Politique de confidentialité

La protection de votre vie privée est importante pour nous. La présente Politique de confidentialité explique quelles données à caractère personnel nous collectons, comment nous les utilisons et quels sont vos droits. Elle s’applique lorsque vous nous contactez au sujet de Kit ou utilisez Kit en tant que titulaire de compte (employeur, recruteur ou membre d’équipe). La présente Politique de confidentialité fait partie intégrante de nos Conditions Générales d’Utilisation.

1. Qui sommes-nous

Kit est exploité par Ernest Bursa (entreprise individuelle), Dabrowskiego 96/5b, 60-576 Poznan, Pologne. Nous sommes le responsable du traitement des données à caractère personnel décrites dans la présente Politique de confidentialité.

• E-mail : [email protected]
• Délégué à la protection des données : Nous n'avons pas désigné de DPO car nous n'atteignons pas les seuils exigés par l'article 37 du RGPD. Pour toute demande relative à la protection des données, contactez-nous à l'adresse ci-dessus.
• Autorité de contrôle : Notre autorité de contrôle chef de file est l'Autorité polonaise de protection des données (UODO), ul. Stawki 2, 00-193 Varsovie, Pologne (uodo.gov.pl).

2. Champ d'application et notre double rôle

Kit s'adresse à deux catégories d'utilisateurs, et notre rôle au regard du droit de la protection des données diffère pour chacune :

• Employeurs, recruteurs et membres d'équipe (vous) : Vous créez des comptes et utilisez Kit pour gérer le recrutement. Nous sommes le responsable du traitement de vos données de compte. La présente Politique de confidentialité régit cette relation.
• Candidats et postulants : Lorsque des candidats postulent à vos offres d'emploi, leurs données sont traitées par Kit pour votre compte. Vous êtes le responsable du traitement des données des candidats, et Kit agit en qualité de sous-traitant. Cette relation est régie par notre Accord de traitement des données, et non par la présente Politique de confidentialité.

Si vous êtes un candidat, veuillez contacter l'employeur auprès duquel vous avez postulé afin d'exercer vos droits en matière de protection des données. C'est lui qui est le responsable du traitement de vos données.

3. Informations que nous collectons

3.1 Informations de compte

Lors de la création de votre compte, nous collectons :

• Nom et adresse e-mail
• Mot de passe (stocké sous forme de hachage cryptographique, et non en clair)
• Nom de l'organisation et rôle au sein de l'équipe
• Informations de profil que vous choisissez de fournir
• Langue préférée et préférences de notification

Lorsque vous envoyez une demande commerciale, nous collectons votre adresse e-mail, le problème décrit, le délai de suivi souhaité ainsi que, si vous le souhaitez, votre nom et votre entreprise.

3.2 Informations provenant de connexions tierces

Si vous vous connectez via un service tiers (tel que Google ou GitHub OAuth), nous recevons votre nom, votre adresse e-mail et votre photo de profil de ce service. Nous ne recevons ni ne stockons votre mot de passe tiers.

3.3 Données d'utilisation

Lorsque vous utilisez Kit, nous collectons automatiquement :

• Données de journalisation (adresse IP, type de navigateur, informations sur l'appareil)
• Pages consultées et fonctionnalités utilisées
• Date et heure de vos visites
• Site web ou source de référence

3.4 Informations de paiement

Le paiement est traité par Stripe, Inc. Nous ne stockons pas les numéros complets de carte de crédit. Nous ne recevons que des informations limitées telles que les quatre derniers chiffres de votre carte, le type de carte et l'adresse de facturation. La politique de confidentialité de Stripe régit le traitement de vos données de paiement.

4. Base juridique du traitement

Nous traitons vos données à caractère personnel sur les bases juridiques suivantes, conformément à l'article 6, paragraphe 1, du RGPD :

5. Comment nous partageons vos informations

Nous ne vendons pas vos données à caractère personnel. Nous ne partageons vos données qu'avec les catégories de destinataires suivantes :

5.1 Sous-traitants ultérieurs

Nous utilisons les prestataires de services suivants pour exploiter Kit. Une liste complète avec les mécanismes de transfert est maintenue dans notre Accord de traitement des données (Annexe 3).

