SYNTHACT — CONDITIONS CONTRACTUELLES CANONIQUES Format: synthact-terms-sha256-v1-utf8-lf Version: 2026-09-13-r4 Profil: BUSINESS URL-canonique: /conditions-contractuelles/business/2026-09-13-r4.txt 1. Éditeur et service Synthact est fourni par Franky LABROSSE, entrepreneur individuel — Cygnaris Systèmes, 112 montée de l’Église, 69870 Lamure-sur-Azergues, France, SIREN 104 914 247. Le support est joignable à support@synthact.fr et au +33 7 49 42 49 65. Le service permet de créer un annuaire, de l’organiser en groupes et de synchroniser les contacts autorisés vers des appareils Android associés. Le client reste responsable des données qu’il ajoute, de leur exactitude, de ses droits à les utiliser et de la protection de ses accès. Le contrat comprend les présentes conditions et leur annexe de sous-traitance des données personnelles, l’offre et le prix affichés avant confirmation, la politique de confidentialité et, lorsqu’il existe, le devis ou les conditions particulières acceptées. La personne qui souscrit garantit disposer du pouvoir nécessaire pour engager l’organisation et communiquer des informations exactes. Les conditions particulières expressément convenues prévalent sur les dispositions générales incompatibles, sous réserve des règles impératives et de la priorité de l’annexe pour la protection des données traitées pour le compte du client. 1.1. Environnement Android et synchronisation La synchronisation vers les appareils Android associés repose sur l’application Synthact, les fonctions du système Android et une connexion réseau utilisable. Elle nécessite un appareil répondant aux prérequis publiés du service, les autorisations d’accès aux contacts et les réglages d’exécution en arrière-plan indiqués dans la documentation. Le client veille à leur mise en œuvre sur les appareils qu’il administre, maintient l’application à jour et coopère avec le support en cas de difficulté. Les protections de batterie, les fonctions d’économie d’énergie et les restrictions propres au constructeur ou à l’administrateur du terminal peuvent retarder, interrompre ou empêcher l’exécution en arrière-plan, y compris lorsque l’autorisation d’utilisation en arrière-plan a été accordée. Le retrait d’autorisations, l’arrêt de l’application, l’indisponibilité du réseau ou de services nécessaires peuvent également interrompre les échanges. Une adaptation des réglages, la réouverture de l’application ou une synchronisation manuelle peut alors être nécessaire. Cygnaris Systèmes met en œuvre les moyens raisonnables relevant de son service pour assurer la synchronisation et aider au diagnostic. Sauf engagement écrit particulier, il ne garantit pas une exécution automatique continue, immédiate ou dans un délai identique sur tous les appareils lorsque les contraintes extérieures précitées l’empêchent. Un essai sur des appareils représentatifs du parc et avec un carnet représentatif est recommandé avant un déploiement étendu ; cette recommandation ne conditionne pas les droits contractuels du client. 1.2. Contacts préexistants et applications tierces Synthact crée et met à jour les fiches correspondant à l’annuaire professionnel autorisé. Lorsqu’un même numéro figure dans une fiche préexistante, Synthact peut demander à Android de regrouper les fiches pour leur présentation et de donner priorité aux informations professionnelles. Ce regroupement conserve les fiches sources distinctes : il ne supprime pas la fiche préexistante et ne réécrit pas ses noms, numéros ou adresses électroniques. Des paramètres locaux de présentation, notamment la priorité d’un numéro, peuvent être ajustés pour favoriser les informations Synthact. Le résultat dépend également du système de contacts Android, de la cohérence du carnet préexistant et des applications ou comptes tiers qui le consultent, l’alimentent ou le synchronisent. La présence de nombreux doublons pour un même contact, de liaisons préexistantes, de numéros partagés ou réattribués, de formats différents ou de données contradictoires peut perturber le rapprochement et la priorité des informations. Les applications de contacts, de téléphonie, de visioconférence ou de messagerie peuvent présenter les informations différemment ou conserver temporairement un ancien nom, même après la mise à jour du carnet Android. Sauf engagement écrit particulier, Cygnaris Systèmes ne garantit pas la résolution automatique de toutes les incohérences d’un carnet préexistant, l’absence de tout doublon, ni un résultat de regroupement, un numéro par défaut, un format de numéro ou une actualisation des noms identiques dans toutes les applications lorsque ces différences résultent des facteurs extérieurs précités. Le service n’inclut pas la remise en état complète du carnet personnel ni le masquage ou l’archivage universel des fiches préexistantes. Une anomalie signalée est examinée avec le client pour distinguer ce qui relève de Synthact de ce qui relève de cet environnement. 2. Création du compte et démonstration Le client peut créer directement son compte soit pour démarrer une démonstration, soit pour préparer une souscription immédiate. Dans les deux cas, l’adresse électronique est vérifiée et le même espace Synthact est conservé. La démonstration publique standard dure 14 jours, comprend jusqu’à 50 contacts et 10 appareils Android et commence lorsque l’administrateur invité choisit son mot de passe. Une démonstration personnalisée ou prolongée peut prévoir une durée et des capacités différentes, précisées dans l’invitation ou une confirmation écrite. Elle ne nécessite aucun moyen de paiement et n’implique aucun paiement, aucun engagement d’abonnement ni aucune conversion automatique en offre payante. À l’échéance, l’espace peut être suspendu, mais les appareils restent associés. Cette suspension ne déclenche pas l’effacement du carnet Synthact. La poursuite en offre payante nécessite une démarche distincte de l’administrateur, la validation de l’offre, du prix et des conditions applicables : pour la carte, l’activation intervient après confirmation du paiement réussi ; pour le virement, elle intervient après contrôle et approbation de la commande, lors de l’émission de la facture payable selon les modalités du paragraphe 4. La même organisation et ses contacts, groupes, utilisateurs et appareils sont conservés, sans recréation ni réimportation, tant que leur délai de conservation prévu au paragraphe 7.1 n’a pas expiré et que leur purge n’a pas été effectuée. À défaut de souscription, les données de la démonstration activée sont supprimées selon ce calendrier ; elles ne sont pas conservées indéfiniment après son échéance. 