Vapi vs Retell : conformité HIPAA, SOC 2 et RGPD (2026)

Conformité Vapi vs Retell : ce qu'il faut vérifier avant de signer

Vous comparez Vapi et Retell, et les pages de vente affichent toutes le même discours : sécurisé, prêt pour l'entreprise, conforme. La vraie question est plus précise. Quel certificat ou contrat obtenez-vous sur quel forfait, à quel prix, et cela couvre-t-il l'intégralité du parcours d'appel, de la ligne téléphonique au modèle vocal ? Ce guide passe en revue les normes HIPAA, SOC 2 et RGPD pour les plateformes d'IA vocale et montre pourquoi Famulor s'impose comme le premier choix pour les équipes opérant dans l'UE.

Un agent vocal traite davantage de données personnelles que la plupart des logiciels. Il enregistre une voix, la transcrit, envoie le texte à un modèle de langage, énonce la réponse et consigne souvent le résultat dans un CRM ou un calendrier. Chacune de ces étapes implique un sous-traitant que vous devez être en mesure d'identifier. C'est pourquoi une simple mention « nous sommes conformes » sur une page tarifaire ne suffit jamais.

Les trois cadres en termes simples

HIPAA : un contrat et des contrôles

La norme HIPAA s'applique aux États-Unis lorsque vous traitez des informations de santé protégées pour le compte d'une entité couverte, telle qu'une clinique ou un assureur. Si un agent vocal entend le nom d'un patient associé à un symptôme ou au motif d'un rendez-vous, il s'agit d'une information de santé protégée. Le fournisseur doit signer un Business Associate Agreement (BAA), et chaque sous-traitant qui accède aux données doit bénéficier de la même couverture. Sans le BAA, une liste de fonctionnalités « prêtes pour HIPAA » ne vous protège pas.

SOC 2 Type II : un audit du fournisseur

La norme SOC 2 est un audit indépendant basé sur des critères de confiance tels que la sécurité et la disponibilité. Le Type I vérifie que les contrôles sont bien conçus à un instant T. Le Type II vérifie qu'ils ont été réellement appliqués sur une période donnée, généralement de six à douze mois. Cela vous indique que le fournisseur applique des processus rigoureux. Cela ne dit rien sur la manière dont vous configurez votre agent, ce que vous stockez dans vos prompts ou la durée de conservation des enregistrements.

RGPD : une base légale, un contrat et une localisation

Pour les appelants dans l'UE, les documents essentiels sont un accord de traitement des données (DPA), une liste des sous-traitants, une base légale pour l'enregistrement et une réponse claire sur le lieu de stockage des fichiers audio et des transcriptions. L'IA Act européen ajoute une obligation de transparence : les personnes doivent être informées qu'elles s'adressent à une IA. Un certificat américain ne remplace aucun de ces éléments.

Vapi : SOC 2 Type II et option HIPAA payante

Vapi documente un audit annuel SOC 2 Type II. Selon sa documentation, l'audit couvre tous les clients, y compris les comptes à la consommation. La norme HIPAA fonctionne différemment. Vapi liste une option HIPAA à 2 000 $ par mois et une option de non-rétention des données à 1 000 $ par mois sur sa page tarifaire. Sa documentation technique précise également que pour le pipeline vocal principal (speech-to-text, modèle de langage, text-to-speech), vous ne pouvez sélectionner que des fournisseurs eux-mêmes conformes à la norme HIPAA. Les intégrations tierces restent disponibles, mais la charge de la conformité vous incombe.

En pratique, une clinique avec un faible volume d'appels paie des frais de conformité fixes avant même que la première minute ne soit facturée. Cela peut être acceptable pour un groupe hospitalier. C'est une part importante du budget pour un cabinet dentaire à deux fauteuils.

Le tableau montre les deux options côte à côte. Si une équipe a besoin des deux, la facture mensuelle s'élève à 3 000 $, soit 36 000 $ sur douze mois avant tout coût d'utilisation (2 000 + 1 000 = 3 000 ; 3 000 x 12 = 36 000).

Retell : déclarations d'auto-conformité HIPAA et points à vérifier

Retell déclare sur ses propres pages qu'elle prend en charge la norme HIPAA avec un Business Associate Agreement et que les données d'appel transitent sur une infrastructure certifiée SOC 2 Type II. Les avis indépendants sont moins cohérents. Certains décrivent le BAA comme une fonctionnalité entreprise, et un avis indique que Retell ne publie pas de manière visible son propre rapport SOC 2 Type II. Le RGPD est brièvement mentionné sur les pages de Retell, avec le consentement et les droits d'accès, mais les documents détaillés ne sont pas facilement accessibles au public.

