Politique de Confidentialité – SKL

1. Qui est responsable du traitement de vos données ?

Le responsable du traitement au sens du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la Loi Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée est :

TBSO – SKL
Société en commandite par actions au capital de 121 014,24 €
RCS Paris 562 076 026
Siège social : 10, rue de la Bourse, 75002 Paris, France
Société cotée sur Euronext Paris

Sauf indication contraire dans la présente Politique, la Société détermine les finalités et les moyens des traitements de vos données réalisés via la Plateforme.

La Plateforme SKL s’appuie principalement sur une infrastructure propre hébergée en France (OVHcloud SAS, Roubaix), qui héberge notamment l’application, l’API, la base de données PostgreSQL et l’historique des conversations avec l’Assistant IA.

Le site public accessible à l’adresse skl.live est également hébergé par OVHcloud SAS en France.

La solution communautaire tierce Circle (CircleCo, Inc., États-Unis) intervient, à titre transitoire et pour un périmètre limité, pour l’intégration communautaire et certains services associés (événements, replays, gestion historique de certains comptes membres) ; elle est appelée à disparaître au plus tard fin 2026. Dans ce cadre, Circle intervient en qualité de sous-traitant de la Société pour l’hébergement et les fonctionnalités communautaires concernées, et en qualité de responsable de traitement pour certains traitements qui lui sont propres (gestion de ses services, logs, cookies ou analyses techniques), régis par sa propre politique de confidentialité et son Data Processing Addendum.

Pour les seuls traitements pour lesquels Circle intervient en qualité de responsable de traitement, vous êtes invité à prendre également connaissance de la politique de confidentialité de Circle accessible depuis l’interface Circle utilisée pour SKL.

2. À qui s’adresse cette politique ?

La présente Politique s’adresse à :

• Tout visiteur du site ou de l’interface donnant accès à SKL (le « Site »),

• Tout Utilisateur / Membre tel que défini dans les CGUV (Accès Gratuit, Offres Business ou Elite), y compris les « Spécialistes » disposant d’un Compte sur la Plateforme.

La Plateforme est réservée aux personnes majeures (18 ans révolus). Nous ne collectons pas sciemment de données concernant des mineurs.

3. Quelles données personnelles collectons-nous ?

Nous traitons uniquement des données personnelles adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités décrites ci-après.

3.1. Données que vous nous communiquez directement

Lors de l’inscription, de l’utilisation de la Plateforme ou de nos Services, vous êtes amené à nous transmettre notamment :

• Données d’identification

  • Nom, prénom, éventuellement pseudonyme,

  • Profession, fonction, société, secteur d’activité,

  • Le cas échéant, date de naissance (pour vérification de la majorité).

• Données de contact

  • Adresse email,

  • Adresse postale professionnelle ou de facturation,

  • Numéro de téléphone (optionnel ou dans le cadre d’événements).

• Données de compte & de profil

  • Identifiant de connexion, mot de passe (conservé sous une forme sécurisée),

  • Photo de profil, biographie courte, description du projet entrepreneurial, liens vers vos sites ou réseaux (si vous choisissez de les renseigner),

  • Centres d’intérêt, thématiques suivies, préférences de communication.

• Données relatives aux interactions avec la communauté

  • Messages postés sur les forums et espaces d’entraide,

  • Contenus partagés (textes, documents, présentations, liens, etc.),

  • Participation aux lives (questions posées, interventions en chat ou lors des sessions),

  • Inscription à des événements (en ligne ou présentiel), réponses à des sondages.

• Données contractuelles et de facturation (offres Business / Elite)

  • Offre souscrite, date de souscription et d’échéance,

  • Historique de facturation et de paiements,

  • Coordonnées de facturation, n° de TVA intracommunautaire le cas échéant,

  • Données limitées de paiement (type de carte, 4 derniers chiffres, date d’expiration) via notre prestataire de paiement – nous n’avons jamais accès au numéro complet de carte bancaire.

• Données échangées avec le support

  • Contenu de vos demandes adressées au service client (email, formulaire de contact, support in-app),

  • Informations fournies pour le traitement de votre demande (captures d’écran, éléments de contexte, etc.).

• Données de marketing / communication

  • Choix d’inscription ou de désinscription à certaines communications (newsletters, notifications relatives aux événements, etc.),

  • Historique d’ouverture de certains emails (de manière agrégée).

Lorsque vous nous communiquez des données personnelles concernant des tiers (ex. vous mentionnez un partenaire dans un formulaire ou publiez ses coordonnées dans un message), vous devez vous assurer d’avoir leur autorisation et les informer de l’existence de la présente Politique.

Données liées à l’utilisation de l’Assistant IA SKL (« Kate »)

• Requêtes, questions, messages et pièces jointes que vous adressez à l’Assistant IA, dans l’application SKL comme via WhatsApp.

• Historique de vos conversations avec l’Assistant IA.

• Contexte d’entreprise que vous fournissez ou construisez au fil des échanges (activité, chiffres, objectifs, décisions, difficultés, priorités).

• Résultats du diagnostic conversationnel de votre activité (notation sur sept domaines, score global, analyse écrite, forces et axes de progression).

• Recommandations personnalisées qui vous sont adressées (lives, replays, membres, experts, actions suggérées).

Données issues des connecteurs tiers activés par vous (facultatifs)

Si vous activez le connecteur Google Workspace, nous accédons, uniquement dans la mesure nécessaire à l’exécution des demandes que vous formulez explicitement dans SKL, aux données suivantes :

• Gmail : contenu des messages et pièces jointes correspondant à votre demande explicite ; envoi de messages uniquement après confirmation de votre part.