3. Offre professionnelle et prix L’offre Standard professionnelle coûte 20,00 EUR par mois et comprend une capacité de 500 contacts et de 100 appareils actifs. Pour une capacité contractuelle supérieure, le tarif public ajoute 0,02 EUR par contact supplémentaire et par mois et 0,20 EUR par appareil supplémentaire et par mois. Ces suppléments sont calculés séparément sur les quotas souscrits au-delà du socle, indépendamment de leur utilisation effective. Par exemple, une capacité de 700 contacts et de 100 appareils coûte 24,00 EUR par mois. Une offre personnalisée ou un prix négocié fait l’objet d’un devis ou de conditions particulières acceptées. Pour le décompte des capacités, un contact correspond à une fiche de l’annuaire professionnel non supprimée, qu’elle soit ou non attribuée à un utilisateur ou synchronisée sur un téléphone. Un appareil actif correspond à un appareil associé non révoqué ; il reste compté lorsqu’il est hors ligne, suspendu ou en attente d’effacement tant que sa révocation n’est pas effective. Les créations au-delà de la capacité autorisée sont bloquées ; leur tentative ne déclenche pas une facturation automatique de dépassement. Une baisse du nombre de fiches ou d’appareils utilisés ne réduit pas automatiquement la capacité souscrite ni son prix. Les demandes de changement de capacité sont adressées au support. Pour un abonnement sur facture, après accord sur la nouvelle capacité et son prix, une augmentation appliquée par le support devient immédiatement disponible. Le nouveau tarif est repris à la prochaine période mise en facture ; les factures déjà émises et la période qu’elles couvrent ne font pas l’objet d’un recalcul ou d’un prorata automatique. Les demandes de réduction de capacité et de modification d’un abonnement par carte sont examinées avec le support ; elles ne sont pas proposées en libre-service. Leur faisabilité, leur date d’effet et leurs conséquences tarifaires sont confirmées avant mise en œuvre. Les documents déjà émis restent inchangés, sous réserve d’un document rectificatif lorsque nécessaire. Cygnaris Systèmes bénéficie de la franchise en base de TVA. TVA non applicable, art. 293 B du CGI. Aucun montant de TVA n’est ajouté aux prix affichés. Le montant total et la capacité choisis sont présentés avant confirmation. 4. Modes de règlement, factures et activation Le client choisit avant de confirmer sa souscription l’un des modes suivants : - Carte bancaire avec débit automatique : la première échéance est réglée sur la page sécurisée Stripe. Après confirmation du paiement réussi, l’abonnement est activé. Les échéances mensuelles suivantes sont débitées automatiquement sur le moyen de paiement enregistré. Une facture est établie pour chaque échéance. - Facture mensuelle à régler par virement : après contrôle et approbation de la commande, Synthact émet une facture mensuelle d’avance, payable par virement bancaire dans un délai de 30 jours calendaires. Aucun prélèvement automatique n’est effectué. L’abonnement et la capacité commandée sont activés lors de l’émission de la facture. À défaut de règlement intégral à l’échéance, l’accès peut être suspendu immédiatement, sans délai de grâce supplémentaire. L’accès peut être rétabli après rapprochement du règlement si aucune autre somme échue ne reste impayée. Aucun escompte n’est accordé pour paiement anticipé (escompte : néant). La facture est adressée à l’adresse électronique du service comptabilité vérifiée par le client. Une modification de cette adresse ou du mode de règlement ne produit effet que pour les factures futures. Lorsqu’une référence de bon de commande a été communiquée avant l’émission, elle figure sur la facture. Le PDF transmis par courrier électronique constitue l’original comptable archivé par Synthact et une notification destinée au client. Lorsque la réglementation française impose une transmission structurée par plateforme agréée, cette transmission utilise un canal distinct ; un simple PDF envoyé par courrier électronique n’est jamais présenté comme une facture électronique structurée conforme. Les factures indiquent notamment leur numéro unique, les dates d’émission, de prestation et d’échéance, l’identité des parties, le détail des prestations, le montant à payer, la mention de franchise en base de TVA, les conditions de règlement, les pénalités de retard et l’indemnité forfaitaire légale de 40 EUR pour frais de recouvrement. 5. Durée, facturation mensuelle, impayés et résiliation L’abonnement est conclu pour une durée indéterminée, avec des périodes de facturation mensuelles payables selon le mode choisi, sauf conditions particulières convenues. Le client peut notifier sa résiliation à tout moment. Pour un abonnement par carte, la demande s’effectue depuis le portail de paiement ou auprès du support ; elle prend effet à la fin de la période contractuelle en cours. Pour un abonnement réglé par virement, la demande est adressée au support depuis le portail ou à support@synthact.fr. Sauf conditions particulières convenues, elle prend effet à la fin de la période contractuelle en cours à la réception de la demande. Si aucune période contractuelle n’est en cours à la réception de la demande, la résiliation prend effet dès cette réception, sans ouverture d’une nouvelle période. Le support confirme sa réception et la date de fin ; aucune nouvelle période ne doit être facturée après cette date. Le traitement par le support peut être manuel ; sa confirmation ne reporte pas la date d’effet résultant de la demande. Les sommes dues au titre de la période en cours et des périodes antérieures restent payables selon leurs échéances. Leur règlement ne conditionne pas la prise en compte de la résiliation. Sauf garantie commerciale ou droit impératif applicable, la résiliation ordinaire n’entraîne pas de remboursement au prorata de la période en cours. Pour la facturation par virement, aucune nouvelle période n’est émise tant qu’une facture précédente reste impayée. Une suspension technique ou pour impayé ne vaut pas résiliation et ne remplace pas la notification du client. En cas d’impayé persistant, Cygnaris examine manuellement la situation et informe le Client des sommes concernées. Avant une éventuelle résiliation, il adresse une mise en demeure précisant les obligations non exécutées, le délai raisonnable accordé pour régulariser et la possibilité de résilier le contrat à défaut de régularisation. Si l’inexécution persiste et justifie la résiliation, celle-ci est notifiée au Client avec ses motifs et sa date d’effet. Les décisions de résiliation et de fermeture pour impayé, ainsi que leurs notifications, sont traitées manuellement. Aucun retard de paiement ne déclenche à lui seul une fermeture automatique. Cygnaris met fin à la souscription concernée, enregistre la fermeture de l’espace et communique sa date au Client. Le délai de conservation de 90 jours et l’accès limité à l’export CSV depuis le site s’appliquent alors selon le paragraphe 7.1. La fermeture n’efface pas les sommes restant dues ; seules les pièces et preuves nécessaires à leur gestion suivent leurs durées propres. Les pénalités de retard sont exigibles de plein droit dès le lendemain de l’échéance au taux de la Banque centrale européenne applicable majoré de dix points. L’indemnité forfaitaire légale de 40 EUR pour frais de recouvrement est également due, sans préjudice d’une indemnisation complémentaire justifiée. 