DPIA — Twilio

Twilio est notre transporteur voix + opérateur SMS. Appels et textos transitent par l'infrastructure Twilio vers/depuis notre backend.

• Numéro de téléphone de l'appelant (obligatoire — Twilio est le transporteur télécom)
• Audio voix (flux bidirectionnel temps réel)
• Enregistrement vocal (quand activé par le tenant)
• Contenu du corps SMS

Le routage média (voix) et SMS transite par l'infrastructure Twilio en tant que transporteur télécom. Les enregistrements vocaux, lorsqu'activés, sont récupérés après l'appel dans notre stockage objet au Canada (Montréal) puis supprimés de Twilio — aucun enregistrement n'est conservé chez le transporteur.

• Twilio est un fournisseur télécom réglementé avec DPA mature + garanties comparables
• Le rôle d'opérateur est intrinsèque à la fourniture du service voix — aucune alternative purement canadienne équivalente Loi 25 n'offre une portée mondiale comparable
• Twilio n'entraîne PAS de modèles IA sur les données clients
• Twilio limite l'accès des employés aux données d'appelant aux enquêtes d'abus

Global : FAIBLE. Standard de l'industrie pour toute plateforme d'IA vocale.

• Accès non autorisé du personnel : très faible (audité SOC 2 Type II)
• Entraînement IA sur données : négligeable (interdiction contractuelle)
• Subpoena É.-U. : faible (Twilio résiste aux demandes trop larges + publie des rapports de transparence)
• Brèche datacenter : très faible (SOC 2, ISO 27001, PCI DSS Niveau 1)

• Enregistrements voix : supprimés de Twilio immédiatement après récupération dans notre stockage canadien (non conservés chez Twilio)
• Détails d'appels (CDR) : 13 mois pour facturation/réglementation
• Enregistrements SMS : 13 mois

Pour les tenants CIUSSS / santé requérant un flux de données strictement au Canada, nous pouvons configurer un trunking SIP direct vers un opérateur canadien (p.ex. in-tec.ca), contournant l'infrastructure Twilio É.-U. La fonctionnalité SIP trunk par tenant est en production pour les transferts sortants.

Twilio est le transport voix standard de l'industrie pour l'IA vocale B2B. Son DPA fournit une protection équivalente aux exigences de la Loi 25. Risque FAIBLE. Transfert justifié.

Référence DPA : twilio.com/legal/data-protection-addendum