# Addendum de résidence des données | Syntari

Source: https://syntari-ai.com/fr/legal/data-residency-addendum

LÉGAL
Addendum de résidence des données
← Toutes les politiques légales
ADDENDUM DE RÉSIDENCE DES DONNÉES Version 1.0 Date d'entrée en vigueur : 23 février 2026 Syntari International, Inc. 855 Boylston Street, Bureau 1000 Boston, MA 02116
OBJECTIF ET CHAMP D'APPLICATION Cet Addendum de résidence des données (cet "Addendum") complète et est intégré dans le contrat de traitement des données (le "DPA") entre Syntari International, Inc. ("Société") et le Client, et régit les emplacements géographiques où les données des clients seront stockées, traitées et sauvegardées. Cet Addendum établit des exigences spécifiques de résidence des données, des options régionales disponibles et des mécanismes de conformité avec les réglementations applicables en matière de protection des données et de localisation. Cet Addendum s'applique à toutes les données des clients traitées par la Société en lien avec la fourniture de la plateforme Syntari et de ses fonctionnalités basées sur l'IA, y compris, mais sans s'y limiter, aux analyses, recommandations et informations générées par des fournisseurs tiers d'IA.
DÉFINITIONS En plus des termes définis dans le DPA, les définitions suivantes s'appliquent à cet Addendum : "Résidence des données" : La ou les régions géographiques spécifiques où les données des clients sont stockées, sauvegardées et répliquées, comme spécifié dans une spécification de résidence des données. "Localisation des données" : Exigences légales ou réglementaires qui obligent le lieu où certaines catégories de données doivent être stockées ou traitées. "Lieu de traitement" : Toute localisation géographique où les données des clients sont accessibles, lues, analysées, transformées ou autrement traitées, y compris par des fournisseurs tiers d'IA. "Lieu de stockage" : Le ou les centres de données physiques ou virtuels où les données des clients au repos sont conservées et stockées. "Lieu de transit" : Le ou les chemins géographiques à travers lesquels les données des clients transitent lors de la transmission entre systèmes, services ou régions.
RÉSIDENCE DES DONNÉES PAR DÉFAUT À moins que le Client n'ait sélectionné une option régionale alternative conformément à la section 5, les données des clients seront stockées et sauvegardées aux États-Unis comme suit : 3.1 Stockage principal ● AWS US-EAST-1 (Virginie, États-Unis) ● AWS US-WEST-2 (Oregon, États-Unis) 3.2 Sauvegarde et récupération après sinistre ● AWS US-EAST-2 (Ohio, États-Unis) pour redondance et basculement 3.3 Traitement par IA Le traitement par IA par des fournisseurs tiers se déroule aux États-Unis, quelle que soit la région de stockage principal choisie par le Client (voir section 4 pour les détails).
LIEUX DE TRAITEMENT DES DONNÉES DES FOURNISSEURS D'IA Syntari utilise des fournisseurs tiers d'IA pour alimenter ses analyses et ses fonctionnalités d'IA. Ce qui suit divulgue les principaux lieux de traitement pour chaque fournisseur : Fournisseur d'IA Lieu de traitement principal Lieu secondaire Anthropic (Claude) États-Unis (centres de données basés aux États-Unis) N/A – uniquement aux États-Unis OpenAI (GPT) États-Unis (infrastructure basée aux États-Unis) N/A – uniquement aux États-Unis Google Cloud AI (Gemini) États-Unis (configurable via les régions de Google Cloud) Disponible uniquement dans les régions des États-Unis pour Syntari
4.1 Conditions de traitement des données par le fournisseur d'IA Les données clients traitées par les fournisseurs d'IA peuvent être temporairement conservées par ces derniers à des fins d'amélioration des services. Les conditions de conservation suivantes s'appliquent : ● Anthropic : les données peuvent être conservées jusqu'à 30 jours pour l'amélioration des modèles et la détection des abus ● OpenAI : les données peuvent être conservées selon la politique de conservation des données de l'API d'OpenAI (généralement 30 jours) ● Google Cloud AI : la conservation des données dépend des politiques et accords Google Cloud configurés 4.2 Divulgation du traitement Le client reconnaît que l'utilisation des fonctionnalités d'IA constitue une opération de traitement des données par des fournisseurs d'IA tiers. Tout le traitement de l'IA a lieu aux États-Unis. Les données clients ne seront pas acheminées vers des fournisseurs d'IA non américains, sauf si le client en fait explicitement la demande et respecte les réglementations de transfert de données applicables. 