6. Garantie commerciale applicable au premier paiement par carte La première souscription conclue directement en ligne et payée par carte avec Stripe bénéficie d’une garantie commerciale de remboursement pendant 14 jours calendaires à compter de la confirmation du paiement réussi. L’administrateur autorisé peut demander depuis la page de facturation, avant l’expiration de ce délai, le remboursement intégral du montant total effectivement encaissé pour cette première échéance. La confirmation de la demande entraîne la résiliation et la fin immédiate de l’accès payant. Le client est invité à exporter les données qu’il souhaite conserver avant de confirmer ; l’export de restitution prévu au paragraphe 7.1 reste accessible depuis le site tant que les données n’ont pas été purgées, sans rétablir l’accès payant. Le remboursement est émis sur le moyen de paiement d’origine, sous réserve des délais de traitement de Stripe et du réseau bancaire. Cette garantie est utilisable une seule fois pour un même SIREN et une même organisation Synthact ; elle ne s’applique ni aux renouvellements, ni aux commandes réglées sur facture, ni aux souscriptions sur devis ou négociées, ni à une organisation ayant déjà obtenu ce remboursement. Elle ne réduit ni ne remplace aucun droit impératif dont le client pourrait bénéficier. 7. Compte, disponibilité et données Les identifiants, invitations et moyens d’association des appareils sont personnels. Tout usage suspect doit être signalé sans délai. Synthact met en œuvre les moyens raisonnables pour la disponibilité et la sécurité du service ; des interruptions peuvent survenir pour maintenance, sécurité, force majeure ou défaillance d’un prestataire hors de son contrôle. Les rôles, finalités, durées, destinataires et droits relatifs aux données personnelles sont décrits dans la politique de confidentialité. L’annexe figurant au paragraphe 11 fait partie intégrante des présentes conditions et encadre, conformément à l’article 28 du RGPD, le traitement de l’annuaire pour le compte du client. Elle s’applique à toute nouvelle démonstration utilisant des données personnelles comme aux abonnements ; pour une organisation existante, elle prend effet lors de l’acceptation de cette édition pour les opérations à venir. Elle ne présume pas l’existence d’un accord antérieur. La restitution ou la suppression de données peut être demandée au support selon les modalités de cette annexe, y compris lorsque l’accès aux fonctions du portail est suspendu. 7.1. Conservation de l’espace et restitution avant purge Les données nécessaires à l’annuaire sont conservées pendant la fourniture du service. Pour une démonstration activée, non convertie et sans souscription en cours, les données de l’espace sont supprimées de la base active à l’issue d’un délai de 90 jours calendaires à compter de sa date d’échéance. Pour une organisation fermée, ce délai est de 90 jours calendaires à compter de sa date de fermeture enregistrée. Une suspension technique ou pour impayé, à elle seule, ne déclenche pas ce délai de fermeture. Une conversion ou une prolongation valablement convenue avant la purge est prise en compte avant son exécution. Les espaces déjà existants lors de la mise en service de cette politique bénéficient d’un délai de transition : aucune purge automatique de leur espace n’intervient avant l’expiration de 90 jours calendaires à compter de cette mise en service, même si l’ancienne échéance de démonstration ou fermeture est antérieure. La date de mise en service est communiquée aux administrateurs concernés. Une échéance normale plus tardive reste applicable. Avant la purge, un administrateur habilité peut exporter les contacts au format CSV depuis le site Synthact, y compris lorsque l’espace est suspendu ou fermé. Cet accès limité permet la restitution sans réactiver l’abonnement ni la synchronisation. L’application Android Synthact ne fournit pas cette fonction d’export. Les compléments de restitution et les demandes de suppression anticipée sont adressés au support conformément au paragraphe 11.12. Une restauration ne doit pas remettre en service des données déjà supprimées : les purges automatiques sont réappliquées par le registre et les autres suppressions sont réconciliées avant réouverture. La purge porte sur les contacts, groupes, utilisateurs professionnels, invitations et données opérationnelles de l’espace qui ne sont plus nécessaires. Les données d’un compte administrateur nécessaires à une autre organisation ou à une autre prestation en cours ne sont pas supprimées du seul fait de la fermeture de cet espace. Les factures, avoirs, règlements, preuves de paiement, de souscription et d’acceptation des conditions, l’identité et l’adresse comptable vérifiée nécessaires à leur gestion, ainsi que les seuls éléments nécessaires aux obligations légales, au recouvrement ou à la constatation, à l’exercice ou à la défense d’un droit, suivent leurs durées propres et restent soumis à des accès limités. Cette exception ne permet pas de conserver indistinctement l’annuaire. Les tickets de support encore ouverts suivent le délai distinct décrit ci-dessous, y compris après la purge de l’espace. Les traces nécessaires à l’effacement des appareils sont traitées selon le paragraphe 11.12. Les demandes d’inscription invalidées ou consommées sont supprimées de la base active après 30 jours suivant leur dernière mise à jour. Les tickets de support restent conservés pendant leur traitement, puis sont supprimés après 90 jours calendaires à compter de leur clôture effective enregistrée. Le seul état « Résolu » ne constitue pas une clôture ; une réouverture effectuée avant l’engagement irréversible de la purge annule le décompte et une nouvelle clôture le fait repartir. Après cet engagement, une nouvelle demande peut être ouverte séparément. Les durées propres aux journaux techniques, décrites dans la politique de confidentialité, ne sont pas prolongées par le présent paragraphe. 