Sécurité et conformité
Une sécurité déjà en place, un rapport SOC 2 Type II en cours
Le chiffrement des données, l’hébergement canadien et l’accès au moindre privilège protègent vos appels dès aujourd’hui. Drata surveille nos contrôles en continu, et la période d’observation qui mène au rapport SOC 2 Type II est en cours.
Français canadien + anglais • Transfert humain configurable • Numéro existant compatible selon votre fournisseur
En bref
Une solution définie par le parcours, pas seulement par la voix
« Êtes-vous SOC 2? » revient dans presque toutes les évaluations sérieuses. Voici une réponse complète plutôt qu’un logo en pied de page.
D’abord, ce qui protège vos données maintenant. Les échanges sont chiffrés en transit, les données de service sont hébergées au Canada, les accès internes suivent le principe du moindre privilège, et chaque intégration est limitée aux lectures et aux écritures validées avec vous. Ces contrôles fonctionnent aujourd’hui et ne dépendent d’aucun audit.
Ensuite, la démarche formelle. VocalOps a retenu Drata, une plateforme de surveillance continue des contrôles, et la période d’observation qui mène à un rapport SOC 2 Type II est en cours. Nous visons directement le Type II parce que c’est celui qui atteste du fonctionnement des contrôles sur une période — le niveau que les acheteurs exigent réellement.
Enfin, la transparence, qui est précisément ce qui rend le reste crédible. Le rapport sera publié dès qu’un auditeur indépendant l’aura émis, et pas une journée avant. C’est l’engagement que porte déjà notre page Sécurité.
En attendant, vous n’avez rien à attendre : les documents de sécurité existent et vous sont transmis sur demande. Un centre de confiance est en préparation; d’ici là, écrivez à admin@vocalops.ca et vous recevrez une réponse écrite et précise.
Résultats
Ce qui protège vos données aujourd’hui
Politiques écrites et revues
Des politiques attribuées à un responsable et revues selon un calendrier, plutôt que des pratiques implicites que personne ne peut produire sur demande.
Gestion des accès
Le principe du moindre privilège sur les systèmes internes, avec retrait des accès au départ d’une personne plutôt qu’au prochain ménage.
Surveillance continue
Drata vérifie l’état des contrôles en continu et signale une dérive, au lieu d’un échantillonnage une fois l’an à l’approche de l’audit.
Journalisation et traçabilité
Conserver ce qu’il faut pour enquêter sur un incident et démontrer ce qui s’est réellement produit, plutôt que le reconstituer de mémoire.
Gestion des fournisseurs
Recenser les sous-traitants qui touchent aux données, documenter ce que chacun traite et revoir la liste quand elle change.
Réponse aux incidents
Un processus écrit : qui est averti, dans quel délai, ce qui est communiqué au client et qui décide.
Guide d’achat
Comment lire la conformité d’un fournisseur d’IA vocale
La plupart des acheteurs demandent « êtes-vous SOC 2? » et s’arrêtent à la réponse. C’est la question la moins informative de la liste : elle se répond par oui, et un oui ne dit ni sur quoi, ni pendant combien de temps, ni avec quelles exceptions. Voici ce qu’il faut demander ensuite — à n’importe quel fournisseur, nous compris.
Un badge sur un site n’est pas un rapport
Le seul livrable qui compte est le rapport de l’auditeur, remis sous entente de confidentialité. Un logo en pied de page, une page « trust » sans document téléchargeable ou une capture d’écran d’un tableau de bord de conformité ne sont pas des preuves. Demandez le rapport; s’il n’existe pas, demandez qu’on vous le dise clairement plutôt que de deviner.
Type I et Type II ne disent pas la même chose
Un Type I décrit la conception des contrôles à une date donnée : ils existaient sur papier ce jour-là. Un Type II teste leur fonctionnement sur une période, généralement de trois à douze mois. Un fournisseur qui annonce « SOC 2 » sans préciser le type annonce souvent un Type I, ce qui est un point de départ légitime mais ne démontre pas la constance.