5. OPTIONS RÉGIONALES DISPONIBLES Pour répondre aux diverses exigences réglementaires et commerciales, Syntari propose les options de stockage régionales suivantes. Le traitement des données d'IA reste basé aux États-Unis, quelle que soit la sélection de la région de stockage. Le client doit spécifier sa région sélectionnée lors de l'intégration. 5.1 Région des États-Unis (Par défaut) ● Stockage : AWS US-EAST-1, US-WEST-2 ● Sauvegarde : AWS US-EAST-2 ● Traitement de l'IA : fournisseurs des États-Unis ● Disponibilité : tous les clients 5.2 Région de l'Union européenne (UE) ● Stockage : AWS EU-WEST-1 (Irlande), AWS EU-CENTRAL-1 (Francfort) ● Sauvegarde : régions AWS basées dans l'UE ● Traitement de l'IA : États-Unis (données transférées pour traitement d'IA selon la section 4) ● Disponibilité : clients UE/EEE soumis au RGPD ● Remarque : la sélection du stockage dans l'UE n'empêche pas le traitement de l'IA aux États-Unis 5.3 Région du Royaume-Uni (RU) ● Stockage : AWS EU-WEST-2 (Londres) ● Sauvegarde : régions AWS basées dans l'UE ● Traitement de l'IA : États-Unis (données transférées pour traitement d'IA) ● Disponibilité : clients britanniques soumis au RGPD britannique et à la loi sur la protection des données de 2018 5.4 Région du Canada ● Stockage : AWS CA-CENTRAL-1 (Canada Central) ● Sauvegarde : régions AWS basées au Canada ● Traitement de l'IA : États-Unis (données transférées pour traitement d'IA) ● Disponibilité : clients canadiens soumis à la LPRPDE et aux exigences réglementaires 5.5 Limitation importante Le client reconnaît que, quelle que soit la région de stockage sélectionnée, l'utilisation des fonctionnalités d'IA entraînera un transfert de données vers et un traitement par des fournisseurs d'IA basés aux États-Unis. Si le client exige que les données ne transitent jamais vers les États-Unis, il doit désactiver toutes les fonctionnalités et fonctions de traitement d'IA. 6. MÉCANISMES DE TRANSFERT Lorsque les données clients doivent être transférées entre les frontières, y compris de l'UE/EEE vers les États-Unis pour le traitement d'IA, la société s'appuie sur les mécanismes de transfert légal suivants : 6.1 Cadre de protection des données UE-États-Unis Pour les transferts de données personnelles de l'UE/EEE vers les États-Unis, la société et ses sous-traitants de fournisseur d'IA s'appuient sur le cadre de protection des données UE-États-Unis (DPF), qui a remplacé le cadre Privacy Shield invalidé. Ce cadre établit l'adéquation de la protection des données aux États-Unis aux fins des restrictions de transfert de données de l'UE. 6.2 Clauses contractuelles types En tant que mécanisme complémentaire, la société intègre les clauses contractuelles types (Module Deux : Responsable du traitement à Sous-traitant et Module Trois : Sous-traitant à Sous-sous-traitant) telles qu'adoptées par la Décision de la Commission 2021/914 du 4 juin 2021, avec toutes les mesures techniques et organisationnelles complémentaires nécessaires selon la décision CJEU Schrems II. 6.3 Accord sur le transfert international de données du Royaume-Uni Pour les transferts de données personnelles britanniques vers les États-Unis, la société se conforme à l'Accord sur le transfert international de données du Royaume-Uni (UK IDTA) et intègre les clauses contractuelles types approuvées conformément à la législation britannique sur la protection des données. 6.4 Evaluations d'Impact sur le Transfert La société a réalisé des Evaluations d'Impact sur les Transferts de Données (DTIAs) et des Evaluations d'Impact sur le Transfert (TIAs) évaluant le cadre juridique pour le transfert de données vers les États-Unis, y compris l'évaluation des lois de surveillance américaines et l'adéquation des mesures de protection. Les évaluations sont disponibles sur demande pour des audits réglementaires ou des Demandes d'Accès des Sujets de Données. 