1. Portée, définitions et rôles
- Définitions : Les expressions « données personnelles », « traitement », « responsable du traitement », « sous-traitant » et « personne concernée » ont le sens que leur donne l’article 4 du RGPD.
- Rôles des parties : Les parties reconnaissent et conviennent qu’à l’égard du traitement des charges d’inférence, des fichiers du client et des entrées en temps réel, le Client agit comme responsable du traitement (il détermine seul la finalité et la licéité du traitement) et SynapsAI agit strictement comme sous-traitant, en exécutant les charges de calcul selon les instructions logicielles et automatisées du Client.
2. Objet et nature du traitement
- Objet : La fourniture de nœuds de calcul haute performance, d’environnements d’exécution et d’une infrastructure de cache pour le traitement d’instances de modèles d’apprentissage automatique.
- Durée : La durée du présent ATD correspond à la durée de vie active de l’espace de travail du Client et de ses conteneurs de calcul actifs.
- Nature et finalité : SynapsAI traite les données exclusivement pour compiler, initialiser et exécuter les modèles d’apprentissage automatique à poids ouverts ou personnalisés désignés par le Client, afin de répondre aux demandes d’inférence.
- Catégories de données et personnes concernées : Les catégories de données personnelles et les personnes concernées sont déterminées entièrement et de façon dynamique par le Client, au moyen des invites, jeux de données, extraits audio ou fichiers vidéo qu’il transmet au service.
3. Obligations du sous-traitant (SynapsAI)
SynapsAI s’engage à traiter les données personnelles du Client selon les règles suivantes :- Instructions : SynapsAI traite les données personnelles exclusivement selon les instructions documentées et programmatiques du Client, y compris les demandes soumises par API, par interface de gestion ou par fichiers de configuration. SynapsAI n’utilise pas, ne surveille pas et n’examine pas les données du Client pour l’entraînement de modèles, le profilage algorithmique, la revente commerciale ou un objectif secondaire étranger au contrat.
- Confidentialité du personnel : SynapsAI veille à ce que ses ingénieurs d’exploitation, ses administrateurs système et les sous-traitants ultérieurs autorisés à gérer les composants structurels soient liés par des obligations de confidentialité appropriées.
- Limites de conservation : SynapsAI ne conserve les données personnelles du Client que de la manière décrite dans la politique relative aux données. Par défaut, les charges d’inférence textuelles ne sont pas écrites dans la base de données d’application. Les fichiers temporaires de prétraitement audio et vidéo sont retirés à la fin du travail. La vidéo générée est conservée pour téléchargement pendant au plus 10 minutes. Les documents de base de connaissances, les copies issues des connecteurs, les requêtes stockées seulement si le Client active ce réglage, les artefacts de modèle et les dossiers de compte sont conservés jusqu’à ce que le Client les supprime ou supprime le compte. Les sauvegardes de la base de données sont conservées selon une fenêtre glissante de 30 jours. SynapsAI n’utilise pas les données personnelles du Client pour entraîner des modèles de fondation de SynapsAI.
- Sous-traitants ultérieurs : Le Client accorde à SynapsAI une autorisation écrite générale de recourir à des fournisseurs d’infrastructure en amont (« sous-traitants ultérieurs ») pour exploiter la plateforme. Une liste à jour — comprenant OVHcloud (machines d’application), Beam (exécution GPU), Amazon Web Services (stockage objet), Cloudflare (périmètre réseau et sauvegardes de la base de données), Better Stack (gestion des incidents et surveillance) et Stripe (infrastructure de paiement), ainsi que les fournisseurs de connecteurs, d’identité et d’outils que le Client active — est publiée à la page Sous-traitants. SynapsAI impose à tous les sous-traitants ultérieurs des obligations de protection des données au moins aussi strictes que celles du présent accord. SynapsAI met à jour la liste publique lorsqu’elle ajoute ou remplace un sous-traitant ultérieur qui modifie de façon importante le traitement des données personnelles. Les Clients entreprises peuvent s’y opposer comme le prévoit une entente écrite distincte.
4. Mesures de sécurité techniques et organisationnelles
SynapsAI maintient des contrôles destinés à isoler les opérations des locataires et à réduire les vulnérabilités d’accès aux données, notamment :- Isolation des processus : Segmentation des piles d’exécution multilocataires au niveau du processus du système d’exploitation, au moyen de limites de ressources du noyau (cgroups Linux) et d’un acheminement en bac à sable.
- Chiffrement du réseau : Couches réseau chiffrées par TLS pour les interactions avec les points d’accès d’API des clients et les chemins de routage du service.
- Vérification des identifiants d’API : Accès interne au locataire restreint par des clés secrètes d’API cryptographiques détenues et gérées exclusivement par le Client.
5. Avis d’incident de sécurité
Si SynapsAI constate un incident de sécurité entraînant l’altération, la perte, la divulgation ou la compromission accidentelle, non autorisée ou illicite de données personnelles du Client qui transitent par nos réseaux, SynapsAI :- transmet un avis écrit à l’adresse administrative enregistrée du Client sans retard injustifié, et au plus tard 72 heures après la constatation;
- fournit un résumé de la nature de l’incident, des volumes estimés de données touchées et des mesures d’atténuation mises en œuvre;
- coopère avec les obligations de déclaration du Client auprès des autorités de contrôle.
6. Droits d’audit et coopération
- Droits des personnes concernées : Compte tenu des limites de conservation de la politique relative aux données, SynapsAI fournit des outils d’interface raisonnables permettant au Client de répondre aux demandes d’accès, de rectification ou d’effacement visant les données personnelles que le Client peut supprimer ou exporter dans le service.
- Documentation de conformité : Sur demande écrite raisonnable d’un Client entreprise assujetti au présent ATD, SynapsAI met à disposition la documentation raisonnablement nécessaire pour démontrer la conformité au présent ATD, notamment des résumés des contrôles de sécurité, des sous-traitants ultérieurs et des pratiques de traitement. SynapsAI n’est pas tenue de fournir des schémas d’architecture exclusifs, le code source ou des rapports d’audit de tiers, sauf entente écrite distincte.