Mentions légales

Conditions d'utilisation

1. Le service

DocAI extrait des données structurées de documents professionnels (PDF et images) à l'aide de l'OCR et de modèles d'IA, et fournit une interface de révision pour vérifier et corriger les résultats. Le Service est exploité par SYNAIRO SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Złota 75A/7, 00-819 Warszawa, Poland. En utilisant le Service, vous acceptez ces conditions.

2. Les résultats de l'IA nécessitent une révision

Les valeurs extraites sont des prédictions de l'IA, et non des données certifiées. Elles peuvent être erronées, incomplètes ou mal placées. Y compris les montants, les numéros fiscaux et les dates. Il vous incombe de vérifier et de confirmer les données extraites avant de les utiliser dans un contexte comptable, contractuel ou tout autre contexte à conséquences. Le Service fournit des scores de confiance et la mise en évidence des sources pour appuyer cette révision, et non pour la remplacer.

Vous interagissez avec un système d'IA. En vertu de l'article 50 du règlement (UE) 2024/1689 (l'« AI Act » européen), nous vous informons que le téléversement d'un document pour analyse, ainsi que l'utilisation de « Décrivez ce dont vous avez besoin » pour générer des champs d'extraction à partir de votre propre texte, constituent tous deux une interaction directe avec un système d'IA que nous exploitons. Le contenu généré par l'IA. Valeurs de champs extraites, titres suggérés, résumés et propositions de champs générées. Est une suggestion soumise à votre vérification, et non un résultat final ou certifié. Le Service ne prend aucune décision automatisée produisant des effets juridiques ou similaires vous concernant ; voir la Politique de confidentialité pour la déclaration complète relative à la prise de décision automatisée.

3. Votre compte et utilisation acceptable

• Vous devez fournir des informations de compte exactes et préserver la confidentialité de vos identifiants.
• N'importez que des documents que vous avez le droit de traiter.
• Vous êtes responsable de disposer d'une base juridique pour traiter les données personnelles contenues dans les documents que vous téléversez, y compris toute donnée de catégorie spéciale.
• Le Service n'est pas conçu ni certifié pour les données personnelles de santé, biométriques ou d'autre catégorie spéciale (RGPD Art. 9) ; ne téléversez pas de telles données sans avoir vérifié au préalable que cela est licite.
• Ne tentez pas de perturber le Service, de contourner les limites d'utilisation, de sonder la sécurité ou de traiter du contenu illicite.
• Les limites d'utilisation de l'offre gratuite s'appliquent et peuvent changer ; les offres payantes sont régies par la tarification affichée au moment de l'achat.

4. Forfaits payants et facturation

Les forfaits payants sont actuellement proposés pour un usage professionnel. Ils se renouvellent mensuellement en USD jusqu'à leur résiliation. Les prix affichés excluent la TVA ou la taxe de vente applicable ; Stripe calcule et ajoute la taxe applicable au paiement selon les informations de facturation que vous fournissez.

Vous pouvez gérer les informations de paiement, les informations fiscales, les factures, les changements de forfait et la résiliation dans le portail de facturation Stripe. La résiliation prend effet à la fin de la période de service payante en cours, et l'accès se poursuit jusque-là. Les passages à un forfait inférieur sont planifiés pour la période suivante ; un passage à un forfait supérieur peut entraîner des frais immédiats au prorata et ne s'active qu'après la réussite du paiement.

Les paiements peuvent être réessayés après un échec. Nous n'accordons pas de remboursement automatique au prorata, sauf lorsque la loi l'exige ; contactez l'assistance pour un examen exceptionnel de la facturation. La suppression de votre compte programme l'arrêt du renouvellement de tout abonnement en cours et ne crée pas de remboursement automatique.

5. Vos données

Le traitement, le stockage et la conservation des documents sont décrits dans la Politique de confidentialité, qui fait partie intégrante de ces conditions. Vous conservez tous les droits sur vos documents et vos données extraites. Nous ne revendiquons aucune propriété et n'entraînons aucun modèle d'IA sur votre contenu.

