Politique de confidentialité

1. Qui nous sommes et cadre réglementaire

1.1 Base légale et autorité

La présente Politique de confidentialité est établie par TraitTune, Inc. (« TraitTune », « nous ») en conformité avec le droit international de la protection des données. Nous appliquons le standard propre à la juridiction de chaque utilisateur : un niveau de protection équivalent à celui du RGPD dans l'UE, l'EEE, au Royaume-Uni, en Suisse et au Brésil, et, pour les résidents des États-Unis, les lois de confidentialité applicables de leur État.

1.2 Avis de conformité aux sanctions

TraitTune n'est pas disponible pour les personnes ou entités situées dans des juridictions soumises à (a) des sanctions globales du Bureau de contrôle des avoirs étrangers (OFAC) du Département du Trésor des États-Unis — région de Crimée en Ukraine, Cuba, Iran, Corée du Nord, Syrie, ainsi que les régions de Donetsk (RPD) et de Louhansk (RPL) ; (b) des programmes sectoriels de l'OFAC et des mesures restrictives plus larges des États-Unis, de l'UE et du Royaume-Uni que nous appliquons par décision commerciale — Russie et Biélorussie ; et (c) des juridictions où les conditions sur le terrain rendent la mise à disposition de la plateforme inappropriée — Afghanistan et Myanmar. L'accès depuis ces zones est bloqué au niveau du réseau.

1.3 Représentant UE et Royaume-Uni (article 27 du RGPD et article 27 du UK GDPR)

TraitTune étant établie en dehors de l'UE et du Royaume-Uni tout en y proposant ses services, nous sommes en cours de désignation de représentants au titre de l'article 27 du RGPD européen et de l'article 27 du UK GDPR. En attendant la finalisation de cette désignation, les personnes concernées de l'UE/EEE et du Royaume-Uni, ainsi que les autorités de contrôle, peuvent nous contacter directement à privacy@traittune.com pour toute question liée au traitement de leurs données personnelles.

2. Informations que nous collectons

2.1 Informations que tu nous communiques directement

2.2 Informations collectées automatiquement

3. Base légale du traitement

3.1 Consentement explicite (article 9, paragraphe 2, point a) du RGPD)

• Obligatoire : le consentement explicite constitue la base légale du traitement des données psychométriques
• Granulaire : le consentement pour l'évaluation de base est obligatoire ; l'analyse par IA et les statistiques d'usage restent facultatives
• Révocable : vous pouvez retirer votre consentement à tout moment — nous cessons alors le traitement et supprimons les données
• Audité : chaque acte de consentement est enregistré avec horodatage, adresse IP et version

3.2 Fourniture du service de base

• Réaliser des évaluations de personnalité et de compétences
• Produire des analyses et des recommandations personnalisées
• Fournir les résultats et les rapports d'évaluation
• Assurer la gestion de votre compte et l'accès technique au service

3.3 Communications marketing

Avec votre autorisation, nous vous envoyons des communications marketing afin que vous puissiez tirer le meilleur parti de TraitTune. Cela comprend les mises à jour du produit et les annonces de nouvelles fonctionnalités, notre newsletter périodique ainsi que des offres promotionnelles telles que des remises et des codes promo. Nous pouvons vous contacter par e-mail, notification push (si activée) et messages in-app.

Utilisateurs hors UE / EEE / Royaume-Uni / Suisse / Brésil

En créant un compte et en acceptant la présente Politique de confidentialité ainsi que nos Conditions d'utilisation, vous acceptez de recevoir des communications marketing de notre part. Il s'agit d'un régime d'opt-out : le marketing est activé par défaut et vous pouvez le désactiver à tout moment, sans aucune incidence sur votre capacité à utiliser le service.

Utilisateurs dans l'UE / EEE / Royaume-Uni / Suisse / Brésil

Nous ne vous enverrons de communications marketing que si vous avez donné un consentement distinct et explicite (opt-in), sollicité indépendamment de l'acceptation de nos Conditions d'utilisation (généralement via une invitation de consentement dédiée). Si vous ne consentez pas, vous continuerez à recevoir les messages essentiels au service (par exemple les e-mails de sécurité, de facturation et transactionnels), mais aucun message marketing. Vous pouvez retirer ce consentement à tout moment ; le retrait est aussi simple que l'octroi et n'affecte pas la licéité du traitement effectué avant le retrait.

