Fireflies.ai est une IA de réunion populaire avec une posture vie privée plus avancée que plusieurs concurrents. L'entreprise publie un rapport SOC 2 Type 2, est listée dans le Data Privacy Framework UE-US, affiche une politique « Zero Data Retention » avec ses tiers, et propose une option « Private Storage » pour les clients entreprise qui veulent leurs données dans une infrastructure européenne.

Ça sonne bien. Pour certaines équipes, c'est bien. Pour d'autres, la ligne est plus fine que ce que le marketing suggère, et la revue procurement la trouvera.

Cet article est cette revue procurement, écrite pour l'acheteur.

Ce que Fireflies propose vraiment

La documentation sécurité et données de Fireflies expose une posture réfléchie. Les quatre engagements qui reviennent :

SOC 2 Type 2, audit annuel tiers des contrôles de sécurité.
Alignement RGPD, DPA disponible, inscription au DPF UE-US.
Zero Data Retention avec les tiers, les sous-traitants ne conservent pas le contenu utilisateur après livraison du service.
Private Storage, option entreprise pour stocker le contenu utilisateur dans une infrastructure européenne.

Ce sont de vrais engagements. Ils placent Fireflies devant les fournisseurs qui n'en cochent aucun.

Où vit le détail

La ligne, pour une équipe attachée à la confidentialité, est dans l'architecture, pas dans la politique. Deux points comptent :

Le stockage par défaut est aux États-Unis

Sans Private Storage, votre audio et vos transcriptions vivent dans des datacenters US. C'est le défaut pour tous les plans en dessous du palier entreprise. Pour une équipe européenne qui pilote un POC à trente personnes, le défaut s'applique.

Stockage et traitement sont deux questions distinctes

Celle qui prend du monde au piège. Même avec Private Storage activé (stockage en infrastructure européenne), le traitement de Fireflies reste aux États-Unis. L'audio sort de l'UE pour être synthétisé, puis l'artefact revient en stockage UE.

Pour la minimisation (article 5(1)(c) du RGPD), la zone de stockage compte. Pour les transferts internationaux (articles 44 à 50), la zone de traitement compte aussi, parce que l'audio est en vol vers les États-Unis pendant toute la durée de l'inférence.

La distinction n'est pas académique. Procurement va demander. La réponse détermine si vous êtes dans ou hors du DPF, et si votre registre des traitements doit comporter une entrée transfert par session.

Un fournisseur axé vie privée pour une équipe européenne est un fournisseur dont stockage et traitement sont en UE, par défaut, sur tous les paliers. En dessous, c'est une question procurement à poser, pas une promesse marketing à croire.

Le dossier de fait

Critère	Fireflies (par défaut)	Fireflies (Private Storage, entreprise)	Fournisseur UE-par-défaut
Région de stockage	US	UE	UE
Région de traitement	US	US	UE
Chiffrement	AES-256, en transit et au repos	AES-256	AES-256
SOC 2	Type 2	Type 2	Variable
DPA RGPD	Disponible	Disponible	Disponible
Entraînement sur données utilisateurs	Zero Data Retention avec les tiers	Zero Data Retention	Aucun
Rétention par défaut	Jusqu'à suppression utilisateur	Jusqu'à suppression utilisateur	Heures, pas jours
Dépendance DPF UE-US	Oui	Partielle (traitement reste US)	Aucune

Lisez les lignes, pas les en-têtes. La colonne de droite, c'est l'architecture UE-par-défaut ; c'est l'architecture qu'EnClair expédie sur tous les plans, palier gratuit inclus.

Trois questions où Fireflies répond bien

Pour rendre justice : Fireflies a de bonnes réponses sur des questions où d'autres trébuchent.

« Vendez-vous mes données ? » Non.
« Les tiers conservent-ils mon contenu après traitement ? » D'après l'engagement Zero Data Retention, non.
« Le DPA est-il signable dans un délai procurement normal ? » Oui.

Pour les équipes US, ou pour les équipes ayant déjà accepté la dépendance DPF, c'est suffisant. La shortlist se règle vite.

Trois questions où ça se complique

« Mon audio reste-t-il en UE pendant le traitement ? » Sans Private Storage, non. Avec Private Storage, le traitement est encore US. La réponse est « non » ou « stockage oui, traitement non », ni l'une ni l'autre n'est « oui ».
« Quelle est ma rétention par défaut sans suppression manuelle ? » Indéfinie, jusqu'à suppression utilisateur. Côté minimisation, c'est une charge client.
« La résidence UE est-elle disponible pour mon équipe sur son plan actuel ? » Private Storage est palier entreprise. POCs et mid-market ne l'ont pas.

Pour une équipe européenne attachée à la confidentialité, la réponse à « Fireflies suffit-il » dépend du jeu de questions qui est rédhibitoire.

Quoi évaluer ensuite

Si les arbitrages de Fireflies tombent du mauvais côté de votre ligne, la shortlist alternative pour une équipe européenne inclut typiquement des fournisseurs UE-natifs qui proposent stockage et traitement en infrastructure européenne sur tous les plans. La liste est plus courte que celle du marché global ; c'est l'intérêt d'évaluer sur les bons axes.

Pour un comparatif structuré couvrant Fireflies, Otter et les options UE-par-défaut dont EnClair, voir l'article synthèse de réunion conforme RGPD.

Une note sur la rétention

EnClair stocke audio et synthèses pendant 24 heures, puis supprime les deux. Stockage et traitement sont en Europe, sur tous les plans, depuis le palier gratuit. Nous n'entraînons aucun modèle sur les entrées ou sorties utilisateurs. La posture complète est sur la page sécurité.

À retenir

Fireflies, c'est une posture vie privée réfléchie dans une architecture US-first. Pour certaines équipes, ça suffit. Pour les équipes européennes attachées à la confidentialité, la ligne est : le traitement se fait-il en UE, sur tous les plans, par défaut. Lisez l'architecture, pas le marketing. La conversation procurement va plus vite ainsi.