7. EXIGENCES RÉGLEMENTAIRES Cet addendum reflète l'engagement de la société à se conformer aux réglementations sur la protection des données et la localisation applicables : 7.1 Articles 44-49 du RGPD La société s'assure que les transferts de données personnelles depuis l'UE/EEE sont effectués uniquement sur la base de mécanismes de transfert légaux (DPF, SCC) comme l'exige le Chapitre V du RGPD. La société réalise des Evaluations d'Impact sur le Transfert pour chaque mécanisme de transfert. 7.2 Mesures Supplémentaires de Schrems II Suite au jugement de la CJUE Schrems II, la société met en œuvre des mesures organisationnelles et techniques supplémentaires incluant : ● Chiffrement des données en transit et au repos lorsque cela est techniquement faisable ● Principes de minimisation des données pour le traitement par IA ● Pseudonymisation des données lorsque cela est applicable ● Contrôles d'accès restreints pour les demandes d'application de la loi étrangères 7.3 DORA (Loi sur la Résilience Opérationnelle Numérique) Pour les clients des services financiers, la société se conforme aux exigences de DORA concernant la résilience opérationnelle, la gestion des risques liés aux tiers et les rapports d'incidents ICT, y compris la résilience basée sur la localisation des centres de données critiques. 7.4 Localization des Données Réglementaires en Assurance La société reconnaît que les régulateurs d'assurance dans diverses juridictions (y compris certains états américains) peuvent imposer des exigences de localisation des données. Le client est responsable de l'identification et de la communication des mandats de localisation applicables à la société. La société travaillera avec le client pour mettre en œuvre des configurations de stockage conformes. 7.5 APRA CPS 234 (Australie) Pour les clients des services financiers en Australie, la société reconnaît la Norme Prudente CPS 234 de l'Autorité de Régulation Prudente Australienne (APRA) concernant la résidence des données critiques en Australie. Les clients soumis à l'APRA CPS 234 ne doivent pas sélectionner des régions de stockage aux États-Unis ou en Europe sans approbation réglementaire explicite et doivent contacter la société pour la disponibilité des régions australiennes (si disponible). 8. CONTRÔLES CLIENT 8.1 Sélection de la Région des Données Le client peut choisir sa région de stockage de données préférée lors de l'intégration. Le choix de la région doit être fait en tenant compte des exigences réglementaires applicables et des besoins commerciaux. Le choix de la région est documenté dans la Spécification de Résidence des Données. 8.2 Migration de la Région Le client peut demander la migration des données vers une région alternative. Les demandes de migration de région doivent être soumises à privacy@syntari.ai . La société fournira un calendrier et une évaluation d'impact pour la migration demandée. Les délais de migration varient selon le volume de données et peuvent nécessiter une fenêtre de service. 8.3 Vérification et Certification de la Résidence des Données Sur demande, la société fournira une certification de la résidence des données, incluant : ● Confirmation des emplacements de stockage principal et de sauvegarde ● Attestation des certifications des centres de données (SOC 2 en cours, ISO 27001 en cours, etc.) ● Carte des routes réseau utilisées pour la transmission de données 8.4 Droits d'Audit pour la Localisation des Données Le client conserve le droit d'auditer les pratiques de résidence des données et les emplacements de stockage de la société, soit par le biais des rapports d'audit tiers de la société (SOC 2 en cours, etc.) soit par un audit direct. Les demandes d'audit doivent être soumises à dpo@syntari.ai et seront soumises aux procédures d'audit habituelles et aux protections de confidentialité. 