Verbit est-il conforme au RGPD ? Ce que les équipes du secteur de l’éducation et des entreprises en contact avec l’UE doivent savoir

En résumé, oui. Verbit est conforme au RGPD pour les services de sous-titrage, de transcription et de traduction impliquant des données personnelles de résidents de l'UE. Cela implique la signature d'un accord de traitement des données avec chaque client, l'utilisation de clauses contractuelles types régissant tout transfert international de données hors de l'Espace économique européen (EEE), du Royaume-Uni ou de la Suisse, et la désignation d'un délégué à la protection des données (DPO) supervisant l'ensemble du processus. Il ne s'agit pas d'un argument marketing, mais de mécanismes documentés que vous pouvez consulter sur demande. Voici ce que le règlement exige concrètement, son importance pour les établissements d'enseignement et les entreprises, et comment Verbit s'y conforme.

Pourquoi le RGPD est-il si souvent évoqué par les équipes pédagogiques et les entreprises ?

Le RGPD s'applique dès lors que des données personnelles appartenant à un résident de l'UE sont traitées, indépendamment du lieu d'établissement du siège social de votre organisation. Ce qui importe, c'est l'identité de la personne ou de l'entité à qui appartiennent les données, et non l'adresse figurant sur le contrat.

Pour les universités, cela concerne les étudiants internationaux, les professeurs invités et les partenaires de recherche basés dans l'UE, qu'il s'agisse d'un cours sous-titré, d'une séance de conseil transcrite ou d'une vidéo d'orientation traduite. Pour les entreprises, cela concerne les employés, les clients et les participants à des événements organisés dans l'UE : une réunion générale avec le bureau de Francfort en visioconférence, une assemblée générale traduite, une interaction avec le service client transcrite. Dès lors que des données personnelles appartenant à ces personnes sont sous-titrées, transcrites ou traduites par un prestataire tiers, les obligations du RGPD s'appliquent à ces données, quel que soit le pays où se situe votre siège social.

C’est précisément pour cette raison que la question de la conformité de nos fournisseurs au RGPD est devenue une question standard dans les discussions relatives aux achats des établissements d’enseignement et des entreprises, et non plus une question marginale. Les amendes liées au RGPD pouvant atteindre des millions d’euros, la vérification préalable n’est plus une option, mais une obligation.

Ce que le RGPD exige réellement d'un fournisseur

À proprement parler, la « conformité au RGPD » n'est pas une certification qu'une entreprise obtient et affiche, il n'existe pas de label pour cela. Le RGPD exige en réalité un ensemble d'engagements contractuels et opérationnels spécifiques et continus :

• Un accord de traitement des données (ATD) signé, qui précise le rôle et les obligations du prestataire en tant que sous-traitant, tandis que vous restez le responsable du traitement des données.

• Les clauses contractuelles types (CCT) ou tout autre mécanisme de transfert approuvé régissant tout transfert de données hors de l'EEE, du Royaume-Uni ou de la Suisse

• Respect des droits des personnes concernées, notamment la possibilité de supprimer définitivement les données d'une personne sur demande, et non pas seulement de les désactiver.

• Une politique de conservation des données claire et raisonnable, guidée par la limitation des finalités et la minimisation des données, qui peut être raccourcie sur demande.

• Les sous-traitants sont soumis aux mêmes obligations RGPD que le fournisseur principal, car un maillon faible à n'importe quel endroit de cette chaîne crée une vulnérabilité.

• Un délégué à la protection des données désigné et responsable du programme

• Derrière la paperasserie se cachent de véritables garanties techniques : un chiffrement robuste des données au repos, des contrôles d’accès limitant les membres de l’équipe du fournisseur autorisés à consulter un fichier donné, et un journal des accès.

• Pour tout service basé sur l'IA, une réponse claire quant à savoir si vos données sont exclues des ensembles de données d'entraînement du modèle est essentielle.

Voilà le vrai critère. Un fournisseur qui ne peut pas aborder chacun de ces points en termes précis et qui se contente d'un général « nous prenons la confidentialité au sérieux » n'a en réalité pas répondu à la question.

Comment Verbit se conforme aux exigences du RGPD

La politique de confiance et de protection des données de Verbit formalise précisément ces éléments, de manière concrète et non par une simple affirmation : un avenant au traitement des données signé avec chaque client, des clauses contractuelles types couvrant les transferts de données hors de l’EEE, du Royaume-Uni et de la Suisse, et un délégué à la protection des données (DPO) désigné et responsable du programme. Sur le plan technique, les données au repos sont chiffrées à l’aide de l’algorithme AES-256, la même norme de chiffrement utilisée par les gouvernements, et les clients peuvent attribuer des accès basés sur les rôles afin que chaque membre de l’équipe projet n’ait pas un accès à un fichier supérieur à celui requis pour sa tâche. Il s’agit bien des mécanismes précis décrits précédemment, et non d’une promesse reformulée.

Concrètement, cela signifie qu'une université ou une entreprise travaillant avec Verbit et s'adressant à l'UE n'a pas à se fier aveuglément à la conformité au RGPD. L'accord de protection des données (APD) fait partie intégrante du processus d'intégration et ne constitue pas une demande spécifique. Les mêmes protections s'appliquent, que le travail sous-jacent concerne le sous-titrage en direct, le sous-titrage en postproduction, la transcription ou la traduction. Si votre équipe souhaite également vérifier la gestion des sous-traitants ou les délais de traitement des demandes de suppression de données, ces questions sont documentées et trouvent réponse.

Concrètement, qu'est-ce que cela signifie pour les équipes du secteur de l'éducation et des entreprises ?

Pour les universités, ce problème se pose généralement concernant les services aux étudiants internationaux : contenus de cours sous-titrés et traduits, transcriptions des réunions d’information sur le logement et documents d’orientation multilingues. Tous ces éléments peuvent inclure des données personnelles soumises au RGPD lorsque des étudiants ou du personnel de l’UE sont concernés. Le recours à un prestataire disposant d’un accord de protection des données (APD) et de clauses contractuelles types (CCT) documentés permet d’éviter que cela ne devienne un obstacle supplémentaire lors de chaque expansion d’un programme international.

Pour les équipes en entreprise, cela se manifeste dans les communications internationales : une réunion plénière sous-titrée et traduite pour un bureau européen, un appel client transcrit et acheminé par le service d’assistance, une assemblée générale avec des participants européens. Les mêmes mécanismes du RGPD s’appliquent systématiquement à l’ensemble de ces situations, évitant ainsi aux services juridiques et achats de devoir réexaminer la question pour chaque nouveau cas d’usage.

Conclusion sur la conformité au RGPD

La conformité au RGPD n'est pas un simple label, mais un engagement contractuel continu. Pour l'évaluer, il convient d'exiger la mise en place de mécanismes spécifiques : un accord de protection des données (APD) signé qui clarifie les rôles du responsable du traitement et du sous-traitant, des clauses contractuelles types (CCT) pour les transferts transfrontaliers, la désignation d'un délégué à la protection des données (DPO) et des informations claires sur la gestion des sous-traitants, du chiffrement et des données d'entraînement de l'IA. Verbit répond à ces exigences aujourd'hui, conformément à sa politique de confiance et de protection des données , pour les prestations de sous-titrage, de transcription et de traduction impliquant des données personnelles de citoyens européens.

Si votre équipe évalue un fournisseur pour des travaux de sous-titrage, de transcription ou de traduction destinés à l'UE, réservez une démonstration et nous vous présenterons notre documentation RGPD directement en même temps que le reste de la plateforme.