CONTRAT DE TRAITEMENT DES DONNÉES
Version 2.0
Date d'entrée en vigueur : 23 février 2026
TABLE DES MATIÈRES
-
Définitions et champ d'application
-
Traitement des données personnelles
-
Droits des personnes concernées
-
Protection des données et sécurité
-
Transferts internationaux de données
-
Durée et résiliation
-
Responsabilité et indemnisation
-
Droit applicable
Annexe A : Catégories de données personnelles
Annexe B : Sous-traitants autorisés
Annexe C : Mesures techniques et organisationnelles
Annexe D : Clauses contractuelles types -
DÉFINITIONS ET CHAMP D'APPLICATION
Ce contrat de traitement des données ("Contrat") est conclu entre Syntari International, Inc. ("Société" ou "Sous-traitant") et le Client ("Contrôleur").
1.1 Définitions
● Données personnelles : Toute information concernant une personne physique identifiée ou identifiable.
● Traitement : Toute opération effectuée sur des données personnelles, y compris la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation, la récupération, l'utilisation, la divulgation et la suppression.
● Personne concernée : L'individu auquel les données personnelles se rapportent.
● Sous-traitant : Toute entité juridique engagée par le sous-traitant pour traiter des données personnelles pour le compte du contrôleur.
● Sous-traitant AI : Fournisseurs de services d'IA tiers, y compris, mais sans s'y limiter, Anthropic, OpenAI et Google.
● Incident : Toute violation suspectée ou confirmée de la sécurité ou perte de données personnelles.
1.2 Portée
Le présent Accord s'applique au traitement des Données Personnelles comme décrit dans le Contrat de Service et les Annexes jointes. -
TRAITEMENT DES DONNÉES PERSONNELLES
2.1 Base Légale et Objectif
Le Responsable de traitement ne devra traiter les Données Personnelles que :
● Sur instructions documentées du Contrôleur ;
● Pour les objectifs spécifiés dans le Contrat de Service ;
● En conformité avec le RGPD, le CCPA et les lois sur la protection des données applicables.
2.2 Instructions de Traitement
Le Contrôleur reconnaît que le Responsable de traitement traite les Données Personnelles uniquement sur les instructions documentées du Contrôleur. Les modifications doivent être fournies par écrit et approuvées par les deux parties.
2.3 Durée du Traitement
Le Responsable de traitement traitera les Données Personnelles pendant la durée du Contrat de Service et ensuite comme l'exige la loi. -
DROITS DES SUJETS DES DONNÉES
3.1 Droit d'Accès
Le Responsable de traitement devra, à la demande du Contrôleur et dans un délai de 10 jours ouvrables, fournir une assistance raisonnable pour permettre aux sujets des données d'exercer leur droit d'accès à leurs Données Personnelles.
3.2 Droit de Rectification et de Suppression
Le Responsable de traitement devra fournir une assistance raisonnable pour permettre aux sujets des données d'exercer leurs droits de rectification, de suppression et de limitation du traitement.
3.3 Portabilité
Le Responsable de traitement devra aider le Contrôleur à permettre aux sujets des données d'exercer leur droit à la portabilité des données au format lisible par machine.
3.4 Pas de Prise de Décision Automatisée
Le Responsable de traitement ne devra pas s'engager dans une prise de décision automatisée produisant des effets juridiques sans l'autorisation explicite du Contrôleur. -
PROTECTION DES DONNÉES ET SÉCURITÉ
4.1 Confidentialité
Le Responsable de traitement s'assure que toutes les personnes autorisées à traiter les Données Personnelles sont engagées à la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.
4.2 Mesures de Sécurité des Données
Le Responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées comme détaillé dans l'Annexe C :
● Chiffrement des données en transit et au repos
● Contrôles d'accès et mécanismes d'authentification
● Évaluations régulières de la sécurité et tests de vulnérabilité
● Programmes de formation et de sensibilisation des employés
● Procédures de réponse aux incidents
4.3 Chiffrement et Contrôles d'Accès
Toutes les Données Personnelles sont chiffrées en utilisant AES-256 ou équivalent. L'accès est restreint au personnel autorisé avec authentification multi-facteurs requise.
