SkillCort Legal
Politique de confidentialité
Comment SkillCort traite les données à caractère personnel sur la plateforme et les sites web (skillcort.com et ses sous-domaines).
SkillCort est une plateforme d’évaluation des compétences fondée sur les mises en situation, exploitée par SkillCort LLC, une société à responsabilité limitée immatriculée en Floride, États-Unis (« SkillCort », « nous »).
Identité du responsable du traitement (pour les traitements dans lesquels SkillCort est responsable du traitement) : SkillCort LLC — 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA. Contact : privacy@skillcort.com.
1. Rôles : qui est responsable du traitement, qui est sous-traitant ?
SkillCort traite des données à caractère personnel en deux qualités distinctes. La qualité applicable détermine à qui vous devez adresser vos demandes d’exercice de droits :
| Personne concernée | Responsable du traitement | Rôle de SkillCort |
|---|---|---|
| Candidats / participants (personnes invitées à une évaluation par une organisation) | L’organisation cliente qui fait passer l’évaluation | Sous-traitant — nous ne traitons les données des candidats que sur instructions documentées de l’organisation |
| Utilisateurs des comptes clients (personnel de l’organisation disposant de comptes sur la plateforme) | SkillCort | Responsable du traitement |
| Visiteurs du site et demandeurs de démo | SkillCort | Responsable du traitement |
Si vous êtes candidat : c’est l’organisation qui vous a invité qui décide pourquoi et comment vos données sont traitées. Adressez d’abord vos demandes relatives à la vie privée à cette organisation. Si vous nous contactez, nous lui transmettrons votre demande sans délai et l’aiderons à y donner suite (voir la section 10).
2. Ce que nous traitons, pourquoi, et sur quelle base légale
Les tableaux ci-dessous relient chaque activité de traitement aux données concernées, à la finalité et à la base légale (art. 6 du RGPD ; art. 5–6 de la loi turque sur la protection des données). Les données sont collectées par des moyens entièrement ou partiellement automatisés lorsque vous utilisez la plateforme ou soumettez un formulaire.
2.1 Données des candidats (responsable du traitement : l’organisation cliente, qui confirme les bases applicables)
| Activité | Données | Finalité | Base légale habituelle |
|---|---|---|---|
| Accès à l’évaluation | Nom, e-mail, enregistrements d’invitation et d’accès | Admettre le bon candidat à la bonne évaluation | Nécessité contractuelle (art. 6(1)(b)) |
| Collecte des réponses | Réponses, fichiers déposés, productions de mise en situation, code | Évaluation des compétences et notation | Nécessité contractuelle ; intérêts légitimes du responsable du traitement (art. 6(1)(f)) |
| Enregistrements techniques | Adresse IP, informations de navigateur/appareil, horodatages de session et d’activité | Sécurité des sessions, dépannage, prévention de la fraude | Intérêts légitimes ; constatation/défense de droits en justice |
| Surveillance — uniquement si l’organisation l’active | Voir la section 3 | Intégrité de l’évaluation | Voir la section 3 |
| Résultats d’évaluation | Notes, remarques des évaluateurs, enregistrements de décision | Fondement des décisions de recrutement, de certification ou de développement | Intérêts légitimes du responsable du traitement |
2.2 Données des comptes clients (responsable du traitement : SkillCort)
| Activité | Données | Finalité | Base légale |
|---|---|---|---|
| Création de compte et connexion | Nom, e-mail professionnel, enregistrements d’authentification (lien magique sans mot de passe) | Ouvrir et sécuriser le compte | Nécessité contractuelle |
| Facturation | Nom de facturation, adresse, informations fiscales | Facturation légalement requise | Obligation légale |
| Enregistrements d’activité dans le produit | Journaux des actions des utilisateurs, piste d’audit | Sécurité, redevabilité, historique de décision relisible | Intérêts légitimes |
| Communications liées au service | Invitations, notifications, e-mails transactionnels | Nécessité contractuelle |
2.3 Visiteurs du site et marketing (responsable du traitement : SkillCort)
| Activité | Données | Finalité | Base légale |
|---|---|---|---|
| Formulaire de demande de démo | Nom complet, e-mail professionnel, entreprise, taille de l’équipe | Étudier votre demande et y répondre | Mesures précontractuelles prises à votre demande |
| Mesure d’audience du site | Pages vues et indicateurs d’usage agrégés (Vercel Web Analytics) | Mesurer la performance du site | Intérêts légitimes — absence de cookies vérifiée : le site ne dépose aucun cookie et le script de mesure d’audience n’utilise ni cookie ni identifiant persistant (audit du code, 3 août 2026) |
| E-mail marketing | Annonces produit | Uniquement avec votre consentement ; chaque message comporte un lien de désabonnement |
Nous ne traitons pas vos données à des fins qui dépasseraient ces tableaux. Si une nouvelle finalité apparaissait, nous vous en informerions d’abord et recueillerions votre consentement lorsque cela est requis.
