Ton RSSI ne demande pas si Eagr utilise de l'IA. Il demande laquelle, chez qui, dans quel pays, et si tes conversations clients servent à entraîner quelque chose.
La réponse existe, et elle est contractuelle. Elle vit dans l'annexe 1 des conditions générales de vente, section « Liste des Sous-traitants ultérieurs autorisés ». C'est le seul endroit du site où figure cette liste. Il n'y a ni page dédiée aux sous-traitants, ni trust center.
Ce qu'il te faut avant de commencer
Une seule page : eagr.ai/fr/cgv, annexe 1. Envoie-la telle quelle à ton juridique, elle est plus précise que n'importe quel résumé.
1. Les fournisseurs de modèles
Page eagr.ai/fr/cgv, annexe 1.
Pour l'analyse et la génération du contenu de tes conversations, l'annexe 1 des CGV déclare quatre acteurs.
Google LLC, via l'API Gemini : « traitement par modèles d'IA, analyse et génération de contenu conversationnel ». Résidence de données déclarée dans l'UE, région europe-west.
OpenAI LLC : même finalité. Résidence de données UE, transferts encadrés par clauses contractuelles types.
Anthropic PBC : même finalité. Transferts encadrés par clauses contractuelles types.
OpenRouter Inc. : « routeur multi-modèles d'intelligence artificielle, transmission des requêtes aux fournisseurs LLM tiers ». C'est un intermédiaire, pas un modèle. Il adhère au EU-US Data Privacy Framework, en mode API sans entraînement.
2. La transcription
Soniox Inc. : « reconnaissance vocale et transcription audio en temps réel ». Siège aux États-Unis, transferts encadrés par clauses contractuelles types, avec la mention « traitement temps réel sans rétention ».
Si une seule ligne compte pour ton DPO, c'est celle qui concerne la reconnaissance vocale : c'est là que passe le contenu parlé de tes rendez-vous.
3. La voix de synthèse
ElevenLabs Inc. : « synthèse vocale (text-to-speech) pour les simulations conversationnelles ». Résidence de données UE, avec « Zero Retention Mode activé ».
4. L'infrastructure
Trois prestataires non IA figurent dans la même annexe : Scaleway SAS pour le stockage des fichiers et des enregistrements, Neon Inc. pour la base de données, Vercel Inc. pour l'hébergement applicatif. Détail dans « Où sont hébergées les données Eagr ».
Mes appels servent-ils à entraîner des modèles
Oui, et c'est écrit dans les CGV, article 9. C'est la clause que ton juridique lira deux fois, autant la citer entièrement :
« Le Client concède à EAGR, pour la durée des présentes, le droit d'utiliser les données issues du Playbook ainsi que les contenus générés lors de l'utilisation des Services, à des fins de recherche, de développement et d'entraînement de ses modèles d'intelligence artificielle. EAGR s'engage à ce que cet usage soit réalisé exclusivement après un traitement irréversible des données ».
Le point qui compte : l'entraînement concerne les modèles d'Eagr, après traitement irréversible. Côté fournisseurs tiers, l'annexe indique pour OpenRouter un « mode API (pas d'entraînement) » et pour Soniox un traitement « sans rétention ».
Si tu as besoin d'un engagement plus ferme, c'est une négociation contractuelle, pas un réglage dans l'interface.
Et si j'utilise AirCall, Modjo ou Claap
Ils s'ajoutent à la liste, automatiquement, dès que tu actives l'intégration. L'annexe 1 le prévoit : le sous-traitant correspondant « est ajouté de plein droit à la présente liste pour la durée de l'intégration. Le Client est seul responsable de la relation contractuelle directe qu'il entretient avec ce sous-traitant ».
Autrement dit, ce lien-là ne relève pas du contrat Eagr. C'est ton contrat avec l'outil.
Eagr est-elle responsable de traitement ou sous-traitant
Les deux, selon ce qu'on regarde, et c'est source de confusion.
Pour les données que tu lui confies en utilisant le produit, les CGV article 15.2 posent qu'Eagr agit « en qualité de sous-traitant, tandis que le Client, lui, agit en qualité de responsable de traitement ».
C'est donc ton entreprise qui porte les obligations d'information vis-à-vis des personnes enregistrées.
Comment obtenir le DPA
Il n'existe pas de document séparé à signer. L'accord de sous-traitance est intégré aux CGV, article 15.2 et annexe 1.
Ton achat demande un DPA autonome
Écris à [email protected] en expliquant le besoin. Ne cherche pas de page /dpa sur le site, elle n'existe pas.
Ton juridique veut un droit d'audit
Il est prévu par les CGV : une fois par an, aux frais du client, avec deux semaines de préavis.
Ton RSSI réclame un rapport SOC 2 d'Eagr
Aucune certification propre à Eagr n'est publiée. Les certifications listées dans l'annexe sont celles des sous-traitants, jamais celles d'Eagr. Pour une demande formelle, écris à [email protected].
Ce que ça ne fait pas
Cette liste n'est pas versionnée publiquement. Rien ne t'avertit quand un sous-traitant est ajouté ou retiré, il faut relire l'annexe.
Et elle ne couvre pas les outils que tu branches toi-même en aval : ce que ton CRM fait des informations qu'Eagr y écrit relève de ton contrat avec lui.
À lire ensuite : « Où sont hébergées les données Eagr ».