4.4 Sous-traitance et Sous-traitants IA
4.4.1 Autorisation et Notification
Le Responsable de traitement peut engager des Sous-traitants, y compris des fournisseurs IA listés dans l'Annexe B. Le Contrôleur a le droit de s'opposer dans les 30 jours suivant la notification écrite.
4.4.2 Exigences des Sous-traitants IA
Tous les Sous-traitants IA doivent :
● Exécuter des DPA conformes au RGPD et aux lois applicables
● Fournir des mesures techniques et organisationnelles équivalentes à cet Accord
● Fournir de la transparence concernant les lieux et les objectifs de traitement des données
● Se soumettre à des audits et vérifications de conformité
4.4.3 Accords DPAs des Sous-traitants Incorporés
Les DPAs de tous les fournisseurs d'IA énumérés dans l'Annexe B sont incorporés par renvoi et constituent des termes contraignants de cet Accord. Le Responsable de traitement doit s'assurer que le Contrôleur a accès à ces accords sur demande.
4.4.4 Notification Préalable de 30 Jours
Le Responsable de traitement doit fournir un préavis écrit de 30 jours avant d'ajouter, de supprimer ou de modifier de manière significative tout engagement de Sous-traitant. Ce préavis doit inclure le lieu, l'objectif et les garanties du Sous-traitant.
4.5 Notification de Violation de Données
Dès qu'il prend connaissance d'un Incident, le Responsable de traitement doit :
● Évaluer immédiatement la nature et l'étendue de la violation
● Informer le Contrôleur sans délai excessif
● Fournir toutes les informations nécessaires aux obligations de notification réglementaire
4.6 Réponse aux Incidents de Sécurité (Norme de Notification de 48 Heures)
4.6.1 Chronologie de Notification
Le Responsable de traitement doit notifier le Contrôleur de tout Incident de Sécurité dans les 48 heures suivant sa découverte. Cela s'aligne sur les meilleures pratiques de l'industrie et les exigences de DPA d'Anthropic.
4.6.2 Contenu du Rapport d'Incident
Toutes les notifications d'incidents doivent inclure :
● Description de l'incident et des systèmes affectés
● Catégories et nombre approximatif de personnes concernées
● Conséquences probables de l'incident
● Mesures prises ou proposées pour remédier et atténuer les dommages
● Nom et contact du Délégué à la Protection des Données
4.6.3 Coopération avec les Autorités
Le Responsable de traitement doit raisonnablement coopérer avec le Contrôleur et les autorités réglementaires dans l'investigation et la réponse aux Incidents.
4.7 Conservation et Suppression des Données
Le Responsable de traitement doit supprimer ou retourner les Données Personnelles à la résiliation, sauf si la conservation est requise par la loi. Un certificat de suppression sera fourni sur demande.
4.8 Certification du Responsable de Traitement
Le Responsable de traitement maintient des certifications SOC 2 en cours et ISO 27001 en cours. Les certificats actuels sont disponibles sur demande.
4.9 Droits d'Audit
4.9.1 Droits d'Audit Généraux
Le Contrôleur a le droit d'auditer la conformité du Responsable de traitement à cet Accord. Les audits peuvent être effectués :
● Sur préavis écrit de 15 jours ouvrables
● Pas plus d'une fois par an sauf si déclenché par un Incident suspecté
● Pendant les heures de bureau normales
4.9.2 Audits de Tiers
Le Contrôleur peut engager des auditeurs indépendants, à condition que l'auditeur signe un accord de confidentialité.
4.9.3 Audits des Sous-traitants d'IA
Les audits des Sous-traitants d'IA seront effectués via :
● Revue des rapports SOC 2 en cours et ISO 27001 en cours
● Revue de la documentation de sécurité du fournisseur
● Audits sur site, sous réserve de l'approbation du fournisseur
4.10 Traitement des données spécifiques à l'IA
4.10.1 Utilisations autorisées
Les données personnelles des clients peuvent être traitées via les fonctionnalités IA exclusivement pour la fourniture des services contractés. Aucune autre utilisation n'est autorisée.
