Addendum de résidence des données

ADDENDUM DE RÉSIDENCE DES DONNÉES
Version 1.0
Date d'entrée en vigueur : 23 février 2026
Syntari International, Inc.
855 Boylston Street, Bureau 1000
Boston, MA 02116

OBJECTIF ET CHAMP D'APPLICATION
Cet Addendum de résidence des données (cet "Addendum") complète et est intégré dans le contrat de traitement des données (le "DPA") entre Syntari International, Inc. ("Société") et le Client, et régit les emplacements géographiques où les données des clients seront stockées, traitées et sauvegardées. Cet Addendum établit des exigences spécifiques de résidence des données, des options régionales disponibles et des mécanismes de conformité avec les réglementations applicables en matière de protection des données et de localisation.
Cet Addendum s'applique à toutes les données des clients traitées par la Société en lien avec la fourniture de la plateforme Syntari et de ses fonctionnalités basées sur l'IA, y compris, mais sans s'y limiter, aux analyses, recommandations et informations générées par des fournisseurs tiers d'IA.
DÉFINITIONS
En plus des termes définis dans le DPA, les définitions suivantes s'appliquent à cet Addendum :
"Résidence des données" : La ou les régions géographiques spécifiques où les données des clients sont stockées, sauvegardées et répliquées, comme spécifié dans une spécification de résidence des données.
"Localisation des données" : Exigences légales ou réglementaires qui obligent le lieu où certaines catégories de données doivent être stockées ou traitées.
"Lieu de traitement" : Toute localisation géographique où les données des clients sont accessibles, lues, analysées, transformées ou autrement traitées, y compris par des fournisseurs tiers d'IA.
"Lieu de stockage" : Le ou les centres de données physiques ou virtuels où les données des clients au repos sont conservées et stockées.
"Lieu de transit" : Le ou les chemins géographiques à travers lesquels les données des clients transitent lors de la transmission entre systèmes, services ou régions.
RÉSIDENCE DES DONNÉES PAR DÉFAUT
À moins que le Client n'ait sélectionné une option régionale alternative conformément à la section 5, les données des clients seront stockées et sauvegardées aux États-Unis comme suit :
3.1 Stockage principal
● AWS US-EAST-1 (Virginie, États-Unis)
● AWS US-WEST-2 (Oregon, États-Unis)
3.2 Sauvegarde et récupération après sinistre
● AWS US-EAST-2 (Ohio, États-Unis) pour redondance et basculement
3.3 Traitement par IA
Le traitement par IA par des fournisseurs tiers se déroule aux États-Unis, quelle que soit la région de stockage principal choisie par le Client (voir section 4 pour les détails).
LIEUX DE TRAITEMENT DES DONNÉES DES FOURNISSEURS D'IA
Syntari utilise des fournisseurs tiers d'IA pour alimenter ses analyses et ses fonctionnalités d'IA. Ce qui suit divulgue les principaux lieux de traitement pour chaque fournisseur :
Fournisseur d'IA Lieu de traitement principal Lieu secondaire
Anthropic (Claude) États-Unis (centres de données basés aux États-Unis) N/A – uniquement aux États-Unis
OpenAI (GPT) États-Unis (infrastructure basée aux États-Unis) N/A – uniquement aux États-Unis
Google Cloud AI (Gemini) États-Unis (configurable via les régions de Google Cloud) Disponible uniquement dans les régions des États-Unis pour Syntari

4.1 Conditions de traitement des données par le fournisseur d'IA
Les données clients traitées par les fournisseurs d'IA peuvent être temporairement conservées par ces derniers à des fins d'amélioration des services. Les conditions de conservation suivantes s'appliquent :
● Anthropic : les données peuvent être conservées jusqu'à 30 jours pour l'amélioration des modèles et la détection des abus
● OpenAI : les données peuvent être conservées selon la politique de conservation des données de l'API d'OpenAI (généralement 30 jours)
● Google Cloud AI : la conservation des données dépend des politiques et accords Google Cloud configurés
4.2 Divulgation du traitement
Le client reconnaît que l'utilisation des fonctionnalités d'IA constitue une opération de traitement des données par des fournisseurs d'IA tiers. Tout le traitement de l'IA a lieu aux États-Unis. Les données clients ne seront pas acheminées vers des fournisseurs d'IA non américains, sauf si le client en fait explicitement la demande et respecte les réglementations de transfert de données applicables.
