Politique RGPD et confidentialité

Key Predict, ex-Central Test, accorde une attention particulière à la protection des données personnelles. Cette politique explique, de façon claire, quelles données nous traitons, pourquoi nous les traitons, qui peut y accéder, combien de temps elles sont conservées et comment les personnes concernées peuvent exercer leurs droits.

Elle s’applique au site keypredict.com, à nos formulaires, contenus, événements, communications commerciales et services, ainsi qu’à la plateforme Key Predict lorsque Key Predict agit comme responsable du traitement. Lorsque nous traitons les données de candidats, collaborateurs, bénéficiaires ou évaluateurs pour le compte d’un client, ce client est en principe responsable du traitement et Key Predict agit comme sous-traitant, selon ses instructions et le contrat conclu avec lui.

Nos engagements RGPD

Quelles données Key Predict traite-t-il ?

Selon votre relation avec nous, nous pouvons traiter des données professionnelles de contact, des données de navigation, des données de compte et de sécurité, ainsi que des données liées aux évaluations : réponses aux questionnaires, scores, rapports, compétences, motivations, aptitudes, données de matching et, lorsque le service utilisé le prévoit, CV, photo, réponses vidéo ou audio et transcription.

À qui « appartiennent » les données ?

Le RGPD ne repose pas sur une notion de propriété des données. Chaque personne conserve les droits que la réglementation lui reconnaît sur ses données personnelles. Le client qui organise un recrutement, une mobilité, une orientation ou une campagne d’évaluation détermine les finalités de ce traitement et agit généralement comme responsable du traitement. Key Predict traite alors les données pour son compte et selon ses instructions.

Comment les données sont-elles utilisées ?

Les données sont utilisées uniquement pour fournir les services demandés, administrer les comptes, réaliser et restituer les évaluations, assurer la sécurité et le support, gérer la relation commerciale, améliorer nos services dans les limites décrites ci-dessous et respecter nos obligations légales. Key Predict ne vend pas les données personnelles.

Où les données sont-elles hébergées ?

Le site public est hébergé par Google Cloud Platform à Saint-Ghislain, en Belgique.Les conditions d’hébergement et de traitement applicables à la plateforme et à ses prestataires sont précisées dans la documentation contractuelle et la liste des sous-traitants de Key Predict  accessible depuis la plateforme client.

Qui peut accéder aux données ?

Seules les personnes autorisées qui en ont besoin pour leurs missions peuvent y accéder : utilisateurs habilités du client, équipes Key Predict soumises à une obligation de confidentialité et prestataires techniques encadrés par contrat. Les accès sont limités selon les rôles et font l’objet de mesures de sécurité et de traçabilité adaptées.

Puis-je récupérer mes données ?

Oui. Vous pouvez demander l’accès à vos données et, lorsque les conditions légales sont réunies, en obtenir une copie dans un format structuré, couramment utilisé et lisible par machine. Pour les évaluations organisées par une entreprise cliente, la demande doit en priorité être adressée à cette entreprise, qui est responsable du traitement. Key Predict l’assistera dans le traitement de la demande.

Puis-je faire corriger ou supprimer mes données ?

Vous pouvez demander la rectification de données inexactes et, dans les cas prévus par la loi, leur effacement ou la limitation de leur traitement. Une suppression peut être différée lorsque la conservation reste nécessaire pour respecter une obligation légale, établir ou défendre des droits en justice, ou exécuter les instructions légitimes du responsable du traitement.

1. Qui est responsable de vos données ?

Le responsable du traitement est KEY PREDICT SAS. Son identité juridique complète, son siège social, ses coordonnées et les informations relatives à l’éditeur du site sont disponibles dans les mentions légales.

Contact protection des données : legal@keypredict.com.

2. Comment se répartissent les responsabilités entre le client et Key Predict ?

Key Predict agit comme responsable du traitement lorsqu’il détermine lui-même les finalités et les moyens essentiels du traitement, notamment pour la gestion du site, les demandes de démonstration et de contact, la relation client, la facturation, l’administration des comptes, la sécurité de ses systèmes, ses communications et l’organisation de ses propres événements.

Le client agit généralement comme responsable du traitement pour les données des candidats, collaborateurs, bénéficiaires et évaluateurs qu’il invite sur la plateforme dans le cadre d’un recrutement, d’une mobilité, d’une orientation, d’un bilan, d’une évaluation ou d’un programme de développement. Il lui appartient notamment de définir la finalité, la base juridique, les destinataires, les critères utilisés et la durée de conservation, puis d’informer les personnes concernées.

Dans ce contexte, Key Predict agit comme sous-traitant : nous traitons les données selon les instructions documentées du client, nous appliquons les mesures de sécurité convenues, nous encadrons nos propres sous-traitants et nous assistons le client dans le respect de ses obligations RGPD.

