Accord de sous-traitance.

Version du 5 novembre 2026

Annexe aux Conditions générales d'utilisation et de vente de Synaros (ci-après « CGU/CGV »), aussi appelée DPA (Data Processing Agreement).

Parties

Le responsable de traitement : le professionnel de l'optique ayant souscrit au Service Synaros, tel qu'identifié lors de son inscription (ci-après « le Client »).

Le sous-traitant : la SAS SYNAROS, au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 102 905 627, dont le siège est situé 47 rue Vivienne, 75002 Paris (ci-après « Synaros »).

Le présent accord (ci-après « l'Accord ») fait partie intégrante des CGU/CGV. Il est accepté par le Client en même temps qu'elles et s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression des données. En cas de contradiction avec les CGU/CGV sur la protection des données personnelles, l'Accord prévaut.

Article 1 — Objet et définitions

L'Accord fixe les conditions dans lesquelles Synaros traite des données personnelles pour le compte du Client, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés. Les termes propres au RGPD ont le sens que leur donne son article 4. Les autres termes en majuscules ont le sens défini dans les CGU/CGV.

• Clients finaux : les clients et prospects du magasin d'optique du Client.
• Collaborateurs : les personnes qui travaillent pour le Client, qu'elles disposent ou non d'un compte dans le Service.
• Sous-traitant ultérieur : tout prestataire auquel Synaros recourt pour fournir le Service et qui traite des données personnelles du Client.
• Synapse : l'assistant d'intelligence artificielle du Service.

Article 2 — Description du traitement

Exclusion des données de santé. Le Service n'est pas conçu pour conserver des données de santé et n'est pas hébergé chez un hébergeur certifié HDS. Conformément à l'article 8 des CGU/CGV, le Client s'interdit de saisir, d'importer ou de transmettre dans le Service toute donnée de santé de ses Clients finaux (correction visuelle, ordonnance, pathologie, résultat d'examen) ainsi que leur numéro de sécurité sociale, y compris dans les champs libres et les pièces jointes transmises à Synapse. Seule exception : la correction saisie dans l'aide à la vente, qui reste dans le navigateur de l'utilisateur et n'est ni envoyée à Synaros ni enregistrée.

Pour une mutuelle, seuls son nom et le réseau de soins sont saisis, sans numéro d'adhérent. Pour un Collaborateur, seul le motif d'absence est noté, sans diagnostic ni précision médicale.

Article 3 — Instructions du Client

Synaros traite les données uniquement sur instruction documentée du Client, y compris pour les transferts hors de l'Union européenne. Ces instructions sont constituées par les CGU/CGV, l'Accord, les réglages du Client et les actions des utilisateurs dans le Service, dont les demandes adressées à Synapse. Si le droit de l'Union ou le droit français impose un autre traitement, Synaros en informe le Client au préalable, sauf interdiction légale.

Synaros ne traite pas ces données pour son propre compte, ne les vend pas, ne les loue pas et ne les cède à aucun tiers. Si Synaros estime qu'une instruction enfreint la réglementation, il en informe immédiatement le Client.

Article 4 — Confidentialité

Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire au Service, à l'assistance demandée par le Client ou à la sécurité du Service.

Article 5 — Sécurité

Synaros met en œuvre les mesures décrites en Annexe 2 afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Synaros peut les faire évoluer sans réduire le niveau de protection global.

Article 6 — Sous-traitants ultérieurs

Le Client autorise de manière générale Synaros à recourir aux sous-traitants ultérieurs listés en Annexe 1. Synaros leur impose par contrat des obligations de protection des données équivalentes à celles de l'Accord et reste responsable envers le Client de leur respect.

Synaros informe le Client par email au moins 30 jours avant tout ajout ou remplacement. Le Client peut s'y opposer dans ce délai pour un motif légitime lié à la protection des données. À défaut de solution, il peut résilier son abonnement sans frais à la date d'entrée en vigueur du changement.

Article 7 — Assistant IA Synapse

Synapse repose sur les modèles de langage d'OpenAI (Annexe 1). Seules les données nécessaires à la demande lui sont transmises : messages, résultats des outils, pièces jointes, audio de la dictée et documents de la bibliothèque du magasin.