• Google Calendar : agendas, événements et disponibilités accessibles à votre compte ; création ou modification d’événements uniquement après confirmation.

• Google Drive : liste des dossiers et fichiers accessibles à votre compte ; lecture d’un fichier uniquement lorsque vous choisissez de l’importer, sans synchronisation automatique.

Les autorisations OAuth associées sont conservées sous forme chiffrée jusqu’à la déconnexion du connecteur ou la suppression de votre compte.

3.2. Données collectées automatiquement

Lors de votre navigation sur la Plateforme, nous pouvons collecter automatiquement, via nos propres outils et, à titre résiduel, via Circle pour les fonctionnalités communautaires concernées :

• Données de connexion et de navigation

  • Adresse IP, date et heure de connexion,

  • Pages consultées, fonctionnalités utilisées,

  • Identifiants techniques (logs serveurs, identifiant de session).

• Données relatives à votre terminal

  • Type de terminal (ordinateur, smartphone, tablette),

  • Système d’exploitation, type et version de navigateur, langue,

  • Informations techniques nécessaires à l’affichage et à la sécurité.

• Cookies et technologies similaires

  • Cookies strictement nécessaires au fonctionnement de la Plateforme (authentification, maintien de la session, sécurité),

  • cookie interne mémorisant vos choix de consentement pendant six (6) mois au maximum,

  • cookies ou traceurs optionnels de mesure d’audience ou de marketing uniquement si un fournisseur est activé et après votre consentement préalable.

Les modalités détaillées d’utilisation des cookies et autres traceurs sont décrites à la section 9 « Cookies et traceurs » de la présente Politique.

3.3. Données provenant de tiers

Nous pouvons également être amenés à recevoir des données vous concernant :

• de la part de Circle, pour le périmètre résiduel des fonctionnalités communautaires (logs techniques, statut de compte, etc.) ;

• de la part de prestataires de paiement (confirmation de paiement, échec ou succès d’une transaction) ;

• de la part de Spécialistes ou partenaires, lorsque vous participez à un événement qu’ils co-organisent ou pour lequel ils ont besoin de votre identité pour la logistique (liste de participants, etc.) ;

• de la part de réseaux sociaux ou outils tiers si vous vous connectez ou interagissez via un connecteur (sous réserve des paramètres que vous avez définis dans ces services).

4. Sur quelles bases légales et pour quelles finalités traitons-nous vos données ?

Nous ne traitons vos données personnelles que lorsque nous disposons d’un fondement juridique valable. Les principales finalités et bases légales sont les suivantes :

4.1. Gestion de la Plateforme, des Comptes et des Abonnements

• Finalités

  • Création et gestion de votre Compte Membre,

  • Fourniture des Services (accès aux espaces Launch / Business / Elite, forums, lives, replays, perks…),

  • Gestion des Abonnements payants (souscription, facturation, suivi des paiements, renouvellement / non-renouvellement),

  • Gestion des demandes d’accès aux offres Business / Elite (système d’invitation / validation),

  • Organisation et suivi des événements (listes de participants, envoi de liens de connexion ou d’informations pratiques).

• Bases légales

  • Exécution du contrat (CGUV, Abonnement) lorsque vous êtes Membre,

  • Intérêt légitime de la Société à exploiter et améliorer la Plateforme et ses Services.

4.2. Animation de la communauté et sécurité de la Plateforme

• Finalités

  • Animation des forums, groupes et espaces d’entraide,

  • Modération des contenus et gestion des signalements (respect des règles de bonne conduite, lutte contre les contenus illicites ou contraires aux CGUV),

  • Prévention et détection des activités frauduleuses ou abusives (usurpation d’identité, spam, tentatives d’intrusion),

  • Sécurisation de la Plateforme (logs techniques, détection d’anomalies, tests) et amélioration continue des fonctionnalités.

• Base légale

  • Intérêt légitime de la Société à proposer un environnement sécurisé et de qualité, et à protéger la communauté, ses droits et ceux de ses membres.

4.3. Communication & prospection

• Finalités

  • Répondre à vos demandes adressées via le formulaire de contact, email ou messagerie,

  • Vous envoyer des informations relatives au fonctionnement de la Plateforme et de votre Abonnement (notifications de service, informations importantes, modifications contractuelles),

  • Vous adresser, le cas échéant, des communications relatives à SKL (contenus, événements, actualités, offres) susceptibles de vous intéresser (newsletters, invitations, etc.).

• Bases légales

  • Exécution du contrat pour les communications strictement nécessaires à la fourniture du Service,

  • Intérêt légitime de la Société à développer son activité et à informer ses Membres, ou consentement lorsque la loi l’exige (notamment pour certains emails marketing adressés à des non-clients).

Vous pouvez à tout moment vous opposer aux communications commerciales ou retirer votre consentement, notamment via le lien de désinscription présent dans nos emails.

4.4. Mesure d’audience et amélioration des Services

• Finalités

  • Analyse de la fréquentation de la Plateforme (statistiques, parcours de navigation),

  • Compréhension de l’usage des fonctionnalités (fréquence des connexions, participation aux forums, visionnage de replays, etc.),

  • Amélioration de l’ergonomie, des contenus et de l’offre SKL.

• Bases légales

  • Consentement pour les cookies / traceurs non strictement nécessaires (analytics, etc.), dans les conditions décrites à la section 9 « Cookies et traceurs » de la présente Politique.