Pour certaines opérations techniques nécessaires à la sécurité, à la prévention de la fraude, à la journalisation ou au respect d’obligations légales, Key Predict peut agir comme responsable du traitement distinct. Cette qualification est précisée dans les documents contractuels applicables.

3. Quelles catégories de données traitons-nous ?

Visiteurs du site : adresse IP, identifiants techniques, type d’appareil et de navigateur, pages consultées, date et heure de consultation, source de trafic, préférences de cookies et données de mesure d’audience.

Prospects, contacts et participants à nos événements : identité, coordonnées professionnelles, fonction, entreprise, pays, contenu des demandes, centres d’intérêt professionnels, inscriptions, participation aux webinaires, démonstrations ou formations, interactions avec nos communications.

Clients, partenaires et utilisateurs professionnels : identité et coordonnées professionnelles, rôle, organisation, données contractuelles et de facturation, historique des échanges, demandes de support, identifiants de compte, habilitations, journaux de connexion et d’activité.

Participants aux évaluations : identité, coordonnées, organisation ou campagne de rattachement, réponses aux questionnaires, résultats, scores, rapports, traits et dimensions évalués, compétences, motivations, aptitudes, données de matching, commentaires ou retours d’évaluateurs. Selon le service choisi par le client, peuvent aussi être traités un CV, un profil professionnel, une photo, des réponses vidéo ou audio et leur transcription.

Données issues des intégrations : lorsque le client active une intégration avec un ATS, un SIRH ou un autre outil, les catégories de données échangées sont celles prévues par la configuration et la documentation de l’intégration.

Les données psychométriques sont des données personnelles qui appellent une protection renforcée en raison de leur nature et de leur usage. Elles ne constituent pas automatiquement des catégories particulières de données au sens de l’article 9 du RGPD. 

Toutefois, des réponses libres ou certains contextes peuvent révéler indirectement des informations sensibles. Nous demandons aux utilisateurs de ne pas fournir de données de santé, d’origine ethnique, d’opinions politiques, de convictions religieuses, d’appartenance syndicale, de vie sexuelle, d’orientation sexuelle, de données génétiques ou biométriques, sauf si le traitement est expressément prévu, juridiquement fondé et encadré.

4. D’où proviennent les données ?

Les données peuvent être fournies directement par la personne concernée, transmises par le client qui l’invite sur la plateforme, importées depuis un ATS ou un SIRH à la demande du client, générées lors de l’utilisation du site ou de la plateforme, ou produites à partir des réponses fournies dans le cadre d’une évaluation.

Lorsqu’un client nous transmet des données qui n’ont pas été collectées directement auprès de la personne concernée, il lui appartient de s’assurer qu’il dispose d’une base juridique valable et qu’il respecte les obligations d’information prévues par le RGPD. Key Predict fournit les informations et moyens nécessaires pour l’y aider.

5. Comment traitons-nous les données et sur quelles bases juridiques ?

Fourniture du site et sécurité technique

Nous traitons les données techniques strictement nécessaires au fonctionnement du site, à la sécurité, à la prévention des abus et au diagnostic des incidents sur la base de notre intérêt légitime à fournir un service sûr et accessible. Les traceurs non essentiels sont déposés uniquement après recueil du consentement lorsque celui-ci est requis.

Demandes de contact, démonstrations et essais

Nous traitons les informations fournies pour répondre aux demandes et préparer une éventuelle relation contractuelle. La base juridique est l’exécution de mesures précontractuelles demandées par la personne ou, selon le contexte B2B, notre intérêt légitime à répondre à une sollicitation professionnelle.

Gestion des clients et des utilisateurs

Nous traitons les données nécessaires à la création et à l’administration des comptes, à la fourniture de la plateforme, au support, à la gestion contractuelle et à la facturation. Ces traitements reposent sur l’exécution du contrat, notre intérêt légitime à gérer la relation avec les interlocuteurs professionnels du client et, pour certaines pièces, le respect d’obligations légales.

Évaluations, campagnes et matching

Lorsque ces opérations sont organisées par un client, Key Predict traite les données en qualité de sous-traitant sur la base des instructions du client. Le client détermine la base juridique applicable à sa finalité : recrutement, mobilité, développement des compétences, orientation, audit d’équipe ou autre usage autorisé.

Newsletters et communications commerciales

Nous envoyons des newsletters sur la base du consentement. Dans les situations où la prospection B2B peut légalement reposer sur l’intérêt légitime, le message doit être en rapport avec l’activité professionnelle du destinataire et celui-ci peut s’opposer simplement et gratuitement à tout moment. Chaque communication commerciale comporte un moyen de désinscription.

