Sécurité et données
Où se trouvent les données de vos appelants, et qui peut y toucher
Un appel téléphonique compte parmi les données les plus sensibles que détient une organisation : un nom, un numéro d’identité, une situation médicale, un litige — prononcés à voix haute, puis conservés. Cette page expose ce que le système en fait réellement, y compris ce que nous n’avons pas.
En bref
Que deviennent les données personnelles prononcées pendant un appel avec un agent IA ?
Chaque transcription passe par une couche qui détecte et masque les éléments identifiants et qui est adaptée à l’hébreu, et chaque service décide lui-même des types d’entités masqués chez lui. L’accès aux enregistrements et aux transcriptions est limité par rôle, et les actions sensibles sont inscrites dans un journal d’audit. La demande d’effacement d’un citoyen suit un processus dédié qui met à zéro les identifiants de l’appelant, occulte les passages de données personnelles dans la transcription, coupe l’accès à l’enregistrement et appose un numéro de référence que vous pourrez lui communiquer. Les organismes soumis à réglementation peuvent exécuter l’ensemble du système à l’intérieur de leur propre périmètre, poids des modèles compris, de sorte qu’aucune donnée d’appel ne quitte le réseau. Nous ne détenons aucune certification d’audit au titre d’une norme de sécurité, et nous ne prétendons pas le contraire.
Ce que nous n’avons pas — avant ce que nous avons
Nous n’avons pas SOC 2, nous n’avons pas ISO 27001, et nous ne sommes certifiés ni HIPAA ni RGPD. Le « certificat RGPD » n’existe d’ailleurs pas, et HIPAA est une réglementation américaine qui ne concerne pas la plupart des lecteurs de cette page — mais elles figurent sur tant de pages sécurité qu’il vaut la peine de dire clairement qu’elles ne figurent pas sur la nôtre. Plutôt que de laisser croire à une accréditation que nous n’avons pas, tout ce qui suit décrit des mesures réellement présentes dans le produit, et nous vous invitons à en faire démontrer chacune en direct sur un système en fonctionnement. Si la norme à laquelle vous devez répondre exige un fournisseur certifié, nous vous le dirons dès le premier échange, et non au stade de l’achat.
Détection et masquage des données personnelles
La transcription d’un appel en hébreu est pleine précisément de ce qu’il ne faut pas laisser en clair : un nom complet, un numéro d’identité dicté chiffre par chiffre, une adresse, un numéro de téléphone, le nom d’un médecin ou d’une institution. Le système applique à chaque tour de parole une couche de détection d’entités entraînée sur l’hébreu — et non un moteur généraliste qui traite l’hébreu en seconde intention. Ce qui est détecté est enregistré sous forme de positions dans le texte, si bien que la transcription peut être présentée masquée à quiconque ne doit pas voir l’original, sans perdre la possibilité d’analyser l’appel.
- Chaque service définit les types d’entités masqués chez lui — nom, numéro d’identité, téléphone, adresse et d’autres encore
- Un type d’entité que le système ne reconnaît pas est masqué par défaut, plutôt qu’exposé par accident
- La détection peut être relancée sur les conversations passées après un changement de configuration, pour que le passé corresponde au présent
- Le masquage s’applique aux transcriptions comme aux exports — un fichier CSV qui sort de l’organisation peut en sortir masqué
Demandes d’effacement — le processus complet
Un citoyen qui demande la suppression de ses données ne devrait pas avoir à se contenter d’une promesse orale. Une demande d’effacement dans le système est une opération tracée, qui peut porter sur une seule conversation, sur toutes les conversations issues d’un numéro de téléphone donné, ou sur une plage de dates et un identifiant de dossier — et voici ce qu’elle fait réellement :
- Les identifiants de l’appelant — numéro de téléphone, identifiant de dossier, nom — sont mis à zéro dans l’enregistrement de la conversation
- Chaque passage identifié comme donnée personnelle dans la transcription est remplacé par un bloc et ne subsiste pas dans le texte
- Les positions de détection elles-mêmes sont effacées, afin que ce qui a été masqué ne puisse pas être reconstitué à partir d’elles
- La référence à l’enregistrement est vidée : la lecture échoue de manière sûre et ne diffuse rien
- La conversation est marquée comme traitée, avec la mention de qui a exécuté l’opération, quand, et le numéro de référence
À la fin du processus, un numéro de référence au format fixe est apposé sur l’enregistrement. C’est ce numéro qui est remis au citoyen, et c’est lui aussi qui vous permet de prouver après coup que la demande a été traitée, quand et par qui. En parallèle, une ligne de journal d’audit est écrite pour chaque conversation concernée — non pas une ligne par demande, mais une ligne par enregistrement touché.