  • Intérêt légitime pour certains traitements de statistiques internes nécessaires au bon fonctionnement du service, lorsque ceux-ci sont mis en œuvre sous forme agrégée ou avec un impact très limité sur votre vie privée.

4.5. Assistant IA SKL (« Kate »)

Finalités

• Fournir l’Assistant IA SKL (dénommé commercialement « Kate ») dans l’application SKL et via WhatsApp : réponses aux questions, mémorisation de votre contexte d’entreprise d’une conversation à l’autre, diagnostic notant votre activité sur sept domaines, suggestion de lives, de replays, de membres ou d’experts pertinents pour votre situation.

• Faire fonctionner, à votre demande, les agents et automatisations associés (par exemple : exploitation d’un fichier que vous importez, préparation d’un brouillon d’email, structuration d’une réponse à envoyer).

Certaines fonctionnalités de diagnostic et de personnalisation de l’Assistant IA sont susceptibles de constituer un profilage au sens de l’article 4, § 4 du RGPD, en ce qu’elles analysent certains aspects personnels de l’utilisateur (préférences, activité professionnelle, difficultés rencontrées) afin d’adapter le service. Elles n’aboutissent à aucune décision automatisée produisant des effets juridiques ou vous affectant significativement au sens de l’article 22 du RGPD : l’Assistant IA formule des recommandations et propositions, mais toute décision reste vôtre. Lorsqu’un tel profilage repose sur l’intérêt légitime de la Société, vous disposez d’un droit d’opposition dans les conditions décrites à la section 10.

Bases légales

• Exécution du contrat (CGUV) lorsque l’Assistant IA est fourni comme composante des Services souscrits.

• Intérêt légitime de la Société à améliorer la pertinence des recommandations, à sécuriser le service et à détecter les usages abusifs.

Fournisseurs et confidentialité

Le contenu de vos échanges avec l’Assistant IA est traité, pour la génération des réponses, par des fournisseurs de modèles de langage agissant en qualité de sous-traitants de la Société (voir section 5). Ces fournisseurs n’utilisent pas vos requêtes pour entraîner leurs modèles. En tout état de cause, TBSO n’autorise pas l’utilisation des données transmises via les API pour entraîner ou améliorer les modèles généraux des fournisseurs.

Vous êtes informé, conformément à l’article 50 du règlement (UE) 2024/1689 (« AI Act »), que vous interagissez avec un système d’intelligence artificielle. Les contenus produits par l’Assistant IA constituent des suggestions ; ils peuvent comporter des inexactitudes et doivent être vérifiés avant toute utilisation ou mise en œuvre par vos soins.

4.6. Respect de nos obligations légales et défense de nos droits

• Finalités

  • Tenue de la comptabilité, obligations fiscales et sociales,

  • Gestion des demandes d’exercice de droits (RGPD),

  • Gestion des contentieux éventuels (mise en demeure, précontentieux, contentieux),

  • Réponse aux demandes des autorités ou de la justice.

• Base légale

  • Obligation légale,

  • Et, le cas échéant, intérêt légitime de la Société à assurer sa défense en justice ou à faire valoir ses droits.

4.7. Connecteur Google Workspace

Le connecteur Google Workspace est une fonctionnalité facultative. Pendant sa vérification par Google, il est uniquement accessible à des comptes internes et aux comptes fournis aux équipes de vérification. Il sera ouvert aux autres utilisateurs après obtention des validations requises.

SKL n’accède à aucune donnée Gmail, Google Calendar ou Google Drive tant que vous n’avez pas choisi de connecter votre compte Google et accordé les autorisations correspondantes.

Lorsque vous activez le connecteur :

• Gmail : SKL peut rechercher et lire les messages et pièces jointes nécessaires à une demande explicite de votre part. SKL peut préparer et envoyer un message uniquement après votre confirmation.

• Google Calendar : SKL peut consulter les agendas, événements et disponibilités accessibles à votre compte. La création ou la modification d’un événement intervient uniquement après votre confirmation.

• Google Drive : SKL peut afficher les dossiers et fichiers accessibles à votre compte et lire le contenu d’un fichier que vous choisissez explicitement d’importer. SKL n’effectue aucune synchronisation automatique de Google Drive.

Ces données sont utilisées uniquement pour fournir les fonctionnalités que vous demandez dans SKL. Elles ne sont ni vendues, ni utilisées pour la publicité, le profilage publicitaire, l’évaluation de solvabilité ou la surveillance. En dehors du résultat produit à votre demande, SKL ne constitue ni n’utilise de jeux de données agrégés ou anonymisés à partir des données reçues des API Google.

Les autorisations OAuth sont conservées sous forme chiffrée jusqu’à la déconnexion du connecteur ou la suppression de votre Compte. Les contenus consultés temporairement ne sont pas enregistrés par le connecteur après l’exécution de votre demande. Lorsque vous demandez explicitement l’importation d’un contenu ou que le résultat est ajouté à votre conversation, il est conservé dans votre Compte jusqu’à ce que vous le supprimiez ou que votre Compte soit supprimé.

Lorsque la fonctionnalité que vous demandez fait intervenir l’Assistant IA, seuls les extraits de données Google strictement nécessaires peuvent être transmis à l’un des fournisseurs d’inférence Anthropic, OpenAI ou TensorX présentés à la section 5, afin de produire le résultat demandé. Aucune donnée Google agrégée ou anonymisée ne leur est transmise. Ces fournisseurs ne peuvent ni utiliser ces données pour entraîner ou améliorer un modèle général, ni les exploiter pour leurs propres finalités. Les données Google ne sont partagées avec aucun autre fournisseur d’intelligence artificielle ni aucun tiers pour ses propres finalités, sauf obligation légale.