Webinaires, événements et formations

Nous traitons les données nécessaires à l’inscription, à l’organisation, au suivi et, le cas échéant, à la facturation sur la base de mesures précontractuelles, de l’exécution du contrat ou de notre intérêt légitime. Les communications commerciales ultérieures suivent les règles décrites ci-dessus.

Amélioration des produits et statistiques

Nous pouvons produire des statistiques d’usage et améliorer nos services sur la base de notre intérêt légitime, sous réserve d’une mise en balance avec les droits des personnes, de mesures de minimisation et, lorsque cela est possible, d’agrégation ou d’anonymisation. Les données de participants traitées pour le compte d’un client ne sont pas réutilisées pour une finalité incompatible ou pour entraîner un système d’IA sans fondement juridique, information appropriée et cadre contractuel adapté.

Réseaux sociaux, publicité et communications

Lorsque vous interagissez avec les pages de Key Predict sur les réseaux sociaux, nous pouvons traiter votre profil public, les identifiants associés, vos coordonnées et le contenu de vos interactions afin de communiquer avec vous et de suivre les échanges relatifs à nos services. Ce traitement repose sur notre intérêt légitime à assurer notre présence professionnelle et à répondre aux sollicitations.

Sous réserve de votre consentement aux traceurs publicitaires, Meta/Facebook, Google, LinkedIn et X/Twitter peuvent traiter des identifiants de cookies, des coordonnées ou des données de navigation afin de diffuser et mesurer des campagnes. Aucun traceur soumis au consentement ne doit être déposé avant votre choix, que vous pouvez modifier au moyen du lien « Gérer mes cookies ».

Les chats, e-mails, conversations téléphoniques et messages privés peuvent être conservés afin de traiter les demandes, fournir le support et assurer le suivi de la relation, dans les limites des durées indiquées à la section 9.

Contentieux et obligations légales

Nous pouvons conserver ou communiquer certaines données lorsqu’elles sont nécessaires pour respecter une obligation légale, répondre à une autorité compétente ou établir, exercer ou défendre des droits en justice.

6. Psychométrie, profilage, matching et intelligence artificielle

Les évaluations Key Predict peuvent conduire à un profilage au sens du RGPD, puisqu’elles utilisent des données personnelles pour analyser ou prédire certains aspects liés à la vie professionnelle, tels que des aptitudes, préférences, motivations, compétences ou une adéquation à un contexte professionnel.

La logique générale est la suivante : les réponses aux évaluations sont transformées en résultats selon des méthodes de cotation documentées ; ces résultats peuvent ensuite être comparés à un référentiel de compétences ou à un modèle défini et pondéré par le client ; la plateforme restitue des indicateurs, écarts et points d’attention destinés à éclairer l’analyse humaine.

Talent Brain analyse le contenu transcrit de réponses d’entretien afin d’identifier des compétences reliées à des passages explicatifs. Il n’analyse pas l’image, la voix, les émotions ou des caractéristiques biométriques et ne participe pas au calcul du score de matching.

Key Predict ne prend pas de décision de recrutement, de mobilité ou de développement à la place du client. Le score ou la recommandation ne doit pas constituer le seul fondement d’une décision produisant des effets juridiques ou affectant significativement une personne. Le client reste tenu d’assurer une supervision humaine réelle, d’examiner les limites de l’outil, de permettre la contestation des résultats lorsque cela est requis et d’utiliser des critères pertinents au regard de la finalité poursuivie.

7. Qui reçoit les données ?

Dans la limite de leurs habilitations et de leur besoin d’en connaître, les données peuvent être accessibles aux équipes autorisées de Key Predict, aux utilisateurs autorisés du client, aux prestataires techniques intervenant pour l’hébergement, la maintenance, le support, l’envoi d’e-mails, la gestion CRM, les webinaires, la mesure d’audience ou la sécurité, aux partenaires d’intégration choisis par le client, ainsi qu’aux autorités ou conseils lorsque la loi l’exige.

Nos prestataires agissent sur instruction, sont soumis à des engagements contractuels de confidentialité et de protection des données et ne peuvent utiliser les données pour leurs propres finalités que lorsque la loi et leurs conditions applicables le prévoient clairement.

Une liste actualisée des sous-traitants est accessible via la plateforme client.

8. Les données sont-elles transférées hors de l’Espace économique européen ?

Certaines entités du groupe ou certains prestataires peuvent être situés hors de l’Espace économique européen ou y accéder depuis un pays tiers. Dans ce cas, Key Predict s’appuie sur un mécanisme reconnu par le RGPD : décision d’adéquation de la Commission européenne, clauses contractuelles types, règles d’entreprise contraignantes lorsqu’elles existent, ou autre garantie appropriée.