Qui voit quoi
Les droits sont attribués par rôle, pas par confiance. Les enregistrements en sont le cas le plus net : il n’y a pas de masquage dans l’audio — une voix est une voix —, l’accès est donc restreint aux rôles qui en ont besoin, et un service qui souhaite ouvrir l’écoute aux utilisateurs en consultation seule doit l’activer délibérément. Les actions sensibles sont inscrites dans un journal d’audit consultable.
- Des rôles distincts pour l’administrateur, le contrôleur qualité et l’utilisateur en consultation — et ils ne voient pas la même chose
- L’écoute des enregistrements est ouverte aux administrateurs et aux contrôleurs ; l’ouvrir aux utilisateurs en consultation est un réglage distinct et délibéré, au niveau du service
- Les actions sensibles — effacement, export, modification des réglages — sont journalisées avec leur auteur et un horodatage
- Les exports passent par les mêmes contrôles de droits et la même journalisation que la consultation dans le système
Trois modes de déploiement
Le même système, et trois réponses différentes à la question « dans quelle mesure le monde extérieur touche-t-il ces données ». Le choix vous revient, pas à nous.
Cloud mutualisé
La voie rapide. Nous exploitons le système, et les données de chaque organisation sont isolées de celles des autres. Adapté aux entreprises qui ne relèvent pas d’une réglementation imposant la maîtrise de l’infrastructure. Certains services de modèles y sont des services externes — nous le disons franchement, car c’est précisément ce qu’un organisme réglementé ne peut pas accepter.
Déploiement hybride
Le plan de données — base de données, enregistrements, couche de masquage et garde-fous — repose sur une infrastructure que vous maîtrisez, tandis que les modèles s’exécutent sur du matériel dédié distinct, convenu avec vous. Un compromis assumé : moins coûteux qu’un déploiement complet chez vous, mais inadapté à certaines classifications de données, et nous vous dirons dans quels cas.
Déploiement complet chez vous
L’ensemble du système fonctionne à l’intérieur de votre périmètre, poids des modèles compris — reconnaissance vocale, modèle de langue et synthèse vocale. Concrètement : aucun segment audio ni aucune transcription ne quitte votre réseau vers un prestataire externe, nous compris. C’est le mode conçu pour les administrations et les organisations réglementées, et il est également pris en charge dans un environnement isolé du réseau extérieur.
Travail de mise en conformité avec הנחיה 5.43 (directive israélienne de sécurité de l’information)
Pour les organismes publics israéliens, c’est la directive de sécurité de l’information הנחיה 5.43 qui constitue le véritable cadre de référence, et non SOC 2. Nous menons un travail d’alignement sur ses exigences : contrôle d’accès fondé sur les rôles, journalisation des actions dans une piste d’audit, minimisation des données personnelles grâce à la couche de masquage, et possibilité d’exécuter tous les composants à l’intérieur du réseau de l’organisation. Soyons précis : un travail d’alignement n’est ni une approbation ni une accréditation, et nous ne présentons aucune approbation d’une quelconque autorité. Nous parcourrons volontiers l’écart entre les deux, clause par clause, avec votre responsable de la sécurité des systèmes d’information.
Ce qu’il faut nous demander
Si vous évaluez des fournisseurs sur ce marché, voici les questions qui distinguent une page sécurité d’un produit. Posez-les-nous aussi.
- Le masquage des données personnelles fonctionne-t-il vraiment sur l’hébreu, ou s’agit-il d’un moteur anglais pointé sur du texte hébreu ?
- Que devient exactement un enregistrement après une demande d’effacement — et que reste-t-il pour prouver que l’effacement a bien eu lieu ?
- L’enregistrement audio est-il accessible aux mêmes personnes que la transcription, ou les deux sont-ils séparés ?
- Si nous exigeons que les données ne quittent jamais notre réseau, les modèles s’exécutent-ils chez nous, ou seulement la base de données ?
- Quelles certifications formelles détenez-vous réellement, et laquelle est pertinente pour la norme à laquelle je suis soumis ?
Appelez l’agent IA maintenant
Un vrai appel, en hébreu. Exactement ce qu’entendraient vos clients.
Faites-vous rappeler par l’agent IA
Laissez un numéro — l’agent vous rappelle en moins d’une minute.
Mis à jour: