Accord de Traitement des Données à Caractère Personnel

Date de mise à jour : 06 Mars 2026

1. PRÉAMBULE

Le présent Accord de Traitement des Données à Caractère Personnel (ci-après « ATDCP ») encadre les conditions dans lesquelles la société Scalyz traite des données à caractère personnel pour le compte de ses clients professionnels dans le cadre de l’utilisation de la plateforme SaaS d’évaluation technique immersive.

Cet ATDCP est conclu conformément à l’article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD).

Il fait partie intégrante des Conditions Générales de Vente Entreprises de Scalyz.

2. IDENTIFICATION DES PARTIES

2.1 Responsable de traitement

Le Client professionnel utilisant la plateforme Scalyz agit en qualité de Responsable de traitement.

2.2 Sous-traitant

Scalyz
Société par actions simplifiée (SAS)
Capital social : 1 000 €
SIREN : 930 123 989
Siège social : 24 Rue de Clichy, 75009 Paris, France
Contact RGPD : dpo@scalyz.com

Scalyz agit exclusivement en qualité de Sous-traitant.

3. OBJET DU TRAITEMENT

Scalyz traite les données à caractère personnel pour le compte du Responsable de traitement aux fins de :

• Mise à disposition d’une plateforme d’évaluation technique
• Génération de rapports d’évaluation
• Analyse des performances techniques
• Fourniture de tableaux de bord

4. NATURE DES DONNÉES TRAITÉES

Selon l’utilisation de la plateforme, les catégories de données peuvent inclure :

• Nom et prénom
• Adresse email professionnelle
• Données professionnelles
• Résultats d’évaluation
• Logs techniques liés à l’exécution des tests

Aucune donnée sensible au sens de l’article 9 du RGPD n’est requise.

5. CATÉGORIES DE PERSONNES CONCERNÉES

• Candidats
• Consultants
• Collaborateurs
• Utilisateurs autorisés par le Client

6. DURÉE DE CONSERVATION

Les données sont conservées selon les modalités suivantes :

• Comptes candidats : expiration automatique sous 7 jours
• Logs techniques : maximum 1 an
• Rapports d’évaluation : durée du contrat
• Données de facturation : 10 ans (obligation légale)

À l’issue du contrat, les données peuvent être :

• Restituées au Responsable de traitement
• Supprimées dans un délai maximum de 90 jours

7. OBLIGATIONS DU SOUS-TRAITANT

Scalyz s’engage à :

1. Traiter les données uniquement sur instruction documentée du Responsable de traitement
2. Garantir la confidentialité des données
3. Mettre en œuvre des mesures techniques et organisationnelles appropriées
4. Veiller à ce que les personnes autorisées soient soumises à une obligation de confidentialité
5. Assister le Responsable de traitement dans le respect de ses obligations RGPD
6. Notifier toute violation de données personnelles dans les meilleurs délais

8. MESURES DE SÉCURITÉ

Scalyz met en œuvre notamment :

• Hébergement sur infrastructure cloud située dans l’Union Européenne
• Chiffrement des données en transit (TLS)
• Chiffrement au repos (bases de données et stockage)
• Sauvegardes quotidiennes chiffrées
• Rétention des logs limitée à 1 an
• Authentification multi-facteurs obligatoire pour les employés
• Accès administrateurs protégés par VPN
• Gestion des habilitations basée sur le principe du moindre privilège

9. SOUS-TRAITANTS ULTÉRIEURS

Scalyz peut faire appel aux sous-traitants suivants :

• Amazon Web Services (hébergement UE)
• Stripe (paiement)
• Chargebee (gestion abonnements)
• HubSpot (CRM)
• AWS SES (emails transactionnels)
• OpenAI (analyse IA anonymisée)

Scalyz s’assure que ses sous-traitants présentent des garanties suffisantes en matière de protection des données.

10. TRANSFERTS HORS UNION EUROPÉENNE

Certains prestataires peuvent être situés hors Union Européenne (ex : OpenAI).

Les transferts sont encadrés par :

• Clauses Contractuelles Types de la Commission Européenne
• Garanties contractuelles appropriées

Les données transmises à OpenAI dans le cadre de l’analyse IA sont anonymisées et ne permettent pas l’identification des personnes concernées.

11. ASSISTANCE AU RESPONSABLE DE TRAITEMENT

Scalyz assiste le Responsable de traitement pour :

• Répondre aux demandes d’exercice des droits des personnes concernées
• Fournir les informations nécessaires en cas de contrôle par une autorité de protection des données
• Réaliser, si nécessaire, une analyse d’impact relative à la protection des données

12. VIOLATION DE DONNÉES

En cas de violation de données personnelles, Scalyz :

• Informe le Responsable de traitement sans délai indu
• Fournit les informations nécessaires à l’évaluation du risque
• Coopère activement pour la gestion de l’incident

13. AUDIT

Le Responsable de traitement peut demander des informations raisonnables relatives aux mesures de sécurité mises en œuvre.

Tout audit devra :

• Être planifié à l’avance
• Être limité aux informations pertinentes
• Ne pas perturber le fonctionnement normal de la plateforme

14. RESPONSABILITÉ

Chaque partie demeure responsable des obligations qui lui incombent au titre du RGPD.

La responsabilité de Scalyz est limitée conformément aux Conditions Générales de Vente applicables.

15. DURÉE ET ENTRÉE EN VIGUEUR

Le présent ATDCP entre en vigueur à compter de l’acceptation des Conditions Générales de Vente.

Il demeure applicable pendant toute la durée d’utilisation de la plateforme par le Client.