4.10.2 Interdiction d'entraînement des modèles
Le Processeur et tous les Sous-processeurs IA s'engagent à ce que :
● Les données personnelles des clients NE SERONT PAS utilisées pour entraîner, affiner ou améliorer des modèles d'apprentissage automatique (pour les niveaux payants)
● Cette restriction s'applique indépendamment des autres politiques du fournisseur d'IA
● Le Responsable recevra une confirmation écrite de tous les fournisseurs d'IA
4.10.3 Manipulation des invites et sorties
● Invites : Supprimées immédiatement après traitement, conservation maximale de 24 heures
● Sorties : Conservées selon les paramètres de conservation spécifiés par le Client
● Métadonnées : Les fournisseurs d'IA peuvent conserver des métadonnées limitées uniquement pour la surveillance des abus
4.10.4 Conservation pour surveillance des abus
Les fournisseurs d'IA peuvent conserver des données limitées pendant 30 jours pour surveiller les abus, la fraude et les activités illégales. Ces données sont séparées des données d'invite/sortie.
4.10.5 Transparence des fournisseurs d'IA
Le Processeur veillera à ce que les Sous-processeurs IA fournissent :
● Des rapports trimestriels sur les pratiques de gestion des données
● Notifications d'incidents conformes à la Section 4.6
● Documentation des mesures techniques de protection
4.11 Coordination des droits des personnes concernées
4.11.1 Portée des demandes des personnes concernées
Les demandes d'accès des personnes concernées (DSARs) comprendront les données détenues par le Processeur et tous les Sous-processeurs, y compris les fournisseurs d'IA.
4.11.2 Procédures de coordination
Le Processeur devra :
● Accuser réception des DSARs dans les 5 jours ouvrables
● Coordonner avec les Sous-processeurs IA pour récupérer les données dans les 10 jours ouvrables
● Fournir une réponse consolidée au Responsable dans les 30 jours civils
● Assurer que les suppressions sont exécutées sur tous les systèmes et sous-processeurs
4.11.3 Coopération des Sous-processeurs
Tous les Sous-processeurs devront coopérer pleinement avec les demandes de DSAR sans facturer de frais supplémentaires pour des demandes raisonnables. -
TRANSFERTS INTERNATIONAUX DE DONNÉES
5.1 Cadre de protection des données EU-US
Dans la mesure où les données personnelles proviennent de l'UE ou du Royaume-Uni, le Processeur s'appuie sur le Cadre de protection des données EU-US et l'Extension UK pour un transfert international légal. Le Processeur est certifié selon les deux cadres.
5.2 Clauses contractuelles types
Pour les transferts non couverts par des décisions d'adéquation, le Processeur incorpore les Clauses contractuelles types par référence (Annexe D). Ces clauses s'appliquent à l'EEE, au Royaume-Uni et à d'autres juridictions nécessitant des garanties.
5.3 Transferts aux Sous-processeurs
Tous les Sous-processeurs, y compris les fournisseurs d'IA, sont contractuellement liés à des mécanismes de transfert équivalents. Le Processeur garantit des mesures de protection appropriées pour tous les transferts ultérieurs.
5.4 Évaluations d'impact des transferts
Le Processeur doit réaliser des Évaluations d'impact des transferts comme l'exige la loi et fournir une documentation sur demande. -
DURÉE ET RÉSILIATION
6.1 Date d'entrée en vigueur
Cet Accord est effectif à partir du 23 février 2026 et se poursuit pendant toute la durée de l'Accord de Service.
6.2 Résiliation
Lors de la résiliation ou de l'expiration de l'Accord de Service, le Traitant devra, à l'élection du Responsable :
● Supprimer toutes les Données Personnelles dans les 30 jours
● Retourner toutes les Données Personnelles dans un format structuré, couramment utilisé et lisible par machine
6.3 Obligations après résiliation
La confidentialité, la sécurité et les obligations d'audit survivent à la résiliation pour la période requise par la loi. -
RESPONSABILITÉ ET INDEMNISATION
7.1 Responsabilité du Traitant
Le Traitant est responsable des dommages causés par le non-respect des obligations en vertu de cet Accord, sous réserve des limitations de l'Accord de Service.
7.2 Indemnisation
Le Traitant doit indemniser et dégager le Responsable de toute réclamation de tiers résultant de la violation par le Traitant de la législation applicable en matière de protection des données.
