Confidentialité et protection des données (RGPD)

Objet, opposabilité et hiérarchie des normes

La présente information, ci-après la « Notice », est établie en application des articles 12, 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le « RGPD »), de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction en vigueur, des délibérations et lignes directrices de la Commission nationale de l'informatique et des libertés (CNIL), ainsi que, le cas échéant, des articles 5 et 25 du règlement (UE) 2024/1689 (EU AI Act) en tant qu'ils imposent une gouvernance des données d'entrée et de sortie des systèmes d'IA à haut risque.

La Notice a pour seul objet d'informer la personne concernée. Elle ne constitue ni une licence, ni une cession de droits, ni une reconnaissance de responsabilité, ni un engagement de résultat, ni une renonciation à un moyen de défense. En cas de divergence entre la présente Notice et un contrat distinct conclu avec Fleury Capital, le contrat prévaut pour les seules relations contractuelles qu'il régit ; la Notice demeure opposable pour l'information légale due au titre du RGPD.

Toute utilisation du Site, de ses formulaires, de ses pages légales ou du service CandidAct emporte prise de connaissance de la Notice dans sa version publiée. L'éditeur peut modifier la Notice à tout moment ; la version opposable est celle affichée au jour de la consultation. Une version antérieure n'est pas opposable à l'éditeur dès lors qu'elle a été remplacée, sous réserve des droits déjà exercés sous l'empire de cette version.

Responsable du traitement, délégué et coordonnées

Le responsable du traitement, au sens de l'article 4, point 7, du RGPD, est Fleury Capital, société par actions simplifiée unipersonnelle à capital variable, immatriculée au RCS de Paris sous le n° 980 921 258, siège social 34 avenue des Champs-Élysées, 75008 Paris, France, SIRET 980 921 258 00011, TVA intracommunautaire FR96980921258.

À la date de la présente Notice, aucun délégué à la protection des données (DPO) n'a été désigné au sens de l'article 37 du RGPD, dès lors que les conditions de désignation obligatoire ne sont pas remplies au regard de l'activité et de l'ampleur des traitements. Fleury Capital demeure néanmoins joignable pour toute question relative aux données personnelles exclusivement via le formulaire de contact publié sur le Site, qui constitue le canal unique et opposable de saisine pour l'exercice des droits et pour toute demande d'information. Les courriers postaux adressés au siège peuvent être traités avec un délai supplémentaire.

Toute personne qui se prévaut d'une qualité de sous-traitant, de coresponsable ou de destinataire doit produire le titre juridique correspondant. L'absence de contrat écrit de sous-traitance au sens de l'article 28 du RGPD fait obstacle à toute prétention fondée sur une telle qualité.

Champ d'application matériel et territorial

La Notice couvre les traitements de données à caractère personnel opérés (i) via le site public candidact.com et ses locales linguistiques, (ii) via les formulaires de demande d'essai et de contact, (iii) via le générateur de grille lorsqu'une adresse électronique est collectée, et (iv), le cas échéant, via l'application recruteur lorsque Fleury Capital agit en qualité de responsable ou de sous-traitant selon le contrat applicable.

Lorsque le client professionnel (employeur / recruteur) configure des campagnes, collecte des candidatures et utilise les évaluations, il agit en principe comme responsable du traitement pour les données de ses candidats ; Fleury Capital agit alors comme sous-traitant au sens de l'article 4, point 8, et de l'article 28 du RGPD, dans les limites du contrat de traitement. Toute action intentée contre Fleury Capital comme si elle était responsable de traitements exclusivement opérés pour le compte du client sera déclarée irrecevable ou mal fondée, sauf qualification contraire résultant d'un texte ou d'une décision exécutoire.

La Notice s'applique aux personnes situées dans l'Union européenne et, lorsque le droit le commande, aux personnes hors UE dont les données sont traitées en lien avec une offre de biens ou de services ou un suivi de comportement au sens de l'article 3 du RGPD.

Catégories de données, sources et caractère facultatif

Sont susceptibles d'être traités, selon les formulaires et services effectivement utilisés : données d'identité et de contact (nom, prénom, adresse électronique professionnelle, numéro de téléphone facultatif, raison sociale) ; données professionnelles déclaratives (fonction, volume de recrutement, intitulé de poste) ; contenu libre du message de contact ; métadonnées techniques strictement nécessaires (horodatage, locale, jetons anti-abus, indicateurs de session) ; le cas échéant, code de parrainage ou paramètre UTM fourni par l'utilisateur.

