Sécurité et conformité
Une sécurité bâtie par nos ingénieurs, un SOC 2 Type II en cours
Chaque agent est conçu et maintenu par notre équipe d’ingénieurs logiciels : le chiffrement des données, l’hébergement canadien, l’isolation et l’accès au moindre privilège protègent vos appels dès aujourd’hui. Drata surveille nos contrôles en continu, et la période d’observation qui mène au rapport SOC 2 Type II est en cours.
Bâtie sur mesure à partir de vos vrais appels • Branchée à vos systèmes • Ajustée chaque jour par nos ingénieurs
En bref
Bâtie autour de votre façon de travailler, pas à partir d’un gabarit
Où en est la conformité SOC 2 de VocalOps? La période d’observation vers un rapport SOC 2 Type II est en cours avec Drata, et aucun rapport n’a été émis à ce jour. Ce qui protège vos appels dès maintenant ne dépend pas de l’audit : chaque agent est conçu, intégré et maintenu par nos ingénieurs logiciels, avec chiffrement en transit, hébergement au Canada et accès au moindre privilège.
D’abord, ce qui protège vos données maintenant. Les échanges sont chiffrés en transit (TLS 1.2+), les données de service sont hébergées au Canada, les accès internes suivent le principe du moindre privilège, et chaque intégration est limitée aux lectures et aux écritures validées avec vous, champ par champ. Parce que chaque agent est bâti sur mesure, ces accès sont décidés pour votre déploiement plutôt qu’hérités d’un gabarit partagé. Ces contrôles fonctionnent aujourd’hui et ne dépendent d’aucun audit.
Ensuite, la démarche formelle. VocalOps a retenu Drata, une plateforme de surveillance continue des contrôles, et la période d’observation qui mène à un rapport SOC 2 Type II est en cours. Nous visons directement le Type II parce que c’est celui qui atteste du fonctionnement des contrôles sur une période — le niveau que les acheteurs exigent réellement.
Enfin, la transparence, qui est précisément ce qui rend le reste crédible. Le rapport sera publié dès qu’un auditeur indépendant l’aura émis, et pas une journée avant. C’est l’engagement que porte déjà notre page Sécurité.
En attendant, vous n’avez rien à attendre : les documents de sécurité existent et vous sont transmis sur demande. Un centre de confiance est en préparation; d’ici là, écrivez à admin@vocalops.ca et vous recevrez une réponse écrite et précise.
Pourquoi VocalOps
Ce qui protège vos appels sans attendre le rapport
Un rapport atteste des contrôles; il ne les crée pas. Voici ceux qu’un agent conçu par des ingénieurs apporte dès le premier appel.
Une architecture revue par des ingénieurs
Chaque agent est conçu, intégré et maintenu par notre équipe d’ingénieurs logiciels : architecture revue, isolation et contrôle des accès à chaque couche.
Chiffré, et hébergé au Canada
Les échanges sont chiffrés en transit (TLS 1.2+) et les données de service sont hébergées au Canada. Un traitement qui s’exécute ailleurs vous est indiqué.
Des intégrations limitées au nécessaire
L’agent lit et écrit seulement les champs convenus avec vous dans chaque système. Un agent bâti sur mesure n’a pas besoin d’un accès général à votre ERP.
Des contrôles suivis, une configuration maintenue
Drata suit l’état de nos contrôles en continu, et notre équipe réécoute vos appels pour corriger les règles de l’agent. Rien n’est livré puis oublié.
Résultats
Ce qui protège vos données aujourd’hui
Politiques écrites et revues
Des politiques attribuées à un responsable et revues selon un calendrier, plutôt que des pratiques implicites que personne ne peut produire sur demande.
Gestion des accès
Le principe du moindre privilège sur les systèmes internes, avec retrait des accès au départ d’une personne plutôt qu’au prochain ménage.
Surveillance continue
Drata vérifie l’état des contrôles en continu et signale une dérive, au lieu d’un échantillonnage une fois l’an à l’approche de l’audit.
Journalisation et traçabilité
Conserver ce qu’il faut pour enquêter sur un incident et démontrer ce qui s’est réellement produit, plutôt que le reconstituer de mémoire.
Gestion des fournisseurs
Recenser les sous-traitants qui touchent aux données, documenter ce que chacun traite et revoir la liste quand elle change.
Réponse aux incidents
Un processus écrit : qui est averti, dans quel délai, ce qui est communiqué au client et qui décide.
Guide d’achat
Comment lire la conformité d’un fournisseur d’IA vocale
La plupart des acheteurs demandent « êtes-vous SOC 2? » et s’arrêtent à la réponse. C’est la question la moins informative de la liste : elle se répond par oui, et un oui ne dit ni sur quoi, ni pendant combien de temps, ni avec quelles exceptions. Voici ce qu’il faut demander ensuite — à n’importe quel fournisseur, nous compris.