6. Disponibilité et modifications

Le Service est fourni « en l'état » et peut être modifié, interrompu ou abandonné. Pendant la bêta, des fonctionnalités peuvent être ajoutées ou supprimées sans préavis. Nous visons une haute disponibilité, mais ne la garantissons pas.

7. Responsabilité

Dans toute la mesure permise par la loi, nous ne sommes pas responsables des dommages indirects ou consécutifs, des pertes de bénéfices ou des pertes résultant du fait de s'être fié à des résultats d'IA non vérifiés. Notre responsabilité totale pour toute réclamation est limitée aux montants que vous avez payés pour le Service au cours des 12 mois précédant la réclamation (ou 100 EUR si vous n'avez rien payé). Rien dans ces conditions ne limite une responsabilité qui ne peut être limitée par la loi.

8. Résiliation

Vous pouvez cesser d'utiliser le Service et supprimer votre compte à tout moment. Nous pouvons suspendre ou résilier les comptes qui enfreignent ces conditions. À la résiliation, les données enregistrées sont supprimées conformément à la Politique de confidentialité.

9. Droit applicable

Ces conditions sont régies par le droit polonais. Les litiges relèvent des tribunaux compétents de Poland, sans préjudice des protections impératives des consommateurs dans votre pays de résidence.

10. Contact

Questions concernant ces conditions : legal@synairo.com.

Sécurité

1. Transmission des données

Toutes les connexions à DocAI sont chiffrées en transit avec TLS. Les requêtes non sécurisées sont redirigées vers HTTPS, et un en-tête Strict-Transport-Security (HSTS) est envoyé via HTTPS pour que les navigateurs continuent d'utiliser des connexions sécurisées.

2. Authentification

• L'authentification des utilisateurs est gérée par Clerk (clerk.com), un fournisseur d'identité tiers. DocAI ne stocke jamais les mots de passe en clair. Clerk émet des jetons de session JWT à durée de vie courte, vérifiés à chaque requête et liés à notre propre instance Clerk.
• L'authentification administrateur utilise le hachage de mot de passe PBKDF2-SHA256 avec des cookies de session HttpOnly et une protection CSRF. Les sessions administrateur expirent après une période configurée.
• Les clés API sont générées avec un générateur aléatoire cryptographiquement sûr. Seul un hachage SHA-256 de la clé est stocké. La clé complète n'est affichée qu'une seule fois lors de sa création et ne peut pas être récupérée. Les clés sont associées à des portées et peuvent être révoquées immédiatement.

3. Sécurité des webhooks

Un secret de signature HMAC-SHA256 propre à chaque webhook est attribué à chaque endpoint de webhook. Chaque livraison inclut un en-tête X-DocAI-Signature: sha256=… afin que votre endpoint puisse vérifier que la charge utile provient bien de DocAI et qu'elle n'a pas été altérée en transit.

Exemple de vérification (Python) :

import hashlib, hmac

def verify_signature(secret: str, payload: str, timestamp: str, header_sig: str) -> bool:
    message = f"{timestamp}.{payload}"
    expected = hmac.new(secret.encode(), message.encode(), hashlib.sha256).hexdigest()
    return hmac.compare_digest(f"sha256={expected}", header_sig)

4. Stockage des documents

• Chiffrement au repos : la base de données PostgreSQL de production est chiffrée au repos par Railway. Les objets de documents stockés et leurs métadonnées sont automatiquement chiffrés au repos par Cloudflare R2 à l'aide d'AES-256-GCM et de clés de chiffrement gérées par Cloudflare.
• Les documents que vous analysez sans enregistrer sont traités sans être écrits dans votre historique. Lorsque vous enregistrez une analyse, ses résultats. Et, lorsque le stockage de documents est activé, le fichier téléversé lui-même. Sont conservés sous votre compte afin que vous puissiez les rouvrir, les partager et les exporter.
• Les fichiers stockés sont conservés dans un espace propre au compte propriétaire et téléchargés via des liens à durée de vie limitée, de sorte que les fichiers d'un compte ne sont pas accessibles depuis un autre compte.
• Les analyses enregistrées sont conservées jusqu'à ce que vous les supprimiez (sauf si une période de conservation est configurée pour le déploiement). Vous pouvez supprimer n'importe quel enregistrement, ou tous à la fois, à tout moment. Consultez la section Conservation des données ci-dessous.
• Nous n'entraînons pas de modèles d'IA avec vos documents.

