Chrome pour la dictée dans le navigateur.

• Anonymisation : avant partage large ou archivage long, Agiloshield (à partir de 19 € HT/mois, essai 14 jours sans CB) permet de masquer des entités (personnes, organisations, adresses, identifiants, etc.).

• Tarifs publics : Free jusqu’à 6 h/mois sans CB, Pro à 13,99 € HT/mois (jusqu’à environ 34 h/mois), Business à 25 € HT/user/mois. Détail sur les tarifs Agilotext.

Avant de brancher l’outil sur des réunions RH, juridiques ou d’instances, validez le DPA avec votre DPO, alignez le registre, puis informez les participants. Ensuite seulement : importer l’audio, appliquer le modèle de CR, relire, anonymiser si besoin, purger l’audio selon votre politique.

Pour tester le parcours produit après cadrage juridique : Essayer Agilotext.