Installer un agent conversationnel sur son site, c'est confier à un tiers les questions de ses visiteurs — et souvent leurs coordonnées. En Europe, cela fait de vous le responsable de traitement. Voici ce qu'il faut vérifier avant de coller la ligne de code, dans l'ordre où un contrôle le vérifierait.
1. Où sont hébergées les données
La question n'est pas « le prestataire est-il conforme » mais « où atterrissent les conversations ». Un service américain, même avec des clauses contractuelles types, transfère hors de l'Union. Demandez le pays du serveur, pas le siège social de l'éditeur.
Parlyo héberge en Allemagne et ne stocke aucune donnée hors de l'Union européenne.
2. Vos conversations servent-elles à entraîner un modèle
C'est le point le plus souvent flou. Beaucoup d'outils réutilisent les échanges pour améliorer leur système — ce qui signifie que le message d'un de vos clients peut ressortir ailleurs. La réponse acceptable est un non écrit, pas une formulation prudente.
Chez Parlyo, ni votre contenu ni les conversations de vos visiteurs ne servent à entraîner un modèle. C'est écrit dans les conditions, pas seulement sur la page d'accueil.
3. La liste des sous-traitants
Un agent IA s'appuie forcément sur un fournisseur de modèle, un hébergeur, parfois un service de synthèse vocale. Le RGPD vous oblige à connaître cette chaîne. Un éditeur qui refuse de la publier vous met en défaut, pas lui.
Cette liste doit être publique et datée. Chez Parlyo elle figure dans l'accord de traitement des données, accessible sans créer de compte.
4. Un DPA signé, pas un paragraphe dans les CGV
L'accord de traitement des données (DPA) est une pièce distincte, exigible par l'article 28. S'il n'existe pas, vous ne pouvez pas démontrer que vous avez encadré la sous-traitance.
5. La durée de conservation et l'effacement
Deux questions concrètes : combien de temps les conversations sont-elles gardées, et que se passe-t-il quand un visiteur demande l'effacement ? Si la réponse implique un ticket support et trois jours de délai, votre délai légal d'un mois se consomme vite.
Un formulaire dédié, qui traite la demande sans intervention humaine, est le seul dispositif qui tient à l'échelle.
6. Le consentement — et quand il n'est pas requis
Point souvent mal compris : un agent qui n'utilise ni cookie publicitaire ni traceur tiers n'a pas besoin de bandeau de consentement pour fonctionner. C'est le pistage qui déclenche l'obligation, pas la conversation.
En revanche, dès qu'un visiteur laisse ses coordonnées, vous entrez dans le traitement de données personnelles : il faut l'informer de la finalité et de la durée de conservation. Une phrase suffit, mais elle doit être là.
Ce que ça change en pratique
Ces six points ne sont pas une formalité de juriste. Ils décident de ce que vous pourrez répondre le jour où un client, un partenaire grand compte ou un délégué à la protection des données vous posera la question — et les grands comptes la posent systématiquement en phase d'achat.
Un agent IA hébergé en Europe, qui n'entraîne rien sur vos données et publie ses sous-traitants, se justifie en trois phrases. Les autres demandent un dossier.
Vous pouvez vérifier ces six points sur Parlyo avant même de créer un compte : la politique de confidentialité et l'accord de traitement des données sont publics.