5. Sous-traitants LLM / OCR

Le contenu des documents (images de pages ou texte OCR) est envoyé à un fournisseur d'IA (actuellement OpenAI ou OVH AI Endpoints, selon notre configuration) pour l'extraction de champs. Ces fournisseurs agissent comme sous-traitants. Consultez leurs conditions de traitement des données et utilisez les outils de masquage de champs et de rédaction avant de traiter des documents sensibles.

Vous êtes responsable de disposer d'une base juridique pour traiter les documents que vous téléversez, y compris toute donnée de catégorie spéciale. Le Service n'est pas spécifiquement conçu ni certifié pour les données personnelles de santé, biométriques ou d'autre catégorie spéciale.

6. En-têtes de sécurité HTTP

DocAI définit les en-têtes de sécurité suivants sur toutes les réponses :

• Content-Security-Policy
• Strict-Transport-Security (via HTTPS)
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY
• Referrer-Policy: strict-origin-when-cross-origin
• Cross-Origin-Opener-Policy: same-origin
• Cross-Origin-Resource-Policy: same-origin
• Permissions-Policy (caméra, microphone et géolocalisation désactivés)

7. Divulgation responsable

Si vous découvrez un problème de sécurité, veuillez écrire à security@synairo.com. Nous nous efforçons de répondre dans les 72 heures et de traiter rapidement les problèmes confirmés. Veuillez ne pas divulguer publiquement avant qu'un correctif soit disponible.

8. Infrastructure

DocAI fonctionne sur Railway dans sa région EU West, avec terminaison TLS à la périphérie de la plateforme. L'application se connecte à PostgreSQL via le réseau privé chiffré par WireGuard de Railway. Les fichiers stockés sont conservés dans un compartiment Cloudflare R2 limité à la juridiction de l'Union européenne ; les transferts entre l'application et R2 utilisent HTTPS/TLS. La base de données et le compartiment ne sont pas exposés comme ressources d'application publiques. Consultez la liste des sous-traitants ci-dessous pour les fournisseurs concernés.

Confiance dans les données

1. Aucune utilisation de vos données pour entraîner des modèles

Vos documents et données extraites ne sont jamais utilisés pour entraîner des modèles d'IA. Lorsque DocAI envoie des images de pages ou du texte OCR à un fournisseur d'IA pour l'extraction de champs, cette transmission est régie par les conditions d'utilisation de l'API du fournisseur, qui excluent explicitement les données des requêtes API de l'entraînement des modèles. La politique d'utilisation des données de l'API d'OpenAI et les conditions d'OVH AI Endpoints reflètent toutes deux ce principe. Nous ne revendiquons aucun droit sur vos documents.

2. Conservation des documents

Les documents que vous traitez sans enregistrer ne sont pas écrits dans un stockage persistant. Ils n'existent qu'en mémoire pendant la durée de la requête d'analyse. Lorsque vous choisissez d'enregistrer une analyse dans votre Historique, les résultats extraits (et, lorsque le stockage d'objets est activé, le fichier original) sont conservés sous votre compte jusqu'à ce que vous les supprimiez. Il n'y a pas de suppression automatique basée sur le temps par défaut. Consultez la section Conservation des données pour la politique complète.

3. Traitement avec résidence des données dans l'UE

DocAI prend en charge un mode de résidence des données dans l'UE par compte. Lorsqu'un utilisateur l'active, l'extraction de champs par IA et l'analyse de sensibilité sont acheminées exclusivement vers des points de terminaison d'IA hébergés dans l'UE. Il s'agit d'un paramètre par compte ; une valeur par défaut configurée par l'opérateur s'applique aux comptes sans préférence explicite. Fournisseur d'IA compatible UE configuré pour ce déploiement : OVH AI Endpoints (France).

Remarque : l'OCR (reconnaissance optique de caractères) et le stockage d'objets (conservation des fichiers) sont des activités de traitement distinctes. La résidence de leurs données est déterminée par la configuration du déploiement, indépendamment du paramètre de traitement UE par compte décrit ci-dessus.