7.2. Sauvegardes et prévention de la restauration de données supprimées Les sauvegardes locales et externes contrôlées par Cygnaris servent à la reprise après incident. Chaque copie est conservée pendant 90 jours calendaires à compter de sa création, puis supprimée lors du traitement de rotation. Une donnée supprimée de la base active peut donc subsister dans une sauvegarde créée avant sa purge pendant au maximum 90 jours supplémentaires. Ces copies ne sont pas utilisées pour reprendre un usage courant de données supprimées ; leur accès est limité aux opérations nécessaires de sécurité et de reprise. Un registre distinct conserve uniquement les identifiants techniques, types d’objets et dates nécessaires pour empêcher qu’une restauration réintroduise des données purgées. Il ne contient ni noms ni coordonnées de l’annuaire ni contenu de ticket. Avant la purge, une intention d’effacement est inscrite au registre et sa copie durable hors de la base restaurable est confirmée. La purge n’est exécutée qu’après cette confirmation ; son résultat est ensuite enregistré. Avant de rendre un service restauré accessible, les effacements consignés sont réappliqués. Le registre est conservé séparément aussi longtemps qu’il est nécessaire de prévenir la réapparition des données depuis une copie antérieure ; son accès et sa durée sont limités à cette finalité. Les traitements de purge et de rotation sont planifiés quotidiennement. Cygnaris surveille leurs résultats et traite les échecs ou retards comme des incidents d’exploitation, sans en faire un motif de prolongation habituelle des durées. Un incident susceptible d’affecter la restitution, l’effacement ou les droits du Client lui est signalé avec les mesures et le calendrier de résolution utiles. Les obligations légales de conservation concernent les seules pièces requises, non une conservation générale des anciennes sauvegardes. 7.3. Archives contractuelles et comptables Après la fin de la relation commerciale, les contrats, correspondances commerciales et preuves contractuelles nécessaires sont conservés en archivage intermédiaire à accès restreint pendant cinq ans. Les documents comptables et pièces justificatives, notamment les factures, avoirs et justificatifs de paiement, sont conservés pendant dix ans à compter de la clôture de l’exercice auquel ils se rapportent. Une pièce contractuelle servant également de justificatif comptable relève de la durée applicable aux pièces comptables. Ces durées et leurs points de départ sont adaptés lorsqu’un texte impose une règle particulière ou lorsqu’une réclamation, un contentieux, un contrôle, une interruption ou une suspension de prescription justifie la conservation des éléments nécessaires. Cette conservation ne porte pas indistinctement sur l’ensemble des données du compte ou de l’annuaire. Le suivi des échéances et les opérations de suppression ou d’anonymisation de ces archives sont gérés manuellement. À leur échéance, Cygnaris vérifie les obligations et procédures encore applicables, puis supprime ou anonymise les données qui ne doivent plus être conservées. La purge automatique des données opérationnelles à 90 jours ne s’applique pas à ces archives ; aucune purge automatique à cinq ou dix ans n’est prévue. 8. Responsabilité Chaque partie répond des dommages directs causés par ses manquements prouvés. Sous réserve des règles impératives, Synthact ne répond pas des dommages indirects, des données fournies par le client, du terminal de l’utilisateur, du réseau public ou d’un service tiers hors de son contrôle. Des limites particulières peuvent être prévues dans un devis ou contrat négocié. Les limites relatives à l’environnement Android et aux contacts préexistants ne s’appliquent que dans la mesure où le dysfonctionnement ou le dommage résulte effectivement de facteurs extérieurs au contrôle de Cygnaris Systèmes. Leur seule existence ne suffit pas à exclure sa responsabilité lorsqu’un manquement qui lui est imputable a causé ou contribué au dommage, et ne constitue pas à elle seule un cas de force majeure. Cygnaris Systèmes reste tenu d’informer le client des prérequis et incompatibilités connus et de traiter les anomalies relevant de son service. Ces précisions ne privent pas de leur portée les obligations essentielles du contrat et ne réduisent ni les engagements écrits particuliers, ni la garantie commerciale de remboursement applicable, ni les droits auxquels il ne peut être dérogé. 9. Propriété intellectuelle, usages interdits et fin du contrat Synthact et ses composants restent protégés par les droits de leurs titulaires. Le contrat accorde un droit d’utilisation personnel, non exclusif et limité à sa durée. Sont interdits l’accès frauduleux, le contournement des mesures ou quotas de sécurité, la mise à disposition non autorisée et l’import de données sans base juridique. La suspension technique ne vaut pas résiliation. Une fermeture définitive entraîne la demande d’effacement des contacts gérés sur les appareils et l’arrêt de l’usage courant de l’espace. La suppression des données de la base active, l’accès temporaire à leur restitution et le traitement des sauvegardes suivent les paragraphes 7.1, 7.2 et 11.12. Les factures, avoirs, règlements et preuves contractuelles restent conservés pendant leurs durées légales propres. 10. Droit applicable, litiges et évolution Le contrat est soumis au droit français. Les parties recherchent d’abord une solution amiable. À défaut, la juridiction compétente est déterminée par les règles légales applicables. La version acceptée est conservée avec la souscription ou la commande sur facture. Toute évolution importante applicable à un abonnement en cours est communiquée avant sa prise d’effet. Le client peut résilier avant le renouvellement concerné lorsqu’une modification substantielle le justifie, sous réserve des mesures urgentes de sécurité et obligations légales. Ces précisions ne modifient pas rétroactivement les versions déjà acceptées. Leur application à un contrat en cours respecte les règles de modification contractuelle et, lorsque cela est requis, l’accord du client. La seule publication d’une nouvelle version sur le site ne vaut pas acceptation de celle-ci. 11. Annexe — Accord de sous-traitance des données personnelles 11.1. Parties, prise d’effet et périmètre Le présent