Ton service informatique valide un nouvel outil. La première question tombe toujours au même endroit : où atterrissent les enregistrements de nos rendez-vous clients.

Voici ce qui est écrit dans les documents contractuels d'Eagr, sans reformulation.

Deux pages publiques suffisent à répondre, et ce sont elles que ton juridique voudra lire :

Il n'existe ni page « sécurité », ni trust center, ni DPA séparé. L'accord de sous-traitance est intégré aux CGV, article 15.2 et annexe 1.

Page eagr.ai/fr/cgv, où se trouve le tableau des sous-traitants.

La politique de confidentialité, eagr.ai/fr/privacy-policy, l'écrit ainsi : « Hébergement sur des serveurs sécurisés Scaleway en France ».

Les mentions légales nomment trois prestataires distincts. Scaleway SAS, à Paris, pour l'application. Vercel Inc., aux États-Unis, pour l'infrastructure. Framer B.V., aux Pays-Bas, pour le site vitrine, qui ne traite aucune donnée d'appel.

L'annexe 1 des CGV est la source la plus utile, parce qu'elle attribue un rôle à chacun.

CDG1 est le code de la région française de ces deux fournisseurs. Un siège social américain ne dit rien du lieu de stockage, c'est la région qui compte.

Non, et c'est écrit noir sur blanc. L'article 6.2 b des CGV pose le principe : l'hébergement se fait « par l'intermédiaire d'un prestataire d'hébergement professionnel, dont l'infrastructure principale est située au sein de l'Union européenne ».

Puis il pose l'exception, dans la même phrase : « Certains traitements complémentaires, notamment ceux relatifs à l'intelligence artificielle générative, peuvent être réalisés en dehors de l'Union européenne ».

C'est le point qui intéresse vraiment un juriste. Le stockage est français, une partie du traitement IA ne l'est pas.

Article 15.2 d des CGV : les transferts se font « sous réserve de la mise en place de garanties appropriées telles que définies au Chapitre V du RGPD, et notamment les Clauses Contractuelles Types adoptées par la Commission européenne ou l'adhésion du sous-traitant ultérieur au EU-US Data Privacy Framework ».

Chaque ligne de l'annexe 1 précise le mécanisme retenu pour ce sous-traitant précis. Pour la liste détaillée, voir « Quels sous-traitants IA utilise Eagr ».

Non. La confusion est fréquente et vaut la peine d'être levée.

L'annexe 1 des CGV comporte une colonne de certifications, mais elle décrit les sous-traitants, pas Eagr. SOC 2 et ISO 27001 y sont ceux de Neon, Vercel et des fournisseurs de modèles. L'agrément HDS, hébergeur de données de santé, est celui de Scaleway.

Aucune certification propre à Eagr n'est publiée. Pour une demande formelle, écris à [email protected].

La politique de confidentialité annonce « Chiffrement des données en transit (HTTPS/TLS) et au repos ». Aucune précision publique n'est donnée sur l'algorithme ni sur la gestion des clés.

Une autre clause pèse souvent plus lourd que l'hébergement dans une décision de signature : l'article 9 des CGV autorise Eagr à utiliser tes contenus pour entraîner ses modèles, après traitement irréversible. Elle est citée entièrement dans « Quels sous-traitants IA utilise Eagr ».

Il cherche une page « sécurité » ou un trust center
Il n'y en a pas. Toute l'information contractuelle est dans les CGV, article 15.2 et annexe 1. Envoie-lui directement eagr.ai/fr/cgv.

Il cherche une page /dpa
Elle n'existe pas non plus. L'accord de sous-traitance n'est pas un document séparé, il est intégré aux CGV.

Il lit la version anglaise et toi la version française
Les deux versions ne disent pas exactement la même chose. En cas de divergence entre les deux versions, l'article 22 des CGV prévoit que la version française prévaut.

Il demande un questionnaire sécurité rempli
Aucun n'est publié. Écris à [email protected] avec le questionnaire, plutôt que de le remplir à partir de cet article.

Ces engagements ne couvrent pas les outils que tu branches toi. Dès que tu actives une intégration d'enregistrement tierce, l'annexe 1 précise que le prestataire concerné « est ajouté de plein droit à la présente liste pour la durée de l'intégration », et que « Le Client est seul responsable de la relation contractuelle directe qu'il entretient avec ce sous-traitant ».

Autrement dit : si tes appels transitent par AirCall, Modjo ou Claap avant d'arriver dans Eagr, l'hébergement de cet outil-là relève de ton contrat avec lui, pas de celui-ci.

Une question qui n'est pas tranchée ici, écris à [email protected]. Le délai de réponse annoncé est de 72 heures.

À lire ensuite : « Quels sous-traitants IA utilise Eagr », « Combien de temps Eagr conserve mes enregistrements ».