Roleplay IA et RGPD : hébergement des données, sous-traitants et conservation
Par David Legrange · Mis à jour le · Méthodologie · Transparence Analyse éditoriale et documentaire. Les notes Guide RH ne sont pas des avis clients.
Une session de roleplay IA peut contenir la voix ou les écrits d'un salarié, ainsi que des informations sur des collègues ou des clients. Avant le déploiement, documentez la finalité, la base légale, les données collectées, les destinataires, les sous-traitants, les transferts hors Espace économique européen et les durées de conservation. Le tableau compare les informations publiques ou déclarées par les éditeurs ; il ne constitue pas un audit RGPD indépendant.
Comment nous notons ce critère
Localisation des données, sous-traitants IA, DPA disponible, durée de conservation des enregistrements. 5 = hébergement UE documenté, DPA public, modèles IA sans réutilisation des données ; 0 = information indisponible. Poids dans la note globale : 12 sur 100. Voir toute la grille.
Solution par solution
Sur petit écran, faites défiler le tableau horizontalement. Le cadre peut aussi recevoir le focus au clavier.
| Solution | Note Guide RH /5 | Éléments pris en compte | Source |
|---|---|---|---|
| Coachello | 5 | L’éditeur déclare Azure Paris, ISO 27001:2022 et absence d’entraînement sur les données client, mais mentionne des sous-traitants possibles hors EEE. DPA, transferts, accès et rétention à vérifier. | lien |
| Face Up | 4.5 | La politique de confidentialité déclare un hébergement dans l’Union européenne, un chiffrement AES-256 au repos et TLS 1.2+ en transit, aucune utilisation des contenus pour entraîner les modèles et 30 jours de conservation par défaut pour les enregistrements activés. Guide RH n’a pas audité le DPA, les sous-traitants ni la configuration contractuelle. | lien |
| Reality Academy | 3 | Reality Academy annonce un hébergement chez Scaleway à Paris, le chiffrement en transit et au repos, des sauvegardes chiffrées et la suppression ou l’anonymisation sur demande. Les éléments contractuels restent à vérifier. | lien |
| Practicio | 3 | L’éditeur déclare AWS Paris/Azure France Central et aucune réutilisation pour entraîner les modèles. Demander le PAS, le PIA et les sous-traitants ; Guide RH ne les a pas audités. | lien |
| Super Sales | 4 | La politique de confidentialité liste Scaleway en France, Firebase en UE et OpenAI aux États-Unis, avec SCC et/ou Data Privacy Framework. Elle prévoit trois ans après la dernière connexion pour les données de compte et la durée du compte actif pour les simulations. Ces éléments doivent être rapprochés de l’affirmation commerciale selon laquelle les données ne quittent jamais l’UE ; Guide RH ne les a pas audités. | lien |
| Ringover Pitch Room | 3 | Le DPA liste Google Cloud en UE, Azure en France par défaut et OpenAI LLC aux États-Unis avec clauses contractuelles types. Demander les sous-traitants et localisations applicables à Pitch Room ; Guide RH n’a pas audité ces mesures. | lien |
| Uptale | 3 | Uptale déclare utiliser Azure OpenAI, stocker les données exclusivement en Europe et exclure leur utilisation pour l’entraînement des modèles. Demander les régions, sous-traitants, durées de conservation et garanties contractuelles applicables au projet. | lien |
| Edflex | 3 | Edflex déclare un hébergement européen sur AWS, une pseudonymisation avant traitement et l’absence d’entraînement fournisseur. Demander DPA, sous-traitants et durées de conservation ; Guide RH n’a pas audité ces déclarations. | lien |
| Yoodli | 2 | Le Trust Center annonce RGPD et SOC 2 Type 2, liste Google Cloud, Azure et AWS avec des régions États-Unis et Europe, et indique des procédures de conservation. La politique de confidentialité prévoit des transferts hors EEE. Demander les régions, durées, sous-traitants et garanties contractuelles du projet. | lien |
