Politique de Confidentialité

1. Responsable du traitement et contact

Responsable du traitement :

• SKILLFORGE APP
• Coignières (78310)
• France

Contact pour les questions relatives aux données personnelles : Gregory Hissiger, Président & CEO Email : privacy@cobalt-ia.com

2. Données personnelles collectées

2.1 Données que vous nous fournissez directement

2.2 Données collectées automatiquement

2.3 Données obtenues via des tiers

Dans le cadre de nos fonctionnalités d'enrichissement de données, nous pouvons obtenir des informations professionnelles publiques (emails professionnels, numéros de téléphone) via nos partenaires FullEnrich et Clado. Ces données sont collectées à partir de sources publiquement accessibles.

2.4 Données obtenues via les APIs Google Workspace

Lorsque vous connectez votre compte Google à Cobalt, notre application peut accéder aux données suivantes via les APIs Google Workspace, uniquement avec votre consentement explicite via un flux OAuth :

Engagements spécifiques concernant les données Google

L'utilisation par Cobalt des données reçues via les APIs Google Workspace est conforme à la Google API Services User Data Policy, y compris les exigences de Limited Use (utilisation limitée). À ce titre, Cobalt s'engage à ce que les données Google : • Ne soient utilisées que pour fournir et améliorer les fonctionnalités visibles par l'utilisateur au sein de la plateforme Cobalt. • Ne soient jamais transférées à des tiers, sauf si cela est nécessaire pour fournir ou améliorer les fonctionnalités de l'application, pour se conformer à une obligation légale, ou dans le cadre d'une transaction d'entreprise (fusion, acquisition) avec le consentement explicite de l'utilisateur. • Ne soient jamais utilisées pour de la publicité ciblée, personnalisée ou basée sur les centres d'intérêt. • Ne soient jamais vendues à des courtiers en données (data brokers) ou à des revendeurs d'informations. • Ne soient jamais utilisées pour déterminer la solvabilité, à des fins de prêt, ni pour constituer des bases de données indépendantes. • Ne soient jamais utilisées pour entraîner, ré-entraîner ou améliorer des modèles d'intelligence artificielle ou de machine learning généralisés. Lorsque vous demandez une analyse assistée par IA, le contenu de vos emails est traité par notre prestataire de traitement IA uniquement pour générer le résultat que vous avez demandé (voir section 2.5). • Ne fassent l'objet d'un accès humain que dans les cas strictement nécessaires : sécurité, conformité légale, ou sur demande explicite de l'utilisateur pour le support technique.

2.5 Utilisation des données de l'API Google Gmail et conformité Limited Use

Notre application utilise l'API Gmail pour fournir aux utilisateurs des fonctionnalités de recherche et d'analyse d'emails. L'accès à Gmail n'est demandé qu'après que l'utilisateur a explicitement choisi de connecter son compte Gmail.

L'application applique le principe du moindre privilège et ne demande que les permissions nécessaires à la fourniture des fonctionnalités demandées.

3. Bases légales et finalités du traitement

4. Traitement des données pour le compte de nos clients (sous-traitance)

Lorsque vous utilisez Cobalt pour gérer des données de candidats ou de prospects, vous êtes le responsable du traitement de ces données et Cobalt agit en qualité de sous-traitant au sens de l'article 28 du RGPD.

À ce titre, nous nous engageons à :

• Traiter les données uniquement sur vos instructions documentées
• Garantir la confidentialité des données traitées
• Mettre en œuvre les mesures de sécurité appropriées
• Vous assister dans le respect de vos obligations RGPD
• Supprimer ou restituer les données à la fin du contrat
• Mettre à disposition les informations nécessaires pour démontrer le respect de nos obligations

Un accord de traitement des données (DPA) est disponible sur demande pour les clients qui le souhaitent. Contactez-nous à privacy@cobalt-ia.com.

5. Destinataires et sous-traitants

Nous partageons vos données uniquement avec les catégories de destinataires suivantes, dans le strict respect de nos obligations de confidentialité :

5.1 Nos sous-traitants techniques

5.2 Autres destinataires

• Autorités compétentes : en cas d'obligation légale
• Conseils professionnels : avocats, comptables (sous obligation de confidentialité)

Nous ne vendons jamais vos données personnelles à des tiers. Conformité Google API Services User Data Policy : L'utilisation par Cobalt des informations reçues via les APIs Google Workspace respecte la Google API Services User Data Policy, y compris les exigences de Limited Use. Les données obtenues via les APIs Google ne sont partagées avec aucun des sous-traitants listés ci-dessus à l'exception de ceux strictement nécessaires à la fourniture du Service : Scaleway pour l'hébergement sécurisé des données, et Microsoft Azure AI Foundry pour l'analyse d'emails assistée par IA lorsque vous en faites la demande (voir section 2.5).

