Qui est responsable du traitement ?

Le RGPD sépare deux rôles, et le critère est simple : celui qui décide des finalités et des moyens du traitement est responsable du traitement. Celui qui traite pour son compte, selon ses instructions, est sous-traitant.

Ce n'est pas une question de taille ni de compétence technique. C'est une question de décision.

Dans un service de permanence téléphonique, la répartition habituelle est celle-ci : vous êtes responsable du traitement, puisque vous décidez que vos appels professionnels sont traités et pourquoi. Nous sommes sous-traitant, puisque nous le faisons pour votre compte.

Les demandes vous sont adressées. Un appelant qui veut accéder à ses données ou en demander l'effacement s'adresse à vous. Nous exécutons pour vous.

L'information des personnes vous incombe. C'est votre politique de confidentialité qui doit couvrir le traitement des appels entrants — l'annonce du caractère automatisé en début d'appel étant, elle, une obligation distincte que nous assurons.

Le registre des traitements est le vôtre. Le traitement des appels entrants doit y figurer, avec sa finalité et sa durée.

Rien de tout cela n'est lourd. Mais rien de tout cela ne se fait tout seul, et un prestataire qui laisse croire le contraire vous met en difficulté.

Quand un sous-traitant traite des données pour un responsable, la relation doit être encadrée par un contrat qui précise l'objet, la durée, la nature du traitement, et les obligations de chacun.

C'est un document à lire, pas à supposer. Les modalités qui nous lient figurent dans le contrat qui accompagne votre proposition ; nous ne publions pas de version type ici, parce qu'une version approximative sur une page publique serait pire qu'une absence.

Ce que nous pouvons dire publiquement, ce sont les faits vérifiables : les appels de nos clients sont traités et les données hébergées dans l'Union européenne, aucun enregistrement audio n'est conservé, et l'isolation par client est active sur 37 tables sur 37 au 28 août 2026.