Politique de confidentialité

Synthcraft Web & Automation (ci-après « nous »), exploité par Atilla Firat BOZDOGAN, Chemin de Pierrefleur 37, 1004 Lausanne (VD), est responsable du traitement des données personnelles collectées via la plateforme app.synthcraft.dev et ses sous-domaines. Contact : info@synthcraft.dev

Lorsque nos agents répondent aux patients, clients ou prospects d'une entreprise qui utilise nos services — un cabinet médical, par exemple —, c'est cette entreprise qui est responsable du traitement de leurs données. Nous agissons alors comme sous-traitant, uniquement sur ses instructions et pour lui fournir le service. Pour exercer vos droits sur ces données, adressez-vous de préférence à cette entreprise ; si vous nous écrivez, nous lui transmettons votre demande sans délai.

Nous collectons les catégories de données suivantes :

• Données d'identification : nom, adresse e-mail (lors de l'inscription ou du contact).
• Données de facturation : gérées directement par Stripe ; nous n'avons pas accès aux données de carte bancaire.
• Données de conversation : messages échangés avec les agents IA déployés pour nos clients (PME).
• Données d'appel : enregistrements, transcriptions et résumés des appels traités par l'agent vocal, demandes de rendez-vous et de rappel.
• Données techniques : adresse IP, type de navigateur, pages visitées, journaux de serveur.

Selon l'activité de l'entreprise appelée, une conversation peut révéler des données sensibles au sens de la LPD, notamment relatives à la santé. La section 7 décrit les règles qui s'y appliquent.

• Fourniture du service (exécution du contrat).
• Facturation et gestion des abonnements (obligation légale / exécution du contrat).
• Amélioration de la plateforme et prévention de la fraude (intérêt légitime).
• Envoi de communications transactionnelles — limites de quota, confirmations de rendez-vous (intérêt légitime).

Nous ne vendons ni ne louons aucune donnée, nous ne faisons aucun profilage publicitaire, et aucune donnée ne sert à entraîner des modèles d'IA, ni chez nous ni chez nos prestataires.

Pour fournir le service, nous faisons appel à des prestataires spécialisés, chacun lié par un accord de traitement des données et par des engagements contractuels de confidentialité. Ils interviennent dans les catégories suivantes :

• Hébergement — base de données et application (Union européenne).
• Modèle de langue — génération des réponses de l'agent, à l'écrit comme à l'oral.
• Téléphonie et SMS — lignes d'appel de l'agent vocal, confirmations et rappels.
• Traitement de la parole — transcription des appels et synthèse vocale.
• E-mails transactionnels — notifications et alertes de quota.
• Agenda — disponibilités et prise de rendez-vous.
• Paiement — Stripe, certifié PCI-DSS. Nous ne voyons ni ne conservons vos données de carte.

La liste nominative et à jour de ces prestataires figure à l'annexe de sous-traitance des conditions d'utilisation, et vous pouvez l'obtenir à tout moment en écrivant à info@synthcraft.dev. Si vous êtes client, tout changement vous est notifié 30 jours à l'avance et vous pouvez résilier sans frais si vous le refusez.

Certains de nos sous-traitants sont établis en dehors de l'Espace économique européen (EEE) et de la Suisse, notamment aux États-Unis. Lorsque vos données personnelles sont transférées vers ces pays, nous veillons à ce que le transfert soit encadré par des garanties appropriées conformément au chapitre V du RGPD et à la loi fédérale suisse sur la protection des données (nLPD) :

• les Clauses Contractuelles Types (CCT / SCC) adoptées par la Commission européenne, complétées le cas échéant par les clauses reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT) pour la Suisse ;
• la certification au Data Privacy Framework (DPF) UE–États-Unis et à son extension suisse, lorsque le sous-traitant y adhère ;
• un accord de traitement des données (Data Processing Agreement) conclu avec chaque sous-traitant.

À ce jour, l'hébergement de la base de données et de l'application est configuré dans l'Union européenne (région de Francfort). Les prestations de modèle de langue, de téléphonie et SMS, de traitement de la parole, d'e-mails transactionnels et d'agenda sont assurées par des prestataires établis aux États-Unis. Le détail par prestataire figure à l'annexe de sous-traitance des conditions d'utilisation.