Aucun membre du personnel ou prestataire de SKL n’accède au contenu de vos données Google, sauf avec votre accord explicite pour traiter une demande d’assistance déterminée, lorsque cet accès est strictement nécessaire à la sécurité du service ou à la prévention des abus, ou pour respecter une obligation légale. Toute personne autorisée est soumise à une obligation de confidentialité.

L’utilisation par SKL des informations reçues des API Google respecte la Google API Services User Data Policy, notamment les exigences de Limited Use.

Vous pouvez déconnecter Google depuis SKL et révoquer l’autorisation depuis les paramètres de sécurité de votre compte Google. La déconnexion empêche tout nouvel accès aux données Google. Les données précédemment importées peuvent être supprimées séparément depuis SKL ou lors de la suppression de votre Compte.

5. Avec qui partageons-nous vos données ?

Nous partageons vos données uniquement avec des destinataires dûment habilités, dans la limite de ce qui est nécessaire à chacune des finalités mentionnées ci-dessus.

Les principales catégories de destinataires sont les suivantes :

Au sein de la Société

• Personnel habilité de la Société (équipes SKL et TBSO) en charge de la gestion de la Plateforme, du support, de la facturation, du marketing ou du juridique, dans la limite de leurs fonctions.

Prestataires techniques et sous-traitants

Nous faisons appel à différents prestataires techniques pour assurer le fonctionnement, l’hébergement, la sécurité, la maintenance et l’exploitation de la Plateforme et de ses services, notamment :

• OVHcloud SAS (France), pour l’hébergement principal du Site, de la Plateforme, de l’API, de la base de données PostgreSQL et de l’historique de vos conversations avec l’Assistant IA (données stockées dans l’Union européenne) ;

• GANDI SAS (France), pour la gestion du nom de domaine et les services de messagerie associés ;

• Functional Software, Inc. (Sentry) (États-Unis, avec région d’hébergement sélectionnée en Allemagne), pour détecter et diagnostiquer les erreurs techniques du Site. La configuration du Site désactive l’envoi par défaut de données personnelles, les journaux applicatifs, l’historique de navigation et la mesure de performance ;

• CircleCo, Inc. (États-Unis), pour l’intégration communautaire résiduelle et la fourniture historique de certains services communautaires (événements, replays, gestion de certains comptes membres), dans le cadre d’une transition planifiée vers une infrastructure interne ;

• Anthropic Ireland Limited (Irlande, avec traitement technique aux États-Unis), en qualité de fournisseur de modèle de langage pour l’Assistant IA SKL. Les requêtes soumises ne sont pas utilisées pour entraîner ses modèles ;

• OpenAI Ireland Ltd (Irlande, avec traitement technique aux États-Unis), en qualité de fournisseur de modèle de langage pour l’Assistant IA SKL et certains traitements internes de la Plateforme. Les requêtes soumises ne sont pas utilisées pour entraîner ses modèles ;

• TensorX Ltd (Irlande), en qualité de fournisseur européen d’inférence de modèles d’intelligence artificielle. Les prompts et réponses sont traités de manière éphémère sur une infrastructure GPU située dans l’Union européenne, à Dublin (Irlande) et Helsinki (Finlande), sans être stockés, journalisés ou conservés (« Zero Data Retention »). TensorX n’utilise pas ces données d’inférence pour entraîner, affiner ou améliorer des modèles ; son accord de traitement des données (DPA) est intégré à ses conditions de service ;

• Voyage AI Innovations, Inc. (groupe MongoDB, États-Unis), pour la recherche documentaire dans notre corpus interne (embeddings et reclassement). Les requêtes de recherche et les extraits techniques nécessaires à ce traitement lui sont transmis ;

• HubSpot Ireland Limited (Irlande), pour afficher le module de prise de rendez-vous lorsque vous ouvrez la page « Appel de candidature » et traiter la réservation que vous demandez ;

• Framer B.V. (Pays-Bas), dont le réseau de diffusion de contenu héberge certains portraits affichés sur les pages publiques du Site ;

• Meta Platforms Ireland Limited (Irlande), pour l’acheminement des échanges lorsque vous utilisez l’Assistant IA via WhatsApp. Meta intervient alors dans le cadre de la fourniture du service de messagerie ; les échanges sont chiffrés de bout en bout selon les conditions applicables à WhatsApp ;

• Google Ireland Limited (Irlande) et Google LLC (États-Unis), pour la mise à disposition du connecteur Google Workspace lorsque vous choisissez de l’activer (voir sections 3 et 4.7). SKL utilise les données Google reçues conformément à la Google API Services User Data Policy, y compris les exigences de Limited Use ;

• des prestataires d’hébergement complémentaire, de sécurité informatique, de paiement en ligne, d’emailing, de CRM, de gestion d’événements, de support et de maintenance, dans la limite de leur mission ;

• des prestataires tiers d’outils de collecte de formulaires (candidatures, contact), dont la liste peut évoluer, sous réserve du respect des garanties appropriées.

Lorsqu’ils traitent des données personnelles pour notre compte et sur nos instructions, ces prestataires agissent en qualité de sous-traitants et sont soumis à des obligations contractuelles de confidentialité, de sécurité et de conformité à la réglementation applicable en matière de protection des données.