9. TRANSPARENCE DU TRAITEMENT PAR IA 9.1 Diffusion des Lieux de Traitement par IA La société divulgue que toutes les fonctionnalités d'IA impliquent la transmission de Données Client à des fournisseurs d'IA tiers situés aux États-Unis, y compris : ● Anthropic (Claude) – traitement basé aux États-Unis ● OpenAI (GPT) – traitement basé aux États-Unis ● Google Cloud AI (Gemini) – traitement basé aux États-Unis 9.2 Conservation et Suppression des Fournisseurs d'IA Les données des clients transmises aux fournisseurs d'IA peuvent être conservées temporairement (jusqu'à 30 jours pour Anthropic et OpenAI) pour l'amélioration des services et la détection des abus. Après la période de conservation, les fournisseurs d'IA supprimeront ou anonymiseront ces données. La société ne contrôle pas la conservation par les fournisseurs d'IA au-delà des termes de nos accords avec ces derniers. 9.3 Notification des Clients concernant les Changements de Localisation des Fournisseurs d'IA Si un fournisseur d'IA change son emplacement principal de traitement en dehors des États-Unis, ou étend le traitement à des emplacements non américains, la société informera le client par écrit dans les plus brefs délais (dans les 10 jours ouvrables suivant la prise de connaissance de ce changement) privacy@syntari.ai et dpo@syntari.ai (le cas échéant). Le client peut alors demander des fournisseurs d'IA alternatifs ou se désinscrire des fonctionnalités IA. 9.4 Désinscription de Fournisseurs d'IA Spécifiques Le client peut se désinscrire de fournisseurs d'IA spécifiques en fonction de préoccupations relatives à la localisation des données. Pour se désinscrire, le client doit soumettre une demande à privacy@syntari.ai en spécifiant quels fournisseur(s) exclure. La société configurera la plateforme Syntari pour désactiver les fonctionnalités alimentées par les fournisseur(s) exclus. Les demandes de désinscription peuvent affecter la disponibilité ou la fonctionnalité des fonctionnalités. 10. GESTION DE L'EMPLACEMENT DES SOUS-TRAITANTS 10.1 Exigences concernant l'Emplacement des Sous-traitants La société peut engager des sous-traitants pour aider au traitement des données. Tous les sous-traitants doivent conserver les données des clients dans des emplacements conformes à cet addendum (ou dans les emplacements spécifiés par le client). Les sous-traitants doivent disposer de garanties techniques et organisationnelles adéquates pour la protection des données. 10.2 Notification des Changements de Sous-traitants La société informera le client par écrit de tout changement d'emplacement des sous-traitants, y compris l'ajout de nouveaux sous-traitants ou le déménagement de sous-traitants existants, au moins 30 jours à l'avance. La notification sera envoyée à l'adresse e-mail du client enregistrée. 10.3 Droits d'Objection des Clients Après réception d'une notification de changement de localisation d'un sous-traitant, le client peut s'opposer à la nouvelle localisation dans les 15 jours en contactant privacy@syntari.ai . Les motifs d'objection incluent des préoccupations concernant l'adéquation de la protection des données dans la nouvelle localisation. La société travaillera avec le client pour traiter les objections, ce qui peut inclure la proposition de sous-traitants alternatifs ou d'emplacements de stockage. 11. ACCÈS ET SURVEILLANCE GOUVERNEMENTAUX 11.1 Rapports de Transparence La société reconnait que les données stockées aux États-Unis peuvent être soumises à l'accès par des agences gouvernementales américaines en vertu de la loi américaine, y compris le FISA, le Patriot Act et des autorités connexes. La société publie des rapports de transparence concernant les demandes de données gouvernementales. Les rapports de transparence actuels et passés sont disponibles à /legal/ai-transparency-statement (ou emplacement équivalent). 11.2 Notification aux Clients Lorsque la loi le permet, la société notifiera le client des demandes de données gouvernementales dans un délai raisonnable. Les notifications comprendront la nature de la demande, l'agence demandeuse et l'étendue des données demandées. Le client aura l'occasion de chercher des recours juridiques là où la loi le permet. 