Agent vocal IA et RGPD : ce qu'une conciergerie doit vérifier

Confier ses appels manqués à un agent vocal IA, c'est faire traiter des données personnelles (numéro de téléphone, voix, contenu de la conversation) par un prestataire. Pour une conciergerie ou une agence immobilière, cela pose une question simple : qui est responsable de quoi, et quelles garanties demander avant de signer ? Cet article liste les sept points à vérifier, en s'appuyant sur ce que Spox publie dans sa politique de confidentialité, son accord de traitement des données et ses CGV. Il ne constitue pas un conseil juridique : pour votre situation précise, un DPO ou un avocat reste la bonne adresse.

1. Qui est responsable de traitement ?

C'est le premier point, et il conditionne tout le reste. Quand un voyageur ou un propriétaire appelle votre conciergerie et que l'agent vocal décroche, la conversation concerne votre relation avec votre interlocuteur. Vous êtes donc responsable de traitement pour les données des appelants. Le prestataire d'agent vocal agit en sous-traitant au sens de l'article 28 du RGPD : il traite les données sur vos instructions et pour votre compte.

Le DPA de Spox formalise exactement cette répartition : le client est responsable de traitement à l'égard de ses interlocuteurs, Spox est sous-traitant. Cette clarification n'est pas anodine. Elle signifie que c'est vous qui devez informer vos appelants, tenir votre registre des traitements et répondre à leurs demandes d'accès ou d'effacement. Le sous-traitant doit vous y aider, pas le faire à votre place.

À vérifier chez un prestataire : l'existence d'un DPA écrit, accessible, qui désigne clairement qui est responsable et qui est sous-traitant.

2. Quelles données sont traitées exactement ?

Un agent vocal collecte au minimum le numéro de l'appelant, l'horodatage et la durée de l'appel. Il produit ensuite une transcription textuelle de la conversation et, chez Spox, un résumé automatique. Si l'appelant donne son nom, une adresse ou un e-mail pour être rappelé, ces informations figurent dans la transcription et dans le message structuré.

La politique de confidentialité de Spox liste ces catégories : données de compte du client (nom, prénom, e-mail), données relatives aux appels (numéro de l'appelant, transcription, résumé, horodatage, durée), données relatives aux SMS (numéros destinataires, contenu) et données de facturation. Les données bancaires sont traitées directement par Stripe et ne transitent pas par les serveurs de Spox.

À vérifier : une liste explicite des catégories de données, et la confirmation que les données de paiement ne sont pas stockées par le prestataire.

3. Combien de temps les transcriptions sont conservées

Le RGPD impose une durée de conservation limitée et proportionnée à la finalité. Pour des transcriptions d'appels, garder les données indéfiniment n'est pas défendable : une fois le voyageur reparti ou le prospect rappelé, l'intérêt opérationnel décroît vite.

Chez Spox, les transcriptions et résumés sont conservés 12 mois à compter de la date de l'appel, puis supprimés automatiquement et définitivement. Les données de compte sont conservées pendant la durée du contrat puis le temps nécessaire aux obligations légales, et les données de facturation 10 ans conformément au Code de commerce.

Pour une conciergerie, 12 mois couvrent une saison complète et le traitement des réclamations qui suivent. C'est aussi une durée que vous pouvez inscrire telle quelle dans votre registre des traitements.

À vérifier : une durée de conservation chiffrée pour les transcriptions, et une suppression automatique (pas seulement « sur demande »).

4. Où sont hébergées les données, et qui y accède

Un agent vocal IA repose sur plusieurs briques techniques : la téléphonie, la reconnaissance et la synthèse vocale, le modèle de langage qui comprend et répond, et l'hébergement des transcriptions. Chaque brique peut être opérée par un prestataire différent, parfois hors Union européenne.

Spox publie la liste de ses sous-traitants ultérieurs : Hetzner (Allemagne) pour l'hébergement, sans transfert hors UE pour cette prestation, Stripe Payments Europe (Irlande) pour le paiement, Twilio (États-Unis) pour la téléphonie et les SMS, et Anthropic, xAI et ElevenLabs (États-Unis) pour le traitement par intelligence artificielle. Les transferts vers les prestataires américains sont encadrés par les clauses contractuelles types de la Commission européenne ou par l'adhésion du prestataire au cadre EU-U.S. Data Privacy Framework, selon le cas. Le DPA prévoit que vous pouvez demander le détail de ces garanties par e-mail.

Le DPA prévoit aussi un délai de 30 jours pour vous opposer par écrit à l'ajout d'un nouveau sous-traitant ultérieur.

À vérifier : une liste nominative des sous-traitants, leur pays, et le mécanisme de transfert pour ceux situés hors UE. Une formule vague du type « hébergement sécurisé » ne suffit pas.

