RGPD : les questions à poser avant de confier vos factures à un service OCR

Les factures fournisseurs contiennent couramment des noms, des adresses postales, des coordonnées bancaires et parfois des signatures. Ce sont donc des données personnelles, et les transmettre à un éditeur fait de celui-ci un sous-traitant agissant sur vos instructions. Rien d'exotique là-dedans : cela signifie simplement que les questions ci-dessous se posent avant le premier envoi, et non après un incident.

Cet article donne des informations générales sur les questions à poser ; il ne constitue pas un conseil juridique. Pour ce qui relève de votre situation propre, adressez-vous à une personne qualifiée.

Les cinq questions

Posez-les avant le premier envoi, et obtenez les réponses par écrit plutôt qu'au téléphone avec un commercial.

• Où les documents sont-ils hébergés, et sous quelles juridictions ?
• Combien de temps sont-ils conservés après traitement, et puis-je en exiger la suppression ?
• Mes documents servent-ils à entraîner des modèles ? Si oui, puis-je m'y opposer, et le refus est-il l'option par défaut ?
• Qui, chez le prestataire, peut lire mes documents, et ces accès sont-ils journalisés ?
• Existe-t-il un accord de sous-traitance, et nomme-t-il les sous-traitants ultérieurs ?

À quoi ressemble une bonne réponse

Une durée de conservation chiffrée plutôt qu'un « le temps nécessaire ». Une suppression que vous pouvez déclencher vous-même. Aucun entraînement sur les documents clients par défaut. Des accès limités par rôle et journalisés. Un accord de sous-traitance rédigé pour être lu et non pour être enduré. Le flou sur l'un de ces points constitue déjà une réponse.

La question derrière les questions

Tous ces points reviennent au fond à la même interrogation : le document doit-il seulement sortir de votre contrôle ? Lorsque la reconnaissance peut s'exécuter localement dans le navigateur, l'envoi n'a pas lieu et la majeure partie de la liste cesse de s'appliquer. Ce n'est pas une réponse universelle — certains traitements exigent réellement un serveur — mais cela vaut la peine d'être tranché avant d'accepter le risque par défaut.