7.3 Responsabilité des Sous-traitants
Le Traitant doit s'assurer que tous les Sous-traitants fournissent des obligations de responsabilité et d'indemnisation équivalentes. -
LOI APPLICABLE
Cet Accord sera régi et interprété conformément aux lois de la juridiction dans laquelle se trouve le Responsable, les lois applicables en matière de protection des données (RGPD, CCPA, etc.) prenant le pas.
ANNEXE A : CATÉGORIES DE DONNÉES PERSONNELLES
Les catégories suivantes de Données Personnelles peuvent être traitées par le Traitant :
● Données d'identification : Nom, adresse e-mail, numéro de téléphone, ID utilisateur, adresse IP
● Données de profil : Titre du poste, département, organisation, rôle, préférences
● Données d'utilisation : Fréquence de connexion, utilisation des fonctionnalités, durée des sessions, interactions
● Données de communication : Messages, historiques de chat, enregistrements de collaboration
● Données documentaires : Fichiers, documents et contenu téléchargés ou créés
● Données techniques : Informations sur le dispositif, type de navigateur, système d'exploitation, journaux système
● Données comportementales : Modèles d'engagement avec le service, adoption des fonctionnalités, analyses
● Données de transaction : Détails d'abonnement, informations de paiement (tokenisées)
● Données traitées par IA : Texte, documents ou contenu soumis aux fonctionnalités d'IA
Les catégories spécifiques traitées dépendent des services souscrits et sont détaillées dans l'Accord de Service.
ANNEXE B : SOUS-TRAITANTS AUTORISÉS
Les Sous-traitants suivants sont autorisés à traiter des Données Personnelles pour le compte du Responsable. Tous sont soumis à des Accords de Traitement de Données incorporant les exigences de cet Accord.
Nom du Sous-traitant Emplacement Objectif Garanties
Anthropic Claude API USA (San Francisco, CA) Traitement IA, analyse de texte, génération de contenu SOC 2 en cours, ISO 27001 en cours, DPA avec Data Privacy Framework
OpenAI USA (San Francisco, CA) Traitement IA, embeddings, inférence de modèles linguistiques SOC 2 en cours, ISO 27001 en cours, DPA avec SCCs
Google Gemini API USA (Multiple locations) Traitement IA, inférence multimodale SOC 2 en cours, ISO 27001 en cours, Google Cloud DPA
AWS (Fournisseur d'infrastructure) USA, UE (Sélection régionale) Stockage de données, ressources informatiques, sauvegarde et DR SOC 2 en cours, ISO 27001 en cours, DPA avec DPF
SendGrid (Services email) USA (Denver, CO) Livraison d'e-mails transactionnels et journalisation SOC 2 en cours, ISO 27001 en cours, conformité DPA
Tous les Sous-traitants IA sont contractuellement tenus de :
● Maintenir des DPAs alignés avec cet Accord
● Interdire l'utilisation des Données Personnelles des Clients pour l'entraînement de modèles (niveaux payants)
● Supprimer les invites dans les 24 heures, sauf pour la surveillance des abus (conservation de 30 jours)
● Fournir des rapports de progrès SOC 2 chaque année
● Informer le Processeur des violations de données dans les 48 heures
● Coopérer avec les demandes d'audit et les demandes des personnes concernées
Le Processeur doit fournir un préavis de 30 jours avant d'ajouter ou de retirer des Sous-processeurs.