3. Données de surveillance — information spécifique
Les fonctions de surveillance sont désactivées par défaut. Elles ne s’exécutent que lorsque le client organisateur les active, et seulement après que le candidat a été clairement informé avant le début de l’évaluation et a donné un consentement distinct et explicite. Rien n’est surveillé sans avoir été montré au candidat.
Selon la configuration de l’organisation, la surveillance peut traiter :
- Caméra : photos périodiques (toutes les 30 secondes) ou enregistrement vidéo continu
- Écran : captures d’écran périodiques ou enregistrement d’écran continu
- Signaux comportementaux d’intégrité : changements d’onglet ou de focus, sorties du plein écran, événements de copier-coller, tentatives d’impression, collages de textes volumineux dans un champ de réponse, déconnexions, et un signal périodique de présence
Comment fonctionnent les signaux (information sur le profilage) : ces événements sont consignés sur une chronologie et agrégés par des compteurs fondés sur des règles en un résumé d’intégrité (« propre / événements mineurs / à relire »). Cela peut constituer un profilage au sens de l’art. 4(4) du RGPD. Nous nous engageons sur les points suivants :
- Aucun signal ne refuse jamais automatiquement un candidat à lui seul. Les signaux ne font que donner du contexte aux relecteurs humains ; la décision d’évaluation appartient toujours à un humain (voir la section 8).
- Relecture assistée par l’IA, tranchée par un humain : lorsqu’un relecteur ouvre une session, l’IA peut parcourir les images de la caméra, les captures d’écran et la transcription du microphone et signaler les moments à ouvrir ; chaque signalement reçoit un verdict humain explicite de confirmation ou de rejet. L’IA ne s’exécute jamais sans surveillance pendant un examen et ne décide jamais.
- La plateforme n’effectue aucune reconnaissance faciale automatique ni aucun rapprochement facial avec des galeries, et ne conserve aucun gabarit biométrique, et elle ne rapproche pas les identités entre candidats. Lorsqu’une organisation active la vérification d’identité, le selfie de session du candidat, la photo de sa pièce d’identité et toute photo de référence facultative fournie par l’organisation sont présentés côte à côte à un relecteur autorisé. Un relecteur nommé consigne la décision d’identité et son horodatage. Les enregistrements de caméra contiennent néanmoins l’image d’une personne, et nous attendons des organisations clientes qu’elles les apprécient au regard des exigences relatives aux catégories particulières de données dans leur propre juridiction.
- Proportionnalité : les organisations peuvent n’activer que ce dont elles ont besoin (photos plutôt que vidéo, écran seul, etc.) ; nous recommandons la configuration la moins intrusive qui réponde à la finalité de l’évaluation.
Conservation et suppression : les fichiers de médias de surveillance — y compris les captures de caméra, d’écran et de microphone, les selfies de session, les images de pièce d’identité et toute version de photo de référence utilisée lors d’une vérification d’identité — ainsi que les enregistrements d’événements de signal d’intégrité sont supprimés automatiquement à l’expiration de la durée fixée par l’organisation (par défaut : 90 jours). Les organisations peuvent déclencher une suppression anticipée des médias et des événements de signal d’intégrité rattachés à un passage. L’enregistrement de vérification d’identité qui n’est pas un média (décision, relecteur nommé et horodatage, remarques, ainsi qu’identifiants ou références de chemin vers des médias déjà supprimés le cas échéant) suit la durée de conservation distincte applicable aux données d’évaluation (par défaut : 24 mois).
4. Fonctionnalités assistées par l’IA
- L’IA ne prend pas de décision concernant les candidats ; ses sorties sont des signaux relus par un évaluateur humain.
- Les candidats sont informés lorsque l’IA est utilisée dans une évaluation.
- Entraînement des modèles : nos sous-traitants ultérieurs d’IA sont tenus de ne pas entraîner de modèles sur ce contenu (OpenAI n’utilise pas le contenu de l’API pour l’entraînement et conserve les entrées jusqu’à 30 jours à des fins de surveillance des abus ; les conditions commerciales d’Anthropic interdisent l’entraînement sur le contenu des clients). SkillCort ne construit aucun modèle sur les données des candidats ; le rendu de l’avatar ne reçoit que le texte de question rédigé, jamais de données de candidat.
