Léa Répond · Conformité

Conformité : AI Act, RGPD, souveraineté

Un agent vocal qui décroche à votre place traite des données pour votre compte, et s’adresse à vos clients sous votre nom. Voici, point par point, ce que la réglementation impose, ce que Léa fait concrètement, et où c’est écrit — avec le lien vers le texte contractuel à chaque ligne.

Nos engagements ne vivent pas sur cette page : ils vivent dans notre annexe de sous-traitance et notre politique de confidentialité, publiées et opposables. Cette page les rend lisibles en deux minutes.

Parler à un conseiller : 02 46 91 55 57 Lire l’annexe de sous-traitance

Règlement (UE) 2024/1689

Le règlement européen sur l’intelligence artificielle

Le règlement est entré en vigueur le 1^er août 2024. Les obligations de transparence de son article 50 — celles qui concernent un agent vocal comme Léa — s’appliquent depuis le 2 août 2026 (article 113). Nous les appliquons dans le produit, pas dans une promesse : l’annonce est posée par le système lui-même.

Ce que la loi impose

Transparence — article 50

Une personne qui interagit avec un système d’intelligence artificielle doit en être informée, de façon claire, au plus tard lors de la première interaction. L’obligation pèse sur le fournisseur du système, pas sur celui qui l’utilise.

Ce que Léa fait

Chaque appel commence par l’annonce que l’appelant s’adresse à une assistante virtuelle. Cette annonce est appliquée par le système : elle n’est pas un réglage, et vous ne pouvez pas la retirer — même si vous le demandiez.

→ Annexe de sous-traitance, art. 13

Ce que la loi impose

Pas de manipulation — article 5

Sont interdits les systèmes qui recourent à des techniques subliminales, manipulatrices ou trompeuses, ou qui exploitent la vulnérabilité d’une personne (âge, situation, handicap) pour altérer son comportement.

Ce que Léa fait

Léa accueille, note et transmet. Elle ne vend rien, ne relance pas, n’insiste pas, ne conclut aucun engagement à votre place — ni prix, ni délai, ni diagnostic. Le contrat vous interdit également de la configurer pour laisser croire qu’elle est humaine.

→ Nos garde-fous, en détail

Ce que la loi impose

Garder un humain dans la boucle

La transparence n’a de sens que si l’appelant peut atteindre une personne. Le règlement encadre l’usage de l’IA ; il ne remplace ni votre responsabilité professionnelle, ni le devoir de conseil qui reste le vôtre.

Ce que Léa fait

L’appel peut être transféré vers vous ou vers un confrère selon les règles que vous fixez. À défaut de transfert, le message vous parvient intégralement — résumé et transcription — dès que l’appelant raccroche : personne ne reste sans réponse.

→ Le trajet d’un appel, étape par étape

Règlement (UE) 2016/679

RGPD : nous sommes votre sous-traitant, et c’est écrit

Un cabinet qui confie son accueil téléphonique confie des données à un tiers. L’article 28 exige alors un contrat écrit. Le nôtre est public : vous n’avez pas à le demander, ni à attendre qu’un commercial vous le fasse parvenir.

Qui est responsable de quoi

Vous êtes responsable du traitement des données des personnes qui appellent votre ligne : ce sont vos clients, vos patients. Nous sommes votre sous-traitant au sens de l’article 28 : nous ne traitons ces données que sur vos instructions, jamais pour notre compte, et jamais pour entraîner un modèle d’intelligence artificielle.

→ Annexe, art. 1 et 4

Le contrat de sous-traitance est déjà signé

L’annexe de l’article 28 est publiée, pas « fournie sur demande » : elle est opposable dès la souscription, sans démarche, sans échange de courrier. Vous pouvez la lire avant même de nous parler — c’est d’ailleurs ce que font la plupart de nos clients réglementés.

→ Lire l’annexe de sous-traitance

Combien de temps nous gardons quoi

Transcriptions et résumés d’appel : 12 mois glissants, effacés par une purge automatique quotidienne. L’audio de la conversation n’est pas conservé après la communication. Facturation : 10 ans (obligation comptable). Journaux de connexion : 6 mois. En fin de contrat, les données d’appel sont supprimées sous 30 jours.