Les données sont collectées auprès de la personne concernée (collecte directe). Aucune donnée sensible au sens de l'article 9 du RGPD n'est sollicitée sur le Site public. Il est interdit à l'utilisateur d'y déposer des données de santé, biométriques, relatives à des infractions, ou appartenant à des catégories particulières, sauf obligation légale contraire. Tout dépôt contraire peut être effacé sans préavis et engage la responsabilité exclusive de son auteur.

Sauf mention contraire sur un champ, les données facultatives n'affectent pas l'accès au Site. Le refus de fournir une donnée obligatoire empêche le traitement de la demande correspondante, sans que cela constitue une discrimination ou un manquement.

Finalités déterminées, explicites et légitimes

Les finalités sont strictement limitées à : (a) l'instruction et le suivi des demandes d'essai et de contact ; (b) la préparation de mesures précontractuelles à la demande de la personne ; (c) la gestion de la relation commerciale B2B ; (d) la sécurité, la prévention de la fraude, des abus et des envois automatisés ; (e) le respect d'obligations légales (conservation, réponse aux autorités, exercice des droits) ; (f) l'amélioration technique du Site, dans la limite des données strictement nécessaires et, le cas échéant, après pseudonymisation.

Toute finalité incompatible au sens de l'article 6, paragraphe 4, du RGPD est exclue. En particulier, les données du formulaire de contact ne sont ni vendues, ni cédées à titre onéreux, ni utilisées pour du profilage commercial à des fins de publicité comportementale tierce, ni intégrées à un fichier de prospection acquis auprès de tiers.

Bases légales (article 6 RGPD)

Selon la finalité : intérêt légitime (article 6, §1, f) à répondre aux sollicitations spontanées et à sécuriser le Site, pondéré par un test de balance des intérêts ; mesures précontractuelles (article 6, §1, b) lorsque la personne demande un essai ou une proposition ; obligation légale (article 6, §1, c) lorsque la conservation ou la communication est imposée ; consentement (article 6, §1, a) uniquement pour les traitements qui l'exigent (par exemple certains traceurs non exemptés), auquel cas le consentement est libre, éclairé, spécifique et retirable.

L'intérêt légitime ne saurait être interprété comme une autorisation générale de réutilisation. Toute personne peut s'opposer, pour motifs tenant à sa situation particulière, dans les conditions de l'article 21 du RGPD, sous réserve des exceptions prévues par ce texte.

Durées de conservation et archivage

Les messages issus des formulaires d'essai et de contact sont conservés au maximum douze (12) mois à compter du dernier échange utile, puis effacés ou anonymisés de manière irréversible, sauf : (i) obligation légale de conservation plus longue ; (ii) constatation, exercice ou défense d'un droit en justice ; (iii) enquête administrative en cours ; (iv) nécessité technique temporaire de sauvegarde, limitée au temps strictement requis pour la restauration.

Les journaux de sécurité et anti-abus sont conservés pour une durée proportionnée à la finalité de sécurité, en règle générale inférieure ou égale à douze mois, sauf incident justifiant une prolongation documentée. À l'issue des durées, les supports sont effacés selon des procédures visant à rendre la récupération raisonnablement impossible.

Destinataires, sous-traitants et catégories d'accès

Les données sont accessibles aux seules personnes habilitées de Fleury Capital, selon le principe du moindre privilège, et aux sous-traitants techniques strictement nécessaires : hébergement et diffusion (notamment Cloudflare, Inc.), outil CRM / pipeline commercial (Attio, lorsque configuré), prestataire d'envoi transactionnel d'emails (Resend, lorsque configuré pour le formulaire de contact).

Chaque sous-traitant est tenu par un engagement contractuel conforme à l'article 28 du RGPD, ou, à défaut pour un prestataire hors périmètre UE, par des garanties appropriées au sens du chapitre V. Aucune revente de fichiers n'est autorisée. Les autorités administratives ou judiciaires peuvent recevoir des données uniquement sur réquisition légale valide.

Transferts hors Union européenne

Certains prestataires peuvent être établis ou opérer des traitements hors de l'Espace économique européen. Dans ce cas, Fleury Capital s'appuie, selon les cas, sur une décision d'adéquation de la Commission européenne, sur des clauses contractuelles types (CCT) adoptées par la Commission, sur des mesures complémentaires d'ordre technique et organisationnel, et/ou sur les dérogations strictement interprétées de l'article 49 du RGPD.

L'utilisateur reconnaît que l'acheminement Internet, la résolution DNS et la mise en cache peuvent impliquer des équipements situés hors UE. Ces faits techniques ne valent ni renonciation aux droits RGPD, ni autorisation de traitements incompatibles.