Spécialistes et partenaires

• Certains Spécialistes peuvent recevoir vos données d’identification et de contact dans le cadre d’événements, programmes ou contenus spécifiques auxquels vous vous inscrivez. Ils agissent alors en qualité de responsables de traitement distincts pour leurs propres finalités (gestion de leur liste de participants, suivi de leur coaching, etc.). Leurs propres politiques de confidentialité s’appliquent à leurs traitements.

Conseils et auxiliaires de justice

• Avocats, experts-comptables, commissaires aux comptes, commissaires de justice, etc., lorsque cela est nécessaire à la défense ou à la préservation de nos droits.

Autorités administratives ou judiciaires

• Lorsque la loi l’exige ou lorsque nous estimons de bonne foi que la communication de ces données est nécessaire pour répondre à une procédure, nous conformer à une obligation légale ou protéger nos droits, ceux de nos Membres ou ceux de tiers.

Entités impliquées dans une cession ou une restructuration

• En cas de projet de fusion, d’acquisition, de cession d’actifs, de réorganisation ou de procédure collective, vos données pourront être transmises aux entités et conseils impliqués dans l’opération, dans la limite de ce qui est nécessaire et sous réserve de garanties appropriées.

Nous ne vendons pas vos données personnelles.

6. Vos données sont-elles transférées hors de l’union européenne ?

Dans le cadre de l’utilisation de la Plateforme et de certains prestataires, vos données peuvent être transférées vers des pays situés en dehors de l’Espace économique européen, notamment les États-Unis (notamment pour le fonctionnement de l’Assistant IA, l’utilisation du canal WhatsApp, le connecteur Google Workspace si vous l’activez, le diagnostic technique Sentry ainsi que pour certains outils de paiement ou d’emailing et, à titre transitoire, l’intégration communautaire Circle).

Lorsque ces pays ne bénéficient pas d’une décision d’adéquation de la Commission européenne, nous mettons en place des garanties appropriées, telles que :

• la signature des Clauses Contractuelles Types adoptées par la Commission européenne,

• et/ou toute autre garantie reconnue par la réglementation applicable.

Vous pouvez obtenir davantage d’informations sur ces garanties (hors éléments confidentiels) en nous contactant à l’adresse indiquée à l’article 10 ci-après.

Précisions relatives aux transferts liés à l’Assistant IA et aux services associés

Les transferts de données vers les États-Unis nécessaires au fonctionnement de l’Assistant IA SKL (Anthropic, OpenAI), de la recherche documentaire (Voyage AI / MongoDB), du canal WhatsApp (Meta) et du connecteur Google Workspace (Google) sont encadrés par les Clauses Contractuelles Types de la Commission européenne, intégrées aux accords de traitement des données conclus avec chacun de ces prestataires. Ces accords précisent notamment que les données transmises ne sont pas utilisées pour l’entraînement de modèles.

Lorsque l’inférence est confiée à TensorX, les données d’inférence sont, selon les engagements contractuels de ce fournisseur, traitées exclusivement au sein de l’Union européenne, sur ses infrastructures de Dublin et Helsinki, et ne quittent pas la juridiction de l’Union européenne.

Les événements d’erreur technique transmis à Sentry sont reçus dans sa région d’hébergement en Allemagne. Sentry étant fourni par une société américaine et pouvant faire intervenir des sociétés de son groupe ou des sous-traitants, les transferts éventuels sont encadrés par son Data Processing Addendum, le cadre de protection des données UE–États-Unis et, lorsque nécessaire, les Clauses Contractuelles Types.

7. Pendant combien de temps conservons-nous vos données ?

Nous conservons vos données personnelles uniquement pendant la durée nécessaire aux finalités poursuivies, augmentée, le cas échéant, des durées de prescription légale. À titre indicatif :

• Données de compte et de profil

  • Conservées pendant toute la durée d’activation du Compte.

  • En cas d’inactivité prolongée (par exemple 2 ans sans connexion), la Société pourra clôturer le Compte et supprimer ou anonymiser les données, après information préalable si nécessaire.

• Données relatives aux Abonnements et à la facturation

  • Conservées pendant la durée du contrat, puis archivées pendant une durée pouvant aller jusqu’à 10 ans à compter de la clôture de l’exercice, pour répondre à nos obligations comptables et fiscales.

• Données relatives aux échanges avec le support / demandes de contact

  • Conservées le temps de traiter la demande, puis archivées pendant une durée maximale de 3 ans à compter du dernier contact émanant de votre part.

• Données utilisées à des fins de prospection

  • Conservées pendant 3 ans à compter de votre dernier contact avec la Société (connexion au compte, clic dans un email, participation à un événement), sauf opposition de votre part.

• Données de navigation et logs

  • Logs techniques de connexion conservés, en principe, jusqu’à 12 mois à des fins de sécurité, diagnostic et preuve en cas de litige.

Données liées à l’Assistant IA SKL

• Historique de vos conversations avec l’Assistant IA : conservé au sein de votre Compte, avec possibilité de suppression individuelle à tout moment par vos soins. À défaut, il est conservé pendant toute la durée d’activation de votre Compte.

• Côté fournisseurs de modèles de langage : les entrées et sorties transmises à Anthropic sont conservées pendant 30 jours. Pour OpenAI, les prompts et réponses peuvent figurer dans les journaux de surveillance des abus pendant une durée maximale de 30 jours ; un cache technique chiffré peut également subsister jusqu’à 24 heures. Ces données ne sont pas utilisées pour entraîner les modèles dans le cadre de la configuration retenue par TBSO.

