Visioconférence conforme au RGPD : la checklist pratique
Tous les fournisseurs revendiquent la conformité RGPD dans une bannière ; peu peuvent la montrer dans une architecture. Si vous traitez des données personnelles de l'UE — et chaque réunion avec des noms, des voix et des visages en est — voici ce qu'il faut vraiment vérifier avant de déployer un outil de conférence.
Ce que le RGPD demande vraiment à un outil de réunion
Quatre choses : un responsable de traitement identifiable, une base légale et de la transparence pour les enregistrements, des mesures techniques à la hauteur du risque (chiffrement, contrôle d'accès, rétention), et — la partie que la plupart des fournisseurs murmurent — une réponse défendable sur la destination des données et le droit qui les régit.
La checklist
Posez ces cinq questions à tout candidat :
- Qui est responsable/sous-traitant — et un DPA est-il proposé sans contrat entreprise ?
- Où vivent physiquement enregistrements et transcriptions ? Centres de données UE, ou « région UE sur demande » ?
- Existe-t-il un vrai chiffrement de bout en bout pour les réunions qui ne devraient jamais être enregistrées du tout ?
- Les hôtes contrôlent-ils la rétention — et les utilisateurs peuvent-ils exercer leur droit à l'effacement sans ticket support ?
- Si le fournisseur est américain : quelle est sa réponse à la question du CLOUD Act ?
Le problème des transferts vers les fournisseurs US, en un paragraphe
Depuis Schrems II, envoyer des données personnelles de l'UE à des prestataires américains implique mécanismes de transfert, analyses d'impact et risque résiduel que votre DPO doit assumer — car le CLOUD Act américain peut contraindre une entreprise américaine à divulguer des données même stockées en Europe. La sortie propre est structurelle : un fournisseur de l'UE sous le droit de l'UE. Nous avons détaillé ce qui change vraiment sur notre page consacrée à l'alternative européenne.
Comment Spotrum le met en œuvre
Entreprise de l'UE (registre estonien, public), serveurs de l'UE pour les médias, enregistrements et fichiers, RGPD comme droit d'origine, DPA sur demande pour tout client professionnel, salles privées E2EE sur tous les forfaits y compris Free, rétention contrôlée par l'hôte et export/suppression de compte intégrés. Chaque affirmation est documentée sur notre page sécurité — limites honnêtes comprises.
Est-il licite d'enregistrer des réunions sous le RGPD ?
Oui, avec une base légale et de la transparence : les participants doivent le savoir. Sur Spotrum, l'enregistrement est lancé par l'hôte et visible de tous dans la salle, et les salles E2EE ne peuvent pas être enregistrées du tout.
Spotrum propose-t-il un DPA ?
Oui — tout client professionnel peut en demander un à legal@spotrum.com. Le responsable de traitement est une entreprise de l'UE (estonienne), donc aucun mécanisme de transfert transfrontalier n'est nécessaire pour les données centrales.
Où exactement sont stockées les données de réunion ?
Serveurs média, enregistrements, transcriptions et fichiers tournent dans des centres de données de l'Union européenne. Les fonctions IA optionnelles utilisent un sous-traitant nommé hors UE, sont désactivées par défaut et documentées dans la Politique de confidentialité.
Une visioconférence que votre DPO validera