accord lie l’organisation identifiée dans l’espace Synthact et dans la preuve d’acceptation des conditions, représentée par son administrateur autorisé, ci-après le « Client », et Franky LABROSSE, entrepreneur individuel exerçant sous le nom commercial Cygnaris Systèmes, 112 montée de l’Église, 69870 Lamure-sur-Azergues, France, SIREN 104 914 247, ci-après « Cygnaris ». Le Client tient à jour son identité et les coordonnées de ses interlocuteurs habilités. Le contact de Cygnaris pour cet accord, les droits des personnes et les incidents est support@synthact.fr ; le référent est Franky LABROSSE. Pour l’annuaire professionnel et les opérations effectuées pour son compte, le Client détermine les finalités et les moyens essentiels du traitement et agit comme responsable du traitement. Cygnaris agit comme sous-traitant au sens du règlement (UE) 2016/679 (« RGPD »). Cet accord fait partie des conditions et prend effet lors de l’acceptation de l’édition qui le contient. Il couvre les données personnelles confiées à Synthact dès le début d’une nouvelle prestation acceptée, y compris pendant une démonstration gratuite. Pour une organisation déjà utilisatrice, il régit les opérations réalisées à compter de cette nouvelle acceptation, sans présumer qu’un accord identique avait été accepté auparavant ni modifier rétroactivement les accords antérieurs. Il demeure applicable tant que Cygnaris ou un sous-traitant ultérieur conserve des données pour le compte du Client. Les traitements dont Cygnaris détermine les finalités pour ses propres obligations, notamment la gestion de sa relation contractuelle, sa comptabilité et la défense de ses droits, relèvent de sa responsabilité propre et de sa politique de confidentialité. Cette distinction ne permet pas de réutiliser librement l’annuaire ni d’écarter le présent accord pour les opérations de sécurité ou de support effectuées pour le compte du Client. En cas de contradiction portant sur cette sous-traitance, le présent accord prévaut sur les stipulations générales du service, sans déroger aux règles impératives de protection des données. 11.2. Description des traitements confiés Le traitement a pour objet la fourniture d’un annuaire professionnel centralisé, sa gestion par les administrateurs du Client et sa synchronisation vers les appareils Android autorisés. Il comprend, selon les fonctions utilisées, la collecte par saisie, import ou API, l’enregistrement, l’organisation en groupes, la consultation, la mise à jour, l’export, la transmission aux appareils, la gestion des habilitations et des demandes d’effacement, ainsi que l’assistance, la maintenance et la sauvegarde nécessaires au service. Les opérations se déroulent pendant l’utilisation de l’espace et lors des interventions nécessaires à son fonctionnement, puis pour la restitution ou la suppression prévue au présent accord. Les catégories de personnes concernées sont les administrateurs et utilisateurs désignés par le Client ainsi que les personnes inscrites dans son annuaire professionnel : salariés, agents, collaborateurs, contacts de clients, fournisseurs, partenaires ou autres interlocuteurs professionnels dont l’enregistrement est licite. Les catégories de données confiées sont les suivantes, dans la mesure où elles sont renseignées ou produites par le service : - Identité et coordonnées professionnelles : prénom, nom, société, poste, service, numéros de téléphone, adresse électronique et identifiant externe fourni par une intégration. - Organisation de l’annuaire et des accès : groupes, affectations, identité et adresse électronique des utilisateurs autorisés, invitations et association d’un appareil à un utilisateur. - Données techniques nécessaires à la synchronisation : identifiants d’installation, fabricant et modèle d’appareil, versions d’Android et de l’application, états, dates, révisions, empreintes et compteurs techniques de synchronisation, erreurs et demandes de révocation ou d’effacement. - Éléments nécessaires à l’assistance et à la traçabilité des opérations confiées : demandes de support, événements d’administration, métadonnées techniques d’accès et d’API, à l’exclusion des secrets d’authentification en clair. Le service est destiné à un annuaire professionnel ordinaire. Le Client n’y inscrit pas volontairement de données relevant des catégories particulières de l’article 9 du RGPD ni de données relatives aux condamnations ou infractions de l’article 10 sans accord écrit préalable définissant une prise en charge adaptée. Si de telles données sont néanmoins confiées à Cygnaris, elles restent protégées par le présent accord ; les parties déterminent les mesures nécessaires pour régulariser leur traitement ou les retirer en sécurité. L’application Android peut consulter localement des fiches préexistantes pour rapprocher des numéros équivalents et présenter les contacts professionnels. Le contenu de ces fiches préexistantes n’est pas transmis au serveur Synthact par ce rapprochement. Le Client reste responsable des autorisations d’accès au carnet local et des applications ou comptes tiers qu’il autorise à consulter les contacts sur ses appareils. 11.3. Instructions documentées et obligations du Client Le Client décide des personnes à inscrire, des données nécessaires, des utilisateurs et groupes autorisés et des appareils destinataires. Il assure la licéité du traitement, l’information des personnes et l’exercice de leurs droits, fixe les durées nécessaires à ses finalités et veille à l’exactitude des données. Il vérifie que les fonctionnalités et les mesures décrites conviennent à ses usages et signale à Cygnaris les contraintes particulières susceptibles de modifier le risque. Les présentes conditions, les paramètres et actions des administrateurs habilités dans le service et les demandes écrites vérifiées adressées au support constituent les instructions documentées du Client. Celui-ci peut les compléter par écrit. Cygnaris ne traite les données que pour exécuter ces instructions, y compris en matière de transfert international, et ne les vend pas, ne les utilise pas pour la publicité et ne les réutilise pas pour entraîner un système d’intelligence artificielle. Si une obligation du droit de l’Union ou d’un État membre impose un traitement distinct, Cygnaris en informe le Client avant d’y procéder, sauf interdiction légale d’informer pour un motif important d’intérêt public. Si Cygnaris estime qu’une instruction méconnaît les règles de protection des données, il en informe immédiatement le Client et peut suspendre l’opération concernée jusqu’à clarification. Il avertit également le Client s’il ne peut plus respecter le présent accord. Les parties recherchent une solution conforme ; une instruction illicite ne devient pas exécutable du seul fait de sa confirmation par le Client. 