→ Confidentialité, §6 et §8 · Annexe, art. 10

Les droits de vos appelants

Accès, rectification, effacement, opposition, limitation, portabilité (articles 15 à 22). C’est à vous que la demande s’adresse, puisque vous en êtes responsable — et nous vous assistons : une demande d’effacement portant sur un appelant identifié est exécutée sous 30 jours.

→ Annexe, art. 8 · Confidentialité, §7

Où sont les données, précisément

Serveurs OVH en France (Roubaix, Gravelines). Notre base de données et notre messagerie sont auto-hébergées sur ces serveurs : aucun éditeur tiers n’y accède. Chiffrement AES-256-GCM en base des numéros, transcriptions et résumés ; TLS en transit ; cloisonnement par compte ; sauvegardes quotidiennes.

→ Annexe, art. 5 · Confidentialité, §4 et §5

Documentation, registre et audit

L’article 30.2 impose au sous-traitant de tenir le registre des traitements menés pour le compte de ses clients. Les éléments qui le composent — nature, finalité, catégories de données et de personnes, durées, sous-traitants ultérieurs, mesures de sécurité — sont publiés dans l’annexe (art. 2, 5 et 6). La documentation complète est communiquée sur demande écrite, et nous nous soumettons à un audit par année civile.

→ Annexe, art. 11

En cas de violation de données

Nous vous notifions sans délai injustifié et au plus tard 48 heures après en avoir eu connaissance, avec la nature de la violation, le volume concerné et les mesures prises. Ce délai est calculé pour vous laisser tenir les 72 heures de l’article 33 vis-à-vis de la CNIL.

→ Annexe, art. 9

Ce qui reste à votre charge

Informer vos propres appelants du traitement de leurs données (article 13) — l’annonce IA en début d’appel s’ajoute à cette information, elle ne la remplace pas. Disposer d’une base légale pour les appels que vous nous confiez. Et ne pas configurer l’agent pour recueillir des données sensibles au sens de l’article 9.

→ Annexe, art. 12

Souveraineté

Où sont les serveurs, et qui traite la voix

« Français » se vérifie, entreprise par entreprise. Voici les nôtres, avec leur rôle et leur pays — la liste complète, y compris les prestataires de la pile standard, est publiée dans notre politique de confidentialité.

Hébergement

Serveurs OVH en France (Roubaix, Gravelines). Base de données et messagerie auto-hébergées dessus : aucun éditeur tiers n’y a accès.

Téléphonie

Vos lignes sont ouvertes chez OVH, opérateur français, et les appels transitent par son réseau. Votre numéro professionnel actuel reste le vôtre.

Traitement de la voix

Pile souveraine : transcription, compréhension et synthèse vocale par Mistral AI, en France. Dans cette configuration, le contenu des appels ne quitte pas l’Union européenne.

La pile 100 % française est celle que nous proposons aux professions réglementées

Deux configurations existent. La pile souveraine ne fait appel qu’à des prestataires français ; c’est celle que nous installons par défaut pour un notaire, un avocat ou un cabinet médical. La pile standard fait intervenir des prestataires états-uniens pour la transcription et la synthèse vocale ; ces transferts sont alors encadrés par les Clauses Contractuelles Types de la Commission européenne (article 46.2.c). Le choix vous appartient, il est affiché dans votre tableau de bord, et il est réversible.

À savoir : notre ligne de démonstration publique tourne sur la pile standard. Pour écouter la pile souveraine, demandez-la à votre conseiller — nous vous la faisons entendre sur une ligne dédiée.

→ Liste complète des sous-traitants, rôle et pays (Confidentialité, §5)

Professions réglementées

Secret professionnel : ce que Léa ne demande jamais

La meilleure protection d’une donnée sensible, c’est de ne pas la collecter. Un agent d’accueil n’a besoin que de trois choses pour vous rendre service : qui appelle, à quel numéro rappeler, et pourquoi — en une ligne.

Le motif détaillé d’une consultation

Pour un cabinet médical, l’agent prend le rendez-vous et oriente l’appel — il ne fait pas raconter le symptôme. Le contrat interdit de le paramétrer pour recueillir des données de santé.