6. Transferts de données hors Union Européenne

Nos données principales sont hébergées en France et dans l'Union Européenne (Scaleway, Vercel, Mistral AI, PostHog EU, Dash0 EU).

Certains de nos sous-traitants sont basés aux États-Unis. Pour ces transferts, nous nous appuyons sur :

• Le Data Privacy Framework (DPF) : Resend, Stripe, Anthropic, Google et Microsoft sont certifiés sous le EU-US Data Privacy Framework, reconnu par la Commission européenne comme offrant un niveau de protection adéquat
• Les Clauses Contractuelles Types (SCCs) : Pour FullEnrich, Clado et Anthropic, nous utilisons les clauses contractuelles types approuvées par la Commission européenne (Décision 2021/914)

Ces mécanismes garantissent que vos données bénéficient d'un niveau de protection équivalent à celui offert par le RGPD.

7. Durées de conservation

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

8. Cookies et technologies similaires

8.1 Types de cookies utilisés

8.2 Gestion de vos préférences

Vous pouvez à tout moment gérer vos préférences de cookies via le bandeau de consentement présent sur notre site ou dans les paramètres de votre navigateur.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Comment exercer vos droits

Réclamation auprès de l'autorité de contrôle

• Par email : privacy@cobalt-ia.com
• Dans l'application : Paramètres > Confidentialité > Exporter/Supprimer mes données

Nous répondrons à votre demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois en cas de demande complexe, auquel cas nous vous en informerons. Révocation de l'accès Google Vous pouvez à tout moment révoquer l'accès de Cobalt à vos données Google de deux manières : • Depuis Cobalt : Paramètres > Intégrations > Déconnecter votre compte Google • Depuis votre compte Google : Rendez-vous sur myaccount.google.com/permissions et supprimez l'accès accordé à Cobalt La révocation entraîne la cessation immédiate de toute interaction de Cobalt avec vos données Google. Les emails déjà envoyés via Gmail et les événements déjà créés dans Google Calendar ne sont pas supprimés, mais Cobalt ne pourra plus en envoyer ou en créer de nouveaux. Les tokens d'authentification OAuth sont supprimés de nos serveurs dès la déconnexion.

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la CNIL : Commission Nationale de l'Informatique et des Libertés (CNIL) 3 Place de Fontenoy, TSA 80715 75334 Paris Cedex 07 www.cnil.fr

10. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement : Données chiffrées en transit (TLS 1.3) et au repos
• Contrôle d'accès : Authentification forte, principe du moindre privilège
• Infrastructure sécurisée : Hébergement certifié ISO 27001 (Scaleway)
• Surveillance : Monitoring continu et détection d'anomalies
• Sauvegardes : Sauvegardes régulières avec tests de restauration
• Formation : Sensibilisation de notre équipe à la protection des données

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous vous en informerons dans les meilleurs délais conformément à nos obligations légales.

11. Utilisation de l'intelligence artificielle

Cobalt utilise des technologies d'intelligence artificielle (Mistral AI, Anthropic Claude, Google Gemini, Microsoft Azure AI Foundry) pour certaines fonctionnalités :

• Recherche et matching de candidats
• Génération de documents
• Transcription et analyse de réunions
• Recherche et analyse d'emails (voir section 2.5)

Important : - Aucune décision entièrement automatisée n'est prise sans intervention humaine - Les données traitées par l'IA ne sont pas utilisées pour entraîner des modèles tiers - Vous conservez le contrôle sur l'utilisation de ces fonctionnalités - Les données obtenues via les APIs Google Workspace ne sont jamais utilisées pour entraîner, ré-entraîner, améliorer ou alimenter un quelconque modèle de machine learning ou d'intelligence artificielle, qu'il soit généralisé ou personnalisé. Le contenu de vos emails Gmail n'est transmis à un modèle d'IA (Microsoft Azure AI Foundry) que lorsque vous demandez explicitement une analyse assistée par IA, et uniquement pour produire le résultat demandé (voir section 2.5).

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des évolutions légales, techniques ou organisationnelles.

En cas de modification substantielle :

• Nous vous en informerons par email ou via une notification dans l'application
• La nouvelle version sera publiée sur cette page avec sa date de mise à jour

Votre utilisation continue du Service après modification vaut acceptation de la politique mise à jour.

13. Contact

Pour toute question concernant cette politique de confidentialité ou le traitement de vos données :

• Email : privacy@cobalt-ia.com
• Adresse : SKILLFORGE APP, Coignières (78310), France

Nous nous efforçons de répondre à toutes les demandes dans un délai de 5 jours ouvrés.

Cette politique de confidentialité est rédigée en français. En cas de traduction, la version française prévaut.