Lorsque vous choisissez En personne pour une étape d’entretien, cet écran de paramètres, et lui seul, charge la saisie semi-automatique d’adresse de Google. Votre navigateur envoie l’adresse saisie, votre adresse IP et des informations sur votre navigateur directement à Google Maps Platform ; Kit n’enregistre que l’adresse sélectionnée et son identifiant de lieu Google. Les candidats ne reçoivent qu’un lien vers l’itinéraire sur google.com ; aucune donnée de candidat ne parvient à Google par l’intermédiaire de Kit. Google Ireland Limited agit en qualité de responsable du traitement indépendant pour ces données en vertu des conditions d’utilisation de Google Maps Platform pour l’EEE et des conditions de protection des données entre responsables du traitement de Google.

5.2 Autres divulgations

• Obligations légales : Lorsque la loi, une décision de justice ou une autorité gouvernementale l'exige
• Opérations sur l'entreprise : Dans le cadre d'une fusion, d'une acquisition ou d'une vente d'actifs, vos données peuvent être transférées à l'entité successeur
• Avec votre consentement : Lorsque vous acceptez explicitement de partager des informations

6. Cookies et suivi

Nous utilisons des cookies et des technologies similaires sur notre site web. Voici ce que nous utilisons :

Les cookies essentiels sont nécessaires au fonctionnement du Service et ne requièrent pas de consentement. Nous n’affichons pas de bannière de cookies, et Microsoft Clarity n’attend pas votre consentement : il se charge sur notre site, dans la documentation et l’onboarding, dans l’application Kit une fois connecté, ainsi que sur les pages carrières et les pages sécurité publiques que nous hébergeons pour nos clients. Il enregistre l’affichage de chaque page et la façon dont vous l’utilisez : clics, défilement, mouvements de souris, adresse de la page, informations sur l’appareil et le navigateur, ainsi qu’une localisation approximative déduite de votre adresse IP. Le texte des pages est masqué dans les enregistrements, sauf sur nos pages marketing, dans la documentation publique et dans les offres d’emploi publiques. Clarity n’est pas chargé sur les pages dont l’adresse contient un lien de connexion, un jeton ou un terme de recherche, sur les portails candidats, chercheurs en sécurité, formation et références, lors du paiement, ni lorsqu’un administrateur de Kit est connecté en votre nom. Lorsque vous êtes connecté, nous associons vos enregistrements à votre identifiant utilisateur Kit (jamais votre adresse e-mail) afin de les retrouver lorsque nous vous aidons. Nous demandons à Clarity de laisser son stockage publicitaire désactivé.

Microsoft Ireland Operations Limited agit en qualité de responsable du traitement indépendant pour les données Clarity en vertu de ses propres conditions. Microsoft stocke ces données dans son cloud Azure et peut les transférer à Microsoft Corporation aux États-Unis sur la base de clauses contractuelles types.

Pour refuser Clarity, bloquez les cookies ou les scripts de clarity.ms dans votre navigateur ; Kit fonctionne normalement sans eux. Vous pouvez contrôler les cookies via les paramètres de votre navigateur. La désactivation des cookies essentiels peut vous empêcher d'utiliser le Service.

7. Conservation des données

Nous conservons vos données à caractère personnel aussi longtemps que nécessaire aux fins décrites dans la présente politique :

• Données de compte : Pendant la durée de vie de votre compte. Si vous supprimez votre compte, nous supprimerons vos données à caractère personnel dans un délai de 30 jours.
• Comptes sans abonnement : Si un compte reste sans abonnement payant actif pendant 45 jours, nous en informons le titulaire du compte puis, à l'issue d'un délai supplémentaire de 14 jours, supprimons automatiquement le compte et ses données à caractère personnel, sauf si un abonnement est réactivé. Consultez nos Conditions Générales d'Utilisation pour plus de détails.
• Journaux serveur : Conservés pendant une durée maximale de 90 jours à des fins de sécurité et de débogage.
• Demandes commerciales : Conservées pendant 180 jours au maximum. Si vous créez un compte, les durées de conservation ci-dessus s’appliquent aux données de ce compte.
• Registres de paiement et de facturation : Conservés pendant 7 ans conformément au droit fiscal polonais.
• Registres de communication par e-mail : Conservés pendant la durée de vie de votre compte, puis supprimés avec votre compte.
• Données analytiques : Microsoft Clarity conserve les enregistrements pendant 30 jours. Les enregistrements marqués comme favoris, ainsi qu’un échantillon aléatoire choisi par Microsoft, sont conservés jusqu’à 9 mois.
• Données de sauvegarde : Les sauvegardes contenant vos données sont conservées pendant une durée maximale de 30 jours après la suppression des données principales.