Comment refuser ou se désabonner

• Paramètres : Gérez vos préférences de communication à tout moment dans Tableau de bord → Paramètres → Notifications.
• Désabonnement en un clic : Chaque e-mail marketing comporte un lien de désabonnement en un clic dans son pied de page.
• Push & in-app : Désactivez les notifications push dans les paramètres de votre appareil ou de votre navigateur ; le marketing in-app suit le même réglage de préférence.

Le refus des communications marketing n'interrompt pas les messages transactionnels ou de service (tels que les alertes de sécurité, les reçus de facturation et les avis importants relatifs au compte), que nous devons vous envoyer pour faire fonctionner votre compte. Nous ne vendons jamais vos coordonnées et nous ne conditionnons pas l'accès au service à la réception de communications marketing.

4. Tes droits en matière de confidentialité

4.1 Droits universels

• Droit d'accès : demander une copie de tes données personnelles
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit à l'effacement : demander la suppression de tes données personnelles
• Droit à la portabilité : recevoir tes données dans un format structuré (JSON/CSV), gratuitement, sous 30 jours

4.2 Droits RGPD (résidents UE/EEE)

• Droit à l'effacement (« droit à l'oubli ») : demander la suppression complète de ton compte et de toutes les données psychométriques associées. Nous y donnons suite sous 30 jours et te le confirmons par écrit.
• Droit à la limitation du traitement : nous demander de suspendre le traitement le temps qu'un litige soit tranché
• Droit d'opposition : t'opposer à un traitement fondé sur l'intérêt légitime
• Droit de ne pas faire l'objet d'une décision automatisée : demander un examen humain de tout résultat de profilage de personnalité automatisé
• Droit de retirer ton consentement : tu peux le retirer à tout moment ; ce retrait ne remet pas en cause la licéité des traitements antérieurs

Pour exercer tes droits RGPD, envoie un e-mail à privacy@traittune.com avec pour objet « GDPR Rights Request ». Nous répondons sous 30 jours ; les demandes complexes peuvent être prolongées jusqu'à 90 jours, après notification.

4.3 Droits CCPA / CPRA (résidents de Californie)

Utilisation des informations personnelles sensibles

Nous utilisons tes informations personnelles sensibles uniquement pour fournir le service que tu as demandé, et à aucune autre fin ; nous ne nous en servons pas, et nous ne les communiquons pas, pour déduire des caractéristiques te concernant. Comme notre utilisation est ainsi limitée au sens du California Civil Code §1798.121(d), le droit du CPRA de restreindre l'utilisation des informations personnelles sensibles ne s'applique pas, et nous ne proposons pas de lien dédié « Limit the Use of My Sensitive Personal Information ».

Global Privacy Control (GPC)

Nous respectons les signaux Global Privacy Control dans toutes les régions. Si ton navigateur envoie un signal GPC, nous le traitons comme un refus ferme de toute publicité comportementale inter-contexte — nos pixels TikTok et Reddit restent désactivés, que tu aies précédemment accepté les cookies marketing ou que la publicité ait été activée par défaut pour ta région. Nous vérifions la présence du signal avant toute écriture : un navigateur qui diffuse GPC ne reçoit donc jamais de pixel publicitaire. La vente d'informations personnelles n'est pas concernée, puisqu'aucune vente n'a lieu.

Consulte Do Not Sell or Share My Personal Information pour la déclaration dédiée.

Pour déposer une demande CCPA, envoie un e-mail à privacy@traittune.com avec pour objet « CCPA Rights Request », ou appelle le +1 (347) 667-9624. Nous répondons sous 45 jours.

