Avenant relatif au traitement des données

Parties. « Client » : l’organisation identifiée dans le bon de commande (responsable du traitement). « SkillCort » : SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (sous-traitant). Le présent avenant relatif au traitement des données (« DPA ») est incorporé au contrat conclu entre le Client et SkillCort et prend effet à la date d’entrée en vigueur du Contrat.

1. Objet, durée, nature et finalité

SkillCort traite des données à caractère personnel pour le compte du Client afin de fournir la plateforme d’évaluation SkillCort : diffusion des évaluations aux candidats, collecte des réponses et des productions de mise en situation, surveillance optionnelle configurée par le Client, évaluation et reporting. Le traitement dure pendant la durée du Contrat, augmentée du délai de suppression prévu à la section 8.

2. Catégories de personnes concernées et de données à caractère personnel

• Personnes concernées : les candidats et participants invités par le Client ; les utilisateurs du personnel du Client.
• Données à caractère personnel : données d’identité et de contact (nom, e-mail) ; réponses d’évaluation, fichiers déposés et productions de mise en situation ; données techniques (adresse IP, navigateur/appareil, horodatages) ; résultats d’évaluation et enregistrements de décision ; lorsque le Client les active, données de surveillance (photos/vidéos de la caméra, captures/enregistrements d’écran, événements comportementaux d’intégrité).
• Catégories particulières : aucune n’est sollicitée — les évaluations ne doivent pas être conçues pour recueillir des données relevant de catégories particulières (Conditions §5). Lorsque le Client active la vérification d’identité, le selfie de session du candidat, l’image de sa pièce d’identité et toute photo de référence facultative fournie par l’organisation sont traités en vue d’une comparaison côte à côte par une personne autorisée, avec le consentement explicite distinct du candidat. Aucune reconnaissance faciale automatique, aucune recherche dans une galerie et aucun rapprochement entre candidats n’est effectué, aucun gabarit biométrique du visage n’est conservé, et un relecteur nommé consigne la décision d’identité. Le Client reconnaît que les enregistrements de caméra et de microphone contiennent l’image et la voix d’une personne et appréciera les exigences relatives aux catégories particulières dans sa juridiction.

3. Instructions documentées

SkillCort ne traite les données à caractère personnel que sur instructions documentées du Client (le Contrat, le présent DPA et la configuration du Client dans la plateforme — y compris les fonctions de surveillance activées et la durée de conservation des médias de surveillance), sauf obligation légale ; dans ce cas, SkillCort en informe le Client avant le traitement, sauf si la loi l’interdit. SkillCort informera le Client si, à son avis, une instruction enfreint le droit applicable en matière de protection des données.

4. Confidentialité et personnel

Les personnes autorisées à traiter des données à caractère personnel sont tenues à des obligations de confidentialité et accèdent aux données selon les principes du besoin d’en connaître, du moindre privilège et des rôles.

5. Sécurité (art. 32)

SkillCort met en œuvre des mesures techniques et organisationnelles appropriées, notamment : le chiffrement en transit et au repos ; la séparation des locataires ; des contrôles d’accès fondés sur les rôles ; un stockage privé (non public) pour les médias de surveillance ; des sauvegardes quotidiennes ; un historique d’audit en ajout seul pour les notes et les décisions ; la suppression automatique des médias de surveillance et des événements de signal d’intégrité à l’expiration de la durée de conservation des médias configurée. Les décisions de vérification d’identité qui ne sont pas des médias, ainsi que les détails d’audit, suivent la durée distincte applicable aux données d’évaluation. Une description à jour des mesures est disponible sur skillcort.com/trust.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale aux sous-traitants ultérieurs listés sur skillcort.com/legal/subprocessors (Annexe 1). SkillCort informera le Client de tout ajout ou remplacement envisagé au moins 30 jours à l’avance ; le Client peut s’y opposer pour des motifs raisonnables tenant à la protection des données, auquel cas les parties rechercheront une solution et le Client pourra résilier le service concerné si aucune n’est trouvée. SkillCort impose aux sous-traitants ultérieurs des obligations de protection des données non moins protectrices que le présent DPA et demeure responsable de leur exécution.

SkillCort procède à un examen documenté de chaque sous-traitant ultérieur important au moins une fois tous les douze (12) mois, ainsi qu’après tout changement important, tout incident de sécurité confirmé ou tout autre événement affectant raisonnablement le profil de risque du sous-traitant ultérieur en matière de protection des données ; le relevé d’examen en cours est tenu dans le registre de conformité des fournisseurs de SkillCort.

