Où mes fichiers audio sont-ils stockés pendant la transcription ?

Depuis l'arrêt Schrems II de la CJUE (2020) et le débat qui se poursuit autour du EU-US Data Privacy Framework de 2023, « où vivent mes données ? \" est devenue LA question RGPD – et de nombreux prestataires de transcription y répondent avec moins de transparence qu'ils ne le devraient.

Les variantes habituelles :

1. API cloud américaine (OpenAI, AssemblyAI, Deepgram, Google Cloud Speech). L'audio est traité dans AWS, GCP ou Azure aux États-Unis. Même lorsque le prestataire propose des régions UE, le US Cloud Act et la FISA 702 permettent à un service de renseignement américain d'exiger un accès – exactement ce que la CJUE a rejeté dans Schrems II. Le EU-US DPF de 2023 comble en partie la faille, mais reste juridiquement attaquable (la procédure Schrems III est en cours).

2. Région cloud UE d'un prestataire américain (AWS Francfort, Azure West Europe). Les données se trouvent physiquement dans l'UE, mais le prestataire est un groupe américain. Mieux au regard du RGPD, mais toujours dans une zone grise à cause du Cloud Act.

3. Cloud européen (OVH, Hetzner, IONOS). Prestataire et serveurs dans l'UE. Clairement conforme au RGPD, aucun risque lié au Cloud Act.

4. Serveurs propres du prestataire de transcription. Le prestataire exploite sa propre infrastructure dans des centres de données détenus ou loués – généralement dans l'UE. Aucune sous-traitance ultérieure auprès des hyperscalers. Souveraineté maximale.

DeepScript relève de la catégorie 4 : tout le traitement de transcription tourne sur son propre matériel, dans des centres de données à Falkenstein et à Nürnberg (Hetzner). Stripe (paiement) et notre service d'envoi d'e-mails sont les seuls sous-traitants ultérieurs – aucun des deux ne voit l'audio ni les transcriptions.

Ce que vous devriez concrètement demander au prestataire : - Quels centres de données sont utilisés pour le traitement audio ? (adresse, pays) - Qui exploite ces centres de données ? (sous-traitants ultérieurs) - Quelle est l'entité juridique du prestataire (siège, structure du groupe) ? - Existe-t-il des filiales américaines susceptibles d'avoir un accès ? - Combien de temps l'audio et la transcription sont-ils conservés ? - Le stockage est-il chiffré ? Avec quelle gestion des clés ?

Si les réponses restent floues ou se résument à « selon la charge \", c'est un signal d'alarme – la conformité au RGPD exige des réponses traçables et documentées.