• Les données du Client ne sont pas utilisées pour entraîner les modèles d'IA, ni par Synaros ni par OpenAI.
• OpenAI conserve les requêtes et les réponses environ 30 jours, notamment pour détecter les abus, puis les supprime, sauf obligation légale. Les documents de la bibliothèque y restent jusqu'à leur suppression par le Client ou celle de ses données.
• Par défaut, Synapse décrit chaque action qui modifie des données ou envoie un message et attend la confirmation de l'utilisateur. Le Client peut choisir dans ses réglages de le laisser agir sans confirmation, pour toute son organisation : cette décision lui appartient, et les actions alors exécutées sont réputées effectuées sur ses instructions et sous sa seule responsabilité.
• Le mode autonome, disponible selon le Plan et activé par le Client, analyse son activité et lui adresse des notifications. Il ne modifie aucune donnée et n'envoie aucun message.
• Les appels d'outils de Synapse sont journalisés et conservés 12 mois.

Article 8 — Droits des personnes et assistance

Le Client reste l'interlocuteur des personnes concernées pour l'exercice de leurs droits (accès, rectification, effacement, limitation, opposition, portabilité). Le Service lui permet de modifier et de supprimer les fiches et d'exporter ses données.

Si une personne s'adresse directement à Synaros, celui-ci transmet sa demande au Client sans délai et ne lui répond pas sur le fond, sauf instruction du Client. Synaros aide le Client, dans la mesure du possible, à répondre à ces demandes, à garantir la sécurité des traitements, à réaliser ses analyses d'impact et à consulter l'autorité de contrôle lorsque c'est nécessaire.

Article 9 — Violation de données

Synaros notifie au Client toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par email à l'adresse du compte. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou envisagées.

Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. Synaros lui fournit l'assistance nécessaire.

Article 10 — Transferts hors de l'Union européenne

La base de données du Service et ses sauvegardes sont stockées dans l'Union européenne. Certains sous-traitants ultérieurs traitent des données hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par une décision d'adéquation (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne.

Article 11 — Réversibilité et sort des données

Le Client peut exporter à tout moment l'ensemble de ses données au format JSON depuis ses paramètres, y compris après la fin de l'abonnement, tant que son compte existe.

À la suppression du compte, ou 30 jours après la fin de l'abonnement, Synaros supprime les données du Client de ses systèmes actifs, y compris ses fichiers et les documents de sa bibliothèque chez OpenAI. Elles disparaissent de ses sauvegardes sous 90 jours au plus. Seules sont conservées les données que Synaros doit garder au titre d'une obligation légale, notamment la facturation et les logs de connexion.

Article 12 — Audit et documentation

Synaros met à la disposition du Client, sur demande à privacy@synaros.com, les informations nécessaires pour démontrer le respect de l'Accord. Le Client peut faire réaliser un audit, à ses frais, par un auditeur indépendant tenu au secret, au plus une fois par an et avec un préavis écrit de 30 jours, sauf violation de données avérée, sans perturber le Service.

Article 13 — Obligations du Client

Le Client s'engage à :

• disposer d'une base légale pour chaque traitement, notamment le consentement préalable de ses Clients finaux aux communications commerciales par SMS et email lorsqu'il est requis ;
• informer les personnes concernées du traitement de leurs données, y compris de l'usage d'outils d'IA ;
• ne transmettre au Service aucune donnée de santé de ses Clients finaux (article 2) ;
• gérer les accès de ses utilisateurs et la confidentialité de leurs identifiants.

Article 14 — Contact

Pour toute question relative à l'Accord ou à la protection des données : privacy@synaros.com, ou SAS SYNAROS, Protection des données personnelles, 47 rue Vivienne, 75002 Paris.

Annexe 1 — Sous-traitants ultérieurs autorisés

Stripe intervient pour le paiement de l'abonnement du Client. Il n'accède pas aux données des Clients finaux et n'agit donc pas comme sous-traitant ultérieur au titre de l'Accord.

Annexe 2 — Mesures de sécurité

• Chiffrement TLS des échanges ; chiffrement au repos de la base de données et des sauvegardes.
• Mots de passe hachés (bcrypt).
• Accès des comptes limité à leur organisation et, pour les comptes magasin, à leur magasin ; droits par rôle.
• Interface d'administration de Synaros réservée à ses administrateurs, protégée par une double authentification, avec journal des consultations d'organisation.
• Synapse : confirmation par défaut avant toute action sensible et journal des appels d'outils.
• Sauvegardes quotidiennes de la base de données, plus une copie chiffrée hors de l'hébergeur principal, conservée 30 jours.
• Revue de sécurité du code et mise à jour des composants.
• Export complet des données et suppression complète à la demande.