Mesures de sécurité techniques et organisationnelles

Fleury Capital met en œuvre des mesures appropriées au sens de l'article 32 du RGPD : chiffrement des flux (TLS), contrôle d'accès, journalisation, cloisonnement des environnements, principes de minimisation et de privacy by design / by default, procédures de gestion des incidents. Ces mesures sont proportionnées aux risques et à l'état de l'art ; elles ne constituent pas une garantie absolue contre tout incident.

En cas de violation de données susceptibles d'engendrer un risque pour les droits et libertés, la notification à l'autorité de contrôle et, le cas échéant, la communication aux personnes concernées, sont effectuées dans les conditions des articles 33 et 34 du RGPD. Toute demande de « preuve exhaustive » de sécurité allant au-delà de ce que la loi impose pourra être refusée lorsqu'elle exposerait l'éditeur à un risque disproportionné (security through obscurity raisonnable, secrets techniques, vulnérabilités).

Droits des personnes et modalités d'exercice

Conformément aux articles 15 à 22 du RGPD, toute personne concernée dispose, dans les conditions et limites légales, d'un droit d'accès, de rectification, d'effacement (« droit à l'oubli »), de limitation, d'opposition, de portabilité (lorsque le traitement repose sur le consentement ou le contrat et est automatisé), ainsi que du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l'affectant de manière significativement similaire, sous les réserves de l'article 22.

Ces droits s'exercent via le formulaire de contact publié sur le Site, en joignant les éléments permettant d'établir l'identité et l'objet précis de la demande. Fleury Capital peut demander des informations supplémentaires en cas de doute raisonnable sur l'identité (article 12, §6). Le délai de réponse est d'un mois, prorogeable dans les conditions de l'article 12. Les demandes manifestement infondées, excessives, répétitives ou abusives peuvent être refusées ou facturées conformément à l'article 12, §5.

La personne peut introduire une réclamation auprès de la CNIL (cnil.fr) ou de l'autorité de contrôle de son État de résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée. L'exercice d'une réclamation n'est pas subordonné à une saisine préalable, sans préjudice de l'intérêt d'une demande amiable préalable.

Traceurs, cookies et stockage local

Le Site peut utiliser des traceurs strictement nécessaires au fonctionnement, à la sécurité, à la mémorisation de la langue, du thème ou d'un état de session. Ces traceurs, lorsqu'ils relèvent des exceptions prévues par la directive ePrivacy et la doctrine CNIL, ne requièrent pas de consentement préalable.

Tout traceur non exempté (mesure d'audience non exemptée, publicité, partage social non essential) ne serait déposé qu'après information et consentement préalable, libre, spécifique, éclairé et univoque, retirable aussi facilement qu'il a été donné. Tant qu'un bandeau de consentement n'est pas déployé pour de tels traceurs, l'utilisateur est fondé à considérer que seuls des traceurs exemptés ou strictement nécessaires sont employés.

Mineurs et capacité

Le Site et le service CandidAct s'adressent à des professionnels. Ils ne sont pas destinés aux personnes âgées de moins de seize (16) ans. Fleury Capital ne collecte pas sciemment de données relatives à des mineurs via le Site. Toute donnée collectée de bonne foi auprès d'un mineur sera effacée dans les meilleurs délais dès que la situation sera portée à sa connaissance par un représentant légal via le formulaire de contact publié sur le Site.

Limites, non-renonciation et responsabilité

La présente Notice décrit des traitements ; elle ne crée pas de droit subjectif au-delà de ceux que le RGPD et les textes nationaux confèrent. Elle ne saurait être invoquée pour obtenir la communication de secrets d'affaires, de code source, de jeux de données d'entraînement complets, de configurations de sécurité détaillées, ou de documents couverts par le secret des correspondances ou le secret professionnel, sauf titre exécutoire.

Le fait pour Fleury Capital de ne pas se prévaloir immédiatement d'une stipulation ne vaut pas renonciation. Toute clause contraire aux dispositions d'ordre public est réputée non écrite, sans affecter le surplus. La responsabilité de Fleury Capital au titre des traitements est appréciée au regard des textes impératifs ; hors cas de faute lourde ou de dol, et dans la limite permise, les dommages indirects et immatériels (perte de chance, préjudice d'image, perte d'exploitation) sont exclus.

Mises à jour

Fleury Capital peut actualiser la Notice pour refléter une évolution légale, technique ou organisationnelle. La date de dernière mise à jour figure en tête de page. La poursuite de l'utilisation du Site après publication vaut prise de connaissance. Il appartient à l'utilisateur de consulter périodiquement la version en vigueur.