Politique de confidentialité

AutomatisIA - Philippe Cohen EI
Avenue des écoles, Beausoleil B5, 13120 Gardanne, France
SIRET : 92458012900014
Contact : contact@automatisia.fr

Le rôle d’AutomatisIA dépend de la personne concernée :

• Utilisateurs des organisations clientes, prospects et visiteurs : AutomatisIA agit comme responsable de traitement pour la gestion des comptes, l’authentification, la sécurité de la plateforme, la facturation et les demandes adressées par le formulaire de contact.
• Candidats : l’employeur qui organise le recrutement est responsable de traitement. AutomatisIA agit comme sous-traitant de l’employeur au sens de l’article 28 du RGPD et ne traite ces données que sur ses instructions. Pour exercer vos droits, adressez-vous à l’employeur ou à l’interlocuteur indiqué par l’employeur dans votre espace d’épreuve. Une demande reçue par AutomatisIA lui est transmise.

• Utilisateurs des organisations clientes : adresse email professionnelle, nom, rôle et entités de rattachement, identifiant de session, identité fournie par l’annuaire de l’entreprise en cas d’authentification unique.
• Données de recrutement : intitulé du poste, paramètres de cadrage (missions, outils, politique d’usage de l’IA, etc.), durée, parties sélectionnées, interlocuteur et délai de réponse annoncés aux candidats.
• Candidats : nom et prénom lorsqu’ils sont saisis, adresse email (pour l’envoi du lien d’invitation), réponses à l’épreuve (échanges avec l’IA, réponses aux questions, livrables du cas pratique) et leurs révisions. Une réponse peut contenir d’autres informations personnelles saisies par le candidat.
• Résultats : pour la nouvelle méthode, un profil critérié (niveaux lorsque le critère est évaluable, extraits de preuves, limites et revues humaines) ; pour la méthode historique, des scores par dimension (PRM, VRF, ITR, CTX, ETH, JGM, INT, AUT), une restitution générée par IA et un badge W3C VC.
• Contrôle d’intégrité, s’il est activé par l’employeur : événements d’intégrité horodatés pendant l’épreuve (perte de focus, onglet masqué, collage, sortie du plein écran) et leur durée. Aucune caméra, aucun enregistrement audio ou vidéo, aucune donnée biométrique.
• Droits du candidat : demandes de contestation, motifs, réponses de l’employeur, et choix de recevoir ou non des notifications par email.
• Page publique d’un badge (méthode historique) : identifiant, statut, dates, intitulé du poste et nom affiché du candidat, consultables par toute personne disposant de l’identifiant. Aucun score n’y figure.
• Facturation : coordonnées de facturation de l’organisation et historique d’abonnement. Les données de carte de paiement sont saisies chez Stripe et ne transitent pas par Levelia.
• Formulaire de contact : nom, entreprise, adresse email, sujet et message.
• Données techniques : journaux serveur (adresse IP, user-agent, horodatage) et journaux d’audit des actions sensibles sur la plateforme.

• Comptes utilisateurs et fourniture du service : exécution du contrat conclu avec l’organisation cliente (article 6, paragraphe 1, b du RGPD).
• Sécurité, prévention des abus et journaux d’audit : intérêt légitime d’AutomatisIA à protéger la plateforme et ses utilisateurs (article 6, paragraphe 1, f).
• Facturation et comptabilité : obligation légale de conservation des pièces comptables (article 6, paragraphe 1, c).
• Formulaire de contact : mesures précontractuelles prises à votre demande ou intérêt légitime à répondre à une question (article 6, paragraphe 1, b ou f).
• Données des candidats : la base légale est déterminée par l’employeur, responsable de traitement, et figure dans son information aux candidats.

Levelia utilise des modèles d’IA pour générer les épreuves et analyser les réponses. Les profils Anthropic ou Mistral enregistrent les versions retenues par rôle et sont figés à la confirmation du recrutement. L’analyse d’une épreuve constitue un profilage au sens de l’article 4 du RGPD.

Aucune décision n’est prise par Levelia. Le rapport est une aide à la décision : il présente des observations, leurs preuves et leurs limites, sans recommandation automatique. La décision appartient à l’employeur, qui doit l’examiner réellement et ne pas la fonder exclusivement sur ce traitement automatisé (article 22, paragraphe 1).

Lorsqu’une décision fondée exclusivement sur un traitement automatisé est permise (article 22, paragraphe 2), l’article 22, paragraphe 3, garantit au minimum le droit d’obtenir une intervention humaine, d’exprimer votre point de vue et de contester la décision. Après soumission, le candidat peut consulter les traces conservées de sa tentative et adresser une demande de contestation motivée à l’interlocuteur désigné par l’employeur.

Les modèles traitent les contenus nécessaires aux épreuves et aux restitutions. L’absence de champs d’identité dédiés ne rend pas ces contenus anonymes : les réponses peuvent contenir un nom, une adresse email ou d’autres informations personnelles saisies dans le texte.