• Pour TensorX, les prompts et réponses sont traités uniquement en mémoire éphémère et ne sont ni stockés, ni journalisés, ni conservés (« Zero Data Retention »). TensorX peut conserver des métadonnées opérationnelles ne comprenant pas le contenu des prompts ou des réponses, telles que le nombre de jetons, le modèle utilisé, l’horodatage et le coût associé.

• Pour Voyage AI, l’opt-out relatif à l’entraînement est activé et les données traitées pour la recherche documentaire sont supprimées immédiatement après traitement selon le régime de conservation applicable au compte TBSO (« zero-day data retention »).

Données liées aux connecteurs tiers (Google Workspace)

• Autorisations OAuth : conservées sous forme chiffrée jusqu’à la déconnexion du connecteur par vos soins ou la suppression de votre Compte.

• Contenus consultés temporairement au travers du connecteur : non enregistrés par le connecteur après l’exécution de votre demande.

• Contenus explicitement importés et résultats ajoutés à une conversation : conservés dans votre Compte jusqu’à leur suppression par vos soins ou jusqu’à la suppression de votre Compte.

Au-delà de ces durées, les données sont soit supprimées, soit anonymisées de manière irréversible, et peuvent alors être conservées à des fins purement statistiques. Les données reçues des API Google ne sont pas conservées à des fins statistiques et sont supprimées.

8. Comment protégeons-nous vos données ?

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, notamment :

• hébergement sécurisé et recours à des prestataires présentant des garanties suffisantes de sécurité,

• chiffrement des mots de passe,

• gestion des habilitations et limitation des accès aux seules personnes ayant besoin de traiter vos données,

• sauvegardes régulières et procédures internes de gestion des incidents de sécurité,

• recours à des connexions chiffrées (protocole HTTPS / TLS) sur la Plateforme,

• politiques internes de confidentialité à destination de notre personnel.

Pour les données Google en particulier, les échanges avec Google et les éventuels fournisseurs d’inférence utilisent des connexions chiffrées HTTPS / TLS, les autorisations OAuth sont chiffrées au repos et les accès sont rattachés à votre seul Compte SKL. Les habilitations techniques sont limitées aux services nécessaires à l’exécution de votre demande.

En dépit de ces mesures, aucun système n’est totalement infaillible. En cas de violation de données personnelles susceptible d’engendrer un risque pour vos droits et libertés, nous procéderons aux notifications requises auprès de l’autorité de contrôle compétente et, le cas échéant, auprès des personnes concernées.

9. Cookies et traceurs

9.1. Qu’est-ce qu’un cookie ?

Lors de votre navigation sur la Plateforme et le site associé de SKL (le « Site »), des cookies et autres traceurs peuvent être déposés ou lus sur votre terminal (ordinateur, tablette, smartphone).

Un cookie est un petit fichier texte enregistré sur le disque dur de votre terminal lorsque vous consultez un site internet ou une application. Il permet à son émetteur de reconnaître le terminal pendant la durée de validité du cookie et de conserver certaines informations (par exemple vos préférences de langue, vos choix de consentement, vos identifiants de session).

Dans la présente Politique, le terme « cookies » désigne également d’autres technologies similaires (pixels, traceurs, stockage local, etc.).

9.2. Qui dépose les cookies sur la Plateforme ?

La Société dépose les cookies internes strictement nécessaires au fonctionnement du Site et de la Plateforme. Circle peut déposer ses propres cookies techniques et de sécurité lorsque vous utilisez encore les espaces communautaires concernés. Tout futur fournisseur optionnel de mesure d’audience ou de marketing devra être déclaré dans le module interne de gestion des consentements et ne sera chargé qu’après votre accord.

La liste des principaux services concernés est présentée au paragraphe 9.8 ci-dessous. Les simples liens vers Instagram, LinkedIn, X, Tally, Fillout ou d’autres sites externes ne déposent pas de cookies tiers sur le Site avant que vous ne les ouvriez.

9.3. Quels types de cookies et traceurs utilisons-nous ?

(a) Cookies et traitements techniques strictement nécessaires

• cookies de session, d’authentification et de sécurité nécessaires au service demandé ;

• cookie interne skl_cookie_consent, qui mémorise votre choix de consentement et sa version ;

• diagnostic technique Sentry déclenché en cas d’erreur. Sentry n’est pas utilisé pour mesurer l’audience ou la performance, ne dépose pas de cookie publicitaire dans cette configuration et reçoit des événements dont les données personnelles, journaux applicatifs et historique de navigation sont supprimés par la configuration du Site.

Ces traitements sont mis en œuvre pour fournir, sécuriser et maintenir le service demandé. Ils ne peuvent pas être désactivés dans le module de consentement.

(b) Mesure d’audience

À la date de mise à jour de la présente Politique, aucun fournisseur de mesure d’audience soumis au consentement n’est actif sur le Site public. Si un tel fournisseur est ajouté, il sera bloqué par défaut et ne sera chargé qu’après votre consentement.

(c) Marketing et réseaux sociaux

À la date de mise à jour de la présente Politique, aucun Meta Pixel ni autre traceur publicitaire ou marketing n’est actif sur le Site public. Les icônes Instagram, LinkedIn et X sont de simples liens et ne chargent pas les services concernés avant un clic. Tout futur traceur marketing sera bloqué par défaut et soumis à votre consentement préalable.

(d) Contenus tiers demandés par l’utilisateur

Certains services tiers peuvent être sollicités lorsque vous demandez expressément une fonctionnalité intégrée. Le fonctionnement particulier de GIPHY dans les espaces communautaires compatibles est décrit au paragraphe 9.8.