11.4. Confidentialité et organisation de la sécurité Cygnaris limite l’accès aux données aux personnes autorisées ayant besoin d’y accéder pour leurs tâches d’exploitation ou de support. Il veille à leur engagement de confidentialité ou à l’existence d’une obligation légale équivalente, à leur sensibilisation aux règles applicables et au retrait des habilitations devenues inutiles. Il applique cette exigence aux intervenants auxquels il confie un accès. Cygnaris met en œuvre et maintient des mesures techniques et organisationnelles adaptées aux risques, à la nature des données, à l’état des connaissances et aux finalités du service, conformément à l’article 32 du RGPD. Il évalue leur efficacité et traite les vulnérabilités et incidents identifiés. Les évolutions techniques peuvent remplacer une mesure par une protection adaptée, sans diminuer le niveau global de sécurité requis pour les traitements confiés. Une évolution substantielle affectant ce niveau est communiquée au Client. Le Client protège ses postes, appareils, comptes et intégrations ; il gère les habilitations, l’authentification, les mises à jour et la révocation des accès de son personnel. Les responsabilités du Client ne dispensent pas Cygnaris de sécuriser ses propres systèmes ni de répondre d’un manquement qui lui est imputable. 11.5. Mesures techniques et organisationnelles du service Les mesures appliquées au service comprennent : - Une séparation logique des organisations et des contrôles d’appartenance avant les accès aux contacts, groupes, appareils et fonctions d’administration ; les capacités d’exploitation de la plateforme sont distinctes de l’administration d’une organisation. - Une authentification renforcée du portail en production, des contrôles contre les tentatives de connexion abusives et des invitations ou liens de réinitialisation limités dans le temps. Les mots de passe sont conservés sous forme de hachage ; les secrets d’accès des appareils et des clés API sont vérifiés au moyen de condensats. Les clés API peuvent être limitées par permissions, expirées et révoquées. - Des communications HTTPS en production et une connexion chiffrée au service de messagerie pour l’envoi des messages. L’identifiant Firebase nécessaire aux notifications est chiffré au repos dans Synthact. Cette mesure particulière ne constitue pas une affirmation de chiffrement intégral de toutes les bases et copies de données. - Une limitation des données envoyées dans les notifications et les journaux techniques, ainsi que la traçabilité des opérations utiles à la sécurité et au diagnostic. Les charges utiles FCM ne contiennent pas les fiches de contacts ; les journaux de l’API n’enregistrent ni les secrets d’authentification ni les contenus JSON des contacts ou des groupes. - Des procédures de sauvegarde et de restauration, des contrôles d’intégrité et des essais de restauration destinés à la reprise après incident. Cygnaris protège l’accès aux supports et fichiers utilisés et tient les résultats des contrôles à disposition pour démontrer les mesures effectivement mises en œuvre. Aucun délai chiffré de reprise, disponibilité continue ou duplication sur plusieurs sites n’est garanti par cette seule annexe. - Une procédure de qualification, de traitement et de suivi des incidents, ainsi qu’un suivi des modifications et des vérifications de sécurité du service. Les environnements de test utilisent des données fictives ou une autre protection adaptée ; l’utilisation de données réelles pour une intervention exceptionnelle est limitée à ce qui est nécessaire et aux instructions du Client. 11.6. Assistance au Client et droits des personnes Compte tenu de la nature des traitements et des informations dont il dispose, Cygnaris aide le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité lorsqu’elles sont applicables. Cette assistance peut utiliser les fonctions du portail ou une intervention du support. Une demande reçue directement d’une personne concernant l’annuaire du Client lui est transmise sans délai indu ; Cygnaris ne décide pas à sa place de la réponse de fond, sauf obligation légale. Cygnaris fournit également l’assistance nécessaire aux obligations du Client relatives à la sécurité, à l’évaluation et à la notification des violations, aux analyses d’impact et à la consultation préalable de l’autorité de contrôle prévues aux articles 32 à 36 du RGPD. Il communique les informations disponibles sur ses traitements, leurs risques, les mesures et incidents pertinents afin que le Client puisse respecter ses délais légaux. Le Client précise la demande, son urgence et les informations nécessaires à son traitement. Les parties conviennent des modalités pratiques d’une assistance particulière. Une éventuelle prestation supplémentaire fait l’objet d’un accord préalable distinct et ne peut conditionner, empêcher ou retarder l’exécution des obligations légales de Cygnaris ni l’assistance urgente requise. 11.7. Violations de données personnelles Cygnaris informe le Client sans délai indu après avoir pris connaissance d’une violation affectant les données traitées pour son compte. Il adresse l’information à un administrateur ou au contact sécurité désigné par le Client, à partir des coordonnées tenues à jour, et utilise un autre moyen disponible si l’urgence ou une défaillance du canal habituel le justifie. Il n’attend pas la fin de son enquête pour transmettre une première notification utile. La notification décrit, selon les informations alors disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées et un point de contact. Les informations manquantes sont complétées progressivement sans délai indu. Cygnaris documente les faits, conserve les éléments utiles à l’analyse et coopère pour contenir l’incident et limiter ses conséquences. Le Client décide des notifications à l’autorité de contrôle et aux personnes concernées pour les traitements dont il est responsable. Cygnaris l’assiste afin qu’il puisse respecter les délais applicables, notamment celui de l’article 33 du RGPD. Cygnaris ne se substitue à lui pour ces notifications que sur mandat écrit ou en exécution de sa propre obligation légale. 