Nous ne pouvons pas vérifier les conditions contractuelles de l'extérieur, et vous ne le pouvez pas non plus à partir d'un blog. Considérez chaque déclaration publique, y compris la nôtre, comme un point de départ pour une procédure de diligence raisonnable. Demandez à Retell trois éléments par écrit : le rapport SOC 2 actuel ou la lettre de transition, le modèle de BAA avec ses conditions de forfait, et la liste des sous-traitants avec leurs localisations.

Famulor : hébergement dans l'UE, DSGVO by design, transparence sur le SOC 2

Famulor est conçu pour le marché européen. Les données sont hébergées à Francfort, la plateforme est pensée autour du RGPD (DSGVO) et l'avis de transparence pour les appels IA est intégré au produit. Le SOC 2 Type II est en cours, et nous l'indiquons ouvertement au lieu d'afficher un badge. Pour les équipes en Allemagne, en Autriche et en Suisse, c'est généralement la question qui décide du projet : où l'audio est-il stocké et qui signe l'accord de traitement ?

Le même principe s'applique aux données de santé américaines. Si vous avez besoin d'un BAA pour des informations de santé protégées, clarifiez ce point avec l'équipe Famulor lors de la phase de projet, ainsi que pour les fournisseurs de synthèse et de reconnaissance vocale que vous prévoyez d'utiliser. Notre page entreprise montre comment nous gérons les audits de sécurité et les contrats, et la page tarifaire liste les forfaits actuels.

Comparatif : ce que chaque fournisseur publie

Lisez ce tableau comme une liste de questions, non comme un classement. Les cellules marquées « vérifiez » ou « demandez » signifient que les informations publiques sont limitées et que vous devez exiger des documents. La comparaison des prix et des fonctionnalités entre les deux plateformes américaines est traitée dans notre comparatif Retell vs Vapi.

Ce que coûte réellement le travail de conformité

Le coût de la conformité se divise en trois parties. La première est la redevance visible, comme les options Vapi ci-dessus. La seconde est la restriction des fournisseurs : si seuls les modèles de synthèse et de langage conformes HIPAA sont autorisés, vous perdez l'accès à certains des modèles et voix les plus récents. La troisième est le travail interne, tel que l'examen juridique, la tenue d'un registre des activités de traitement et la formation du personnel. La troisième partie est identique sur chaque plateforme.

Pour l'utilisation, Famulor facture 0,15 € par minute à la consommation, et les forfaits commencent à 0,05 € par minute. Utilisez le calculateur pour comparer votre propre volume avec des frais de conformité mensuels fixes.

Quatre erreurs que les équipes commettent avec la conformité de l'IA vocale

Elles traitent un certificat comme une autorisation

Un rapport SOC 2 prouve que le fournisseur applique des processus contrôlés. Il ne vous donne pas de base légale pour enregistrer un appel. La base légale, le texte de consentement et la règle de rétention restent votre responsabilité, quelle que soit la plateforme choisie.

Elles oublient les sous-traitants

Un agent vocal est une chaîne. L'opérateur transporte l'appel, un modèle de reconnaissance transcrit, un modèle de langage répond et un modèle vocal s'exprime. Une clinique à Munich qui utilise une plateforme conforme mais achemine l'audio via un fournisseur sans accord de traitement présente une faille, et le régulateur trouvera le maillon faible en premier.

Elles testent avec de vrais appelants

Effectuez les premières semaines avec des collègues et de fausses données de patients. Vérifiez que l'avis IA est diffusé, que le consentement à l'enregistrement est capturé et qu'une demande de suppression efface réellement l'audio et la transcription. Famulor inclut des outils de qualité qui vous aident à examiner les appels avant la mise en ligne.

Elles ignorent le prompt

Les prompts et les bases de connaissances peuvent également contenir des données personnelles. Gardez les noms, numéros de police et notes internes hors des prompts, et chargez-les au moment de l'appel via un appel d'outil (tool call). Cela maintient la configuration stockée propre et simplifie les audits.

Un court exemple : un cabinet de kinésithérapie avec six thérapeutes souhaite un agent qui prend des rendez-vous. Les appelants donnent leur nom et souvent un motif tel que « douleur au dos après une opération ». Cette phrase constitue une donnée de santé. Le cabinet a besoin d'un accord de traitement avec la plateforme, d'une période de rétention claire et d'un avis au début de l'appel. Il n'a pas besoin d'un badge d'audit séparé pour commencer, mais il doit s'assurer que chaque sous-traitant sur la liste est nommé et sous contrat.