5. Sécurité des données

Chiffrement de ton contenu

Nous protégeons le contenu le plus sensible que tu crées — tes messages de chat avec l'IA, tes réponses aux questions ouvertes de l'évaluation et les notes que nous conservons pour personnaliser ton expérience — par un chiffrement à enveloppe (envelope encryption) par enregistrement, au moyen d'AWS Key Management Service (AES-256-GCM), et nous déployons progressivement cette protection sur ces types de contenu. Lorsque cela s'applique, chaque enregistrement est chiffré sous son propre contexte cryptographique, de sorte qu'aucune clé unique ne déverrouille tes données en masse. L'accès permettant de déchiffrer le contenu chiffré est limité aux services applicatifs automatisés qui exploitent le produit, et chacun de ces accès est journalisé et surveillé en continu. Nous supprimons également progressivement l'accès administratif permanent à ton contenu déchiffré, avec pour objectif que sa lecture en clair nécessite une procédure de secours (« break-glass ») strictement limitée, à double contrôle et propre à chaque enregistrement — activée uniquement lorsque nous y sommes contraints par une procédure judiciaire valable, et auditée de façon indépendante à chaque fois. En dehors des prestataires (sous-traitants) auxquels nous faisons appel pour exploiter le produit — décrits à la Section 6, Sous-traitants et sous-traitants ultérieurs — nous ne divulguons ton contenu à des tiers extérieurs que dans le cadre d'une procédure judiciaire valable, comme décrit dans nos pratiques de divulgation légale (Legal Disclosure).

5.1 Notification de violation de données personnelles

En cas de violation de données personnelles, nous réagissons conformément aux articles 33 et 34 du RGPD : lorsque la violation est susceptible d'engendrer un risque pour tes droits et libertés, nous en informons l'autorité de contrôle compétente sans retard indu et, si possible, dans les 72 heures suivant la prise de connaissance ; et lorsque la violation est susceptible d'engendrer un risque élevé pour toi, nous en informons les utilisateurs concernés sans retard indu. Notre objectif interne est d'informer les utilisateurs concernés dans les 24 heures suivant la confirmation qu'une violation les touche, ce qui reste cohérent avec — et jamais au-delà de — l'exigence « sans retard indu » du RGPD. Les notifications décrivent la nature de la violation, ses conséquences probables et les mesures que nous avons prises ou proposons de prendre.

6. Sous-traitants et sous-traitants ultérieurs

Nous ne vendons pas tes données. TraitTune est responsable du traitement de tes données psychométriques et de tes données de compte. Les prestataires listés ci-dessous interviennent en tant que sous-traitants, sur nos instructions (article 28 du RGPD) — chacun est lié par un accord de traitement des données assorti des clauses contractuelles types. Stripe figure à part car, pour les données de carte bancaire qu'il collecte directement au moment du paiement, il agit en tant que responsable de traitement indépendant, conformément à sa propre politique de confidentialité (article 26 du RGPD). Les partenaires publicitaires sont regroupés à part : tant que les cookies publicitaires sont activés — ce qui nécessite ton opt-in dans l'UE, l'EEE, au Royaume-Uni, en Suisse et au Brésil, et constitue le réglage par défaut ailleurs — ils reçoivent des événements de conversion (tels que consultation de page, inscription, abonnement ou achat) et, pour la correspondance, un hachage SHA-256 à sens unique de ton e-mail — jamais ton e-mail lisible ni aucune donnée psychométrique — et les traitent en tant que responsables de traitement indépendants, conformément à leurs propres politiques de confidentialité.

Sous-traitants (agissant sur instruction de TraitTune) :

Responsables de traitement indépendants (agissant sur leur propre base légale) :

Partenaires publicitaires (responsables de traitement indépendants — actifs tant que les cookies publicitaires sont activés) :

Pour mesurer quelles publicités mènent aux inscriptions et aux abonnements, nous transmettons des événements de conversion (tels qu'une inscription terminée, un prospect amorcé, un abonnement ou un achat) à ces partenaires publicitaires via leurs API de conversion serveur à serveur. Pour rattacher une conversion au bon clic publicitaire, nous pouvons inclure un hachage SHA-256 à sens unique de ton adresse e-mail — un code de longueur fixe que nous ne pouvons pas reconvertir en ton adresse ; le partenaire ne peut s'en servir que pour te faire correspondre à un compte qu'il détient déjà. Nous n'envoyons jamais ton e-mail lisible. Nous transmettons également le nom de l'événement de conversion et, pour les achats, une valeur approximative et une devise, ainsi que des signaux techniques tels que l'adresse IP et l'agent utilisateur. Nous n'envoyons jamais tes données psychométriques (scores, theta, paramètres IRT ou réponses à l'évaluation) ni les textes libres que tu rédiges à un quelconque partenaire publicitaire — c'est ce même identifiant haché qu'ils reçoivent, tandis que notre sous-traitant analytique (voir PostHog ci-dessus) opère sous un consentement distinct à l'analyse. Comme ces partenaires publicitaires sont des responsables de traitement indépendants, un identifiant que nous avons déjà partagé relève ensuite de leurs propres règles de conservation et de suppression : pour qu'ils cessent de l'utiliser ou le suppriment, exerce tes droits relatifs à la vie privée directement auprès du partenaire. Cette transmission n'a lieu que tant que les cookies publicitaires sont activés et que tu n'as pas signalé de Global Privacy Control. Dans l'UE, l'EEE, au Royaume-Uni, en Suisse et au Brésil, les cookies publicitaires restent désactivés tant que tu n'as pas donné ton opt-in ; partout ailleurs, y compris aux États-Unis, ils sont activés par défaut et tu peux les désactiver à tout moment dans les Préférences de cookies — voir « Ne pas vendre ni partager ».