11.8. Recours aux sous-traitants ultérieurs Le Client autorise de manière générale le recours aux sous-traitants ultérieurs identifiés au paragraphe 11.9 pour les seules opérations qui y sont décrites. Cygnaris vérifie les garanties qu’ils présentent, limite les données mises à leur disposition et leur impose par écrit des obligations de protection des données substantiellement équivalentes à celles qui lui incombent pour la prestation confiée. Il demeure responsable à l’égard du Client de l’exécution de ces obligations par ses sous-traitants ultérieurs. Cygnaris tient une liste à jour indiquant l’identité des prestataires concernés, les opérations confiées, les catégories de données, les lieux de traitement connus et les garanties de transfert applicables. Cette liste et les informations nécessaires à leur appréciation sont disponibles auprès de support@synthact.fr. L’ajout ou le remplacement d’un sous-traitant ultérieur est annoncé au Client par écrit au moins 30 jours calendaires avant son intervention sur ses données. L’information est toujours préalable. En cas d’urgence justifiée de sécurité ou de continuité, Cygnaris peut proposer un préavis plus court en expliquant les raisons, les mesures et le calendrier ; sa réduction nécessite l’accord écrit spécifique du Client avant l’intervention. À défaut d’un tel accord, Cygnaris respecte le préavis et, si nécessaire, suspend la fonction concernée jusqu’à la mise en place d’une solution conforme. Le Client peut présenter pendant le préavis une objection motivée par la protection des données ; en cas de réduction convenue, l’accord écrit précise le délai qui lui permet de s’opposer avant l’intervention. Cygnaris examine l’objection avec lui et recherche une solution adaptée, telle qu’une mesure supplémentaire, une substitution ou l’arrêt de la fonction concernée. Tant qu’une objection justifiée reste sans solution, les données concernées ne sont pas confiées au nouveau prestataire. Si aucune solution conforme ne permet la poursuite de la prestation, le Client peut résilier la partie concernée ou l’ensemble du service lorsqu’elle en est indissociable, sans pénalité de résiliation, avec restitution ou suppression des données selon le paragraphe 11.12. Les prestations déjà fournies restent dues. 11.9. Infrastructure et intervenants identifiés L’application, la base de données et le cache principaux sont exploités sur une infrastructure administrée directement par Cygnaris, en France, à l’adresse indiquée au paragraphe 11.1. Cygnaris ne présente pas OVHcloud ou Google comme hébergeur de cette base d’annuaire. Le recours à un tiers pour un nouvel hébergement ou une sauvegarde comportant des données du Client relève des règles des paragraphes 11.8 et 11.10. - OVH SAS (OVHcloud), 2 rue Kellermann, 59100 Roubaix, France : messagerie utilisée pour les invitations, réinitialisations, notifications et échanges de support. Les données traitées comprennent les adresses d’expéditeur et de destinataire, les en-têtes, le contenu des messages et leurs métadonnées de livraison. Les fiches de l’annuaire ne sont pas jointes automatiquement aux messages ; un contenu transmis par le Client au support peut en comporter. OVH intervient comme sous-traitant ultérieur pour la part de ces échanges effectuée pour le compte du Client. Les conditions du service de messagerie, ses intervenants et les localisations documentées sont tenus disponibles par Cygnaris à partir de son contrat OVHcloud ; l’établissement d’OVH en France n’implique pas à lui seul que toute opération de messagerie reste en France. - Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043, États-Unis, fournisseur de Firebase Cloud Messaging selon les conditions Google APIs et Firebase applicables : acheminement des signaux techniques de réveil de l’application Android pour une synchronisation ou une demande d’effacement. Le flux comprend l’identifiant d’installation Firebase et les métadonnées nécessaires à la remise, ainsi qu’un type d’opération, des identifiants techniques d’événement et une révision ou référence d’effacement. Aucune fiche de contact n’est contenue dans la charge utile FCM. Les services Firebase peuvent traiter ces données dans les pays où Google ou ses sous-traitants disposent d’installations, notamment aux États-Unis ; le seul hébergement principal en France ne localise pas ce flux en France. Les conditions de traitement et la liste des intervenants Firebase sont accessibles à https://firebase.google.com/terms/data-processing-terms et https://firebase.google.com/terms/subprocessors ; les garanties applicables sont précisées au paragraphe 11.10. Stripe fournit, lorsqu’il est choisi, le paiement par carte, la gestion de l’abonnement et son portail de facturation. Ce flux porte sur les informations contractuelles, techniques, de paiement et de facturation nécessaires, et non sur l’annuaire professionnel. Pour ces finalités distinctes de la gestion de l’annuaire, Cygnaris agit au titre de sa relation commerciale et Stripe intervient selon les rôles propres définis par les services utilisés, notamment comme responsable de traitement pour ses obligations réglementaires et certaines opérations de sécurité. Stripe n’est donc pas désigné par le présent accord comme sous-traitant ultérieur de l’annuaire. Sa politique de confidentialité et son accord de traitement décrivent ces rôles : https://stripe.com/fr/privacy et https://stripe.com/legal/dpa. Une démo ne déclenche pas de transmission à Stripe du seul fait de son ouverture ou de son expiration. Les prestataires et applications que le Client choisit lui-même pour ses intégrations ou ses appareils ne deviennent pas, de ce seul fait, des sous-traitants ultérieurs de Cygnaris. Le Client encadre leurs accès aux données qu’il leur rend accessibles. 11.10. Localisation et transferts hors de l’Espace économique européen Cygnaris ne réalise un transfert de données confiées hors de l’Espace économique européen que sur instruction documentée du Client ou dans le cas légal prévu au paragraphe 11.3, et avec les garanties requises par le chapitre V du RGPD. Le recours aux flux précisément décrits au paragraphe 11.9 constitue l’instruction du Client pour leur mise en œuvre dans ces limites ; il ne constitue ni une autorisation de transfert vers tout destinataire ni un consentement des personnes à une dérogation de l’article 49. Avant un transfert, Cygnaris vérifie et documente le mécanisme effectivement applicable au destinataire et au service : décision d’adéquation dont les conditions sont remplies ou garanties appropriées, notamment les clauses contractuelles types de transfert de la Commission européenne dans le module adapté. Il évalue, lorsque nécessaire, les conditions du transfert et met en place les mesures complémentaires requises. Pour Firebase, les mécanismes prévus par les conditions Google ne sont utilisés qu’après vérification de leur applicabilité au flux concerné ; aucune certification n’est attribuée à Cygnaris par leur seule utilisation. Sur demande, Cygnaris communique au Client les pays et destinataires concernés, le mécanisme retenu et les éléments ou copies des garanties nécessaires à leur vérification, sous réserve des seules occultations justifiées pour protéger des secrets ou les données de tiers. Une garantie devenue inapplicable donne lieu à une autre solution valide ou à la suspension du transfert concerné, avec information du Client. Le présent accord de sous-traitance ne tient pas lieu, à lui seul, de clauses contractuelles types de transfert. 