Fireflies.ai est-il sûr ? Notre analyse sécurité et RGPD

Fireflies.ai est raisonnablement sûr pour la plupart des réunions professionnelles. Sa page sécurité affiche SOC 2 Type II, RGPD, HIPAA et un chiffrement AES-256, il publie un DPA et affirme ne pas entraîner d’IA sur vos réunions. Les vrais risques sont dans les réglages par défaut : un bot qui rejoint chaque réunion du calendrier, des comptes rendus ouverts à quiconque a le lien, et un traitement aux États-Unis.

Chaque point qu’une revue de sécurité couvre en général, ce que Fireflies déclare publiquement, et ce qu’il vaut la peine de vérifier vous-même.

La page sécurité de Fireflies liste SOC 2 Type II, RGPD et HIPAA, et décrit un chiffrement AES-256 des notes et transcriptions au repos et TLS pour les données en transit. C’est le socle attendu de tout preneur de notes dans le cloud, et sur le papier Fireflies le respecte.

Lisez les badges avec précision. SOC 2 est le rapport d’un auditeur indépendant sur les contrôles d’une entreprise pendant une période donnée, pas un certificat permanent : demandez le dernier rapport Type II via le trust center de Fireflies et regardez ses dates et ses exceptions. Le RGPD est une loi, pas une certification : ce qui compte, c’est le DPA, la base légale du transfert vers les États-Unis et la liste des sous-traitants. HIPAA dépend d’un contrat : le guide de l’offre Enterprise indique que le support HIPAA est disponible sur demande et exige un Business Associate Agreement (BAA) signé. Le même guide affiche l’offre Enterprise à 39 dollars par utilisateur et par mois, facturée à l’année.

Selon Fireflies, non, avec une nuance de formulation à noter. Sa politique de confidentialité indique qu’il n’utilise pas les données personnelles pour entraîner des modèles d’IA. Les notes de mise à jour de ses politiques ajoutent que le contenu des réunions n’entraîne aucun modèle interne ou externe, que les prestataires ont l’interdiction contractuelle de le faire, et que les prestataires tiers ne conservent ni audio, ni vidéo, ni transcription après traitement.

La formule « par défaut » est plus souple que la politique de confidentialité, et le DPA permet à Fireflies de créer des données anonymisées et d’utiliser des données de service, comme l’usage et le compte, pour améliorer ses produits. Rien de cela ne contredit l’engagement. Si l’entraînement est une ligne rouge pour votre entreprise, demandez à Fireflies de confirmer par écrit qu’aucune offre ni aucun réglage ne le change.

Aux États-Unis par défaut. Le guide de stockage de Fireflies indique que les données sont stockées et traitées dans son infrastructure cloud aux États-Unis, sur AWS et GCP. Sa politique de confidentialité précise que les données personnelles peuvent être traitées et stockées sur des serveurs aux États-Unis et dans d’autres pays.

Les clients Enterprise peuvent utiliser le Private Storage pour choisir où vivent enregistrements, transcriptions et fichiers, y compris dans leur propre bucket AWS S3 ou Google Cloud Storage. Pour le stockage dans l’UE, le guide pose clairement la limite :

Pour les transferts hors d’Europe, le DPA s’appuie sur l’auto-certification de Fireflies au Data Privacy Framework UE-États-Unis, avec les clauses contractuelles types de l’UE en solution de repli, adaptées aux transferts depuis le Royaume-Uni et la Suisse. C’est un montage courant et licite pour un fournisseur américain, mais une équipe soumise à une règle stricte de traitement dans l’UE doit considérer Fireflies comme un sous-traitant américain.

Côté conservation, Fireflies indique supprimer les données personnelles liées à un compte dans les 30 jours suivant sa suppression, et l’offre Enterprise ajoute une durée de conservation personnalisée qui efface automatiquement réunions et fichiers. Sur les autres offres, prévoyez de supprimer vous-même les anciennes réunions.

Fireflies publie son Data Processing Addendum sur fireflies.ai/data-processing-agreement. La version actuelle date du 6 mars 2026, elle est intégrée aux conditions d’utilisation et s’applique aux organisations qui utilisent le service : il n’y a donc pas de document séparé à signer pour les conditions standard. Fireflies peut la modifier avec préavis, et la poursuite de l’usage vaut acceptation.