5. OPTIONS RÉGIONALES DISPONIBLES
Pour répondre aux diverses exigences réglementaires et commerciales, Syntari propose les options de stockage régionales suivantes. Le traitement des données d'IA reste basé aux États-Unis, quelle que soit la sélection de la région de stockage. Le client doit spécifier sa région sélectionnée lors de l'intégration.
5.1 Région des États-Unis (Par défaut)
● Stockage : AWS US-EAST-1, US-WEST-2
● Sauvegarde : AWS US-EAST-2
● Traitement de l'IA : fournisseurs des États-Unis
● Disponibilité : tous les clients
5.2 Région de l'Union européenne (UE)
● Stockage : AWS EU-WEST-1 (Irlande), AWS EU-CENTRAL-1 (Francfort)
● Sauvegarde : régions AWS basées dans l'UE
● Traitement de l'IA : États-Unis (données transférées pour traitement d'IA selon la section 4)
● Disponibilité : clients UE/EEE soumis au RGPD
● Remarque : la sélection du stockage dans l'UE n'empêche pas le traitement de l'IA aux États-Unis
5.3 Région du Royaume-Uni (RU)
● Stockage : AWS EU-WEST-2 (Londres)
● Sauvegarde : régions AWS basées dans l'UE
● Traitement de l'IA : États-Unis (données transférées pour traitement d'IA)
● Disponibilité : clients britanniques soumis au RGPD britannique et à la loi sur la protection des données de 2018
5.4 Région du Canada
● Stockage : AWS CA-CENTRAL-1 (Canada Central)
● Sauvegarde : régions AWS basées au Canada
● Traitement de l'IA : États-Unis (données transférées pour traitement d'IA)
● Disponibilité : clients canadiens soumis à la LPRPDE et aux exigences réglementaires
5.5 Limitation importante
Le client reconnaît que, quelle que soit la région de stockage sélectionnée, l'utilisation des fonctionnalités d'IA entraînera un transfert de données vers et un traitement par des fournisseurs d'IA basés aux États-Unis. Si le client exige que les données ne transitent jamais vers les États-Unis, il doit désactiver toutes les fonctionnalités et fonctions de traitement d'IA.
6. MÉCANISMES DE TRANSFERT
Lorsque les données clients doivent être transférées entre les frontières, y compris de l'UE/EEE vers les États-Unis pour le traitement d'IA, la société s'appuie sur les mécanismes de transfert légal suivants :
6.1 Cadre de protection des données UE-États-Unis
Pour les transferts de données personnelles de l'UE/EEE vers les États-Unis, la société et ses sous-traitants de fournisseur d'IA s'appuient sur le cadre de protection des données UE-États-Unis (DPF), qui a remplacé le cadre Privacy Shield invalidé. Ce cadre établit l'adéquation de la protection des données aux États-Unis aux fins des restrictions de transfert de données de l'UE.
6.2 Clauses contractuelles types
En tant que mécanisme complémentaire, la société intègre les clauses contractuelles types (Module Deux : Responsable du traitement à Sous-traitant et Module Trois : Sous-traitant à Sous-sous-traitant) telles qu'adoptées par la Décision de la Commission 2021/914 du 4 juin 2021, avec toutes les mesures techniques et organisationnelles complémentaires nécessaires selon la décision CJEU Schrems II.
6.3 Accord sur le transfert international de données du Royaume-Uni
Pour les transferts de données personnelles britanniques vers les États-Unis, la société se conforme à l'Accord sur le transfert international de données du Royaume-Uni (UK IDTA) et intègre les clauses contractuelles types approuvées conformément à la législation britannique sur la protection des données.
