Politique de confidentialité

1. Responsable du traitement et Responsable de la protection des renseignements personnels (POI)

Le Service Aptalia est exploité à titre individuel au Québec, Canada. Au sens du Code civil du Québec (art. 1525), cette activité économique organisée constitue une « entreprise » à laquelle s'applique la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25), même en l'absence de constitution juridique distincte (entreprise individuelle inscrite ou société par actions).

Conformément à l'article 3.1 de la Loi 25, un Responsable de la protection des renseignements personnels (POI) a été désigné. Ses coordonnées sont :

• Courriel pour les demandes de vie privée : wtestai834@gmail.com
• Juridiction : Province de Québec, Canada

L'identité complète du POI est disponible sur demande écrite à l'adresse ci-dessus.

Important : Lorsqu'un Employeur invite des Candidats à passer une entrevue, c'est l'Employeur qui agit comme responsable des renseignements de ses Candidats. Aptalia agit alors comme agent de traitement (sous-traitant au sens du RGPD).

2. Renseignements collectés

2.1 Données des Employeurs

• Adresse courriel, mot de passe (haché) ;
• Nom de l'entreprise, adresse postale, numéro de téléphone ;
• Prénom et nom du contact (optionnels) ;
• Données de facturation (carte stockée chez Stripe, jamais sur nos serveurs) ;
• Journaux de connexion et d'actions sur la plateforme ;
• Logo et couleur d'accent (si plan Pro+).

2.2 Données des Candidats (collectées via l'Employeur)

• Nom et adresse courriel ;
• CV (PDF) si joint par le Candidat ;
• Vidéo de l'entrevue (incluant image et voix) ;
• Transcription textuelle de l'entrevue ;
• Analyses générées par l'IA : score d'adéquation (0–100), recommandation (recommandé / à considérer / non recommandé), synthèse, points forts, points de vigilance, score d'intégrité.

2.3 Données techniques

• Adresse IP, type de navigateur, système d'exploitation ;
• Témoins (« cookies ») strictement nécessaires à l'authentification ;
• Préférences de langue et de devise (stockées localement dans votre navigateur).

3. Finalités et bases juridiques

• Fourniture du Service (création de compte, conduite des entrevues, stockage des résultats) — base : exécution du contrat ;
• Facturation et paiement — base : exécution du contrat et obligations comptables et fiscales ;
• Amélioration du Service (statistiques d'usage agrégées et anonymisées) — base : intérêt légitime ;
• Sécurité et lutte contre la fraude — base : intérêt légitime ;
• Communications transactionnelles (factures, avis de renouvellement, notifications candidat/employeur) — base : exécution du contrat ;
• Support client par IA et humain (chat assistance) — base : exécution du contrat.

4. Décisions fondées sur le traitement automatisé (Loi 25, art. 12.1)

Information importante pour les Candidats : dans le cadre du Service, l'analyse de votre entrevue est produite par un système d'intelligence artificielle (modèle de langage tiers, voir section 7). Cette analyse comprend notamment un score d'adéquation, une recommandation, et des points forts/de vigilance.

Conformément à l'article 12.1 de la Loi 25, vous avez le droit :

• D'être informé qu'une décision vous concernant peut être fondée sur ce traitement automatisé ;
• D'obtenir les renseignements et les facteurs principaux ayant mené à cette décision (transcription, critères évalués, raisons du score) ;
• De présenter des observations à un employé ayant le pouvoir de réviser la décision (auprès de l'Employeur, ou auprès du POI via wtestai834@gmail.com).

L'analyse IA n'est PAS la décision d'embauche. Elle est fournie comme outil d'aide à la décision à l'Employeur, qui demeure seul juge de la suite du processus de recrutement. L'Employeur s'engage par les CGU à ne pas rendre une décision d'embauche fondée exclusivement sur le score IA.

