Politique de confidentialité

Syniaps Cockpit (« le Cockpit ») est un assistant d’intelligence artificielle pour les entreprises, édité par Syniaps (site : www.syniaps.fr). Syniaps est responsable du traitement des données décrites dans cette politique. Pour toute question : [email protected].

Dans le cadre du service, nous traitons :

• Données de compte : nom, adresse email professionnelle, rôle dans l’espace de travail, paramètres d’authentification (l’authentification forte est obligatoire).
• Contenus de votre espace de travail : les documents que vous importez ou que vous choisissez de synchroniser depuis vos services cloud, ainsi que la base de connaissance que le Cockpit construit à partir de ces documents pour votre entreprise uniquement.
• Conversations avec l’assistant : vos demandes et les réponses de l’assistant, conservées dans votre historique.
• Données de facturation : gérées par notre prestataire de paiement Stripe ; nous ne stockons aucun numéro de carte bancaire.
• Journaux techniques : événements nécessaires à la sécurité et au bon fonctionnement du service (audit des actions sensibles, erreurs, mesures d’usage du stockage).

Vous pouvez connecter au Cockpit des services tiers via le protocole OAuth, avec votre consentement explicite à chaque connexion : Google Drive et Gmail, Microsoft OneDrive/SharePoint et Outlook, Dropbox. Chaque connexion sert uniquement les fonctions que vous activez :

• Stockage (Drive, OneDrive, Dropbox) : synchroniser les dossiers que vous sélectionnez vers votre espace de travail, et y renvoyer les fichiers ajoutés ou mis à jour dans le Cockpit. Le Cockpit ne supprime jamais de fichiers dans votre cloud.
• Messagerie (Gmail, Outlook) : lire vos messages pour préparer les synthèses que vous demandez, et envoyer des messages en votre nom uniquement sur votre instruction.

Les jetons d’accès sont stockés sur nos serveurs dans des fichiers à accès restreint, jamais en base de données. Vous pouvez révoquer une connexion à tout moment depuis la page Connexions du Cockpit ou depuis les paramètres de sécurité du fournisseur concerné ; nous révoquons alors aussi le jeton chez le fournisseur lorsque celui-ci le permet.

L’utilisation par Syniaps Cockpit des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences de Limited Use (usage limité). En particulier :

• les données Google (fichiers Drive, messages Gmail) ne sont utilisées que pour fournir les fonctionnalités visibles que vous avez activées : synchronisation des dossiers que vous choisissez, synthèses et actions de messagerie que vous demandez ;
• elles ne sont jamais vendues et ne servent jamais à des fins publicitaires ;
• aucun humain ne les lit, sauf avec votre consentement explicite, lorsque c’est nécessaire à des fins de sécurité (enquête sur un abus), pour se conformer à la loi, ou dans le cadre d’une demande de support que vous initiez ;
• elles ne servent pas à entraîner des modèles d’intelligence artificielle généralisés.

Les demandes que vous adressez à l’assistant, ainsi que les documents nécessaires pour y répondre, sont traités par notre fournisseur de modèles Anthropic dans le cadre de ses conditions commerciales : vos données ne sont pas utilisées pour entraîner ses modèles. Si votre entreprise active l’option OCR avancé, la transcription des documents numérisés est réalisée par Mistral AI dans les mêmes conditions.

Nous faisons appel aux prestataires suivants, chacun pour une fonction précise :

• Anthropic (traitement des demandes par le modèle d’IA) ;
• Mistral AI (transcription OCR, si l’option est activée) ;
• Stripe (paiement et facturation) ;
• Resend (envoi des emails transactionnels du service) ;
• Cloudflare (diffusion, protection et contrôle d’accès réseau) ;
• OVHcloud (hébergement des sauvegardes chiffrées, sur des serveurs situés en France) ;
• notre hébergeur, sur des serveurs privés dédiés au service, situés en France.

Vos données et leurs sauvegardes sont hébergées en France. Certains prestataires peuvent traiter des données en dehors de l’Union européenne (notamment aux États-Unis, pour le traitement par le modèle d’IA, le paiement ou l’envoi des emails) ; ces transferts sont encadrés par les mécanismes prévus par le RGPD (décision d’adéquation « Data Privacy Framework » ou clauses contractuelles types).

Vos données sont conservées tant que votre compte est actif. En cas de résiliation, l’accès est coupé à la fin de la période payée et les données de l’entreprise sont supprimées dans les 30 jours suivants. Les fichiers retirés par la synchronisation cloud sont conservés 30 jours dans une corbeille interne avant suppression définitive. Vous pouvez demander la suppression anticipée de votre compte à tout moment.

Vos données et leurs sauvegardes sont hébergées en France. Les échanges sont chiffrés en transit (TLS). Chaque entreprise dispose d’un espace strictement isolé ; chaque utilisateur travaille dans un environnement cloisonné. Les secrets (jetons d’accès, clés) sont stockés dans des fichiers à accès restreint sur des serveurs non exposés publiquement. L’accès au service exige une authentification forte. Les actions sensibles sont journalisées.

Une sauvegarde chiffrée de vos données est réalisée chaque nuit et conservée hors du serveur, en France, chez un hébergeur français (OVHcloud). Les sauvegardes sont chiffrées avant leur envoi et la clé de déchiffrement n’est jamais stockée avec elles : une copie de sauvegarde, même dérobée, reste illisible.

Conformément au RGPD, vous disposez de droits d’accès, de rectification, d’effacement, de portabilité, d’opposition et de limitation sur vos données personnelles. Pour les exercer, écrivez à [email protected]. Vous pouvez également adresser une réclamation à la CNIL (www.cnil.fr).

Nous pouvons faire évoluer cette politique pour refléter les évolutions du service ou de la réglementation. La date de dernière mise à jour figure en haut de page ; en cas de changement substantiel, les administrateurs des espaces de travail sont prévenus par email.