11.3 Engagements de Contre-Appel Juridique La société s'engage à contester les demandes de données gouvernementales trop larges ou déraisonnables dans la mesure permise par la loi. La société ne divulguera pas volontairement les données des clients aux agences gouvernementales sans procédure légale, sauf si la loi l'exige. 11.4 Mesures Techniques Supplémentaires Pour atténuer les risques d'accès gouvernemental, la société met en œuvre des mesures supplémentaires, y compris : ● Chiffrement des données en transit et au repos (lorsqu'il est techniquement et commercialement faisable) ● Pseudonymisation et tokenisation des données personnelles sensibles ● Contrôles d'accès limitant la visibilité des données brutes des clients au personnel essentiel uniquement ● Minimisation des données dans le traitement IA (limitant les données transmises aux fournisseurs d'IA) 12. RAPPORT DE LOCALISATION DES VIOLATIONS ET INCIDENCES 12.1 Notification de Violations Spécifiques à la Localisation En cas de violation de données ou d'incident de sécurité affectant les données des clients, la société notifiera le client, ce qui inclut : ● Identification de l'emplacement ou des emplacements de stockage ou de traitement où l'incident s'est produit ● Date et heure de la découverte de l'incident ● Portée et nature de la violation, y compris les types de données affectées ● Mesures prises pour sécuriser et récupérer les données ● Délai prévu pour la remédiation 12.2 Notification réglementaire par juridiction La société soutiendra les obligations de notification réglementaire du client en fournissant les informations nécessaires pour les notifications de violation aux autorités de la juridiction du client, y compris : ● Autorités de protection des données de l'UE/EEE (notifications des articles 33 et 34 du RGPD) ● Bureau du Commissaire à l'information du Royaume-Uni (notifications du RGPD britannique et de la DPA 2018) ● Commissaires à la vie privée canadiens (notifications PIPEDA) ● Procureurs généraux des États américains (notifications des lois étatiques de notification des violations) ● Organismes de réglementation des assurances ● Autorités de réglementation des services financiers 12.3 Délai de notification au client La société fournira une notification initiale de violation au client dans les 48 heures suivant la découverte de l'incident, ou comme exigé par la loi applicable, selon ce qui survient en premier. Des rapports détaillés de suivi concernant l'incident seront fournis dans les 10 jours ouvrables suivant la notification initiale. 13. DURÉE ET RÉSILIATION Cet addenda prend effet à la date d'entrée en vigueur et se poursuit pendant la durée de la DPA. À la résiliation de la DPA, les obligations de la société en vertu de cet addenda cessent, sauf que la société continuera de respecter les obligations de suppression des données concernant les données du client comme prévu dans la DPA. 14. AMENDEMENT ET MODIFICATION La société peut modifier cet addenda après un préavis écrit de 30 jours au client. Les modifications matérielles concernant la résidence des données, les mécanismes de transfert ou la conformité réglementaire seront soumises au droit d'opposition du client selon les procédures de sous-traitance de la DPA (Section 10.3). L'utilisation continue de la plateforme Syntari après la période de modification constitue une acceptation des termes modifiés. 15. INFORMATIONS DE CONTACT Pour toute question concernant la résidence des données, les options régionales ou la conformité avec cet addenda, le client doit contacter :
Protection de la vie privée et des données : Email : privacy@syntari.ai Délégué à la protection des données : Email : dpo@syntari.ai Sécurité et réponse aux incidents : Email : security@syntari.ai 16. INTÉGRALITÉ DE L'ACCORD Cet addenda constitue l'intégralité de l'accord entre la société et le client concernant la résidence des données et le lieu de traitement. En cas de conflit entre cet addenda et la DPA, les dispositions de cet addenda prévaudront en ce qui concerne les questions de résidence des données.
© 2026 Syntari International, Inc. Tous droits réservés.