Confidentialité

Rôles

Syncanix agit en tant que sous-traitant pour les données de contenu client qui transitent par le produit (conversations de chat, contenu des documents, plongements de récupération, charges utiles des appels d’outils) et en tant que responsable du traitement pour les données de compte du tableau de bord (adresse e-mail de l’opérateur, rôle, statut MFA, journaux d’audit des actions de l’opérateur). Cette répartition est reflétée dans le DPA et dans le tableau de conservation par type de donnée ci-dessous.

Paramètres par défaut de confidentialité dès la conception

• Résidence des données dans l’UE pour tout ce qui est stocké. La production s’exécute dans l’UE (Francfort) et toutes les données client stockées y restent, sauf si vous optez explicitement pour une autre région. Les messages de chat et le contexte récupéré sont traités de manière transitoire par le fournisseur du modèle d’IA pour générer chaque réponse — voir « Aucun entraînement sur vos données » ci-dessous.
• Aucun entraînement de modèles de fondation sur les données client. Vos prompts et réponses ne servent jamais à entraîner des modèles d’IA : selon les conditions d’API d’Anthropic et d’OpenAI, le trafic d’API est exclu de l’entraînement, et nous finalisons des accords de rétention zéro de données (Zero Data Retention, ZDR) avec les deux fournisseurs. Les plongements de récupération et le reclassement s’exécutent sur Amazon Bedrock dans l’UE (eu-central-1) ; AWS n’entraîne pas ses modèles sur le contenu client.
• Paramètres par défaut réglés pour la minimisation. Conservation par défaut de 30-day pour le contenu du chat ; activation par consentement explicite (et non par retrait) pour l’analytique inter-clients ; désactivation par défaut pour les tests A/B de Prompts par client.

Conservation (par palier)

Les durées de rétention par défaut s'appliquent automatiquement selon l'offre. Les clients peuvent demander une rétention plus courte à tout moment (les contrôles en libre-service dans le tableau de bord sont sur la feuille de route) ; les clients Enterprise peuvent prolonger la rétention pour des obligations légales ou réglementaires.

Droits RGPD

Chaque droit RGPD est respecté de bout en bout, avec des mises en œuvre spécifiques par Article :

• Article 15 (Accès). Les utilisateurs finaux peuvent consulter leur historique de conversations dans le widget de chat. Les demandes d'administrateurs portant sur l'historique complet d'un utilisateur passent par le processus documenté de réception des DSAR, avec un export JSON lisible par machine livré dans le SLA de 30 jours.
• Article 16 (Rectification). Les demandes de rectification sont traitées via le processus documenté de réception des DSAR, dans les mêmes délais de réponse.
• Article 17 (Effacement). L'effacement se propage aux messages, aux embeddings et aux index vectoriels, et est réalisé dans le SLA de 30 jours.
• Article 20 (Portabilité). L'export est livré en JSON lisible par machine pour la portabilité vers un autre fournisseur ; des copies lisibles par l'humain sont disponibles sur demande.
• Article 22 (Décision automatisée). Syncanix s’en abstient dès la conception : aucune décision exclusivement automatisée produisant des effets juridiques ou significatifs. Chaque appel d’outil à fort impact dispose d’un commutateur d’intervention humaine (human-in-the-loop) et de paliers d’authentification renforcée (step-up).
• Article 25 (Protection des données dès la conception). Par défaut : rétention de 30 jours, résidence dans l’UE pour toutes les données stockées, aucun entraînement sur les données client.
• Article 32 (Sécurité). AES-256 au repos ; TLS 1.3 en transit ; accès au moindre privilège ; collecte complète des preuves SOC 2 en cours.
• Article 33 / 34 (Notification de violation). Les clients sont notifiés dans un délai de 24 hours suivant la confirmation d’une violation de données à caractère personnel. Les obligations de notification aux utilisateurs finaux incombent au client (responsable du traitement).

Traitement des PII

Les PII sont traitées comme des données critiques, et non au mieux. Les couches de découverte et d’ingestion signalent les champs PII au moment de l’extraction :

• Au niveau du champ (catalogue). Lors de la découverte, le LLM d’enrichissement signale les champs susceptibles de contenir des PII (email, phone, SSN, credit card, IP). Les opérateurs confirment ou rejettent. Le moteur de rendu expurge en fonction de la portée pii:read du lecteur.
• Texte libre (messages de chat). Une passe d’expurgation est exécutée sur le message final du LLM avant le stockage. Les jetons sont conservés ([email], [phone]) afin que le chat se lise naturellement sans divulguer de valeurs brutes.
• Couche de stockage. Les PII sont expurgées lors de l’ingestion — la valeur brute n’atteint jamais le disque. Les relecteurs sans la portée pii:read voient la vue expurgée.