8. Transferts internationaux de données

L'infrastructure principale de Kit est hébergée dans l'Union européenne (Hetzner Cloud, Nuremberg, Allemagne). Vos données de compte principales sont stockées et traitées au sein de l'UE.

Certains de nos prestataires sont établis aux États-Unis ou peuvent y transférer des données : Stripe, Sentry, Cloudflare, Axiom, Google (API Gemini, qui peut mettre les prompts en cache dans tout pays où Google dispose d’installations, et Maps Platform), TypeSafe AI et Microsoft (Clarity). Pour ces transferts, nous nous appuyons sur :

• Le Cadre de protection des données UE-États-Unis (DPF) lorsque le prestataire est certifié DPF
• Les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision 2021/914)

Les détails des mécanismes de transfert par prestataire sont répertoriés dans notre ATD (Annexe 3).

9. IA et traitement automatisé

Les fonctionnalités d’IA de Kit utilisent par défaut la clé Google Gemini de Kit (voir la section 5.1). Vous pouvez les faire passer sur votre propre clé d’API Gemini, Anthropic ou OpenRouter dans vos paramètres d’IA ; les embeddings de recherche utilisent toujours Gemini.

• Automatiques : filtrage du spam et rattachement au composant de chaque nouveau signalement de sécurité, analyse d’injection de prompt et classification de chaque signalement de sécurité (toujours via TypeSafe AI, y compris avec votre propre clé), extraction de chaque CV téléversé, résumés des e-mails de recrutement et, avec le module Outreach, recherche sur les prospects, classement des réponses et brouillons de réponse. Il n’existe pas de réglage par fonctionnalité.
• Uniquement si configurées ou demandées : l’extraction des champs de candidature personnalisés, pour les offres où vous configurez des champs extraits par l’IA, ainsi que l’assistant et le chat d’IA, lorsqu’un utilisateur les sollicite.
• Lorsque vous utilisez votre propre clé, les données sont envoyées au fournisseur que vous avez choisi, dans le cadre de votre accord avec lui.
• Kit n'utilise pas vos données pour entraîner des modèles d'IA.
• Aucune décision entièrement automatisée produisant des effets juridiques ou des effets significatifs similaires n'est prise à l'égard des personnes sans contrôle humain.
• Vous avez le droit de demander un réexamen humain de toute décision éclairée par un résultat généré par l'IA.

9.1 Assistants IA que vous connectez

Vous pouvez connecter un assistant IA, comme Claude, ChatGPT ou Claude Code, à votre compte Kit via le Model Context Protocol (MCP). Dans ce cas :

• Données collectées : le nom et l'adresse de redirection que l'assistant enregistre auprès de Kit, le compte et les modules que vous accordez sur l'écran de consentement, les jetons d'accès que nous émettons, ainsi que la date d'autorisation et de dernière utilisation de la connexion. Kit reçoit uniquement les requêtes que l'assistant adresse à Kit. Kit ne reçoit pas vos conversations avec l'assistant.
• Utilisation : authentifier l'assistant, exécuter chaque requête dans les limites de votre rôle et des modules accordés, afficher vos assistants connectés dans vos paramètres et limiter le volume de requêtes pour prévenir les abus.
• Partage : Kit transmet le résultat de chaque requête à l'assistant que vous avez connecté. Le fournisseur de l'assistant (par exemple Anthropic pour Claude) le traite ensuite selon votre accord avec ce fournisseur et sa politique de confidentialité. C'est vous qui choisissez l'assistant ; Kit ne le sélectionne ni ne le contrôle. Nous ne partageons les données reçues via ces connexions avec personne d'autre que les sous-traitants ultérieurs listés à la section 5.1.
• Journal d'audit : lorsque l'assistant utilise un outil qui envoie un e-mail ou un message à une personne extérieure à votre compte (candidat, chercheur ou invité), nous consignons l'outil utilisé, vos identifiants d'utilisateur et de compte, le résultat et, si l'outil en fournit une, une adresse de destinataire masquée. Le contenu des messages n'est jamais consigné. Ce journal suit la durée de conservation des journaux serveur de la section 7.
• Conservation : les jetons sont conservés tant que la connexion est active. Une connexion prend fin lorsque vous la révoquez ou après 90 jours sans utilisation, et ses enregistrements de jetons sont supprimés 30 jours plus tard. Les enregistrements d'autorisation créés lors de la connexion (votre identifiant d'utilisateur, l'assistant, les modules accordés et la date) sont conservés jusqu'à la suppression du compte Kit. L'enregistrement d'un assistant (son nom et son adresse de redirection) ne contient aucune donnée personnelle et est conservé pour que l'assistant puisse se reconnecter. Les données que vous créez ou modifiez via un assistant sont des données de compte et relèvent de la section 7.