Le fond d’un dossier

Nom, numéro de rappel, objet de l’appel en une ligne : c’est tout ce qui est nécessaire pour que vous rappeliez en connaissance de cause. Ce que votre client a à vous dire, il vous le dira à vous.

Une coordonnée bancaire, une pièce d’identité

Léa ne collecte ni RIB, ni numéro de carte, ni pièce justificative. Aucun paiement, aucune vérification d’identité ne passe par le téléphone.

Un engagement à votre place

Ni honoraires, ni délai, ni avis, ni diagnostic. Léa n’a pas d’opinion sur votre dossier : elle prend le message et vous le transmet.

L’enregistrement audio est à l’arrêt

Pour un cabinet réglementé, aucun enregistrement audio n’est activé, et l’audio de la conversation n’est de toute façon pas conservé après la communication. Ce qui subsiste — la transcription et le résumé qui vous sont transmis — est chiffré et effacé au bout de 12 mois. La conservation peut être raccourcie : dites-le à votre conseiller à l’installation.

Vos données ne nourrissent aucun modèle

Nous n’utilisons aucune donnée d’appel de nos clients pour entraîner un modèle d’intelligence artificielle. C’est un engagement contractuel, pas une politique interne révocable — il figure à l’article 4 de l’annexe de sous-traitance.

En un coup d’œil

Exigence → ce que fait Léa → où c’est écrit

À imprimer ou à transmettre à votre DPO. Chaque ligne renvoie au document contractuel qui la porte : rien ici n’existe uniquement sur cette page.

Exigence	Ce que fait Léa	Où c’est écrit
AI Act, art. 50 — informer l’appelant qu’il parle à une IA	Annonce systématique en début d’appel, appliquée par le système, non désactivable par le client	Annexe, art. 13
AI Act, art. 5 — pas de technique manipulatrice ou trompeuse	Léa accueille, note, transmet ; aucun engagement pris à votre place ; interdiction contractuelle de la faire passer pour humaine	Annexe, art. 13
Joindre un humain	Transfert d’appel selon vos règles ; à défaut, résumé et transcription intégrale transmis dès la fin de l’appel	Comment ça marche
RGPD, art. 28 — contrat écrit avec le sous-traitant	Annexe publiée et opposable dès la souscription, sans démarche	Annexe de sous-traitance
RGPD, art. 32 — sécurité du traitement	AES-256-GCM en base, TLS en transit, cloisonnement par compte, sauvegardes quotidiennes, purge quotidienne	Annexe, art. 5
RGPD, art. 5.1.e — limitation de la conservation	Appels effacés à 12 mois par purge automatique ; audio non conservé après la communication	Confidentialité, §6 et §8
RGPD, art. 15 à 22 — droits des personnes	Assistance à votre réponse ; effacement d’un appelant identifié exécuté sous 30 jours	Annexe, art. 8
RGPD, chapitre V — transferts hors Union européenne	Pile souveraine : le contenu des appels ne quitte pas l’UE. Si vous activez une pile non européenne, Clauses Contractuelles Types (art. 46.2.c)	Annexe, art. 7
RGPD, art. 33 — notification d’une violation	Notification au client sous 48 heures maximum, pour tenir vos 72 heures vis-à-vis de la CNIL	Annexe, art. 9
RGPD, art. 28.3.h — audit et documentation	Documentation sur demande écrite ; un audit par année civile, préavis de 30 jours	Annexe, art. 11
RGPD, art. 28.2 — sous-traitants ultérieurs	Liste publiée avec le rôle et le pays de chacun ; préavis de 30 jours avant tout ajout, droit d’opposition et résiliation sans frais	Confidentialité, §5 · Annexe, art. 6
Secret professionnel — données sensibles	L’agent d’une profession réglementée ne recueille que le nom, le numéro de rappel et l’objet de l’appel ; interdiction contractuelle de le paramétrer pour collecter des données de l’article 9	Annexe, art. 12

Exigence

AI Act, art. 50 — informer l’appelant qu’il parle à une IA

Ce que fait Léa

Annonce systématique en début d’appel, appliquée par le système, non désactivable par le client