7. Transferts internationaux

Les données de la plateforme sont hébergées dans l’UE (Francfort). Les données sont accessibles depuis les États-Unis par SkillCort (une entité américaine) pour l’exploitation du service, et l’e-mail transactionnel est traité aux États-Unis. Les transferts sont effectués : (a) pour les données de l’UE/EEE — sur la base des clauses contractuelles types (Module Deux : responsable du traitement → sous-traitant, et Module Trois le cas échéant), dont les parties conviennent qu’elles font partie du présent DPA, appuyées par une analyse d’impact du transfert et des mesures supplémentaires ; (b) pour les données soumises au droit turc — sur la base du contrat type publié par l’autorité turque de protection des données personnelles au titre de l’art. 9 de la loi n° 6698, conclu par les parties avec le bon de commande pour les traitements liés à la Türkiye et notifié à l’Autorité dans les cinq jours ouvrables.

8. Suppression et restitution

À la suite de la résiliation ou de l’expiration, les Données Client peuvent rester disponibles pendant 30 jours au maximum afin de permettre au Client d’achever l’export de ses données. À l’issue de cette période, SkillCort supprime les données des systèmes de production actifs ; les copies résiduelles présentes dans les sauvegardes chiffrées sont supprimées ou écrasées au fil du cycle de sauvegarde ordinaire, dans un délai maximal de 90 jours. Les enregistrements requis par le droit applicable, ainsi que ceux strictement nécessaires à la constatation, à l’exercice ou à la défense de droits en justice, sont exclus. Les journaux de sécurité, d’accès et d’audit sont régis par les durées de conservation figurant dans la Politique de confidentialité, indépendamment des sauvegardes. Les médias de surveillance — y compris les médias de capture d’identité et les versions de photo de référence utilisées en relecture — ainsi que les événements de signal d’intégrité sont supprimés automatiquement à l’expiration de la durée de conservation des médias configurée par le Client (90 jours par défaut), quel que soit l’état du contrat. Le Client peut aussi déclencher dans le produit une suppression anticipée des médias et des événements de signal d’intégrité rattachés à un passage. Les décisions de vérification d’identité qui ne sont pas des médias, les informations sur le relecteur nommé, les remarques et les références aux médias supprimés suivent la durée de conservation distincte applicable aux données d’évaluation.

9. Assistance

Compte tenu de la nature du traitement, SkillCort aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (art. 12–23 du RGPD ; art. 11 de la KVKK) et à remplir ses obligations au titre des art. 32–36 du RGPD (sécurité, notification des violations, AIPD, consultation préalable). Les demandes de personnes concernées reçues directement par SkillCort sont transmises au Client sans retard injustifié.

10. Violation de données à caractère personnel

SkillCort notifie le Client sans retard injustifié après avoir pris connaissance d’une violation de données à caractère personnel affectant les données du Client, et fournit les informations raisonnablement nécessaires aux obligations de notification du Client (art. 33–34 du RGPD ; art. 12(5) de la KVKK).

11. Audits

SkillCort met à disposition les informations nécessaires pour démontrer le respect du présent DPA, et permet la réalisation d’audits, y compris d’inspections, par le Client ou par l’auditeur qu’il mandate, et y contribue. Le Client peut exercer ses droits d’audit au plus une fois par période de douze (12) mois, sauf à la suite d’une violation de données à caractère personnel confirmée, d’une demande d’une autorité de contrôle compétente ou d’éléments raisonnables indiquant un manquement important au présent DPA. Les audits requièrent un préavis écrit d’au moins 30 jours, sont soumis à des engagements de confidentialité, doivent être menés de manière à limiter autant que possible la perturbation des opérations de SkillCort, et n’incluent jamais l’accès aux données d’autres clients. Les parties s’appuieront d’abord sur les rapports d’audit indépendants existants et sur la documentation de sécurité publiée par SkillCort, dans la mesure où ceux-ci couvrent raisonnablement le périmètre ; les coûts des demandes d’audit excessives ou sur mesure allant au-delà de cette base sont supportés par le Client.

12. Responsabilité et ordre de priorité

La responsabilité est régie par le Contrat. En cas de contradiction entre le Contrat et le présent DPA concernant le traitement de données à caractère personnel, le présent DPA prévaut ; les clauses contractuelles types et les contrats types conclus prévalent sur les deux dans la limite de la contradiction.

Annexe KVKK

Lorsque le Client est établi en Türkiye ou que des candidats se trouvent en Türkiye, les parties concluent en outre le contrat type turc de protection des données (relation de sous-traitance) et le déposent auprès de l’Autorité dans les cinq jours ouvrables. L’obligation d’aydınlatma (avis d’information) envers les candidats incombe au Client en qualité de responsable du traitement, au moyen de son propre avis ou du modèle fourni par SkillCort.

Pour conclure le présent DPA pour votre organisation, ou pour obtenir des copies signées et la documentation relative aux transferts : privacy@skillcort.com.