Une liste de contrôle de diligence raisonnable en cinq étapes

1. Classifiez les données. Décidez si les appels contiennent des données de santé, des données de paiement ou uniquement des données de contact. La réponse définit le cadre.
2. Demandez les documents. Rapport SOC 2, BAA ou DPA, liste des sous-traitants, politique de rétention.
3. Cartographiez le parcours d'appel. Listez chaque processeur et sa localisation. Supprimez ceux qui ne peuvent pas signer.
4. Définissez la rétention et la rédaction. Décidez de la durée de vie des fichiers audio et des transcriptions et de qui peut les lire.
5. Effectuez un test avec de fausses données. Testez le message de consentement, l'avis IA et la demande de suppression avant l'arrivée de vrais appelants.

Les secteurs réglementés ajoutent leurs propres couches. Nos guides sur les paiements téléphoniques conformes PCI et le manuel de conformité pour le recouvrement de créances montrent comment cela fonctionne en pratique.

Migrer depuis Vapi ou Retell sans perdre votre configuration

Si un examen de conformité montre que votre plateforme actuelle ne convient pas à votre marché, changer est moins complexe qu'il n'y paraît. Famulor importe les assistants des deux plateformes, y compris les prompts et les paramètres. Consultez les pages pour la migration depuis Vapi et la migration depuis Retell, ainsi que la page du centre d'appels IA pour voir à quoi ressemble une configuration de production.

Conclusion : choisissez selon les documents, pas selon les badges

Vapi vous propose un parcours clair et tarifé pour la conformité HIPAA. Retell publie des affirmations fortes que vous devriez vérifier. Famulor offre aux équipes européennes un hébergement à Francfort, une conception basée sur le DSGVO et un statut SOC 2 transparent. Rien de tout cela ne remplace votre propre examen juridique. Le moyen le plus rapide de décider est d'envoyer les cinq mêmes questions à chaque fournisseur et de comparer les réponses écrites.

L'étape suivante est simple : réservez une démonstration, apportez votre flux d'appels et demandez-nous les documents de sécurité relatifs à votre cas d'usage.

FAQ

Vapi est-il conforme à la norme HIPAA ?

Vapi propose une assistance HIPAA sous forme d'option payante, facturée 2 000 $ par mois, et limite le pipeline vocal principal à des fournisseurs conformes à la norme HIPAA. Vous devez toujours signer un BAA et gérer vous-même la conformité des intégrations tierces.

Retell AI possède-t-il la certification SOC 2 Type II ?

Retell affirme que ses données d'appels transitent sur une infrastructure certifiée SOC 2 Type II. Les avis indépendants sont partagés quant à savoir si Retell publie lui-même un rapport, demandez donc le rapport actuel par écrit.

Quelle est la différence entre HIPAA et SOC 2 ?

HIPAA est une loi américaine sur les données de santé qui exige des contrats et des mesures de protection. SOC 2 est un audit volontaire des contrôles d'un fournisseur. Un rapport SOC 2 ne vous rend pas conforme à la norme HIPAA.

Ai-je besoin d'un BAA pour un agent vocal ?

Oui, si l'agent traite des informations de santé protégées pour une entité couverte aux États-Unis. Le BAA doit également être soutenu par des accords avec chaque sous-traitant intervenant dans le parcours de l'appel.

Une plateforme d'IA vocale américaine est-elle conforme au RGPD ?

Elle peut l'être, mais uniquement avec un accord de traitement des données, des mécanismes de transfert valides et une localisation claire des données. Vérifiez la liste des sous-traitants et le lieu de stockage des enregistrements audio et des transcriptions.

Famulor héberge-t-il des données dans l'UE ?

Oui. Famulor héberge ses données à Francfort et est conçu autour du DSGVO, incluant l'avis de transparence pour les appels par IA.

Famulor est-il certifié SOC 2 ?

La certification SOC 2 Type II est en cours. Nous l'indiquons ouvertement afin que vous puissiez planifier votre examen en fonction du statut réel.

Dois-je informer les appelants qu'ils parlent à une IA ?

Dans l'UE, l'IA Act exige de la transparence. La meilleure pratique consiste à diffuser un court avertissement au début de l'appel, ce que Famulor prend en charge via une annonce intégrée.

Combien de temps dois-je conserver les enregistrements d'appels ?

Uniquement aussi longtemps que nécessaire pour une finalité définie. De nombreuses équipes utilisent des périodes de conservation courtes et suppriment l'audio après transcription. Définissez cela par espace de travail et documentez-le.