→ Annexe, art. 13

Exigence

AI Act, art. 5 — pas de technique manipulatrice ou trompeuse

Ce que fait Léa

Léa accueille, note, transmet ; aucun engagement pris à votre place ; interdiction contractuelle de la faire passer pour humaine

→ Annexe, art. 13

Exigence

Joindre un humain

Ce que fait Léa

Transfert d’appel selon vos règles ; à défaut, résumé et transcription intégrale transmis dès la fin de l’appel

→ Comment ça marche

Exigence

RGPD, art. 28 — contrat écrit avec le sous-traitant

Ce que fait Léa

Annexe publiée et opposable dès la souscription, sans démarche

→ Annexe de sous-traitance

Exigence

RGPD, art. 32 — sécurité du traitement

Ce que fait Léa

AES-256-GCM en base, TLS en transit, cloisonnement par compte, sauvegardes quotidiennes, purge quotidienne

→ Annexe, art. 5

Exigence

RGPD, art. 5.1.e — limitation de la conservation

Ce que fait Léa

Appels effacés à 12 mois par purge automatique ; audio non conservé après la communication

→ Confidentialité, §6 et §8

Exigence

RGPD, art. 15 à 22 — droits des personnes

Ce que fait Léa

Assistance à votre réponse ; effacement d’un appelant identifié exécuté sous 30 jours

→ Annexe, art. 8

Exigence

RGPD, chapitre V — transferts hors Union européenne

Ce que fait Léa

Pile souveraine : le contenu des appels ne quitte pas l’UE. Si vous activez une pile non européenne, Clauses Contractuelles Types (art. 46.2.c)

→ Annexe, art. 7

Exigence

RGPD, art. 33 — notification d’une violation

Ce que fait Léa

Notification au client sous 48 heures maximum, pour tenir vos 72 heures vis-à-vis de la CNIL

→ Annexe, art. 9

Exigence

RGPD, art. 28.3.h — audit et documentation

Ce que fait Léa

Documentation sur demande écrite ; un audit par année civile, préavis de 30 jours

→ Annexe, art. 11

Exigence

RGPD, art. 28.2 — sous-traitants ultérieurs

Ce que fait Léa

Liste publiée avec le rôle et le pays de chacun ; préavis de 30 jours avant tout ajout, droit d’opposition et résiliation sans frais

→ Confidentialité, §5 · Annexe, art. 6

Exigence

Secret professionnel — données sensibles

Ce que fait Léa

L’agent d’une profession réglementée ne recueille que le nom, le numéro de rappel et l’objet de l’appel ; interdiction contractuelle de le paramétrer pour collecter des données de l’article 9

→ Annexe, art. 12

Ce que nous n’affirmons pas

Un professionnel réglementé reconnaît un argument creux en une phrase. Autant poser nous-mêmes les limites :

—Nous ne sommes pas hébergeur de données de santé (HDS). Un professionnel de santé peut utiliser Léa pour prendre les rendez-vous et orienter les appels, à condition de ne pas faire recueillir de motif médical par l’agent. C’est écrit à l’article 12 de l’annexe, et nous le redisons en rendez-vous.
—Aucune autorité ne « certifie » ni n’« agrée » un service comme le nôtre. Ni la CNIL, ni le comité européen de la protection des données ne délivrent de label de conformité RGPD à un agent vocal. Un site qui l’affiche vous raconte quelque chose.
—La conformité n’est pas un état figé. Le règlement sur l’IA se déploie par étapes jusqu’en 2027, et vos obligations de responsable de traitement restent les vôtres. Ce que nous garantissons, c’est notre part du contrat — et sa mise à jour quand le texte bouge.

Une question précise appelle une réponse précise.

Votre DPO veut le détail d’une durée de conservation, votre bâtonnier une garantie sur le secret professionnel, votre associé la liste des sous-traitants ? Une vraie personne vous répond et vous envoie les documents.

Parler à un conseiller Prendre rendez-vous · 15 min

02 46 91 55 57

ou lisez d’abord l’annexe de sous-traitance