Demandez la portée avant le résultat
Seul le critère de sécurité est obligatoire; la disponibilité, la confidentialité, l’intégrité du traitement et la vie privée sont facultatifs. Un rapport peut donc être parfaitement propre et ne rien dire sur la confidentialité de vos données. Demandez quels critères sont couverts et quels systèmes sont dans la portée — un rapport qui exclut le produit que vous achetez existe plus souvent qu’on ne le croit.
Lisez les exceptions, pas la conclusion
Un Type II énumère les tests effectués et les écarts constatés. C’est la partie utile, et c’est celle que personne ne lit. Un rapport comportant quelques exceptions documentées et corrigées est souvent plus rassurant qu’un rapport parfait dont la portée a été réduite jusqu’à ne plus rien tester.
Vérifiez les sous-services exclus
Un fournisseur peut exclure de sa portée les services sur lesquels il s’appuie — l’hébergeur, le fournisseur de téléphonie, le modèle de langage. On parle alors de sous-services exclus, et il vous revient d’obtenir les rapports correspondants et de vérifier les contrôles que vous devez appliquer de votre côté. Un rapport propre reposant sur une pile entièrement exclue couvre peu de chose.
Regardez la date de fin, puis demandez une lettre de transition
Un rapport Type II couvre une période terminée. Entre sa date de fin et aujourd’hui, rien n’est attesté. La lettre de transition du fournisseur comble cet écart en confirmant qu’aucun changement important n’est survenu. Un rapport de dix-huit mois sans lettre de transition est un document d’archive.
La conformité du fournisseur n’est pas la vôtre
SOC 2 est un référentiel de contrôles américain, pas une loi sur la protection des renseignements personnels. Il ne remplace ni la Loi 25 au Québec, ni la LPRPDE au fédéral, et il ne vous dispense d’aucun avis, consentement ou registre. Les deux sujets se traitent séparément, et un fournisseur qui les confond dans son argumentaire vous en apprend beaucoup.
Ce que vous pouvez évaluer sans aucun rapport
Les flux de données, les durées de conservation, la liste des sous-traitants, le modèle d’accès, le processus d’incident et les refus configurés se vérifient tout de suite, par écrit. Un fournisseur sans rapport qui répond précisément à ces six points vous protège mieux qu’un fournisseur avec un badge qui répond de façon vague. Jugez sur les réponses, pas sur les emblèmes.
Questions à poser à tout fournisseur, nous compris
- Le rapport est-il un Type I ou un Type II, et sur quelle période porte-t-il?
- Quels critères des services de confiance sont couverts, en plus de la sécurité?
- Quels systèmes sont dans la portée, et lesquels en sont explicitement exclus?
- Quelles exceptions le rapport contient-il, et qu’est-ce qui a été corrigé depuis?
- Quels sous-services sont exclus, et quels contrôles nous reviennent en conséquence?
- Quelle est la date de fin du rapport, et existe-t-il une lettre de transition?
- Quel cabinet a réalisé l’audit?
- Que se passe-t-il si un contrôle dérive entre deux périodes de rapport?
Mise en œuvre
Les étapes d’un rapport Type II
- 1
Cadrer
Choisir les critères des services de confiance applicables et délimiter les systèmes visés. Un rapport sans portée connue n’apprend rien à personne.
- 2
Outiller
Brancher Drata sur nos systèmes pour suivre l’état des contrôles en continu et rassembler les preuves au fur et à mesure.
- 3
Observer
Un Type II porte sur le fonctionnement des contrôles pendant une période, pas sur une photo à une date. C’est l’étape en cours.
- 4
Faire auditer
Un cabinet indépendant examine les preuves et émet le rapport. Tant qu’il n’est pas émis, il n’y a pas de rapport — et nous le dirons ainsi.
Scénarios
Ce que vous pouvez demander dès aujourd’hui
Description des flux de données
Ce qui est capté pendant un appel, où cela transite, où cela se dépose et quels systèmes y touchent.
Conservation et suppression
Les durées par type de donnée — audio, transcription, résumé, fiche client — et la façon dont la suppression est exécutée.
Liste des sous-traitants
Les fournisseurs qui interviennent dans le traitement applicable à votre déploiement, et ce que chacun reçoit.