9.4. Fondements juridiques

Les cookies ayant pour finalité exclusive de permettre ou faciliter la communication électronique, ainsi que ceux strictement nécessaires au service expressément demandé, sont exemptés de consentement préalable. Les autres cookies et traceurs reposent sur votre consentement préalable, que vous pouvez donner, refuser ou retirer à tout moment.

9.5. Comment gérer vos choix ?

SKL utilise un module interne de gestion des consentements, piloté par le code et sans profilage ni service CMP tiers. Lorsqu’au moins un fournisseur optionnel est déclaré, un bandeau s’affiche avant son chargement et propose, au même niveau, de tout accepter, de tout refuser ou de personnaliser les choix par catégorie.

Le lien permanent « Gérer mes cookies » dans le pied de page permet de consulter les catégories et fournisseurs actifs, de modifier vos choix ou de retirer votre consentement. Un changement significatif de la liste des fournisseurs ou de la version de la politique déclenche une nouvelle demande.

Votre choix, accord ou refus, est enregistré dans le cookie interne skl_cookie_consent pendant une durée maximale de six (6) mois. Vous pouvez également supprimer ou bloquer les cookies dans les paramètres de votre navigateur ; le blocage des cookies strictement nécessaires peut empêcher certaines fonctions de la Plateforme.

9.6. Durée de conservation des cookies et des informations associées

• les cookies strictement nécessaires sont conservés pour la durée requise par leur finalité, généralement le temps de la session ou quelques mois ;

• le cookie mémorisant votre choix de consentement est conservé six (6) mois au maximum ;

• les durées propres à tout futur fournisseur optionnel seront indiquées dans le module et la présente Politique avant son activation.

9.7. Données personnelles collectées via les cookies

L’utilisation de certains cookies peut conduire au traitement de données personnelles vous concernant (par exemple : adresse IP, identifiants de connexion, données de navigation, identifiants de terminal, etc.).

Pour toute information complémentaire sur la manière dont vos données personnelles sont traitées dans ce cadre (finalités, bases légales, destinataires, droits dont vous disposez, durées de conservation et éventuels transferts hors UE), vous pouvez vous reporter à l’ensemble de la présente Politique de Confidentialité, et notamment aux sections 3 à 7.

9.8. Services techniques et contenus tiers concernés

Les services effectivement présents sont décrits ci-dessous. Les catégories « mesure d’audience » et « marketing » du module interne sont prêtes à recevoir de futurs fournisseurs, mais elles ne contiennent actuellement aucun fournisseur actif sur le Site public.

1. Fournisseur : Circle

Rôle / service :

Hébergement de la plateforme communautaire, gestion des comptes, sécurité, fonctionnement technique et statistiques internes.

Type(s) de cookies :

Cookies techniques et fonctionnels (strictement nécessaires).

Cookies analytiques internes.

Finalités principales :

– Assurer le bon fonctionnement de la plateforme (authentification, navigation, sécurité).

– Maintenir les sessions utilisateurs.

– Produire des statistiques anonymisées d’usage.

Exemples de cookies / Durée indicative :

– circle_session : cookie de session supprimé à la fermeture du navigateur.

– Cookies de préférence ou d’identification : durée comprise entre 1 et 30 jours.

2. Service : module interne de gestion des consentements SKL

Le cookie strictement nécessaire skl_cookie_consent enregistre la version, la date et vos choix par catégorie pendant six (6) mois au maximum. Aucun prestataire CMP tiers ne reçoit ces informations.

3. Fournisseur : Sentry (Functional Software, Inc.)

Sentry reçoit un événement uniquement lorsqu’une erreur technique survient afin de permettre son diagnostic. Dans la configuration du Site, Sentry ne mesure pas l’audience ou les performances, ne dépose pas de cookie publicitaire et les événements sont nettoyés des données personnelles, journaux applicatifs et historique de navigation avant leur envoi.

4. Fournisseur : GIPHY

Rôle / service :

Recherche et affichage facultatifs de GIF dans les espaces communautaires compatibles.

Modalités techniques et données susceptibles d’être transmises :

GIPHY est sollicité directement, sans consentement préalable, dès l’ouverture du sélecteur de GIF et à chaque affichage d’un contenu comportant un GIF, notamment un fil, une publication ou un message. GIPHY peut alors recevoir des informations techniques telles que votre adresse IP, des informations relatives à votre navigateur et les requêtes nécessaires à la fourniture du service.

Le GIF est conservé sur la Plateforme sous la forme d’un lien vers le service de GIPHY, et non sous la forme d’une copie du fichier. Le navigateur de chaque lecteur le charge donc directement depuis GIPHY, y compris lorsque le GIF a été choisi par une autre personne. Des transferts de données hors de l’Espace économique européen peuvent en résulter.

Les GIF ne comportent pas de contrôle de retrait : ils sont chargés depuis GIPHY lorsque vous ouvrez le sélecteur et lorsque vous consultez un contenu qui en comporte un.

Pour plus d’informations, consultez les conditions API de GIPHY et la politique de confidentialité de GIPHY.

5. Fournisseur : HubSpot

Le module HubSpot est chargé uniquement sur la page « Appel de candidature », lorsque vous demandez à consulter les créneaux disponibles. Il permet d’afficher le calendrier et de transmettre les informations nécessaires à la réservation. HubSpot peut recevoir votre adresse IP, des informations relatives à votre navigateur et les données que vous saisissez dans le formulaire. Ce traitement est nécessaire pour fournir le service de prise de rendez-vous que vous sollicitez.

