AVIS GDPR ET ADDENDUM
VERSION 3.0
Date d'entrée en vigueur : 23 février 2026
Syntari International, Inc.
855 Boylston Street, Suite 1000
Boston, MA 02116
© 2026 Syntari International, Inc. Tous droits réservés.
-
OBJET ET PORTÉE DU DOCUMENT
Cet Avis GDPR et Addendum ("Avis") complète et met à jour les politiques de confidentialité et les accords de traitement des données de Syntari International, Inc. ("Société", "Contrôleur des données" ou "nous") pour répondre à la conformité avec :
● Règlement (UE) 2016/679 (Règlement général sur la protection des données - RGPD)
● Règlement (UE) 2023/1230 (Loi sur l'IA de l'UE)
● Le Cadre de protection des données UE-États-Unis (DPF) et Extension au Royaume-Uni
● Loi britannique sur la protection des données de 2018 et RGPD britannique
● Loi fédérale suisse sur la protection des données (nFADP)
● Accord international sur le transfert de données au Royaume-Uni (UK IDTA)
Cet Avis est spécifiquement conçu pour les personnes concernées et les contrôleurs traitant des données personnelles via la plateforme de conseil en gestion native à l'IA de Syntari. -
INFORMATIONS SUR LE CONTRÔLEUR DES DONNÉES
2.1 Contact principal
Informations sur le rôle de contact
Délégué à la protection des donnéesdpo@syntari.ai
Responsable de la vie privéeprivacy@syntari.ai
Représentant de l'UEeu-representative@syntari.ai
Représentant du Royaume-Uniuk-representative@syntari.ai
Adresse postale 855 Boylston Street, Suite 1000, Boston, MA 02116, USA
2.2 Désignation du contrôleur des données
Aux fins du RGPD et du RGPD britannique, Syntari International, Inc. agit en tant que Contrôleur des données pour les données personnelles traitées via la plateforme. Lorsque des données personnelles sont traitées à la fois par la Société et nos clients, nous pouvons agir en tant que Contrôleur conjoint comme précisé dans la Section 9. -
CATÉGORIES DE DONNÉES PERSONNELLES TRAITÉES
3.1 Données personnelles standard
● Informations d'identité (nom, email, titre, organisation)
● Informations de contact (téléphone, adresse physique, adresse IP)
● Titres professionnels et antécédents professionnels
● Données d'authentification (mot de passe, clés API, tokens de session)
● Journaux d'activité et analyses du comportement des utilisateurs
3.2 Données personnelles spécifiques à l'IA
● Invites et requêtes soumises par les utilisateurs aux systèmes d'IA
● Sorties et recommandations générées par l'IA
● Journaux de conversation et historique des interactions
● Préférences utilisateur pour la sélection et les paramètres du modèle IA
● Métadonnées liées au traitement par l'IA (horodatages, versions du modèle, journaux d'inférence)
● Informations sur l'origine des données d'entraînement
3.3 Catégories Spéciales
● Données de santé (lorsqu'elles sont fournies dans des contextes de consultation)
● Mesures de diversité et d'inclusion (lorsqu'elles sont pertinentes pour les engagements de consultation) -
BASES JURIDIQUES DE TRAITEMENT (ARTICLE 6 RGPD)
Nous traitons des données personnelles sur les bases légales suivantes :
● Nécessité contractuelle : Traitement nécessaire pour exécuter les services que vous avez demandés
● Intérêts légitimes : Analytique, sécurité, prévention de la fraude et amélioration des services
● Obligation légale : Conformité aux exigences fiscales, d'emploi et réglementaires
● Consentement : Pour les communications marketing et les fonctionnalités de service optionnelles (le cas échéant)
● Intérêt public : Recommandations de consultation qui promeuvent les meilleures pratiques de l'industrie des services professionnels
4.1 Test d'équilibre de l'intérêt légitime pour le traitement par IA
Lors du traitement des données personnelles via des systèmes IA, nous procédons au test d'équilibre suivant :
● Évaluation de la nécessité : Si le traitement par IA est le moyen le moins intrusif d'atteindre l'objectif
● Examen de la proportionnalité : Bénéfice pour la personne concernée et l'entreprise par rapport à l'impact sur la vie privée
● Analyse des attentes raisonnables : Si la personne concernée s'attendrait raisonnablement à un tel traitement
● Minimisation des données : Utiliser uniquement les données nécessaires pour former, affiner ou faire fonctionner les modèles d'IA
● Mesures de transparence : Divulgation claire de l'implication de l'IA dans la prise de décision -
TRANSFERTS INTERNATIONAUX DE DONNÉES
5.1 Cadre de Protection des Données UE-États-Unis (DPF)
Syntari International, Inc. se conforme au Cadre de Protection des Données UE-États-Unis (DPF) tel que défini par le Département du Commerce des États-Unis, concernant le traitement des données personnelles transférées de l'Union Européenne et du Royaume-Uni vers les États-Unis.