11.11. Documentation, audits et coopération Cygnaris tient à disposition du Client les informations nécessaires pour démontrer le respect du présent accord et de l’article 28 du RGPD, notamment la description des mesures pertinentes, la liste des sous-traitants ultérieurs, les éléments relatifs aux transferts et les résultats utiles des contrôles de sécurité et de reprise. Il tient le registre des catégories d’activités de traitement réalisées pour le compte de ses clients prévu par l’article 30 du RGPD. Le Client peut procéder à un audit, y compris une inspection, lui-même ou par un auditeur mandaté tenu à la confidentialité ; Cygnaris y contribue. Les parties organisent les modalités pratiques, la portée et un préavis raisonnable en fonction du risque. Une urgence, un incident ou une demande d’une autorité peut justifier un contrôle plus rapide. Les rapports et échanges documentaires peuvent préparer l’audit sans supprimer le droit à un contrôle nécessaire. Les mesures destinées à protéger les secrets, la sécurité du service et les autres organisations ne peuvent rendre ce droit inopérant. Cygnaris coopère avec les autorités de contrôle compétentes et traite les écarts relevant de ses obligations. 11.12. Restitution, suppression et fin de la prestation À la fin des prestations de traitement, le Client choisit la restitution de ses données, suivie de la suppression des copies conservées par Cygnaris, ou leur suppression sans restitution, sauf obligation de conservation prévue par le droit de l’Union ou d’un État membre. Il communique son choix par le support ou un autre écrit authentifié. En acceptant les présentes conditions, il donne instruction d’appliquer, à défaut d’une instruction particulière conforme, le calendrier de restitution et de suppression des paragraphes 7.1 et 7.2. L’absence de demande complémentaire ne permet donc pas une conservation indéfinie. Le Client peut demander une restitution ou une suppression anticipée ; Cygnaris traite cette instruction sans délai indu, sans attendre l’échéance de la purge automatique lorsque la demande peut être exécutée plus tôt. La restitution intervient dans un format courant exploitable et par un moyen sécurisé. Le site Synthact permet notamment l’export CSV des contacts par un administrateur habilité avant la purge, y compris lorsque l’espace est suspendu ou fermé ; l’application Android ne propose pas cet export. Les compléments nécessaires à la restitution des données confiées peuvent être pris en charge par le support. La suppression porte également sur les copies et est répercutée auprès des sous-traitants ultérieurs concernés. Cygnaris organise et exécute ces opérations dans les meilleurs délais, documente leur calendrier et informe le Client de leur achèvement. Les opérations non couvertes par les traitements automatiques, notamment une demande particulière de restitution, peuvent nécessiter une intervention manuelle ; la fermeture de l’espace ou la suppression d’une fiche dans l’interface ne constitue pas, à elle seule, une attestation de purge de toutes les copies. Lorsqu’une copie de sauvegarde ne permet pas l’effacement sélectif immédiat, Cygnaris en restreint l’accès et les usages jusqu’à son élimination effective, dans le délai de 90 jours depuis sa création précisé au paragraphe 7.2. Il informe le Client des modalités et du délai technique nécessaires. Le registre d’effacement séparé, confirmé avant la purge, permet de réappliquer les purges automatiques d’organisations et de tickets avant toute remise en service de données restaurées. Les autres suppressions, notamment celles de contacts individuels, font l’objet d’une réconciliation complémentaire avant cette remise en service ; le seul registre automatique ne suffit pas à la démontrer. Les contraintes de sauvegarde ne constituent pas une exception à l’obligation de suppression. Une conservation légalement obligatoire est limitée aux données, à la durée et à la finalité concernées ; Cygnaris en indique le fondement au Client, sauf interdiction légale, et maintient les protections applicables. La synchronisation d’un effacement sur un appareil suppose que celui-ci puisse recevoir et exécuter l’instruction. Après la purge de l’annuaire en base active, Cygnaris conserve uniquement la trace technique nécessaire à l’effacement de chaque appareil qui ne l’a pas encore confirmé : identifiants techniques de l’appareil et de l’opération, moyens d’authentification protégés, identifiant de notification Firebase et dates ou états nécessaires à leur traitement. Cette trace ne contient plus les noms, coordonnées professionnelles ou groupes des personnes de l’annuaire. Elle est supprimée après confirmation de l’effacement par l’appareil ou, au plus tard, à l’issue de 90 jours calendaires supplémentaires après la purge de la base active, selon l’événement qui intervient en premier. Pendant cette période, son seul usage est de transmettre, sécuriser et constater l’effacement ; elle ne permet pas de reprendre la synchronisation de l’annuaire. Un appareil demeuré hors ligne ou incapable d’exécuter l’instruction à l’expiration de ce délai peut encore contenir les contacts auparavant distribués. Cygnaris ne garantit pas qu’un tel appareil ait reçu ou exécuté l’effacement et ne présente pas la purge du serveur comme une confirmation de suppression locale. Le Client coopère pour les appareils hors ligne, retirés du parc ou sous son contrôle, organise leur nettoyage local lorsque nécessaire et traite les copies qu’il a lui-même exportées ou transmises à des tiers. Cette répartition ne dispense pas Cygnaris de supprimer les données et copies qui demeurent sous son contrôle. Les obligations de confidentialité, de protection et d’assistance nécessaires à la clôture subsistent jusqu’à l’exécution des opérations prévues au présent paragraphe.