| MeltingSpot (Mizou) | 3 | L’éditeur déclare un hébergement européen, un chiffrement au repos et en transit, une conformité RGPD et un DPA disponible. Demander les régions, sous-traitants, transferts et durées applicables au Roleplay. | lien |
| Exec | 2 | L’éditeur déclare chiffrement au repos et TLS 1.2+, isolation logique, rétention configurable et SOC 2 Type II/SOC 3. Hébergement, sous-traitants, transferts et garanties RGPD pour la France ne sont pas détaillés sur cette page. | lien |
| Mursion | 2 | La notice du 1er mars 2026 annonce des services hébergés aux États-Unis et des transferts possibles ; elle distingue le contrat Enterprise/DPA de la notice générale. Vérifier les garanties applicables au client français. | lien |
| Hyperbound | 2 | La politique de confidentialité distingue les rôles de responsable et sous-traitant, renvoie au DPA et déclare des SCC et le Data Privacy Framework pour certains transferts. Le Trust Center affiche SOC 2 Type II, ISO 27001:2022 et des sous-traitants d’infrastructure aux États-Unis. L’option de résidence UE ne suffit pas à établir le lieu de tous les traitements : demander la cartographie, le DPA et les garanties applicables. | lien |
| Second Nature | 2 | La FAQ déclare un hébergement GCP aux Pays-Bas, du chiffrement, l’absence d’entraînement des modèles avec les données client et des possibilités de suppression. La page produit déclare SOC 2 Type II, ISO 27001 et ISO 27701. Demander les justificatifs, le périmètre, les sous-traitants, transferts, durées et le DPA. | lien |
Les questions à poser à l'éditeur
- Où sont stockées les sessions (pays, prestataire d'hébergement) ?
- Quels fournisseurs de modèles IA traitent la voix et le texte, et où ?
- Les données servent-elles à entraîner des modèles ? Un engagement écrit existe-t-il ?
- Combien de temps les enregistrements sont-ils conservés ? Le salarié peut-il les supprimer ?
- Un accord de traitement des données (DPA) et un registre des sous-traitants sont-ils fournis ?
- Qui, côté employeur, peut accéder aux sessions individuelles ?
Comment contrôler les déclarations
- Demandez le DPA, la liste datée des sous-traitants et les lieux de traitement, puis comparez-les aux réponses commerciales.
- Vérifiez séparément l'audio, la transcription, les scores, les journaux techniques et les sauvegardes : leurs durées peuvent différer.
- Faites décrire les mécanismes de suppression, d'export et de gestion des demandes des personnes.
- Confirmez par écrit si les données, prompts ou sorties servent à entraîner ou améliorer un modèle.
Les notes du comparatif restent des appréciations documentaires fondées sur les éléments cités dans chaque fiche, pas une certification de conformité.
AIPD, DPO et représentants du personnel
Transparence
Qui édite ce site : Guide-RH.com SAS. Guide RH est édité par Guide-RH.com SAS. Les éventuels liens professionnels ou commerciaux avec les solutions présentées sont indiqués sur les fiches concernées.
Liens commerciaux avec les éditeurs comparés : indiqués sur chaque fiche solution, dans le champ « Lien avec Guide RH ». Les liens professionnels ou commerciaux éventuels sont indiqués sur la fiche concernée. Chaque éditeur dispose d'un droit de réponse.
Comment nous notons : l’analyse distingue informations publiques, retours documentés et tests standardisés lorsqu’ils sont réalisés. Les notes Guide RH sont des appréciations éditoriales sur 5 par critère, pondérées sur 100. Elles s’appuient sur la documentation publique, les capacités annoncées et l’adéquation au marché français. Lorsqu’un test standardisé est réalisé, il est signalé séparément. La grille et les pondérations sont publiques : méthodologie.
Corrections : toute erreur signalée est corrigée et datée dans le journal des mises à jour.