Confidentialité du code source

La CLI de découverte côté client de Syncanix s’exécute dans l’environnement propre du client. Seules les métadonnées structurées du catalogue quittent le réseau du client — les fichiers source ne sont jamais téléversés. Le texte du gestionnaire par endpoint (≤2 KB) envoyé à Anthropic est traité puis supprimé en vertu de leur contrat de rétention zéro de données (Zero Data Retention).

Syncanix n’indexe jamais le code source côté serveur. La découverte est pilotée par événements et sans état ; le contenu du dépôt du client reste dans le dépôt du client.

BYOK (clé personnelle, bring-your-own-key). Les clients Enterprise peuvent fournir leurs propres clés Anthropic, OpenAI ou Bedrock ; le fournisseur du LLM ne voit jamais Syncanix comme intermédiaire. .syncanixignore exclut des chemins de la découverte par défaut ( (*.env, secrets/**, fixtures/**, __tests__/**, vendored/**, node_modules/**).

Lois américaines sur la confidentialité

Le produit est mis en œuvre selon un sur-ensemble RGPD + CCPA qui correspond aux 19+ lois de confidentialité au niveau des États en vigueur (CA CCPA / CPRA, VA VCDPA, CO CPA, CT CTDPA, UT UCPA, TX TDPSA, FL FDBR, OR OCPA, MT MCDPA, IA ICDPA, TN TIPA, IN ICDPA, DE DPDPA, NH SB 255, NJ SB 332, MN MCDPA, MD MODPA). Syncanix ne vend ni ne partage d’informations personnelles au sens où ces termes sont définis par la CCPA / CPRA ; les résidents de Californie peuvent exercer leurs droits de retrait, d’accès, de correction ou de suppression au moyen du formulaire de demande de la personne concernée →. Les règles ADMT de la CPPA (en vigueur le 1 Jan 2026) sont gérées par la même posture de l’Article 22 ci-dessus.

MENA et Israël

UAE Federal Decree-Law 45/2021 (PDPL) + DIFC + ADGM ; KSA PDPL (application pleine et entière depuis le 14 Sep 2024) avec notification de violation sous 72-hour à la SDAIA et désignation d’un représentant local lorsque les seuils de chiffre d’affaires sont atteints ; Israel Privacy Protection Law + Amendment 13 (en vigueur le 15 Aug 2025) avec Privacy Protection Officer obligatoire et amendes pouvant atteindre 5 % du chiffre d’affaires ; Egypt Law 151/2020 ; Qatar Law 13/2016 ; Bahrain PDPL 30/2018 ; Oman Royal Decree 6/2022 ; Jordan PDPL 24/2023. La résidence des données dans une région saoudienne (Riyadh) est activée lorsqu’un client KSA payant l’exige.

Isolation multitenant

Les frontières entre locataires sont appliquées à chaque couche : délimitation au niveau de l’application sur chaque requête, sécurité au niveau des lignes de la base de données comme défense en profondeur, et délimitation des accès par locataire sur les chemins du LLM et du stockage. Des sondes synthétiques nocturnes éprouvent ces frontières — l’utilisateur synthétique A du locataire A demande les données de l’utilisateur B ; le résultat attendu est le refus ; tout échec déclenche une alerte critique et une mise en pause du déploiement.

Procédure DSAR

Les demandes d’accès des personnes concernées (Articles 15 / 16 / 17 / 20 / 21) sont accusées sous 24 hours et satisfaites sous 30 days, conformément à l’Article 12 du RGPD. Les types de demande pris en charge sont l’accès, l’effacement, la portabilité, la rectification et l’opposition. Utilisez le formulaire DSAR en libre-service → ou écrivez à admin@syncanix.com directement — les mêmes SLA s’appliquent dans les deux cas.

Connexe

• Liste des sous-traitants ultérieurs → — les entités sur lesquelles Syncanix s’appuie, avec, par ligne, la finalité et le mécanisme de transfert.
• Aperçu de la sécurité → — chiffrement, IAM, en-têtes, réponse aux incidents.
• État de conformité → — état SOC 2 / ISO 27001 / EU AI Act / GDPR / CCPA.