5. Agents de traitement (sous-traitants) et destinataires

Pour fournir le Service, Aptalia recourt aux agents de traitement suivants, tous liés par des engagements contractuels de confidentialité et de sécurité :

• Supabase Inc. (États-Unis) — Hébergement de la base de données PostgreSQL, authentification, et stockage de fichiers (vidéos, logos).
• OpenAI, L.L.C. (États-Unis) — Génération des questions, analyse des transcriptions, agent IA de support. OpenAI s'engage par contrat à ne pas utiliser les données transmises via l'API pour entraîner ses modèles.
• ElevenLabs, Inc. (États-Unis) — Synthèse vocale de l'IA intervieweuse (audio uniquement, pas de stockage de la voix du Candidat chez ce prestataire).
• Stripe, Inc. (États-Unis / Irlande) — Traitement des paiements et stockage sécurisé des moyens de paiement (PCI-DSS niveau 1).
• Resend, Inc. (États-Unis) — Envoi des courriels transactionnels (invitations, notifications, escalations support).
• Vercel Inc. (États-Unis) — Hébergement de l'application web et distribution via réseau CDN mondial.

6. Communication hors-Québec (Loi 25, art. 17)

Plusieurs de nos agents de traitement sont situés hors du Québec. Avant chaque communication, nous avons procédé à une évaluation des facteurs relatifs à la vie privée conformément à l'article 17 de la Loi 25 et confirmé que les renseignements bénéficient d'une protection équivalente, via :

• Les clauses contractuelles types adoptées par chaque prestataire (DPA Supabase, OpenAI, Stripe, Vercel, ElevenLabs, Resend) ;
• Le chiffrement des données en transit (TLS 1.3) et au repos (AES-256) ;
• L'engagement contractuel des prestataires à respecter les droits d'accès, de rectification et d'effacement ;
• Pour les transferts vers les États-Unis : adhésion au Data Privacy Framework UE-US ou clauses contractuelles types équivalentes.

Le détail des évaluations est disponible sur demande écrite au POI à wtestai834@gmail.com.

7. Durée de conservation

• Compte Employeur actif : tant que l'abonnement est actif, plus 30 jours après résiliation, puis suppression irréversible.
• Vidéos d'entrevue Candidats : 6 mois à compter de la date de l'entrevue, puis suppression automatique du fichier vidéo. La transcription textuelle et l'analyse IA peuvent être conservées plus longtemps par l'Employeur sur son tableau de bord.
• Transcription et analyses Candidats : tant que l'Employeur les conserve sur son compte, dans la limite de la durée maximale légale applicable (au Québec, en général 2 ans après la décision d'embauche pour les profils non retenus).
• Données de facturation : 7 ans (obligation comptable et fiscale du Code civil du Québec et de la Loi de l'impôt sur le revenu).
• Journaux de connexion et de sécurité : 12 mois.
• Conversations du widget de support : 24 mois après le dernier message, puis suppression.

8. Vos droits

Conformément à la Loi 25 (Québec), à la LPRPDE (Canada) et au RGPD (Europe), vous disposez des droits suivants sur vos renseignements personnels :

• Droit d'accès et d'information (art. 27 Loi 25) ;
• Droit de rectification (art. 28 Loi 25) ;
• Droit à l'effacement (« droit à l'oubli » — art. 28.1 Loi 25), sous réserve d'obligations légales de conservation ;
• Droit à la portabilité (art. 27 Loi 25) — vos données vous sont remises dans un format technologique structuré couramment utilisé (JSON ou XLSX) ;
• Droit de retirer votre consentement à tout moment, sans que cela remette en cause la licéité du traitement passé ;
• Droit d'obtenir les renseignements relatifs à une décision automatisée (art. 12.1 Loi 25, voir section 4) ;
• Droit de désindexation (art. 28.1 Loi 25) si les renseignements contreviennent à la loi ou à une ordonnance judiciaire ;
• Droit d'introduire une réclamation auprès de la Commission d'accès à l'information du Québec ou de toute autre autorité compétente.

9. Comment exercer vos droits

Toute demande peut être adressée au POI par courriel à wtestai834@gmail.com, en précisant :

• Votre identité (nom, courriel utilisé sur Aptalia) ;
• Le droit que vous souhaitez exercer ;
• L'objet précis de votre demande.

Nous accusons réception de votre demande sous 72 heures ouvrables et y répondons dans un délai maximal de 30 jours (art. 32 Loi 25). Notre réponse est gratuite, sauf en cas de demandes manifestement abusives ou répétées (frais raisonnables alors facturés, plafonnés au coût réel de traitement).