Avant activation, les conditions applicables au compte fournisseur doivent être documentées : point d’accès, lieux de traitement, sous-traitants, conservation, usage pour l’entraînement et encadrement des transferts éventuels. Les clauses et options du compte doivent être vérifiées dans les justificatifs contractuels ; le nom d’un fournisseur ou d’un modèle n’atteste pas leur application.

Anthropic PBC, fournisseur par défaut, est établi aux États-Unis. Le mécanisme d’encadrement de ce transfert (décision d’adéquation ou garanties appropriées de l’article 46 du RGPD) n’est pas documenté à ce jour. Il doit être établi avant tout usage de ce fournisseur avec des données de candidats réels.

Les nouveaux profils Mistral utilisent un point d’accès régional UE contrôlé. Cette contrainte technique ne constitue pas une garantie de résidence complète pour tous les traitements et ne s’applique pas rétroactivement aux appels historiques. Le choix d’un profil ne vaut ni attestation d’absence de transfert, ni preuve d’exclusion de l’entraînement.

• Données de recrutement et résultats : 12 mois par défaut à compter de la soumission de l’épreuve, durée configurable par l’administrateur de l’organisation.
• Journaux d’audit : aucune purge automatique n’est appliquée à ce jour ; leur durée de conservation est à convenir avec l’organisation cliente.
• Données de session : durée de la session. Le lien d’invitation d’un candidat expire selon les règles du recrutement ; après soumission, il donne accès aux traces de la tentative et à la contestation tant que les données sont conservées.
• Badges W3C VC : la durée de validité du credential est distincte de la conservation des données et de leur éventuel effacement. La vérification publique ne permet pas de rappeler les copies déjà téléchargées ou détenues par des tiers.

Le contrôle des échéances établit des alertes et un inventaire sans supprimer les données. Un effacement exige une préparation, une confirmation humaine et les contrôles d’activation préalables. Son reçu distingue le stockage contrôlé des copies, sauvegardes et données déjà transmises à des tiers ; il ne vaut pas preuve de leur effacement externe.

• Isolation multi-tenant : Row Level Security (RLS) PostgreSQL - chaque organisation n'accède qu'à ses propres données.
• Chiffrement en transit : HTTPS/TLS sur toutes les communications.
• Authentification sans mot de passe : magic link email à usage unique.
• Liens candidat : jetons aléatoires de 256 bits, propres à chaque invitation.
• Journal d’audit : les actions sensibles (accès, droits, partages, effacements) sont journalisées avec horodatage et acteur.
• Hébergement applicatif : infrastructure OVH en France (Gravelines, GRA). Les conditions des appels fournisseurs sont distinctes et doivent être documentées pour chaque compte et point d’accès.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données.
• Droit de rectification : corriger des données inexactes.
• Droit de suppression : demander l'effacement de vos données.
• Droit à la portabilité : recevoir vos données dans un format lisible par machine.
• Droit à la limitation : obtenir la limitation du traitement dans les cas prévus à l’article 18.
• Droit d’opposition : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime (article 21). Ce droit ne s’applique pas aux traitements fondés sur le contrat ou sur une obligation légale.
• Décision automatisée : ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs et, lorsqu’une telle décision est permise, obtenir une intervention humaine, exprimer votre point de vue et contester la décision (article 22, paragraphe 3).

Candidats : adressez-vous à l’employeur ou à l’interlocuteur indiqué pour votre recrutement. Autres personnes : contact@automatisia.fr. Réponse dans le délai d’un mois prévu à l’article 12, paragraphe 3.

En cas de réclamation, vous pouvez saisir la CNIL - 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 - www.cnil.fr.

• Cookie de session : maintien de la session Auth.js (cookie technique, strictement nécessaire, durée de session).
• Préférence de thème : mémorisation du thème clair/sombre (localStorage, pas de cookie tiers).
• Avis d’information : mémorisation de la fermeture d’un avis affiché sur le site (sessionStorage, effacé à la fermeture de l’onglet).
• Aucun cookie publicitaire ni tracker tiers n'est déposé sur la plateforme.

Levelia tient une analyse d’impact relative à la protection des données (DPIA) décrivant les traitements du dispositif d’évaluation, dont la génération des épreuves et la trace d’évaluation de chaque tentative. Elle aide l’employeur, responsable de traitement, à conduire sa propre analyse au titre de l’article 35 du RGPD.

Elle est à mettre à jour à chaque changement majeur : nouveau sous-traitant IA, extension du périmètre candidat, nouveau référentiel de compétences ou incident de sécurité.

Un candidat, un DPO, un juriste ou un audit externe peut demander la version courante de la DPIA à contact@automatisia.fr. Réponse sous 15 jours.

AutomatisIA se réserve le droit de modifier la présente politique à tout moment. En cas de modification substantielle, les utilisateurs en seront informés par email. La date de dernière mise à jour est indiquée en haut de cette page.