- Nous ne construisons aucun profil de candidat partagé entre clients, aucun score de réputation caché et aucune mémoire de candidat commune.
5. Avec qui nous partageons les données
Nous ne vendons pas de données à caractère personnel. Nous ne les communiquons qu’aux destinataires ci-dessous, aux fins indiquées :
| Destinataire | Finalité | Localisation |
|---|---|---|
| L’organisation cliente (qui fait passer l’évaluation du candidat) | Remise des résultats et des enregistrements au responsable du traitement | Le pays de l’organisation |
| Supabase (base de données, stockage de fichiers, authentification) | Sous-traitant ultérieur d’hébergement | Données hébergées à Francfort, Allemagne (UE) |
| Vercel (hébergement de l’application ; mesure d’audience sans cookie) | Sous-traitant ultérieur d’hébergement | Francfort (UE — fra1) ; entité américaine (certifiée DPF) |
| Resend (e-mail transactionnel) | Acheminement des e-mails d’invitation et de notification | États-Unis — Virginie du Nord (certifiée DPF) |
| OpenAI (reconnaissance et synthèse vocales, relecture par l’IA des médias de surveillance déclenchée par le relecteur, parole de l’intervieweur IA en direct) | Sous-traitant ultérieur d’IA | États-Unis (certifiée DPF) ; aucun entraînement sur le contenu de l’API ; conservation pour surveillance des abus ≤ 30 jours |
| Anthropic (modèle d’IA par défaut pour les synthèses d’évaluation, les suggestions et la rédaction) | Sous-traitant ultérieur d’IA | États-Unis ; contractuellement interdit d’entraîner des modèles sur ce contenu |
| HeyGen / LiveAvatar (rendu et diffusion de l’avatar de l’intervieweur) | Sous-traitant ultérieur d’avatar — ne reçoit que le texte de question rédigé ; aucune donnée de candidat ne lui est envoyée | États-Unis (certifiée DPF) |
| Cloudflare (uniquement pendant une consultation de la webcam en direct) | Relais en temps réel du flux caméra en direct (non enregistré) | Réseau mondial ; entité américaine |
| Autorités publiques | Lorsque la loi l’exige, sur demandes vérifiées | — |
Des accords de traitement des données (DPA) sont en place avec l’ensemble des sous-traitants ultérieurs ; les modifications de la liste des sous-traitants ultérieurs sont annoncées sur cette page.
6. Transferts internationaux
Les données de la plateforme sont hébergées dans l’Union européenne (Francfort, Allemagne — Supabase et Vercel). SkillCort étant établie aux États-Unis, les données sont accessibles depuis les États-Unis pour l’exploitation du service ; l’e-mail transactionnel (Resend) et les traitements d’IA (OpenAI, Anthropic, HeyGen) ont lieu aux États-Unis, comme décrit à la section 5.
- Les transferts hors de Türkiye reposent sur les contrats types publiés par l’autorité turque de protection des données au titre de l’art. 9 de la loi turque sur la protection des données (telle que modifiée en 2024), notifiés à l’Autorité dans le délai légal.
- Les accès et transferts de l’UE ou du Royaume-Uni vers les États-Unis reposent sur les clauses contractuelles types conclues par chaque fournisseur au titre de l’art. 46 du RGPD et, lorsque le fournisseur est certifié, sur le cadre de protection des données UE–États-Unis (Vercel, Resend, OpenAI, HeyGen — vérifié le 3 août 2026), appuyés par des analyses d’impact des transferts documentées et des mesures supplémentaires.