Les données de candidats renvoyées à votre assistant sont traitées pour votre compte en vertu de notre Accord de traitement des données (voir la section 2). Pour toute question sur les assistants connectés, contactez-nous comme indiqué à la section 17.

10. Vos droits

En vertu du RGPD, du UK GDPR et des lois applicables en matière de protection des données, vous disposez des droits suivants concernant vos données à caractère personnel :

• Droit d'accès (art. 15) : Vous pouvez demander une copie des données à caractère personnel que nous détenons à votre sujet.
• Droit de rectification (art. 16) : Vous pouvez nous demander de corriger des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) : Vous pouvez demander la suppression de vos données à caractère personnel.
• Droit à la limitation du traitement (art. 18) : Vous pouvez nous demander de limiter l'utilisation de vos données.
• Droit à la portabilité des données (art. 20) : Vous pouvez demander vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (art. 21) : Vous pouvez vous opposer au traitement de vos données lorsque nous nous fondons sur l'intérêt légitime. Nous cesserons le traitement, sauf si nous démontrons des motifs légitimes impérieux.
• Droit de retirer votre consentement (art. 7) : Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment. Le retrait ne porte pas atteinte à la licéité du traitement effectué avant le retrait.
• Droit relatif aux décisions automatisées (art. 22) : Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.

Pour exercer l'un de ces droits, contactez-nous à l'adresse [email protected]. Nous répondrons dans les meilleurs délais et dans un délai d'un mois calendaire. Si votre demande est complexe, nous pouvons prolonger ce délai de deux mois supplémentaires, moyennant notification.

Vous avez également le droit d'introduire une réclamation auprès de votre autorité de contrôle. Pour les utilisateurs en Pologne, il s'agit de l'UODO (Urząd Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Varsovie, Pologne.

11. Communications par e-mail

Nous envoyons les types d'e-mails suivants :

• E-mails transactionnels (notifications de compte, alertes de sécurité, reçus de facturation) : Ceux-ci sont nécessaires au fonctionnement de votre compte et ne peuvent pas faire l'objet d'un désabonnement.
• Mises à jour produit et e-mails d'intégration : Vous pouvez vous désabonner de ces e-mails à tout moment en utilisant le lien de désabonnement présent dans chaque e-mail ou depuis vos préférences de notification dans les paramètres du compte. Nous prenons en charge le désabonnement en un clic conformément à la RFC 8058.

12. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données à caractère personnel, notamment :

• Chiffrement des données en transit (TLS 1.2+) et au repos
• Chiffrement au niveau applicatif des champs de données sensibles (Active Record Encryption)
• Infrastructure principale hébergée intégralement au sein de l'UE (Hetzner Cloud, Nuremberg, Allemagne)
• Trafic de base de données isolé sur un réseau privé
• Analyses de sécurité et audits de dépendances réguliers
• Contrôles d'accès basés sur les rôles et limitation de la portée des jetons API

Aucune méthode de transmission ou de stockage n'est totalement sécurisée. Bien que nous nous efforcions de protéger vos données, nous ne pouvons garantir une sécurité absolue.

13. Protection des mineurs

Kit est un outil professionnel qui n'est pas destiné à être utilisé par des mineurs. Nous ne collectons pas sciemment de données à caractère personnel de personnes de moins de 18 ans. Si vous pensez qu'un mineur nous a fourni des données à caractère personnel, veuillez nous contacter et nous les supprimerons.

14. Avis CCPA (résidents de Californie)

Si vous résidez en Californie, le California Consumer Privacy Act (CCPA), tel que modifié par le CPRA, vous confère des droits supplémentaires :

• Nous ne vendons ni ne partageons vos informations personnelles au sens du CCPA.
• Vous avez le droit de savoir quelles informations personnelles nous collectons et comment elles sont utilisées.
• Vous avez le droit de demander la suppression de vos informations personnelles.
• Vous avez le droit à la non-discrimination pour l'exercice de vos droits en matière de vie privée.

