Un standardiste IA répond aux appels et réserve des rendez-vous, ce qui signifie qu'il traite des noms, des numéros de téléphone et souvent des détails de santé ou financiers. Si vous opérez en Europe ou servez des clients européens, le RGPD s'applique, et une configuration conforme n'est pas optionnelle.
Ce que couvre le RGPD sur un appel téléphonique
Un appel téléphonique implique plus de données personnelles qu'on ne le pense :
- Identité de l'appelant. Nom et numéro de téléphone.
- Contenu de l'appel. Ce que dit l'appelant, y compris des détails sensibles.
- Métadonnées. Heure, durée et issue de l'appel.
- Réservations. Noms, horaires et parfois informations de santé ou financières.
Chacune de ces données est une donnée personnelle au sens du RGPD, et chacune déclenche des obligations.
La question de la base légale
Avant qu'un standardiste IA ne traite un appel, il faut une base légale. Les plus courantes sont :
- Intérêt légitime. Répondre à un appel initié par un client relève généralement de l'intérêt légitime, à condition qu'il soit équilibré et documenté.
- Consentement. Requis lorsque vous collectez des données au-delà de ce que l'appel exige, ou pour des relances marketing.
- Contrat. Quand l'appel aboutit à une réservation, le traitement est nécessaire à l'exécution de ce contrat.
La bonne base dépend de ce que vous faites des données après l'appel. Documentez votre raisonnement, car l'autorité de contrôle peut le demander.
Enregistrement des appels et transparence
Si les appels sont enregistrés, les règles se durcissent :
- Informer les appelants. Ils doivent être informés qu'ils sont enregistrés et pourquoi.
- Limiter la conservation. Ne conservez les enregistrements que le temps nécessaire, puis supprimez-les.
- Restreindre l'accès. Limitez qui peut écouter, et journalisez cet accès.
Sur Revenu, la transparence et la conservation sont configurables, pour aligner la configuration sur vos obligations plutôt que d'hériter d'un réglage unique.
Stockage et transfert des données
L'endroit et la manière dont les données sont stockées comptent :
- Localisation. Les données doivent rester dans l'UE, ou chez un fournisseur offrant des garanties équivalentes.
- Chiffrement. Les données doivent être chiffrées en transit et au repos.
- Contrôle d'accès. Seules les personnes autorisées doivent voir les enregistrements et réservations.
Ce sont des responsabilités du fournisseur, mais elles deviennent votre exposition juridique : vérifiez-les par écrit.
L'accord de traitement des données
Tout fournisseur de standardiste IA doit proposer un accord de traitement des données (DPA). Ce contrat définit :
- Quelles données sont traitées et dans quel but
- Combien de temps elles sont conservées
- Les mesures de sécurité en place
- Si des sous-traitants sont utilisés, et où
Si un fournisseur ne peut pas fournir de DPA, considérez cela comme un signal d'alarme et cherchez ailleurs.
Questions à poser à votre fournisseur
Avant de vous engager, obtenez des réponses écrites à ces cinq questions :
- Où les données d'appel sont-elles stockées, et sont-elles chiffrées ?
- Un accord de traitement des données est-il disponible ?
- Puis-je configurer l'enregistrement, la transparence et la conservation ?
- Qui sont les sous-traitants, et sont-ils basés dans l'UE ?
- Comment gérez-vous les demandes d'accès et de suppression des données ?
Un fournisseur qui répond clairement est un fournisseur sur lequel bâtir une exploitation conforme. Celui qui les esquive ne l'est pas.
Au-delà de la conformité : la confiance
La conformité RGPD n'est pas qu'une case juridique. C'est un signal à vos clients que vous traitez leurs données avec soin. Pour un cabinet dentaire, un cabinet d'avocats ou une clinique, cette confiance fait la différence entre une réservation et un prospect perdu. Bien faire est à la fois un devoir légal et un avantage concurrentiel.
Questions fréquentes
- Ai-je besoin du consentement pour utiliser un standardiste IA ?
- Pas toujours. Répondre à un appel initié par le client relève généralement de l'intérêt légitime, mais le consentement est requis pour le marketing ou les données au-delà de ce que l'appel exige.
- Puis-je enregistrer les appels avec un standardiste IA ?
- Oui, si vous informez les appelants, limitez la conservation et restreignez l'accès. Vérifiez vos règles locales, car certains pays exigent un consentement explicite pour l'enregistrement.
- Qu'est-ce qu'un accord de traitement des données ?
- Un contrat entre vous et le fournisseur qui définit quelles données sont traitées, comment elles sont protégées et combien de temps elles sont conservées. Il est essentiel pour la conformité RGPD.
- Où les données d'appel doivent-elles être stockées ?
- Dans l'UE, ou avec des garanties équivalentes aux normes européennes, et toujours chiffrées en transit et au repos.
- Comment gérer les demandes de suppression ?
- Demandez à votre fournisseur comment il prend en charge les demandes d'accès et de suppression, et confirmez-le par écrit avant de signer.