Entente de traitement des données
Les engagements contractuels, les responsabilités partagées et les obligations de notification.
Processus d’incident
Qui contacter, dans quel délai vous êtes averti, et ce que contient l’avis.
FAQ
Questions sur notre conformité
VocalOps est-il certifié SOC 2?
Non. Le vocabulaire exact est d’ailleurs « rapport » et non « certification » : SOC 2 produit le rapport d’un auditeur indépendant, pas un certificat. Nous avons retenu Drata et la période d’observation vers un rapport Type II est en cours. Aucun rapport n’a été émis à ce jour.
Quelle est la différence entre Type I et Type II?
Un Type I atteste de la conception des contrôles à une date précise. Un Type II teste leur fonctionnement sur une période, souvent de trois à douze mois. C’est le Type II que nous visons, parce que c’est celui qui démontre la constance plutôt qu’une photo favorable.
Quand le rapport sera-t-il disponible?
Nous ne publions pas de date. Une date manquée en dit plus long qu’une date tenue, et le calendrier dépend en partie du cabinet retenu. Écrivez-nous à admin@vocalops.ca pour connaître l’état d’avancement au moment où vous évaluez; la réponse sera précise et écrite.
Qu’est-ce que Drata, et est-ce une certification?
Drata est une plateforme de surveillance continue des contrôles : elle vérifie en permanence l’état de nos contrôles et rassemble les preuves pour l’audit. Ce n’est pas un audit et ce n’est pas une certification. Aucun fournisseur ne devrait présenter le logo de son outil de conformité comme un résultat.
Pouvons-nous obtenir des documents de sécurité avant le rapport?
Oui. La description des flux de données, les durées de conservation, la liste des sous-traitants applicables, l’entente de traitement et le processus d’incident sont disponibles dès maintenant sur demande à admin@vocalops.ca.
SOC 2 couvre-t-il nos obligations en vertu de la Loi 25?
Non. SOC 2 est un référentiel de contrôles, pas une loi sur la protection des renseignements personnels. Vos obligations québécoises — avis, responsable désigné, durées de conservation, registre des incidents — restent entièrement les vôtres. Notre page sur la Loi 25 détaille celles qui touchent une ligne téléphonique.
Où les données sont-elles hébergées?
VocalOps se positionne sur l’hébergement canadien. La résidence exacte de chaque composant et de chaque intégration doit être confirmée dans la documentation de votre déploiement : certains traitements, notamment ceux des modèles vocaux, peuvent s’exécuter ailleurs et cela vous est indiqué plutôt que passé sous silence.
Signez-vous une entente de traitement des données?
Oui, et son contenu est discuté avant la signature du contrat plutôt qu’après. Envoyez-nous la vôtre si votre organisation impose un gabarit; nous indiquerons ce que nous pouvons engager et ce que nous ne pouvons pas.
Aurez-vous un centre de confiance?
Oui, il est en préparation et regroupera les documents et l’état des contrôles en un seul endroit. D’ici sa publication, tout passe par admin@vocalops.ca.
À explorer
Pages connexes
sécurité agent téléphonique IA
Découvrez l’approche VocalOps pour la confidentialité, l’accès, la conservation, les permissions, le transfert humain et l’évaluation de sécurité.
Lire la page →conformité Loi 25
Ce que la Loi 25 exige d’une entreprise dont les appels sont reçus, enregistrés ou transcrits par un agent vocal — et ce qu’aucun fournisseur ne fait à votre place.
Lire la page →intégration agent téléphonique IA
Découvrez comment cadrer une intégration d’agent téléphonique avec un CRM, ERP, calendrier ou système de répartition sans supposer sa compatibilité.
Lire la page →agent téléphonique IA service client
Automatisez les demandes téléphoniques répétitives et transférez les exceptions avec un agent IA encadré par vos politiques et permissions.
Lire la page →Envoyez-nous votre questionnaire de sécurité
Décrivez les données en jeu et les obligations de votre organisation. Nous répondons avec ce qui existe aujourd’hui, et nous disons clairement ce qui n’existe pas encore.