6.4 Evaluations d'Impact sur le Transfert
La société a réalisé des Evaluations d'Impact sur les Transferts de Données (DTIAs) et des Evaluations d'Impact sur le Transfert (TIAs) évaluant le cadre juridique pour le transfert de données vers les États-Unis, y compris l'évaluation des lois de surveillance américaines et l'adéquation des mesures de protection. Les évaluations sont disponibles sur demande pour des audits réglementaires ou des Demandes d'Accès des Sujets de Données.
7. EXIGENCES RÉGLEMENTAIRES
Cet addendum reflète l'engagement de la société à se conformer aux réglementations sur la protection des données et la localisation applicables :
7.1 Articles 44-49 du RGPD
La société s'assure que les transferts de données personnelles depuis l'UE/EEE sont effectués uniquement sur la base de mécanismes de transfert légaux (DPF, SCC) comme l'exige le Chapitre V du RGPD. La société réalise des Evaluations d'Impact sur le Transfert pour chaque mécanisme de transfert.
7.2 Mesures Supplémentaires de Schrems II
Suite au jugement de la CJUE Schrems II, la société met en œuvre des mesures organisationnelles et techniques supplémentaires incluant :
● Chiffrement des données en transit et au repos lorsque cela est techniquement faisable
● Principes de minimisation des données pour le traitement par IA
● Pseudonymisation des données lorsque cela est applicable
● Contrôles d'accès restreints pour les demandes d'application de la loi étrangères
7.3 DORA (Loi sur la Résilience Opérationnelle Numérique)
Pour les clients des services financiers, la société se conforme aux exigences de DORA concernant la résilience opérationnelle, la gestion des risques liés aux tiers et les rapports d'incidents ICT, y compris la résilience basée sur la localisation des centres de données critiques.
7.4 Localization des Données Réglementaires en Assurance
La société reconnaît que les régulateurs d'assurance dans diverses juridictions (y compris certains états américains) peuvent imposer des exigences de localisation des données. Le client est responsable de l'identification et de la communication des mandats de localisation applicables à la société. La société travaillera avec le client pour mettre en œuvre des configurations de stockage conformes.
7.5 APRA CPS 234 (Australie)
Pour les clients des services financiers en Australie, la société reconnaît la Norme Prudente CPS 234 de l'Autorité de Régulation Prudente Australienne (APRA) concernant la résidence des données critiques en Australie. Les clients soumis à l'APRA CPS 234 ne doivent pas sélectionner des régions de stockage aux États-Unis ou en Europe sans approbation réglementaire explicite et doivent contacter la société pour la disponibilité des régions australiennes (si disponible).
8. CONTRÔLES CLIENT
8.1 Sélection de la Région des Données
Le client peut choisir sa région de stockage de données préférée lors de l'intégration. Le choix de la région doit être fait en tenant compte des exigences réglementaires applicables et des besoins commerciaux. Le choix de la région est documenté dans la Spécification de Résidence des Données.
8.2 Migration de la Région
Le client peut demander la migration des données vers une région alternative. Les demandes de migration de région doivent être soumises à privacy@syntari.ai. La société fournira un calendrier et une évaluation d'impact pour la migration demandée. Les délais de migration varient selon le volume de données et peuvent nécessiter une fenêtre de service.
8.3 Vérification et Certification de la Résidence des Données
Sur demande, la société fournira une certification de la résidence des données, incluant :
● Confirmation des emplacements de stockage principal et de sauvegarde
● Attestation des certifications des centres de données (SOC 2 en cours, ISO 27001 en cours, etc.)
● Carte des routes réseau utilisées pour la transmission de données
8.4 Droits d'Audit pour la Localisation des Données
Le client conserve le droit d'auditer les pratiques de résidence des données et les emplacements de stockage de la société, soit par le biais des rapports d'audit tiers de la société (SOC 2 en cours, etc.) soit par un audit direct. Les demandes d'audit doivent être soumises à dpo@syntari.ai et seront soumises aux procédures d'audit habituelles et aux protections de confidentialité.
