Cette question prend souvent le traducteur au dépourvu : « ne vous inquiétez pas » ne suffit pas, et résumer le contrat de sous-traitance prend du temps. La bonne nouvelle : si l'outil est bien choisi, la réponse tient en trente secondes. Ci-dessous — une réponse courte, des réponses aux questions de suivi fréquentes et ce qu'il vaut mieux ne pas dire.
La réponse courte — pour une conversation ou un e-mail
« Votre document est traité dans l'Union européenne et chiffré avec une clé distincte. Il n'est pas utilisé pour entraîner l'intelligence artificielle et il est supprimé définitivement au bout de 72 heures ou manuellement à tout moment. J'ai conclu avec le service que j'utilise un contrat de sous-traitance conforme au RGPD. »
Cela suffit dans la plupart des cas. Si le client veut plus de détails, passez aux cinq points.
Si le client veut plus de détails
Cinq points qui couvrent presque toutes les questions :
- Où le document est traité. Dans l'UE ; il n'est pas transféré en dehors.
- Qui le voit. Le document n'est accessible que dans le compte du traducteur. Le service ne l'utilise à rien d'autre qu'à la traduction.
- L'IA est-elle entraînée dessus. Non. La traduction est réalisée sur une infrastructure qui ne conserve pas les requêtes et les réponses et ne les transmet pas au développeur du modèle.
- Combien de temps il est conservé. L'original et la traduction sont supprimés 72 heures après la remise ou manuellement à tout moment. La suppression est cryptographique : la clé du document est détruite avec le fichier, et il devient illisible — même à partir des sauvegardes.
- Qui en répond. Un contrat de sous-traitance au sens de l'art. 28 du RGPD est conclu avec le service, et toutes les sociétés qui participent au traitement sont listées publiquement.
Questions de suivi fréquentes — et que répondre
« Mais où exactement — dans quel pays ? »
Dans l'UE. Les sociétés qui participent au traitement et leur localisation figurent dans la liste publique des sous-traitants ultérieurs. Le service communique sur demande le lieu de traitement actuel précis au sein de l'UE/EEE.
« Et si le service est piraté ? »
Un fichier, une base de données ou une sauvegarde volés ne peuvent pas être lus. Chaque document est chiffré avec sa propre clé, et les clés des documents sont à leur tour chiffrées par une clé maîtresse. La clé maîtresse n'est pas conservée sur les serveurs du service, mais dans un système distinct de gestion des clés dans l'UE, et ne le quitte jamais ; les sauvegardes ne contiennent aucune clé de document. Sans la clé maîtresse, les données volées ne sont qu'une suite d'octets aléatoires. On ne peut déchiffrer un document qu'en passant par le système de gestion des clés lui-même — et chaque accès de ce type est consigné dans un journal que le service ne peut pas modifier. Un accès inhabituel déclenche aussitôt une alerte.
« Pouvez-vous supprimer mon document tout de suite ? »
Oui. Le client a le droit d'obtenir l'effacement de ses données (art. 17 RGPD), et cela peut se faire tout de suite, sans attendre le délai automatique. Supprimez le document dans votre compte et informez le client que c'est fait.
« Que conservez-vous exactement à mon sujet ? »
Le client a le droit de le savoir (art. 15 RGPD). La réponse est généralement courte : le document — jusqu'à sa suppression, et ensuite uniquement ce que vous devez vous-même conserver : par exemple une facture ou une inscription au registre des traductions, si la loi de votre pays l'exige.
« L'IA ne va-t-elle pas ensuite montrer mon passeport à quelqu'un d'autre ? »
Non. Le modèle n'est pas entraîné sur vos documents, et l'infrastructure sur laquelle il fonctionne ne conserve ni la requête ni la réponse. Le document ne devient pas une partie du modèle et ne peut pas « ressurgir » chez un autre utilisateur.
Quels documents garder sous la main
- Le contrat de sous-traitance avec votre service — confirme que le sous-traitant est lié par les obligations de l'art. 28 du RGPD.