ANNEXE C : MESURES TECHNIQUES ET ORGANISATIONNELLES
Le Processeur met en œuvre les mesures techniques et organisationnelles suivantes pour garantir une sécurité appropriée :
Mesures Techniques
● Chiffrement : chiffrement AES-256 pour les données au repos ; TLS 1.2+ pour les données en transit
● Contrôles d'Accès : RBAC, principe du moindre privilège, authentification multi-facteurs
● Authentification : Politiques de mot de passe robustes, intégration SSO, gestion des sessions
● Surveillance : Surveillance de la sécurité en temps réel, détection des intrusions, analyse des journaux
● Gestion des Vulnérabilités : Tests de pénétration, analyse des vulnérabilités, gestion des correctifs
● Sécurité Réseau : Pare-feux, protection DDoS, segmentation réseau
● Sauvegarde et Récupération : Sauvegardes automatisées quotidiennes, redondance géographique, procédures de récupération
Mesures Organisationnelles
● Formation du Personnel : Formation annuelle sur le RGPD et la protection des données
● Gestion des Accès : Contrôles des antécédents pour les employés ayant accès aux données
● Accords de Confidentialité : Tous les personnels signent des accords de confidentialité
● Réponse aux Incidents : Procédures documentées avec exercices réguliers
● Délégué à la Protection des Données : DPD nommé disponible (dpo@syntari.ai)
● Pistes de Vérification : Journalisation complète de tous les accès et modifications des données
● Gestion des Fournisseurs : Les Sous-processeurs subissent une évaluation de sécurité
Mesures de Sécurité Spécifiques à l'IA
● Isolation des Invites : Invites traitées dans des environnements isolés et éphémères
● Pas de Contamination Croisée : Données de différents clients jamais mélangées
● Filtrage des Métadonnées : Les métadonnées PII sont supprimées des journaux AI
● Validation des Sorties : Sorties examinées pour détection de fuite de données accidentelle
● Surveillance Continue : Surveillance des abus par le fournisseur d'IA pendant 30 jours
Certification et Conformité
● SOC 2 en cours : Audit annuel par des auditeurs indépendants
● ISO 27001 en cours : Système de gestion de la sécurité de l'information certifié
● Conformité au RGPD : Certifié par un avocat externe en protection des données
● Évaluations Régulières : Évaluations de sécurité par des tiers tous les 12 mois
ANNEXE D : CLAUSES CONTRACTUELLES STANDARD
Cette annexe incorpore les Clauses Contractuelles Standards ("CCS") comme mécanismes pour les transferts internationaux de données licites.
D.1 Champ d'application
Les CCS s'appliquent aux transferts de Données Personnelles depuis l'EEE, le Royaume-Uni ou d'autres juridictions nécessitant des protections supplémentaires vers des emplacements situés en dehors de ces juridictions.
D.2 Sélection du Module
Le Sous-traitant et le Responsable sont parties aux transferts du Responsable vers le Sous-traitant soumis au Module 2 des Clauses Contractuelles Types (C2P).
D.3 Clauses Incorporées
Les Clauses Contractuelles Types suivantes sont incorporées par référence :
● Clause 1 : Objectif et Durée
● Clause 2 : Détails du Traitement
● Clause 3 : Sous-traitance
● Clause 4 : Assistance aux Droits
● Clause 5 : Assistance aux Obligations
● Clause 6 : Suppression ou Retour
● Clause 7 : Droits d'Audit
● Clause 8 : Droits des Sujets de Données
● Clause 9 : Transferts Internationaux
● Clause 10 : Responsabilité du Sous-traitant
Texte complet disponible à : https://ec.europa.eu/commission/presscorner/detail/en/ip_21_2847
D.4 Certification du Cadre de Protection des Données
Le Sous-traitant est certifié sous le Cadre de Protection de la Vie Privée EU-US et l'Extension UK, fournissant un mécanisme d'adéquation alternatif pour les transferts couverts.
D.5 Évaluation de l'Adéquation
Le Sous-traitant a réalisé une évaluation de l'impact des transferts concluant que :
● La législation américaine offre des garanties adéquates par des protections juridiques et contractuelles
● Le Cadre de Protection de la Vie Privée offre des droits et recours robustes
● Des mesures techniques et organisationnelles fournissent une défense contre la surveillance de masse
D.6 Transferts de Sous-traitants
Tous les Sous-traitants s'engagent dans des mécanismes de transfert équivalents :
● Clauses Contractuelles Types (Module 2 ou Module 3)
● Certification du Cadre de Protection de la Vie Privée
● Règles Corporatives Contraignantes
● Décisions d'Adéquation
D.7 Recours et Application
Les sujets de données conservent tous les droits en vertu des CCT et peuvent poursuivre des réclamations contre le Sous-traitant dans la juridiction où le sujet de données est situé ou où le Sous-traitant est établi.
EXÉCUTION
Cet Accord de Traitement de Données est exécuté à compter du 23 février 2026.
POUR SYNTARI AI, INC. :
Représentant Autorisé
Titre : _____________________
Date : _____________________
POUR LE CLIENT :
Représentant Autorisé
Titre : _____________________
Date : _____________________