9. TRANSPARENCE DU TRAITEMENT PAR IA
9.1 Diffusion des Lieux de Traitement par IA
La société divulgue que toutes les fonctionnalités d'IA impliquent la transmission de Données Client à des fournisseurs d'IA tiers situés aux États-Unis, y compris :
● Anthropic (Claude) – traitement basé aux États-Unis
● OpenAI (GPT) – traitement basé aux États-Unis
● Google Cloud AI (Gemini) – traitement basé aux États-Unis
9.2 Conservation et Suppression des Fournisseurs d'IA
Les données des clients transmises aux fournisseurs d'IA peuvent être conservées temporairement (jusqu'à 30 jours pour Anthropic et OpenAI) pour l'amélioration des services et la détection des abus. Après la période de conservation, les fournisseurs d'IA supprimeront ou anonymiseront ces données. La société ne contrôle pas la conservation par les fournisseurs d'IA au-delà des termes de nos accords avec ces derniers.
9.3 Notification des Clients concernant les Changements de Localisation des Fournisseurs d'IA
Si un fournisseur d'IA change son emplacement principal de traitement en dehors des États-Unis, ou étend le traitement à des emplacements non américains, la société informera le client par écrit dans les plus brefs délais (dans les 10 jours ouvrables suivant la prise de connaissance de ce changement)privacy@syntari.ai et dpo@syntari.ai (le cas échéant). Le client peut alors demander des fournisseurs d'IA alternatifs ou se désinscrire des fonctionnalités IA.
9.4 Désinscription de Fournisseurs d'IA Spécifiques
Le client peut se désinscrire de fournisseurs d'IA spécifiques en fonction de préoccupations relatives à la localisation des données. Pour se désinscrire, le client doit soumettre une demande à privacy@syntari.ai en spécifiant quels fournisseur(s) exclure. La société configurera la plateforme Syntari pour désactiver les fonctionnalités alimentées par les fournisseur(s) exclus. Les demandes de désinscription peuvent affecter la disponibilité ou la fonctionnalité des fonctionnalités.
10. GESTION DE L'EMPLACEMENT DES SOUS-TRAITANTS
10.1 Exigences concernant l'Emplacement des Sous-traitants
La société peut engager des sous-traitants pour aider au traitement des données. Tous les sous-traitants doivent conserver les données des clients dans des emplacements conformes à cet addendum (ou dans les emplacements spécifiés par le client). Les sous-traitants doivent disposer de garanties techniques et organisationnelles adéquates pour la protection des données.
10.2 Notification des Changements de Sous-traitants
La société informera le client par écrit de tout changement d'emplacement des sous-traitants, y compris l'ajout de nouveaux sous-traitants ou le déménagement de sous-traitants existants, au moins 30 jours à l'avance. La notification sera envoyée à l'adresse e-mail du client enregistrée.
10.3 Droits d'Objection des Clients
Après réception d'une notification de changement de localisation d'un sous-traitant, le client peut s'opposer à la nouvelle localisation dans les 15 jours en contactant privacy@syntari.ai. Les motifs d'objection incluent des préoccupations concernant l'adéquation de la protection des données dans la nouvelle localisation. La société travaillera avec le client pour traiter les objections, ce qui peut inclure la proposition de sous-traitants alternatifs ou d'emplacements de stockage.
11. ACCÈS ET SURVEILLANCE GOUVERNEMENTAUX
11.1 Rapports de Transparence
La société reconnait que les données stockées aux États-Unis peuvent être soumises à l'accès par des agences gouvernementales américaines en vertu de la loi américaine, y compris le FISA, le Patriot Act et des autorités connexes. La société publie des rapports de transparence concernant les demandes de données gouvernementales. Les rapports de transparence actuels et passés sont disponibles à /legal/ai-transparency-statement (ou emplacement équivalent).