7. Cookies et technologies de suivi

8. Transferts internationaux de données

Certains de nos sous-traitants sont situés aux États-Unis. Lorsque nous transférons tes données personnelles en dehors de l'Espace économique européen, du Royaume-Uni ou de la Suisse, nous nous appuyons sur les garanties suivantes :

• Clauses contractuelles types (CCT) de l'UE : Les transferts vers les États-Unis reposent sur les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à notre accord de traitement des données conclu avec chaque sous-traitant, ainsi que sur l'avenant britannique relatif aux transferts internationaux de données pour les transferts vers le Royaume-Uni.
• Cadre de protection des données UE–États-Unis (DPF) : Lorsqu'un sous-traitant est certifié au titre du cadre de protection des données UE–États-Unis (et de son extension pour le Royaume-Uni), nous nous appuyons en complément sur ce mécanisme d'adéquation.
• Mesures techniques supplémentaires : Le chiffrement en transit (TLS 1.3) et au repos (AES-256), la pseudonymisation lorsqu'elle est réalisable, ainsi que des contrôles d'accès stricts protègent les données transférées.
• Analyse d'impact des transferts (TIA) : Nous maintenons et révisons périodiquement une analyse d'impact des transferts qui évalue le régime juridique de chaque pays de destination et l'efficacité de ces garanties.

Tu peux demander une copie des garanties de transfert applicables en écrivant à privacy@traittune.com.

9. Conservation et suppression des données

Nous ne conservons les données personnelles que le temps nécessaire à la finalité pour laquelle elles ont été collectées. Le calendrier ci-dessous constitue notre calendrier de conservation unique et cohérent :

• Comptes actifs : Pendant toute la durée de ton compte, plus 30 jours après sa clôture.
• Données psychométriques (catégorie particulière) : Conservées tant que ton consentement à leur traitement reste valable, dans la limite maximale de 5 ans à compter de la date de collecte. Si tu retires ton consentement ou demandes la suppression, nous supprimons tes données psychométriques sous 30 jours — quel que soit le plafond de 5 ans.
• Récits générés par IA (Pro) : Conservés conformément à la section 3.7 de nos Conditions (masqués en cas de rétrogradation ; supprimés après 12 mois sur un forfait gratuit). Une demande de retrait de consentement ou de suppression prévaut et déclenche la suppression sous 30 jours.
• Pièces de transaction : 7 ans pour les informations de paiement, lorsque les obligations légales et fiscales l'exigent (cette conservation légale prévaut sur une demande de suppression dans la mesure où la loi l'impose).
• Journaux serveur : 90 jours.

Pour être explicite : lorsque tu retires ton consentement au titre de l'article 9, toutes les données d'évaluation psychométrique sont effacées sous 30 jours, même si certains enregistrements (comme les pièces de transaction imposées par la fiscalité) doivent être conservés pendant les durées indiquées ci-dessus.

10. Confidentialité des mineurs (conformité COPPA)

TraitTune est conçu pour les utilisateurs âgés de 18 ans et plus.

• Moins de 13 ans : Nous ne collectons pas sciemment de données. Contacte privacy@traittune.com pour demander la suppression.
• 18 ans et plus : Peuvent utiliser TraitTune de manière autonome.

11. Mises à jour de la politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. Nous t'informerons de tout changement important au moins 30 jours à l'avance par des notifications par e-mail, des annonces sur la plateforme et des mises à jour du site web.

12. Coordonnées