● Certification DPF : Syntari AI est certifié selon le DPF
● Extension de la LPD Suisse : Nous nous conformons également à l'extension Suisse du DPF pour les données personnelles suisses
● Responsabilité : Nous restons responsables si nous ne respectons pas les principes du DPF
● Mise en application : Sous le contrôle de l'autorité d'enquête de la Federal Trade Commission (FTC) des États-Unis
5.2 Clauses Contractuelles Standards (CCS)
Lorsque le DPF est insuffisant ou pour une protection complémentaire, nous nous appuyons sur des Clauses Contractuelles Standards (Décision de la Commission 2021/914) pour les transferts vers :
● Fournisseurs de services IA tiers
● Fournisseurs d'infrastructure technique
● Sous-traitants et sous-contrats
5.3 Mécanismes de Transfert Spécifiques au Royaume-Uni
Pour les données personnelles britanniques, nous utilisons :
● Décision d'adéquation du Royaume-Uni (le cas échéant)
● Accord sur le Transfert de Données Internationales du Royaume-Uni (UK IDTA)
● Clauses Contractuelles Standards spécifiques au Royaume-Uni
5.4 Évaluation d'Impact sur le Transfert (TIA) - Post-Schrems II
Nous effectuons des évaluations d'impact des transferts pour tous les transferts non-EEE et mettons en œuvre des sauvegardes supplémentaires :
● Évaluation des lois nationales affectant les données de l'UE dans les pays destinataires
● Évaluation de l'accès par les autorités gouvernementales
● Mise en œuvre de l'encryption et des contrôles d'accès
● Documentation et pistes d'audit pour tous les transferts transfrontaliers -
PROVIDERS D'IA ET SOUS-TRAITANTS
6.1 Sous-Traitants d'IA Autorisés
Les fournisseurs de services d'IA suivants traitent des données personnelles (y compris les invites, les résultats et les journaux de conversation) pour notre compte :
Fournisseur d'IA Type de Service Lieu de Traitement Mécanisme de Transfert
Anthropic PBC API modèle de langage large États-Unis DPF UE-États-Unis, SCCs
OpenAI Inc. API ChatGPT/GPT-4 États-Unis DPF UE-États-Unis, SCCs
Google LLC Modèles AI Vertex / PaLM États-Unis, Multi-région DPF UE-États-Unis, SCCs
6.2 Droits d'Audit des Sous-Traitants
Les responsables du traitement et les personnes concernées (sur demande) ont le droit d'auditer la conformité des sous-traitants d'IA via :
● Rapports de progrès annuels SOC 2 (certifications de contrôle d'organisation de service)
● Certifications de conformité ISO 27001 en cours
● Attestations de conformité au RGPD et annexes sur le traitement des données
● Évaluations de sécurité à la demande (avec un préavis écrit de 30 jours)
Les rapports d'audit peuvent être demandés via dpo@syntari.ai. -
DÉCISION AUTOMATISÉE ET IA ARTICLE 22
7.1 Article 22 RGPD - Droit de Ne Pas Être Soumis à Des Décisions Automatisées
Les personnes concernées ont le droit de ne pas faire l'objet d'une décision basée uniquement sur un traitement automatisé (y compris l'IA) qui produit des effets juridiques ou similaires significatifs.