11.2 Notification aux Clients
Lorsque la loi le permet, la société notifiera le client des demandes de données gouvernementales dans un délai raisonnable. Les notifications comprendront la nature de la demande, l'agence demandeuse et l'étendue des données demandées. Le client aura l'occasion de chercher des recours juridiques là où la loi le permet.
11.3 Engagements de Contre-Appel Juridique
La société s'engage à contester les demandes de données gouvernementales trop larges ou déraisonnables dans la mesure permise par la loi. La société ne divulguera pas volontairement les données des clients aux agences gouvernementales sans procédure légale, sauf si la loi l'exige.
11.4 Mesures Techniques Supplémentaires
Pour atténuer les risques d'accès gouvernemental, la société met en œuvre des mesures supplémentaires, y compris :
● Chiffrement des données en transit et au repos (lorsqu'il est techniquement et commercialement faisable)
● Pseudonymisation et tokenisation des données personnelles sensibles
● Contrôles d'accès limitant la visibilité des données brutes des clients au personnel essentiel uniquement
● Minimisation des données dans le traitement IA (limitant les données transmises aux fournisseurs d'IA)
12. RAPPORT DE LOCALISATION DES VIOLATIONS ET INCIDENCES
12.1 Notification de Violations Spécifiques à la Localisation
En cas de violation de données ou d'incident de sécurité affectant les données des clients, la société notifiera le client, ce qui inclut :
● Identification de l'emplacement ou des emplacements de stockage ou de traitement où l'incident s'est produit
● Date et heure de la découverte de l'incident
● Portée et nature de la violation, y compris les types de données affectées
● Mesures prises pour sécuriser et récupérer les données
● Délai prévu pour la remédiation
12.2 Notification réglementaire par juridiction
La société soutiendra les obligations de notification réglementaire du client en fournissant les informations nécessaires pour les notifications de violation aux autorités de la juridiction du client, y compris :
● Autorités de protection des données de l'UE/EEE (notifications des articles 33 et 34 du RGPD)
● Bureau du Commissaire à l'information du Royaume-Uni (notifications du RGPD britannique et de la DPA 2018)
● Commissaires à la vie privée canadiens (notifications PIPEDA)
● Procureurs généraux des États américains (notifications des lois étatiques de notification des violations)
● Organismes de réglementation des assurances
● Autorités de réglementation des services financiers
12.3 Délai de notification au client
La société fournira une notification initiale de violation au client dans les 48 heures suivant la découverte de l'incident, ou comme exigé par la loi applicable, selon ce qui survient en premier. Des rapports détaillés de suivi concernant l'incident seront fournis dans les 10 jours ouvrables suivant la notification initiale.
13. DURÉE ET RÉSILIATION
Cet addenda prend effet à la date d'entrée en vigueur et se poursuit pendant la durée de la DPA. À la résiliation de la DPA, les obligations de la société en vertu de cet addenda cessent, sauf que la société continuera de respecter les obligations de suppression des données concernant les données du client comme prévu dans la DPA.
14. AMENDEMENT ET MODIFICATION
La société peut modifier cet addenda après un préavis écrit de 30 jours au client. Les modifications matérielles concernant la résidence des données, les mécanismes de transfert ou la conformité réglementaire seront soumises au droit d'opposition du client selon les procédures de sous-traitance de la DPA (Section 10.3). L'utilisation continue de la plateforme Syntari après la période de modification constitue une acceptation des termes modifiés.
15. INFORMATIONS DE CONTACT
Pour toute question concernant la résidence des données, les options régionales ou la conformité avec cet addenda, le client doit contacter :

Protection de la vie privée et des données :
Email : privacy@syntari.ai
Délégué à la protection des données :
Email : dpo@syntari.ai
Sécurité et réponse aux incidents :
Email : security@syntari.ai
16. INTÉGRALITÉ DE L'ACCORD
Cet addenda constitue l'intégralité de l'accord entre la société et le client concernant la résidence des données et le lieu de traitement. En cas de conflit entre cet addenda et la DPA, les dispositions de cet addenda prévaudront en ce qui concerne les questions de résidence des données.