6. Fournisseur : Framer CDN

Certains portraits des experts présents sur les pages publiques sont chargés depuis le réseau de diffusion de contenu de Framer. Ce chargement technique peut transmettre à Framer votre adresse IP et des informations relatives à votre navigateur. Aucun cookie de mesure d’audience ou de marketing n’est activé par SKL à cette occasion.

9.9. Assistant IA SKL et connecteurs — synthèse

En complément de la section 4.5, il est rappelé que :

• l’Assistant IA SKL (« Kate ») repose sur les fournisseurs de modèles de langage listés à la section 5 ; les requêtes que vous lui adressez ne sont pas utilisées pour entraîner leurs modèles ;

• vous êtes informé, conformément à l’article 50 du règlement (UE) 2024/1689 (AI Act), que vous interagissez avec un système d’intelligence artificielle ;

• l’activation du connecteur Google Workspace est facultative et à votre initiative ; SKL n’accède à aucune donnée Gmail, Google Calendar ou Google Drive tant que vous n’avez pas connecté votre compte Google et accordé les autorisations correspondantes ;

• les données Google reçues sont utilisées uniquement pour fournir les fonctionnalités que vous demandez, ne sont ni vendues, ni utilisées pour la publicité, le profilage publicitaire, l’évaluation de solvabilité ou la surveillance, et l’utilisation qui en est faite respecte la Google API Services User Data Policy, y compris les exigences de Limited Use ;

• vous pouvez à tout moment déconnecter Google depuis SKL et révoquer l’autorisation depuis les paramètres de sécurité de votre compte Google : la déconnexion empêche tout nouvel accès aux données Google ; les données précédemment importées peuvent être supprimées séparément depuis SKL ou lors de la suppression de votre Compte.

10. Quels sont vos droits et comment les exercer ?

Conformément au RGPD et à la Loi Informatique et Libertés, vous disposez, dans les conditions prévues par les textes, des droits suivants sur vos données :

• Droit d’accès

  • obtenir la confirmation que des données vous concernant sont ou ne sont pas traitées,

  • accéder aux données et en recevoir une copie.

• Droit de rectification

  • demander la correction de données inexactes ou la complétude de données incomplètes.

• Droit d’effacement (« droit à l’oubli »)

  • obtenir, dans certains cas, la suppression de vos données (par exemple lorsque les données ne sont plus nécessaires au regard des finalités, ou lorsque vous retirez votre consentement et qu’il n’existe pas d’autre base légale).

• Droit à la limitation du traitement

  • demander le gel temporaire de l’utilisation de vos données, notamment le temps d’examiner une contestation sur l’exactitude des données ou la légitimité d’un traitement.

• Droit d’opposition

  • vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime de la Société,

  • vous opposer, sans justification, à l’utilisation de vos données à des fins de prospection commerciale (y compris le profilage lié à cette prospection).

• Droit à la portabilité

  • recevoir, dans un format structuré, couramment utilisé et lisible par machine, les données personnelles que vous nous avez fournies, pour les transmettre à un autre responsable de traitement, lorsque le traitement est fondé sur votre consentement ou sur l’exécution du contrat et qu’il est effectué à l’aide de procédés automatisés.

• Droit de retirer votre consentement

  • lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans porter atteinte à la licéité du traitement antérieur.

• Droit de définir des directives post-mortem (droit français)

  • vous pouvez définir des directives relatives au sort de vos données après votre décès (conservation, effacement, communication), que nous exécuterons dans les conditions prévues par la loi.

Exercice de vos droits

Vous pouvez exercer vos droits auprès de la Société :

• par email à l’adresse : support@skl.live (en précisant « Données personnelles » dans l’objet),

• ou par courrier postal à :

TBSO – SKL
À l’attention du responsable des données personnelles
10, rue de la Bourse, 75002 Paris, France

Nous pourrons être amenés à vous demander des informations complémentaires (par exemple une pièce d’identité) en cas de doute raisonnable sur votre identité.

Nous nous efforcerons de répondre à votre demande dans le délai d’un mois à compter de sa réception, délai pouvant être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, conformément au RGPD.

Réclamation auprès de la CNIL

Si vous estimez que vos droits n’ont pas été respectés, vous pouvez introduire une réclamation auprès de l’autorité de contrôle compétente, en France :

Commission Nationale de l’Informatique et des Libertés (CNIL)
www.cnil.fr – Service Plaintes
3 Place de Fontenoy – TSA 80715 – 75334 PARIS CEDEX 07

Nous vous invitons toutefois, dans un premier temps, à nous contacter afin que nous puissions tenter de répondre à vos préoccupations.

11. Mise à jour de la présente politique

La présente Politique de Confidentialité est susceptible d’être modifiée ou mise à jour à tout moment, notamment pour tenir compte :

• des évolutions de la Plateforme et des Services,

• des exigences légales et réglementaires,

• des recommandations des autorités de contrôle,

• ou de toute évolution de nos pratiques de traitement.

Toute version mise à jour sera publiée sur le Site avec une nouvelle date de « Dernière mise à jour ». En cas de modification substantielle affectant vos droits ou les traitements décrits, nous pourrons vous en informer par un moyen approprié (bandeau d’information, notification sur la Plateforme, email).

Nous vous invitons à consulter régulièrement cette page.

12. Comment nous contacter ?

Pour toute question liée à la présente Politique de Confidentialité ou à la protection de vos données personnelles, vous pouvez nous contacter :

• par email : support@skl.live

• ou par courrier à :

TBSO – SKL
10, rue de la Bourse
75002 Paris, France