Accord de traitement des données

En bref

• Cet accord fait partie du contrat de chaque établissement abonné. Il est exigé par l'article 28 du RGPD.
• L'établissement décide de l'usage des données de ses intervenants et candidats ; SkillCheck les traite pour son compte, sur ses instructions.
• SkillCheck protège les données, prévient l'établissement en cas d'incident, l'aide à répondre aux demandes des personnes et supprime les données à la fin du contrat.
• Les prestataires de SkillCheck sont listés ci-dessous ; tout changement est annoncé 30 jours à l'avance.

Parties et objet

Le présent accord est conclu entre l'établissement qui souscrit à SkillCheck (« l'Établissement », responsable de traitement) et SARL Riviera Multimedia, 24 rue Général Louis Bilbault, 06100 Nice, France, RCS Nice 900 109 422, qui exploite SkillCheck (« SkillCheck », sous-traitant).

Il fixe les conditions dans lesquelles SkillCheck traite des données personnelles pour le compte de l'Établissement, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD). Il fait partie du contrat avec les conditions générales de vente et l'emporte sur elles pour tout ce qui touche aux données personnelles.

Description du traitement

• Objet : fournir la plateforme SkillCheck (gestion des intervenants, calendrier, promotions, cours, création et correction des tests, rapports).
• Personnes concernées : intervenants et candidats de l'Établissement, membres de son équipe qui utilisent la plateforme.
• Données : identité et coordonnées, profil professionnel, documents du dossier (CV, RIB, attestation URSSAF), planning, tarifs, évaluations et notes de l'Établissement, réponses aux tests (écrites, à choix multiple, enregistrements oraux et transcriptions), notes et synthèses, signaux de déroulement du test (changements d'onglet, copier-coller).
• Données sensibles : aucune n'est demandée. L'Établissement n'en dépose pas dans les cours ni dans les dossiers.
• Opérations : hébergement, consultation, analyse des réponses par intelligence artificielle, envoi des invitations et notifications, export, suppression.
• Durée : celle du contrat. Les réponses et enregistrements d'un test sont supprimés automatiquement 12 mois après la passation. Un intervenant sans activité avec l'Établissement depuis 2 ans lui est signalé, puis effacé s'il ne choisit pas de le garder.

Instructions de l'Établissement

SkillCheck ne traite les données que sur instruction documentée de l'Établissement : le contrat, cet accord et les réglages qu'il fait dans la plateforme valent instructions. SkillCheck n'utilise pas ces données pour ses propres besoins, ne les vend pas et ne s'en sert pas pour entraîner des modèles d'intelligence artificielle.

Si une instruction lui paraît contraire au RGPD, SkillCheck en informe l'Établissement sans tarder.

Confidentialité

Les personnes de SkillCheck qui accèdent aux données, pour l'assistance ou la maintenance seulement, sont tenues à la confidentialité et n'y accèdent que dans la mesure nécessaire.

Sécurité

SkillCheck met en œuvre des mesures adaptées au risque (article 32 du RGPD), notamment :

• données cloisonnées par établissement : un établissement ne voit jamais les données d'un autre ;
• accès authentifiés, mots de passe chiffrés, code à usage unique par e-mail pour les comptes des établissements, nombre de tentatives limité ;
• enregistrements, photos et documents dans un stockage privé, ouverts seulement par un lien valable 5 minutes après vérification des droits ;
• communications chiffrées (HTTPS) ;
• suppression automatique des tests après la durée prévue, anonymisation et suppression à la demande.

Prestataires (sous-traitants ultérieurs)

L'Établissement autorise SkillCheck à faire appel aux prestataires suivants :

• Supabase : base de données et stockage des fichiers (serveurs dans l'Union européenne).
• Render : serveur de l'application (serveurs à Francfort, Allemagne).
• Mistral AI (France) : analyse des réponses, transcription et écoute des réponses orales, analyse des cours et création des tests.
• Google (Gemini) : secours de l'analyse des cours et de la création des tests, seulement si Mistral ne répond pas. Les réponses des candidats ne lui sont jamais envoyées.
• Brevo (France) : envoi des e-mails (invitations, codes de connexion, notifications).

SkillCheck impose à chacun des obligations de protection équivalentes à celles du présent accord et reste responsable de leur respect. Il informe l'Établissement au moins 30 jours avant d'ajouter ou de remplacer un prestataire ; l'Établissement peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.

Lorsqu'un prestataire traite des données hors de l'Union européenne, le transfert est encadré par une décision d'adéquation (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne.

Droits des personnes

SkillCheck aide l'Établissement à répondre aux demandes des personnes (accès, rectification, effacement, limitation, opposition, portabilité) : la plateforme permet de consulter, corriger, anonymiser et supprimer un intervenant. Une demande reçue directement par SkillCheck est transmise à l'Établissement sans tarder.

Violation de données

SkillCheck notifie à l'Établissement toute violation de données le concernant dans les 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, personnes et données touchées, conséquences probables, mesures prises), pour lui permettre de prévenir la CNIL dans les 72 heures si nécessaire.

Assistance et contrôle

SkillCheck aide l'Établissement, dans la mesure des informations dont il dispose, à réaliser une analyse d'impact et à consulter la CNIL si besoin.

SkillCheck met à disposition les informations nécessaires pour démontrer le respect de cet accord. L'Établissement peut faire réaliser un audit, une fois par an, à ses frais, en prévenant [email protected] 30 jours à l'avance, par un auditeur tenu au secret qui ne soit pas un concurrent de SkillCheck.

Fin du contrat

À la fin du contrat, l'Établissement peut demander la restitution de ses données dans un format courant. Elles sont ensuite supprimées, ainsi que leurs copies, dans les 3 mois suivant la fin du contrat, sauf obligation légale de conservation.

Contact

Pour toute question sur cet accord ou sur les données : [email protected].