Cinq points méritent une lecture avant la validation par les achats :

• Sous-traitants : la liste est sur trust.fireflies.ai/subprocessors, et les notes de mise à jour indiquent que les clients Business et Enterprise peuvent s’opposer aux nouveaux.
• Notification des incidents : Fireflies s’engage à vous prévenir « dans les meilleurs délais », sans nombre d’heures fixé.
• Transferts : d’abord le Data Privacy Framework UE-États-Unis, puis les clauses contractuelles types en repli.
• Sortie : en fin de contrat, Fireflies supprime ou restitue les données personnelles sur votre instruction, sauf obligation légale de conservation.
• Audits : selon les notes de mise à jour, les clients Business et Enterprise ont un droit d’audit une fois par an, à leurs frais.

En pratique, la plupart des problèmes de confidentialité avec Fireflies viennent des réglages par défaut, pas d’attaques. Le guide d’aide de Fireflies le dit sans détour :

Dès qu’un calendrier est connecté, le Fireflies Notetaker (fred@fireflies.ai) rejoint chaque réunion qui a un lien de visioconférence, y compris les appels avec des clients et des candidats qui ne se sont jamais inscrits sur Fireflies. Dans les réglages d’auto-join, vous pouvez choisir « Only when I invite fred@fireflies.ai ».

Le partage suit la même logique. Le guide de confidentialité des comptes rendus indique « Teammates & anyone with link » par défaut : tout votre espace Fireflies peut trouver la réunion et quiconque détient le lien peut l’ouvrir. Des options plus strictes existent : « Only participants & teammates », « Only participants », « Only teammates » et « Only me ». En plus, la page sécurité décrit un rôle Super Admin avec un accès complet à toutes les réunions de l’espace.

Fireflies propose aussi un mode bureau sur Mac et Windows qui enregistre le son du système sans bot. Son guide en expose clairement les limites : ce mode ne sauvegarde aucun fichier audio ou vidéo, affiche les intervenants sous la forme Speaker 1 et Speaker 2 au lieu de leurs noms, et si vous désactivez son avis de consentement, c’est à vous d’informer les participants.

Fireflies a été visé par des projets d’actions collectives fondés sur la loi de l’Illinois sur la vie privée biométrique (BIPA). Selon les dossiers judiciaires et la presse juridique, les deux plaintes ci-dessous reprochent au preneur de notes d’avoir collecté et stocké des empreintes vocales de participants, y compris de personnes sans compte Fireflies, sans l’information et le consentement écrit qu’exige la BIPA. La plainte Cruz reproche aussi à Fireflies de n’avoir publié aucune politique de conservation et de destruction. Ce sont des allégations ; aucun tribunal ne les a jugées.

La politique de confidentialité de Fireflies, mise à jour le 28 septembre 2026, indique que les données vocales peuvent être considérées comme biométriques dans certaines juridictions, que ses prestataires ne les utilisent pas pour identifier ou authentifier des personnes, et, dans sa section sur la loi de l’Illinois, qu’elles sont détruites une fois leur finalité atteinte ou au plus tard trois ans après la dernière interaction de la personne.

Lors de notre vérification en octobre 2026, nous n’avons trouvé aucune fuite de données publiquement signalée chez Fireflies. Cela ne prouve pas qu’il n’y en a jamais eu, seulement qu’aucune ne figure dans les sources publiques que nous avons trouvées. Pour le contexte juridique plus large, dont l’action collective contre Otter.ai, consultez notre suivi des procès visant les preneurs de notes IA.

Fireflies est un bon choix si :

• Vous voulez un bot capable d’enregistrer des réunions auxquelles vous n’assistez pas, avec un fichier audio et vidéo sauvegardé ensuite.
• Vous voulez les noms des intervenants dans la transcription et les intégrations construites autour du Fireflies Notetaker.
• Votre entreprise est basée aux États-Unis et accepte un traitement américain encadré par un DPA.
• Vous êtes en Enterprise et avez besoin de HIPAA avec BAA, de SSO, du Private Storage ou d’une conservation personnalisée.

Réfléchissez à deux fois si :

• Vous échangez avec des personnes en Illinois ou dans des pays où tous doivent consentir, sans être sûr que chacun a accepté l’enregistrement.
• Vos clients ou candidats refusent un bot tiers dans leurs appels.
• Vous avez besoin d’un traitement uniquement dans l’UE, pas seulement d’un stockage dans l’UE.
• Vous traiteriez des données de santé sans BAA signé.