7. Conservation
Nous fixons les durées de conservation par catégorie de données, à l’avance et de manière documentable :
| Catégorie de données | Durée |
|---|---|
| Médias de surveillance et événements de signal d’intégrité | Selon le réglage de l’organisation (7–3650 jours ; 90 jours par défaut), supprimés automatiquement par une tâche quotidienne. Cela inclut les médias de capture d’identité et les versions de photo de référence utilisées en relecture. Les organisations peuvent déclencher une suppression anticipée des médias et des événements de signal d’intégrité rattachés à un passage. |
| Enregistrement de vérification d’identité hors médias | La décision, le relecteur nommé, l’horodatage, les remarques et les références aux médias supprimés suivent la durée applicable à l’enregistrement d’évaluation correspondant (24 mois par défaut). Une référence conservée ne préserve ni ne restaure un média supprimé. |
| Réponses des candidats, notes, remarques des évaluateurs et enregistrements de résultats | Lorsque SkillCort traite pour le compte d’une organisation : la durée que cette organisation configure licitement ; si aucune n’est configurée, 24 mois à compter de l’achèvement de la session d’évaluation. Supprimés plus tôt sur instruction documentée de l’organisation. Lorsqu’une durée plus longue est requise par la loi, ou pour constater, exercer ou défendre des droits en justice, les enregistrements ne sont conservés que pour la durée et dans la mesure strictement nécessaires. Ce calendrier est appliqué par une tâche de suppression automatisée quotidienne ; les organisations fixent leur propre durée dans Paramètres → Données. |
| Données de compte | Pendant toute la vie du compte, puis supprimées selon le calendrier de clôture de compte ci-dessous. |
| Clôture de compte ou fin du contrat | Les données du client restent exportables pendant 30 jours au maximum après la fin du contrat, sont ensuite supprimées des systèmes de production actifs, et les copies de sauvegarde chiffrées résiduelles sont supprimées ou écrasées au fil du cycle de sauvegarde ordinaire, dans un délai maximal de 90 jours. Les enregistrements requis par la loi et ceux strictement nécessaires à des droits en justice sont exclus. |
| Journaux de sécurité, d’accès et d’audit | Conservés séparément des sauvegardes à des fins de redevabilité pendant 24 mois, au moyen d’une tâche de suppression automatisée quotidienne. |
| Enregistrements de facturation | Durées légales de conservation fiscale |
| Enregistrements des demandes de démo | 24 mois à compter de la dernière interaction, sauf si une relation client débute. |
| Demandes de suppression | Demandes vérifiées traitées sous 30 jours. |
Les enregistrements d’audit de l’historique des notes et des décisions sont conservés en ajout seul à des fins de redevabilité et restent soumis aux règles de conservation. Des sauvegardes chiffrées quotidiennes existent pour la reprise après sinistre ; une suppression est propagée aux sauvegardes au fil de leur cycle, dans un délai maximal de 90 jours.
8. Décision automatisée et profilage
Nous ne prenons pas de décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire (art. 22 du RGPD). Les signaux d’intégrité et les sorties de l’IA peuvent comporter des éléments de profilage (voir les sections 3–4) ; ils font toujours l’objet d’une relecture humaine. Voir la section 10 pour savoir comment vous y opposer.
9. Sécurité
Les données sont chiffrées en transit et au repos. Les données des locataires sont séparées ; les accès suivent des contrôles fondés sur les rôles et le moindre privilège. Les médias de surveillance sont stockés dans un espace privé, non public. Les sauvegardes s’exécutent quotidiennement. Si un accès illicite est détecté, nous en informons l’autorité compétente et, lorsque cela est requis, vous-même (art. 33–34 du RGPD ; art. 12(5) de la loi turque sur la protection des données). Aucune méthode de transmission sur internet n’est sûre à 100 %.
10. Vos droits et comment les exercer
Au titre des art. 15–22 du RGPD et de l’art. 11 de la loi turque sur la protection des données, vous pouvez accéder à vos données, les faire rectifier et effacer, limiter le traitement, être informé des transferts, recevoir une copie portable, vous opposer et contester des résultats automatisés. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment, avec effet pour l’avenir.
- Candidats : adressez vos demandes à l’organisation qui vous a invité. Si vous nous écrivez à privacy@skillcort.com, nous lui transmettrons votre demande sans délai.
- Utilisateurs de comptes et visiteurs du site : écrivez à privacy@skillcort.com. Nous répondons gratuitement sous 30 jours.
- Si la réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès du Conseil turc de protection des données personnelles (kvkk.gov.tr) ou, lorsque le RGPD s’applique, auprès de votre autorité de contrôle locale.
11. Cookies
Les cookies strictement nécessaires (session, sécurité) s’exécutent sans consentement. Tout autre cookie (y compris de mesure d’audience, le cas échéant) est désactivé par défaut et ne s’exécute qu’avec votre consentement préalable. Voir la Politique relative aux cookies pour le nom, la finalité, la durée et la partie de chaque cookie.
12. Modifications
Les modifications importantes sont annoncées sur cette page avec une nouvelle date d’entrée en vigueur ; les utilisateurs enregistrés en sont en outre informés par e-mail. Les versions antérieures sont disponibles sur demande.
13. Contact
SkillCort LLC
7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA
E-mail : privacy@skillcort.com