10. Mécanisme de plainte interne

Si vous estimez que vos renseignements n'ont pas été traités conformément à la présente politique, vous pouvez formuler une plainte interne par courriel à wtestai834@gmail.com en mentionnant « Plainte vie privée » en objet. Le POI traitera la plainte sous 30 jours, en :

1. Accusant réception sous 72 heures ouvrables ;
2. Procédant à une enquête interne ;
3. Vous communiquant les conclusions et, le cas échéant, les mesures correctives mises en place ;
4. L'incident est consigné dans notre registre des incidents de confidentialité (voir section 12).

Si la réponse ne vous satisfait pas, vous pouvez saisir la Commission d'accès à l'information du Québec (voir section 16).

11. Témoins (cookies) et traceurs

Aptalia utilise uniquement des témoins strictement nécessaires au fonctionnement du Service :

• Témoin de session d'authentification Supabase (durée : 7 jours, renouvelé à chaque connexion) ;
• Préférence de langue (eia.siteLang) et de devise (eia.currency) — durée : 1 an, stockées en localStorage dans votre navigateur, jamais envoyées à nos serveurs.

Aucun témoin publicitaire ni de mesure d'audience tiers (Google Analytics, Facebook Pixel, etc.) n'est déployé sans votre consentement explicite.

12. Sécurité et registre des incidents de confidentialité

Conformément à l'article 3.7 de la Loi 25, Aptalia tient un registre des incidents de confidentialité. Tout incident, même mineur, y est consigné avec la date, la nature, la cause probable, les mesures prises et les notifications effectuées. Ce registre est tenu à la disposition de la Commission d'accès à l'information sur demande.

Mesures techniques et organisationnelles en place :

• Chiffrement TLS 1.3 en transit ;
• Chiffrement AES-256 au repos (base de données et stockage de fichiers) ;
• Isolation des données par Row Level Security PostgreSQL ;
• Mot de passe haché par un algorithme à coût adaptatif (bcrypt) ;
• Sauvegardes automatiques journalières chiffrées ;
• Audit régulier des dépendances logicielles ;
• Politique d'accès restreint : seul le POI a accès aux données en production.

En cas d'incident présentant un risque de préjudice sérieux (art. 3.5 Loi 25), nous vous notifierons et notifierons la Commission d'accès à l'information sans délai, conformément à la loi.

13. Politiques et pratiques de gouvernance (Loi 25, art. 3.2)

Aptalia s'est dotée de politiques internes de gouvernance encadrant :

• Les rôles et responsabilités du personnel tout au long du cycle de vie des renseignements ;
• Le processus de traitement des plaintes ;
• Les modalités d'information du public sur ses pratiques ;
• La conduite d'une évaluation des facteurs relatifs à la vie privée (ÉFVP) préalable à tout projet de système d'information impliquant des renseignements personnels (art. 3.3 Loi 25), notamment pour les fonctionnalités d'analyse automatisée des candidatures.

Un résumé de ces politiques peut être obtenu sur demande écrite au POI.

14. Données biométriques (vidéos d'entrevue)

Les vidéos d'entrevue contiennent l'image et la voix des Candidats. Aptalia n'effectue aucune reconnaissance faciale, aucune identification biométrique, ni aucune création de gabarit biométrique. Conformément à la Loi sur le cadre juridique des technologies de l'information (Québec) et à la Loi 25, le traitement de ces données est conditionné au consentement exprès et éclairé du Candidat, recueilli par l'Employeur avant l'envoi du lien d'entrevue.

15. Modifications de la politique

Toute modification substantielle de la présente politique sera notifiée par courriel à l'ensemble des Employeurs au moins 30 jours avant son entrée en vigueur. L'usage continu du Service après cette période vaut acceptation. Les versions antérieures sont conservées et disponibles sur demande.

16. Contact et autorités de contrôle

Pour toute question relative à la présente politique ou à vos renseignements personnels : wtestai834@gmail.com

En cas de litige, vous pouvez saisir l'autorité de contrôle compétente :

• Québec : Commission d'accès à l'information (CAI) — cai.gouv.qc.ca
• Canada (fédéral) : Commissariat à la protection de la vie privée du Canada — priv.gc.ca
• France : CNIL — cnil.fr