1. Régler l’auto-join sur « Only when I invite fred@fireflies.ai » pour que le bot ne rejoigne jamais un appel par surprise.
2. Passer le partage des comptes rendus de « Teammates & anyone with link » à « Only participants » ou « Only me ».
3. Vérifier qui est Super Admin, car ce rôle accède à toutes les réunions de l’espace.
4. Laisser l’avis de consentement activé et annoncer à voix haute que la réunion est enregistrée.
5. Télécharger le DPA et la liste des sous-traitants et les classer avec vos dossiers fournisseurs.
6. Demander le rapport SOC 2 Type II actuel ; en Enterprise, fixer une durée de conservation et signer un BAA si vous traitez des données de santé.

Les mêmes questions valent pour Fireflies, Otter, Read AI ou Reline. Un fournisseur qui ne peut pas y répondre par écrit vous a déjà répondu.

1. Un bot rejoint-il l’appel, et le fait-il automatiquement par défaut ?
2. Qui voit une réunion par défaut : moi seul, les participants, tout l’espace ou quiconque a le lien ?
3. Entraînez-vous des modèles d’IA sur mon audio, mes transcriptions ou mes notes, quelle que soit l’offre ou le réglage ?
4. Où les données sont-elles stockées, où sont-elles traitées, et chez quels fournisseurs cloud ?
5. Existe-t-il un DPA, une liste publique de sous-traitants et un engagement de notification des incidents ?
6. Quels audits pouvez-vous me montrer aujourd’hui, sous forme de rapport et non de badge ?
7. Combien de temps gardez-vous enregistrements et transcriptions, et puis-je fixer cette durée moi-même ?

Reline est un preneur de notes concurrent, lisez cette section en conséquence. Reline n’envoie jamais de bot : il capte votre micro et le son du système en local sur Mac, Windows, Linux (bêta) ou dans le navigateur, si bien qu’aucun participant supplémentaire n’apparaît dans l’appel. La transcription, les notes IA et le stockage tournent dans le cloud, pas sur votre appareil.

Les notes sont privées par défaut : un rôle dans l’espace de travail ne donne, à lui seul, accès à aucune note. Reline n’a aujourd’hui ni rapport SOC 2 ni BAA HIPAA : si vos achats les exigent, Fireflies annonce un audit SOC 2 Type II et propose un BAA sur l’offre Enterprise, Reline non. Et une capture sans bot ne remplace pas le consentement : vous prévenez toujours les participants partout où la loi l’exige.

• Fireflies, page sécurité et conformité : https://fireflies.ai/security
• Fireflies, Data Processing Addendum (mis à jour le 6 mars 2026) : https://fireflies.ai/data-processing-agreement
• Fireflies, mises à jour de la politique de confidentialité, des conditions et du DPA : https://guide.fireflies.ai/articles/6892479029
• Fireflies, guide stockage et transfert des données : https://guide.fireflies.ai/articles/9596505232
• Fireflies, guide de l’offre Enterprise : https://guide.fireflies.ai/articles/4771323041-learn-about-fireflies-enterprise-plan
• Fireflies, guide de confidentialité des comptes rendus : https://guide.fireflies.ai/articles/5319481450-how-to-configure-privacy-settings-for-your-meeting-recaps
• Fireflies, guide des réglages d’auto-join : https://guide.fireflies.ai/articles/8587670572-how-to-disable-the-fireflies-auto-join-settings
• Fireflies, enregistrer sans bot avec l’application de bureau : https://guide.fireflies.ai/articles/6666374717-how-to-record-meetings-without-a-bot-on-the-fireflies-desktop-app
• Fireflies, politique de confidentialité (mise à jour le 28 septembre 2026) : https://fireflies.ai/privacy-policy
• Cruz v. Fireflies.AI Corp, dossier (PacerMonitor) : https://www.pacermonitor.com/public/case/61918314/Cruz_v_FirefliesAI_Corp
• Smith, Gambrell & Russell, preneurs de notes IA et BIPA (16 mars 2026) : https://www.sgrlaw.com/newsroom/publications/ai-note-takers-biometric-privacy-and-the-battle-over-bipa-damages-what-businesses-need-to-know-now
• Top Class Actions, Fricker v. Fireflies.AI Corp. (19 mars 2026) : https://topclassactions.com/lawsuit-settlements/lawsuit-news/fireflies-ai-sued-over-alleged-unlawful-data-collection-from-meeting-participants/