7.2 Catégories de Décisions AI
Syntari AI traite des données personnelles via l'IA pour :
● Recommandations (aperçus de consultation non contraignants)
● Évaluation des risques et profilage
● Analyses de performance et benchmarking
● Suggestions d'optimisation du personnel
7.3 Exigences de Surveillance Humaine
Pour toute décision ayant un effet légal ou significatif, nous fournissons :
● Revue humaine par des consultants qualifiés
● Explication claire de l'implication de l'IA
● Droit de demander une prise de décision humaine
● Droit de contester les conclusions dérivées de l'IA
7.4 Droit à l'Explication
Les personnes concernées ont le droit de demander une explication de :
● Pourquoi un modèle d'IA a généré une sortie particulière
● La logique et le raisonnement derrière les recommandations
● Quelles données d'entrée ont influencé la décision
● Comment les données d'entraînement affectent les résultats -
ALIGNEMENT DE LA LOI EU SUR L'IA (ARTICLES 13-14)
8.1 Transparence des systèmes d'IA (Article 13)
Pour les systèmes d'IA à haut risque, nous fournissons une documentation transparente :
● Identification et objectif du système d'IA
● Utilisation prévue et utilisateurs cibles
● Classification des risques (faible, moyen, élevé)
● Source et provenance des données d'entraînement
● Aperçu du type et de l'architecture du modèle
● Logique décisionnelle et limitations
8.2 Supervision humaine (Article 14)
Exigences de supervision humaine :
● Examinateurs humains désignés pour les décisions d'IA à haut risque
● Capacités de contournement pour les recommandations automatisées
● Formation sur les limitations et biais du système d'IA
● Documentation des décisions de contournement
8.3 Classification des risques de l'IA
Nos activités de traitement de l'IA sont classées comme :
● Risque faible : analyses générales, tableaux de bord de performance
● Risque moyen : moteurs de recommandation, analyses prédictives
● Risque élevé : décisions de personnel, recommandations de compensation (lorsqu'elles ont un effet légal) -
ÉVALUATION DES IMPACTS SUR LA PROTECTION DES DONNÉES (DPIA) POUR L'IA
9.1 Quand la DPIA est-elle requise
Nous réalisons des DPIA formelles lorsque le traitement de l'IA implique :
● Traitement à grande échelle de données personnelles
● Prise de décisions automatisées ayant un effet légal ou significatif
● Surveillance systématique des individus
● Traitement de catégories sensibles ou spéciales de données
● Traitement qui pourrait restreindre des droits ou des libertés
9.2 Composantes de la DPIA pour les systèmes d'IA
● Évaluation de l'objectif et de la nécessité
● Examen de la minimisation des données
● Évaluation des risques (sécurité des données, biais, discrimination)
● Mesures d'atténuation et garanties
● Mécanismes de supervision
● Évaluation des sous-traitants
9.3 Disponibilité de la DPIA
Les DPIA complétées sont disponibles sur demande pour les personnes concernées et les autorités de surveillance via dpo@syntari.ai. -
REGISTRES DES ACTIVITÉS DE TRAITEMENT (ROPA) - ARTICLE 30
10.1 Documentation du traitement AI
Nous tenons des dossiers détaillés pour toutes les activités de traitement AI, y compris :
● Objectif et portée du traitement
● Nom du modèle AI, version et type
● Catégories de données traitées
● Destinataires et sous-traitants
● Périodes de conservation
● Mesures de sécurité techniques et organisationnelles
● Base juridique pour le traitement
10.2 Documentation du cycle de vie du modèle
● Sources de données d'entraînement et prétraitement
● Activités et paramètres de réglage fin
● Journalisation d'inférences et contrôles d'accès
● Contrôle de version du modèle et mises à jour
● Procédures de décommissionnement et de suppression des données -
SCÉNARIOS DE CONTRÔLE JOINT
11.1 Évaluation du contrôle conjoint
Lorsque les organisations clientes contrôlent le contenu et le sujet des résultats générés par l'IA, nous pouvons agir en tant que contrôleurs conjoints. Dans de tels cas :
● Un accord de contrôle conjoint est requis (Article 26 RGPD)
● Les responsabilités concernant les demandes de droits des sujets sont clairement attribuées
● Les responsabilités de communication des sujets de données sont définies
● Les responsabilités de gestion des sous-traitants sont attribuées
11.2 Scénarios de contrôleur séparé
Syntari AI agit en tant que seul contrôleur de données pour :
● Analytique de plateforme et données d'utilisation
● Sécurité du système et prévention de la fraude
● Indicateurs de performance contractuelle