Lorsque les clauses contractuelles types sont utilisées, nous évaluons le contexte du transfert et mettons en place, si nécessaire, des mesures complémentaires. Une copie des garanties pertinentes peut être demandée, sous réserve des informations confidentielles qu’elles contiennent.

9. Combien de temps conservons-nous les données ?

Key Predict conserve les données personnelles uniquement pendant la durée nécessaire aux finalités décrites dans la présente politique. La durée applicable varie selon le statut de la personne, la nature de sa relation avec Key Predict et le traitement concerné.

Lorsque les données d’un participant, candidat, collaborateur ou invité sont traitées pour le compte d’un client, ce client, en sa qualité de responsable du traitement, définit la durée de conservation applicable. Key Predict applique ses instructions et les conditions contractuelles convenues.

Pour les clients, utilisateurs, prospects et visiteurs du site, les données sont conservées pendant la relation contractuelle ou commerciale, ou le temps nécessaire au traitement de la demande, puis, le cas échéant, pendant les délais légaux de conservation ou de prescription. Les données utilisées à des fins de prospection sont conservées au maximum trois ans à compter du dernier contact actif, sauf opposition antérieure. Les cookies et autres traceurs suivent les durées indiquées dans la section dédiée ci-dessous.

À l’issue de ces durées, les données sont supprimées, anonymisées ou archivées lorsque la loi, une obligation contractuelle ou la défense des droits de Key Predict le justifie.

Pour connaître la durée applicable à une donnée, à un statut ou à un service précis, vous pouvez écrire à legal@keypredict.com.

10. Comment protégeons-nous les données ?

Key Predict met en œuvre des mesures techniques et organisationnelles proportionnées aux risques, notamment la gestion des habilitations, l’authentification, la journalisation, la séparation des environnements, la protection des échanges, les sauvegardes, la gestion des vulnérabilités, les procédures de continuité, la sensibilisation des équipes et l’encadrement contractuel des prestataires.

Key Predict est certifiée ISO/IEC 27001:2022 pour le périmètre défini dans son certificat. Cette certification atteste l’existence d’un système de management de la sécurité de l’information audité ; elle ne constitue ni une certification RGPD ni une garantie d’absence d’incident.

11. Cookies et autres traceurs

Lors de votre première visite, un outil de gestion du consentement vous permet d’accepter ou de refuser les traceurs non essentiels avec un niveau de simplicité comparable. Aucun traceur publicitaire ou de mesure d’audience soumis au consentement ne doit être déposé avant votre choix. Vous pouvez modifier ou retirer votre consentement à tout moment au moyen du lien « Gérer mes cookies » disponible sur le site.

Les traceurs strictement nécessaires au fonctionnement, à la sécurité ou à la conservation de votre choix peuvent être exemptés de consentement. Une politique cookies distincte doit présenter la liste des traceurs, leur fournisseur, leur finalité, leur durée, leur base juridique et, le cas échéant, les transferts associés.

12. Quels sont vos droits ?

Selon la situation et la base juridique du traitement, vous pouvez exercer un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Vous pouvez retirer votre consentement à tout moment pour l’avenir. Vous pouvez également demander des informations sur un profilage ou une décision automatisée et, lorsque l’article 22 du RGPD s’applique, obtenir une intervention humaine, exprimer votre point de vue et contester la décision.

Pour les traitements dont Key Predict est responsable, vous pouvez écrire à legal@keypredict.com ou 

à KEY PREDICT SAS, Protection des données, 

21, square Saint-Charles, 75012 Paris, France.

Pour une évaluation organisée par un employeur, un recruteur, un organisme de formation ou un autre client, adressez votre demande en priorité à cet organisme. Key Predict l’assistera et, si vous nous contactez directement, transmettra la demande au responsable du traitement lorsque cela est nécessaire.

Nous pouvons demander des informations complémentaires pour vérifier votre identité uniquement en cas de doute raisonnable. Nous répondons en principe dans un délai d’un mois, qui peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse ; dans ce cas, vous en serez informé.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 

3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.

13. Que se passe-t-il en cas de violation de données ?

Key Predict dispose d’un processus de détection, d’analyse et de gestion des incidents. Lorsqu’une violation concerne des données traitées pour le compte d’un client, Key Predict l’en informe dans les meilleurs délais conformément au contrat et à l’article 33 du RGPD, et lui fournit les informations disponibles pour l’aider à évaluer le risque et, si nécessaire, notifier l’autorité de contrôle ou les personnes concernées.

Lorsque Key Predict agit comme responsable du traitement, elle procède elle-même aux notifications requises par la réglementation.

14. Mise à jour de la politique

Cette politique peut évoluer afin de refléter les changements de nos services, de nos pratiques ou de la réglementation. La date de mise à jour est indiquée en tête de page. En cas de modification substantielle, nous utiliserons un moyen approprié pour en informer les personnes concernées.