Un badge sur un site n’est pas un rapport
Le seul livrable qui compte est le rapport de l’auditeur, remis sous entente de confidentialité. Un logo en pied de page, une page « trust » sans document téléchargeable ou une capture d’écran d’un tableau de bord de conformité ne sont pas des preuves. Demandez le rapport; s’il n’existe pas, demandez qu’on vous le dise clairement plutôt que de deviner.
Type I et Type II ne disent pas la même chose
Un Type I décrit la conception des contrôles à une date donnée : ils existaient sur papier ce jour-là. Un Type II teste leur fonctionnement sur une période, généralement de trois à douze mois. Un fournisseur qui annonce « SOC 2 » sans préciser le type annonce souvent un Type I, ce qui est un point de départ légitime mais ne démontre pas la constance.
Demandez la portée avant le résultat
Seul le critère de sécurité est obligatoire; la disponibilité, la confidentialité, l’intégrité du traitement et la vie privée sont facultatifs. Un rapport peut donc être parfaitement propre et ne rien dire sur la confidentialité de vos données. Demandez quels critères sont couverts et quels systèmes sont dans la portée — un rapport qui exclut le produit que vous achetez existe plus souvent qu’on ne le croit.
Lisez les exceptions, pas la conclusion
Un Type II énumère les tests effectués et les écarts constatés. C’est la partie utile, et c’est celle que personne ne lit. Un rapport comportant quelques exceptions documentées et corrigées est souvent plus rassurant qu’un rapport parfait dont la portée a été réduite jusqu’à ne plus rien tester.
Vérifiez les sous-services exclus
Un fournisseur peut exclure de sa portée les services sur lesquels il s’appuie — l’hébergeur, le fournisseur de téléphonie, le modèle de langage. On parle alors de sous-services exclus, et il vous revient d’obtenir les rapports correspondants et de vérifier les contrôles que vous devez appliquer de votre côté. Un rapport propre reposant sur une pile entièrement exclue couvre peu de chose.
Regardez la date de fin, puis demandez une lettre de transition
Un rapport Type II couvre une période terminée. Entre sa date de fin et aujourd’hui, rien n’est attesté. La lettre de transition du fournisseur comble cet écart en confirmant qu’aucun changement important n’est survenu. Un rapport de dix-huit mois sans lettre de transition est un document d’archive.
La conformité du fournisseur n’est pas la vôtre
SOC 2 est un référentiel de contrôles américain, pas une loi sur la protection des renseignements personnels. Il ne remplace ni la Loi 25 au Québec, ni la LPRPDE au fédéral, et il ne vous dispense d’aucun avis, consentement ou registre. Les deux sujets se traitent séparément, et un fournisseur qui les confond dans son argumentaire vous en apprend beaucoup.
Ce que vous pouvez évaluer sans aucun rapport
Les flux de données, les durées de conservation, la liste des sous-traitants, le modèle d’accès, le processus d’incident et les refus configurés se vérifient tout de suite, par écrit. Un fournisseur sans rapport qui répond précisément à ces six points vous protège mieux qu’un fournisseur avec un badge qui répond de façon vague. Jugez sur les réponses, pas sur les emblèmes.
Questions à poser à tout fournisseur, nous compris
- Le rapport est-il un Type I ou un Type II, et sur quelle période porte-t-il?
- Quels critères des services de confiance sont couverts, en plus de la sécurité?
- Quels systèmes sont dans la portée, et lesquels en sont explicitement exclus?
- Quelles exceptions le rapport contient-il, et qu’est-ce qui a été corrigé depuis?
- Quels sous-services sont exclus, et quels contrôles nous reviennent en conséquence?
- Quelle est la date de fin du rapport, et existe-t-il une lettre de transition?
- Quel cabinet a réalisé l’audit?
- Que se passe-t-il si un contrôle dérive entre deux périodes de rapport?
Mise en œuvre
Les étapes d’un rapport Type II
- 1
Cadrer
Choisir les critères des services de confiance applicables et délimiter les systèmes visés. Un rapport sans portée connue n’apprend rien à personne.
- 2
Outiller
Brancher Drata sur nos systèmes pour suivre l’état des contrôles en continu et rassembler les preuves au fur et à mesure.
- 3
Observer
Un Type II porte sur le fonctionnement des contrôles pendant une période, pas sur une photo à une date. C’est l’étape en cours.
- 4
Faire auditer
Un cabinet indépendant examine les preuves et émet le rapport. Tant qu’il n’est pas émis, il n’y a pas de rapport — et nous le dirons ainsi.
Scénarios
Ce que vous pouvez demander dès aujourd’hui
Description des flux de données
Ce qui est capté pendant un appel, où cela transite, où cela se dépose et quels systèmes y touchent.