4. Contrôles d'accès

Chaque analyse enregistrée est stockée sous le compte propriétaire et n'est accessible que via des requêtes authentifiées liées à ce compte. Le partage requiert une action explicite du titulaire du compte ; les liens partagés comportent des dates d'expiration et peuvent être révoqués à tout moment. Les documents d'espace de travail ne sont accessibles qu'aux membres de cet espace de travail.

Conservation des données

Cette section résume la durée de conservation de chaque type de données par DocAI. Le principe général est simple : rien de ce que vous téléversez ou extrayez n'est stocké à moins que vous ne l'enregistriez, et ce que vous enregistrez est conservé jusqu'à ce que vous le supprimiez. Limité par le quota de stockage de votre plan plutôt que par un délai fixe.

1. Ce que nous conservons et pendant combien de temps

2. Aucune suppression automatique

Les documents enregistrés sont conservés jusqu'à ce que vous les supprimiez. Il n'y a pas de suppression automatique fondée sur le temps. Votre espace de stockage total est limité par le plafond de stockage de votre forfait, et vous pouvez libérer de l'espace à tout moment en supprimant des documents.

3. Suppression manuelle

Vous pouvez supprimer vos données à tout moment :

• Analyse unique : Ouvrez l'analyse dans l'Historique, cliquez sur « Supprimer ».
• Toutes mes analyses : Accédez à Historique, cliquez sur « Tout supprimer ».
• Suppression du compte : Demandez la suppression complète de votre compte et de vos données en écrivant à privacy@synairo.com. Nous traitons les demandes de suppression dans un délai de 30 jours.

Remarque : les documents que vous avez déplacés dans un espace de travail partagé sont conservés pour l'espace de travail et ne sont pas supprimés par votre « Tout supprimer » personnel, afin qu'une équipe ne perde pas les données partagées lorsqu'un membre efface son propre historique. Retirez-les de l'espace de travail, ou supprimez-les en tant que propriétaire/administrateur de l'espace de travail, pour les effacer.

4. Ce que nous ne faisons pas

• Nous n'utilisons pas vos documents ou données extraites pour entraîner des modèles d'IA.
• Nous n'utilisons pas de technologies d'analyse web, de publicité ou de pistage.
• Nous ne stockons pas les adresses IP brutes des visiteurs anonymes. uniquement un hachage utilisé pour la limitation de débit.

5. Sous-traitants tiers

Pour fournir le Service, le contenu des documents (images de pages ou texte OCR) est transmis à un fournisseur d'extraction IA. Actuellement OpenAI ou OVH AI Endpoints. Ces fournisseurs et nos autres prestataires peuvent conserver les données des requêtes selon leurs propres politiques. Voir Sous-traitants section ci-dessous pour la liste complète, et la Politique de confidentialité d'OpenAI pour leurs conditions de traitement des données.

6. Questions

Contactez privacy@synairo.com pour toute question ou demande concernant la conservation des données.

Sous-traitants

Pour faire fonctionner DocAI, nous faisons appel aux prestataires de services ci-dessous, qui traitent des données personnelles pour notre compte en tant que sous-traitants. Nous ne partageons des données avec eux que dans la mesure nécessaire au fonctionnement du Service. Certains ne sont utilisés que lorsque la fonctionnalité correspondante est activée, et le fournisseur d'IA actif peut être modifié par nos soins.

Transferts internationaux de données

Certains fournisseurs sont situés en dehors de l'Espace économique européen, notamment aux États-Unis. Lorsque des données personnelles sont transférées en dehors de l'EEE, nous nous appuyons sur une garantie appropriée, telle qu'une décision d'adéquation (y compris le cadre de protection des données UE–États-Unis lorsque le fournisseur est certifié) ou des clauses contractuelles types. Voir la section 9 de la Politique de confidentialité.

Modifications

Nous pouvons ajouter ou remplacer des sous-traitants à mesure que le Service évolue. Les modifications importantes seront reflétées sur cette page. Pour toute question ou pour connaître la position actuelle de l'accord de traitement de données (ATD) pour un fournisseur spécifique, contactez privacy@synairo.com.