Pour exercer ces droits, contactez-nous à l'adresse [email protected].

15. Données utilisateur Google

Si vous connectez un compte Google, Kit n'accède qu'aux données couvertes par les autorisations que vous accordez, et uniquement aux fins décrites ci-dessous. Vous choisissez le compte Google à connecter ainsi que les calendriers, le cas échéant, que Kit est autorisé à utiliser.

• Adresse e-mail, profil de base et identité OpenID (email, profile, openid) : utilisés pour vous authentifier, pour créer votre compte Kit ou le faire correspondre à un compte existant, et pour afficher votre nom et votre photo de profil dans l'application.
• Google Calendar (calendar) : utilisé pour lister les calendriers de votre compte et en stocker les métadonnées (nom, fuseau horaire, rôle d'accès) ; pour consulter vos plages de disponibilité (libre/occupé) afin que les pages de réservation d'entretien ne proposent que des créneaux où vous êtes réellement libre ; pour vous abonner aux notifications de modification afin que vos disponibilités restent à jour ; et, pour les calendriers où vous avez activé « Autoriser la création d'événements dans ce calendrier », pour créer, modifier et supprimer l'événement de calendrier correspondant à un entretien auquel vous êtes affecté. Nous ne lisons pas le contenu de vos événements de calendrier. Les résultats de disponibilité servent uniquement à calculer les créneaux disponibles et ne sont pas stockés.
• Google Meet (meetings.space.created, meetings.space.readonly) : utilisés pour créer un espace Meet destiné à un entretien planifié et pour lire les détails de ces réunions — nom affiché des participants, heures d'arrivée et de départ, durée totale — afin que les équipes de recrutement puissent vérifier la présence après l'entretien. Lorsqu'une réunion a fait l'objet d'une transcription, nous récupérons également le texte de la transcription via l'API Meet et le conservons sous forme chiffrée, associé à l'entretien concerné, afin que l'équipe de recrutement puisse relire ce qui a été dit. Nous n'accédons pas à Google Drive et nous ne récupérons ni les enregistrements des réunions ni le document de transcription lui-même.

Utilisation limitée (Limited Use). L'utilisation des informations reçues via les champs d'application Google Workspace respectera la Google User Data Policy, y compris les Limited Use requirements.

Plus précisément, les données obtenues via les API Google :

• ne sont jamais vendues, ni utilisées à des fins publicitaires ou de ciblage publicitaire ;
• ne sont jamais transférées, vendues ni utilisées pour créer, entraîner ou améliorer un modèle d'apprentissage automatique ou d'intelligence artificielle, y compris les modèles généralisés ou non personnalisés (voir également la section 9) ;
• ne sont jamais lues par un être humain, sauf lorsque vous nous le demandez expressément, lorsque cela est nécessaire à des fins de sécurité ou pour enquêter sur un usage abusif, ou lorsque la loi nous y oblige ;
• sont utilisées uniquement pour fournir ou améliorer les fonctionnalités décrites ci-dessus, et ne sont transférées à des tiers à aucune autre fin.

Vous pouvez déconnecter un compte Google à tout moment depuis la page des comptes connectés dans Kit, ou révoquer l'accès de Kit directement sur myaccount.google.com/permissions. La déconnexion supprime les jetons OAuth stockés ainsi que les métadonnées de calendrier que Kit détenait pour ce compte. Pour demander la suppression des registres de conférences Meet ou de toute autre donnée issue de Google que nous détenons encore, contactez-nous à l'adresse [email protected] et nous les supprimerons selon les modalités décrites à la section 7.

16. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. En cas de modification substantielle, nous vous en informerons par e-mail au moins 30 jours avant l'entrée en vigueur des modifications. Pour les modifications affectant la base juridique du traitement, nous solliciterons votre consentement lorsque cela est requis.

17. Nous contacter

Si vous avez des questions concernant la présente Politique de confidentialité ou nos pratiques en matière de données :

• E-mail : [email protected]
• Adresse : Ernest Bursa, Dabrowskiego 96/5b, 60-576 Poznan, Pologne

Vous avez également le droit d'introduire une réclamation auprès de votre autorité locale de protection des données si vous estimez que nous n'avons pas traité vos données à caractère personnel de manière appropriée.