● Amélioration des fonctionnalités de notre plateforme -
DROITS ET DEMANDES DES SUJETS DE DONNÉES
12.1 Portée des demandes incluant les données AI
Les demandes des sujets de données (DSR) comprennent les données AI spécifiques suivantes :
● Tous les prompts et requêtes soumis aux systèmes AI
● Sorties générées et recommandations
● Journaux de conversation complets et histoire des interactions
● Métadonnées et dossiers de traitement
● Provenance des données d'entraînement (si les données sujetes ont été utilisées)
12.2 Droit d'accès (Article 15)
Les sujets de données ont le droit de :
● Confirmer si nous traitons leurs données personnelles
● Accéder à toutes les données personnelles, y compris les résultats générés par l'IA
● Obtenir des copies de données dans un format lisible par machine
● Comprendre la logique et le raisonnement derrière les recommandations de l'IA
12.3 Droit de rectification (Article 16)
Les personnes concernées peuvent demander la correction de données inexactes, y compris :
● Corrections aux données d'entrée
● Correction des interprétations du modèle d'IA
● Demandes de réentraînement pour des modèles qui interprètent systématiquement mal les données
12.4 Droit à l'effacement (Article 17)
Les personnes concernées peuvent demander la suppression sous réserve de limitations :
● Cessation de stockage pour les données personnelles
● Suppression des ensembles de données d'entraînement et de fine-tuning de l'IA
● Régénération des sorties si des données personnelles ont été utilisées
● Exceptions : Obligation légale, intérêts légitimes, tâche publique
12.5 Droit de limiter le traitement (Article 18)
Les personnes concernées peuvent demander des restrictions de traitement pour :
● Données d'une exactitude contestée
● Traitement en attente d'une décision d'effacement
● Traitement plus nécessaire mais requis pour des réclamations légales
● Traitement basé sur le consentement en attente de retrait
12.6 Droit à la portabilité des données (Article 20)
Les personnes concernées ont le droit d'obtenir et de réutiliser des données dans un format lisible par machine :
● Exportation de toutes les données personnelles dans des formats courants (JSON, CSV, XML)
● Y compris les journaux de conversation et l'historique des interactions avec l'IA
● Transmission directe à d'autres services (lorsque techniquement possible)
12.7 Droit d'opposition (Article 21)
Les personnes concernées peuvent s'opposer au traitement pour des raisons légitimes :
● Traitement pour le marketing direct
● Traitement basé sur des intérêts légitimes
● Traitement pour le profilage et la prise de décision automatisée
12.8 Droits concernant la prise de décision automatisée (Article 22)
Les personnes concernées ont des droits pour :
● Demander une révision humaine des décisions générées par l'IA
● Recevoir une explication de la logique de décision
● Contester les recommandations avec intervention humaine
● Se désengager des décisions purement automatisées ayant un effet juridique -
PÉRIODES DE CONSERVATION DES DONNÉES
13.1 Conservation standard des données
Catégorie de données Durée de conservation Justification
Informations sur le compte Durée du service + 3 ans Exigences légales/contractuelles
Documents de transaction 5-7 ans Conformité fiscale et réglementaire
Journaux d'activité 12 mois Amélioration de la sécurité et du service
Communications de support 2 ans Dossiers de service client
13.2 Conservation spécifique à l'IA
Justification de la période de conservation des types de données IA
Journaux de conversation 12-24 mois Qualité du service, résolution de litiges
Données d'entraînement de modèle Cycle de formation + 1 an Suivi de la version du modèle, trace d'audit
Journaux d'inférence 6-12 mois Surveillance du système, débogage
Jeux de données de réglage Fin du modèle décommissionné + 1 an Suivi des performances du modèle -
SÉCURITÉ DES DONNÉES ET MESURES TECHNIQUES
14.1 Normes de sécurité
● ISO 27001 certification en cours (Gestion de la sécurité de l'information)
● SOC 2 conformité en cours (pour les organisations de service)
● Alignement avec le cadre de cybersécurité NIST
14.2 Mesures techniques de protection
● Chiffrement de bout en bout pour les données en transit (TLS 1.3)
● Chiffrement au repos utilisant AES-256
● Authentification multifacteur pour l'accès administratif
● Audits de sécurité réguliers et tests d'intrusion
● Systèmes de détection et de prévention d'intrusion
● Outils de prévention de perte de données
14.3 Mesures de protection organisationnelles