Conservation et suppression
Les durées par type de donnée — audio, transcription, résumé, fiche client — et la façon dont la suppression est exécutée.
Liste des sous-traitants
Les fournisseurs qui interviennent dans le traitement applicable à votre déploiement, et ce que chacun reçoit.
Entente de traitement des données
Les engagements contractuels, les responsabilités partagées et les obligations de notification.
Processus d’incident
Qui contacter, dans quel délai vous êtes averti, et ce que contient l’avis.
FAQ
Questions sur notre conformité
VocalOps est-il certifié SOC 2?
Non. Le vocabulaire exact est d’ailleurs « rapport » et non « certification » : SOC 2 produit le rapport d’un auditeur indépendant, pas un certificat. Nous avons retenu Drata et la période d’observation vers un rapport Type II est en cours. Aucun rapport n’a été émis à ce jour.
Qu’est-ce qui distingue l’approche de sécurité de VocalOps?
Chaque agent est conçu, intégré et maintenu par notre équipe d’ingénieurs logiciels plutôt que configuré à partir d’un gabarit : architecture revue, chiffrement, isolation et contrôle des accès à chaque couche. Les intégrations sont limitées aux lectures et écritures convenues avec vous, champ par champ, et la période d’observation SOC 2 Type II suit son cours avec Drata.
Quelle est la différence entre Type I et Type II?
Un Type I atteste de la conception des contrôles à une date précise. Un Type II teste leur fonctionnement sur une période, souvent de trois à douze mois. C’est le Type II que nous visons, parce que c’est celui qui démontre la constance plutôt qu’une photo favorable.
Quand le rapport sera-t-il disponible?
Nous ne publions pas de date. Une date manquée en dit plus long qu’une date tenue, et le calendrier dépend en partie du cabinet retenu. Écrivez-nous à admin@vocalops.ca pour connaître l’état d’avancement au moment où vous évaluez; la réponse sera précise et écrite.
Qu’est-ce que Drata, et est-ce une certification?
Drata est une plateforme de surveillance continue des contrôles : elle vérifie en permanence l’état de nos contrôles et rassemble les preuves pour l’audit. Ce n’est pas un audit et ce n’est pas une certification. Aucun fournisseur ne devrait présenter le logo de son outil de conformité comme un résultat.
Pouvons-nous obtenir des documents de sécurité avant le rapport?
Oui. La description des flux de données, les durées de conservation, la liste des sous-traitants applicables, l’entente de traitement et le processus d’incident sont disponibles dès maintenant sur demande à admin@vocalops.ca.
SOC 2 couvre-t-il nos obligations en vertu de la Loi 25?
Non. SOC 2 est un référentiel de contrôles, pas une loi sur la protection des renseignements personnels. Vos obligations québécoises — avis, responsable désigné, durées de conservation, registre des incidents — restent entièrement les vôtres. Notre page sur la Loi 25 détaille celles qui touchent une ligne téléphonique.
Où les données sont-elles hébergées?
VocalOps se positionne sur l’hébergement canadien. La résidence exacte de chaque composant et de chaque intégration doit être confirmée dans la documentation de votre déploiement : certains traitements, notamment ceux des modèles vocaux, peuvent s’exécuter ailleurs et cela vous est indiqué plutôt que passé sous silence.
Signez-vous une entente de traitement des données?
Oui, et son contenu est discuté avant la signature du contrat plutôt qu’après. Envoyez-nous la vôtre si votre organisation impose un gabarit; nous indiquerons ce que nous pouvons engager et ce que nous ne pouvons pas.
Aurez-vous un centre de confiance?
Oui, il est en préparation et regroupera les documents et l’état des contrôles en un seul endroit. D’ici sa publication, tout passe par admin@vocalops.ca.
À explorer
Pages connexes
sécurité agent téléphonique IA
Agent téléphonique IA conçu par de vrais ingénieurs logiciels : chiffrement, hébergement au Canada, accès convenus champ par champ, SOC 2 Type II en cours.
Lire la page →conformité Loi 25
Ce que la Loi 25 exige d’une ligne répondue par une IA, ce qu’un agent bâti sur mesure configure pour vous, et ce qu’aucun fournisseur ne fait à votre place.
Lire la page →intégration agent téléphonique IA
Votre agent téléphonique IA lit et écrit dans votre ERP, CRM ou logiciel métier, même installé sur site. Ou nous recréons vos outils dans le portail VocalOps.
Lire la page →agent téléphonique IA service client
Agent téléphonique IA de service client bâti sur vos vrais appels, branché à votre CRM ou ERP et ajusté chaque jour; les exceptions vont à votre équipe.
Lire la page →Envoyez-nous votre questionnaire de sécurité
Décrivez les données en jeu et les obligations de votre organisation. Nous répondons avec ce qui existe aujourd’hui, et nous disons clairement ce qui n’existe pas encore.