5. L'information des appelants

C'est le point le plus visible pour vos clients. Une personne qui appelle doit savoir qu'elle parle à un système automatisé et que sa conversation est transcrite. Deux niveaux se superposent.

Le premier est assuré par l'outil : Léa se présente comme assistante virtuelle dès son message d'accueil (« Bonjour, je suis Léa, l'assistante virtuelle de la conciergerie ») et confirme qu'elle est une IA si on lui pose la question. Elle ne se fait jamais passer pour un humain. Les CGV de Spox précisent qu'un message d'information est diffusé en début d'appel.

Le second niveau vous appartient. Les CGV rappellent que cette annonce ne vous dispense pas de vos propres obligations d'information au titre du RGPD, notamment sur le traitement des données vocales et de leur transcription. Concrètement, cela passe par une mention dans votre politique de confidentialité, sur votre site, et si possible dans le livret d'accueil ou le message de confirmation de réservation.

À vérifier : que l'agent s'annonce comme IA sans que vous ayez à le configurer, et que le contrat vous rappelle clairement vos obligations plutôt que de les passer sous silence.

6. La sécurité et la notification des violations

Le DPA de Spox liste les mesures mises en œuvre : chiffrement des données en transit (TLS) et au repos, contrôle des accès, journalisation des opérations et surveillance des systèmes. En cas de violation de données au sens de l'article 4 du RGPD, Spox s'engage à notifier le client sous 48 heures à compter du moment où il en a connaissance, par e-mail à l'adresse du compte, avec les informations prévues à l'article 33.

Ce délai de 48 heures compte pour vous : en tant que responsable de traitement, vous disposez de 72 heures pour notifier la CNIL si la violation présente un risque. Un sous-traitant qui ne s'engage sur aucun délai vous met en difficulté.

À vérifier : un délai de notification chiffré et inférieur à 72 heures, et une description des mesures de sécurité qui va au-delà du mot « sécurisé ».

7. La fin du contrat et les droits des personnes

Deux derniers points. D'abord, que se passe-t-il quand vous résiliez ? Le DPA prévoit la suppression de toutes les données traitées pour votre compte, copies incluses, sauf obligation légale de conservation, et la possibilité de vous les restituer avant suppression dans un format structuré, sur demande écrite.

Ensuite, l'assistance à l'exercice des droits. Si un appelant vous demande la copie ou l'effacement de sa transcription, vous devez répondre sous un mois. Le DPA engage Spox à vous assister dans cette réponse, compte tenu de la nature du traitement. Côté pratique, chaque appel est associé au numéro de l'appelant dans votre tableau de bord, ce qui permet de retrouver la transcription concernée.

À vérifier : une clause de suppression en fin de contrat, une possibilité de restitution, et une clause d'assistance aux demandes des personnes concernées.

Ce que ça change pour votre registre des traitements

Si vous tenez un registre des traitements (et une conciergerie qui gère des dizaines de propriétaires et des centaines de voyageurs a intérêt à le faire), l'agent vocal y entre comme un traitement à part entière. Les informations ci-dessus vous donnent de quoi le remplir : finalité (accueil téléphonique et prise de messages), catégories de données, durée de conservation (12 mois pour les transcriptions), sous-traitant (Spox, BeyondSky OÜ), sous-traitants ultérieurs et mécanismes de transfert.

Le reste relève de votre organisation : qui dans l'équipe a accès au tableau de bord, comment vous traitez une demande d'effacement, et comment vous informez vos voyageurs. L'outil ne remplace pas ces décisions, il les rend possibles.

Pour voir comment Léa traite concrètement les appels de voyageurs et de propriétaires, la page Spox pour les conciergeries détaille les scénarios, et la page tarifs le contenu de chaque forfait. Si vous comparez plusieurs solutions, notre article sur le vrai coût d'un standard téléphonique IA met les options côte à côte.

FAQ

Dois-je faire signer un DPA séparé à Spox ? Non. Le DPA de Spox est annexé aux CGV et en fait partie intégrante : il prend effet à la souscription et reste en vigueur pendant toute la durée de l'abonnement. En cas de contradiction avec les CGV sur la protection des données, c'est le DPA qui prévaut.

Les appels sont-ils enregistrés en audio ? Spox produit une transcription textuelle et un résumé de chaque conversation, conservés 12 mois. Ce sont ces données, avec le numéro de l'appelant et la durée, qui sont listées dans la politique de confidentialité comme données relatives aux appels.

Que dire à mes voyageurs dans le livret d'accueil ? Une phrase suffit pour les informer : le numéro de la conciergerie est pris en charge par une assistante vocale automatisée en cas de non-réponse, les conversations sont transcrites pour assurer le suivi de la demande et conservées 12 mois. Ajoutez le renvoi vers votre politique de confidentialité pour l'exercice des droits.

Testez Léa sur votre propre numéro : créez votre agent en moins de dix minutes, sans engagement.