Vous pouvez obtenir une copie des garanties mises en place en nous contactant à info@synthcraft.dev.

Les appels traités par l'agent vocal sont enregistrés et transcrits, pour permettre à l'entreprise appelée de vérifier ce qui a été dit et de rappeler la personne. L'agent l'annonce dès sa phrase d'accueil, avant tout échange, conformément à l'art. 179ter du code pénal suisse. Une personne qui ne souhaite pas être enregistrée peut mettre fin à l'appel et joindre l'entreprise par un autre canal.

Les enregistrements sont conservés 90 jours, puis supprimés. Les résumés et transcriptions sont conservés pour la durée de l'abonnement de l'entreprise concernée. Ni les enregistrements ni les transcriptions ne servent à entraîner des modèles.

Nombre de nos clients sont des cabinets et centres de santé. Les données de leurs patients sont traitées avec les règles suivantes :

• Elles ne sont traitées que pour le compte du cabinet, sur ses instructions, et jamais à nos propres fins.
• Lorsque le cabinet est soumis au secret professionnel (art. 321 du code pénal suisse), nous intervenons en qualité d'auxiliaire tenu au même secret, de même que toute personne que nous autorisons à accéder à ces données.
• Aucune donnée de patient n'est communiquée à un tiers sans instruction du cabinet, sauf obligation légale.
• Chaque établissement peut signer avec nous un accord de confidentialitéqui décrit ces engagements en détail et les rend opposables ; il suffit de le demander à info@synthcraft.dev.

Nous appliquons les mesures techniques et organisationnelles suivantes :

• Chiffrement : toutes les communications sont chiffrées en transit (TLS) ; les données sont chiffrées au repos par l'hébergeur.
• Secrets d'accès : les mots de passe que nos clients nous confient (par exemple une messagerie) sont en outre chiffrés par nos soins (AES-256-GCM), avec une clé conservée hors de la base de données.
• Cloisonnement : chaque client est isolé au niveau de la base de données ; un compte ne peut techniquement lire que les données de sa propre entreprise.
• Accès restreint : seul l'exploitant dispose d'un accès administrateur, et n'ouvre le contenu d'un appel ou d'une conversation que pour répondre à une demande du client, traiter un incident ou satisfaire une obligation légale.
• Minimisation : nous ne collectons que les données nécessaires au service, et les enregistrements d'appels sont supprimés automatiquement après 90 jours.

En cas de violation de la sécurité des données, nous informons sans délai, et au plus tard dans les 48 heures, les entreprises clientes concernées ; lorsque la violation présente un risque élevé pour les personnes, elle est annoncée au Préposé fédéral à la protection des données et à la transparence (art. 24 LPD), et les personnes concernées sont informées lorsque la loi l'exige.

Les données de compte sont conservées pendant la durée de l'abonnement et jusqu'à 30 jours après sa résiliation, sauf obligation légale contraire. Pendant ce délai, l'entreprise cliente peut demander un export de ses données ; elles sont ensuite supprimées. Les journaux techniques sont supprimés au bout de 90 jours.

Conformément à la LPD suisse (et au RGPD lorsqu'il s'applique), vous disposez des droits d'accès, de rectification, d'effacement, de portabilité et d'opposition, ainsi que du droit de retirer à tout moment un consentement donné. Pour exercer ces droits, contactez-nous à info@synthcraft.dev. Nous répondons gratuitement, dans un délai de 30 jours.

Si vous estimez que vos données ne sont pas traitées conformément à la loi, vous pouvez déposer une plainte auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT) ou, dans l'Union européenne, auprès de l'autorité de contrôle de votre pays.

Nous utilisons uniquement les cookies strictement nécessaires au fonctionnement de la plateforme (session d'authentification). Aucun cookie publicitaire ou de suivi tiers n'est déposé.

Nous nous réservons le droit de modifier cette politique. En cas de changement substantiel, nous vous en informerons par e-mail ou via le tableau de bord.