● Contrôles d'accès et principes de moindre privilège
● Formation à la protection des données des employés et NDA
● Vérifications des antécédents pour le personnel ayant accès aux données
● Procédures de réponse aux incidents et de notification de violation -
PROCÉDURES DE NOTIFICATION DE VIOLATION
15.1 Cascade de notification de 48 heures
Lors de la découverte d'une violation de données personnelles, nous notifions dans l'ordre suivant :
Étape de notification Destinataire Délai Méthode
Étape 1 (Urgent) Client/Contrôleur Dans les 4 heures Email + appel téléphonique
Étape 2 (Formelle) Autorité de surveillance Dans les 48 heures Rapport écrit à l'ICO/DPA
Étape 3 (Transparence) Sujets de données (si risque élevé) Sans délai injustifié Email avec étapes de remédiation
15.2 Enquête sur la violation
● Containment immédiat et préservation des preuves
● Analyse de la cause racine dans les 72 heures
● Évaluation de la portée (données affectées, individus impactés)
● Évaluation des risques (probabilité de préjudice pour les sujets de données)
● Documentation de toutes les activités de réponse à la violation -
PROTECTION DES DONNÉES AU ROYAUME-UNI ET EN SUISSE
16.1 Conformité au RGPD britannique
Pour les personnes concernées au Royaume-Uni :
● Conformité totale avec la Loi britannique sur la protection des données de 2018 et le RGPD britannique
● Dépendance à la Décision d'adéquation du Royaume-Uni lorsque cela est applicable
● Mécanismes IDTA du Royaume-Uni pour les transferts vers des pays non adéquats
● Documentation sur le traitement des données spécifique au Royaume-Uni
16.2 Alignement avec la LPD suisse (nLPD)
Pour les personnes concernées suisses :
● Conformité avec la nouvelle Loi fédérale suisse sur la protection des données (nLPD)
● Droits de protection des données et exigences de consentement étendues
● Certification d'extension du DPF suisse
● Considérations sur la localisation des données lorsque cela est requis -
PROTECTION DES DONNÉES DES ENFANTS DANS LE CONTEXTE DE L'IA
17.1 Vérification de l'âge
La plateforme de Syntari AI est destinée à un usage professionnel par des personnes de 18 ans et plus.
● Des mécanismes de vérification de l'âge sont mis en œuvre lors de la création du compte
● Le consentement parental est requis pour les utilisateurs âgés de 13 à 17 ans (lorsque cela est applicable par juridiction)
● Les utilisateurs de moins de 13 ans ne sont pas autorisés à utiliser la plateforme
17.2 Restrictions sur les fonctionnalités de l'IA pour les mineurs
Pour les utilisateurs de moins de 18 ans, les restrictions suivantes s'appliquent :
● Accès limité à certaines fonctionnalités de l'IA
● Pas de profilage ni de recommandations basées sur l'intérêt
● Transparence accrue pour toute prise de décision automatisée
● Notification parentale des interactions significatives avec l'IA -
INFORMATIONS DE CONTACT EN MATIÈRE DE CONFIDENTIALITÉ
Type de demande Email de contact Délai de réponse
Demandes des sujets de données dpo@syntari.ai Dans les 30 jours
Demandes de confidentialité privacy@syntari.ai Dans les 5 jours ouvrables
Demandes de l'UE eu-representative@syntari.ai Dans les 7 jours
Demandes du Royaume-Uni uk-representative@syntari.ai Dans les 7 jours
Notification de violation dpo@syntari.ai Escalade immédiate
Plaintes dpo@syntari.ai Accuser réception dans les 24 heures -
AUTORITÉS DE SURVEILLANCE ET PLAINTES
19.1 Droit de Déposer une Plainte
Les personnes concernées ont le droit de déposer des plaintes auprès de l'autorité de surveillance compétente :
● Comité Européen de la Protection des Données (pour les données de l'UE)
● Bureau du Commissaire à l'Information (ICO) pour les données du Royaume-Uni
● Préposé fédéral à la protection des données et à la transparence pour les données suisses
19.2 Coopération avec les Autorités
Nous cooperons pleinement avec les demandes d'enquête des autorités de surveillance et fournissons :
● Des réponses en temps voulu aux demandes d'enquête
● Des dossiers complets des activités de traitement
● Documentation des mesures de conformité
● Accès aux données lorsque autorisé -
VERSION DU DOCUMENT ET CONTRÔLE
Valeur de l'attribut
Titre du document Avis GDPR & Addendum
Version 3.0
Date d'entrée en vigueur 23 février 2026
Émis par Délégué à la protection des données
Dernière mise à jour 23 février 2026
Prochaine date d'examen 23 février 2027
Ce document remplace toutes les versions précédentes de l'avis GDPR.
Pour toute question concernant cet avis, veuillez contacter dpo@syntari.ai.