- La liste des sous-traitants ultérieurs — montre qui d’autre participe au traitement, et où.
- Votre registre des traitements (art. 30 RGPD) — si un client ou un contrôleur demande comment vous gérez les données.
Les liens vers les deux premiers documents peuvent simplement être transmis au client. Le registre n'a pas à lui être envoyé : c'est votre document interne, que vous présentez à l'autorité de contrôle sur demande.
Un paragraphe prêt pour un e-mail ou un devis
Beaucoup de clients posent la question à l'avance — il est plus simple de répondre avant. Le paragraphe peut figurer dans le devis, dans la signature de vos e-mails ou sur votre site :
« Je traduis vos documents à l'aide d'un service qui les traite dans l'Union européenne. Chaque document est chiffré avec une clé distincte, n'est pas utilisé pour entraîner l'intelligence artificielle et est supprimé au plus tard 72 heures après la remise de la traduction — ou plus tôt, à votre demande. Un contrat de sous-traitance au sens de l'art. 28 du RGPD est conclu avec le service. »
Si vous êtes responsable du traitement (le client est venu vous voir directement), ce paragraphe fait aussi partie des informations que vous devez fournir au client au titre de l'art. 13 du RGPD : qui traite ses données et avec quelle aide, et combien de temps elles sont conservées.
Ce qu'il vaut mieux ne pas dire
- « C'est un service standard, tout le monde fait comme ça » — le client s'intéresse aux conditions concrètes, pas à la popularité.
- « Rien n'est conservé » — si le document est conservé ne serait-ce que quelques heures, c'est faux. Mieux vaut indiquer honnêtement le délai.
- « Impossible à pirater » — personne ne peut promettre cela. Plus honnête et plus convaincant : « le document est chiffré, la clé est conservée à part, chaque accès est consigné ».
- « Ce n'est pas ma responsabilité » — selon le RGPD, c'est à vous de choisir un sous-traitant fiable (art. 28(1) RGPD). Plus convaincant : « j'utilise un service qui le garantit par contrat ».
Quand le client vous a demandé de ne pas utiliser de services en ligne
Cela arrive — surtout avec des documents médicaux ou judiciaires. Vous pouvez accepter, ou expliquer pourquoi votre outil est sûr en montrant le contrat et la liste des sous-traitants ultérieurs. La décision appartient au client : ce sont ses données. S'il insiste, notez-le dans la commande pour éviter tout désaccord ultérieur.
Si vous travaillez avec Lingverra
La réponse courte ci-dessus correspond exactement au fonctionnement de Lingverra : traitement dans l'UE, une clé distincte pour chaque document, pas d'entraînement de modèles, suppression cryptographique au bout de 72 heures ou manuellement à tout moment. Le contrat de sous-traitance s'applique automatiquement à chaque compte, la liste des sous-traitants ultérieurs est publiée. En détail et avec les références au RGPD — dans l'article « Où va le document de votre client quand vous traduisez avec Lingverra ». Qui de vous est responsable du traitement et qui est sous-traitant, et quel registre il vous faut — dans l'article « Traducteur assermenté et RGPD : êtes-vous responsable du traitement ou sous-traitant ? ».
En bref
- Trente secondes : UE, clé distincte, pas d'entraînement de l'IA, suppression au bout de 72 heures ou manuellement à tout moment, contrat conforme au RGPD.
- Répondez concrètement aux questions de suivi : où, qui le voit, comment supprimer, ce qui se passe en cas d'incident.
- Ne promettez pas « rien n'est conservé » ni « impossible à pirater » — indiquez les délais et les mesures.
- Gardez sous la main le contrat de sous-traitance et la liste des sous-traitants ultérieurs — vous pouvez les transmettre au client.
Contrat de sous-traitance (art. 28 RGPD)
Liste des sous-traitants ultérieurs
À lire aussi : Où va le document de votre client quand vous traduisez avec Lingverra