Politique de confidentialité

Pour l'évaluation des candidats, votre entreprise (le client recruteur) est responsable de traitement au sens du RGPD. STAY WEB (SASU) (éditrice de rh.stayweb.io, siège 59 rue de Ponthieu, Bureau 326, 75008 Paris) agit comme sous-traitant pour votre compte.

Un accord de traitement (DPA) conforme à l'article 28 du RGPD est fourni sur simple demande à dpo@rh.stayweb.io.

Pour les inscriptions publiques via /signup, STAY WEB (SASU) est responsable de traitement pour la gestion de votre compte recruteur.

Côté recruteur / administrateur du compte :

• Identité (prénom, nom), email professionnel, entreprise, poste.
• Logs de connexion, adresse IP, préférences d'usage (durée de conservation, filtres, sessions).

Côté candidat évalué :

• Identité déclarée par le recruteur (prénom, nom, email).
• Historique complet de la session : commandes tapées, temps de réponse, résultats module par module.
• Signaux anti-triche : rythme de frappe, blocs de texte collés, signatures d'extensions IA détectées, agent utilisateur.

Aucune donnée biométrique n'est collectée. Aucune capture d'écran continue n'est effectuée. Aucun accès webcam ou micro n'est demandé.

Exécution du contrat conclu avec le client recruteur pour tout usage lié à la fourniture du service (article 6.1.b du RGPD).

Intérêt légitime du recruteur à évaluer objectivement les compétences techniques d'un candidat pour un poste précis (article 6.1.f du RGPD). L'évaluation est proportionnée à la finalité, encadrée dans le temps, et le candidat est informé du principe et de son droit d'opposition avant le démarrage de la session.

Obligation légale pour la conservation des factures et documents comptables (article 6.1.c du RGPD).

Le recruteur configure la durée de conservation des sessions dans son espace client. À défaut de configuration explicite, les valeurs par défaut sont :

• Sessions et rapports candidats : 12 mois puis suppression automatique.
• Compte recruteur inactif : 24 mois d'inactivité avant relance, puis suppression.
• Environnements de test Linux : détruits immédiatement à la fin de chaque session (aucune donnée résiduelle).
• Journal d'audit : 3 ans (obligation de traçabilité).
• Données de facturation : 10 ans (obligation légale comptable).

La suppression anticipée est possible à tout moment via l'espace client ou sur demande à dpo@rh.stayweb.io.

Hébergement principal : toutes les données sont hébergées en France par LWS, dans des datacenters certifiés ISO/IEC 27001. Aucune donnée personnelle brute ne quitte l'Union européenne pour l'hébergement.

Fournisseurs de modèles d'intelligence artificielle — utilisés pour l'analyse des sessions (raisonnement, méthode, signaux anti-triche). Nous privilégions systématiquement les modèles hébergés en Europe et sans apprentissage sur nos données :

• Mistral AI (Paris, France) — modèles hébergés dans l'Union européenne. Fournisseur prioritaire. Aucun transfert hors UE. Aucun apprentissage sur nos données (contractuellement garanti).
• DeepSeek — modèles open source auto-hébergés sur notre infrastructure européenne (LWS France). Aucune donnée ne sort de notre périmètre. Aucune rétention. Aucun apprentissage automatique sur nos données possible.
• Anthropic (États-Unis) — utilisé uniquement pour certaines analyses avancées de raisonnement quand aucun modèle européen équivalent n'est disponible. DPA signé, transfert encadré par les clauses contractuelles types (CCT) validées par la Commission européenne le 04/06/2021. Les prompts et complétions ne sont pas utilisés pour l'entraînement.
• OpenAI (États-Unis) — utilisé ponctuellement pour comparer et valider les analyses. DPA signé, transferts encadrés par CCT, option « zéro rétention » activée sur les endpoints utilisés, aucun entraînement sur nos données.

Dans tous les cas, les données transmises à ces fournisseurs sont minimisées (nom candidat pseudonymisé, contexte de session strictement nécessaire) et jamais couplées à d'autres identifiants directs du candidat. Aucun de ces fournisseurs n'est autorisé à utiliser nos données pour entraîner ses modèles.

Autres sous-traitants :

• Prestataires de paiement (activation à venir avec les plans payants) : conformité PCI-DSS, aucune donnée de carte n'est stockée par STAY WEB (SASU).

Note : l'envoi des emails transactionnels (invitations candidats, notifications de rapport) est réalisé directement par STAY WEB (SASU) sur son infrastructure. Aucun prestataire tiers de type Mailgun / SendGrid n'a accès aux emails candidats ou aux contenus des messages.

La liste exhaustive et à jour des sous-traitants est communiquée dans notre Accord de traitement (DPA). Nous informons par email les clients recruteurs de tout ajout ou modification substantielle au moins 30 jours à l'avance, avec droit d'opposition dans les conditions prévues au DPA.

Mesures techniques et organisationnelles proportionnées mises en œuvre :

• Chiffrement en transit (TLS 1.3) sur l'ensemble du domaine rh.stayweb.io.
• Cookies de session signés HMAC-SHA256 avec attribut httpOnly et Secure.
• Séparation stricte des rôles (super-admin, tenant-admin, recruteur, candidat) et principe du moindre privilège.
• Journal d'audit horodaté de toutes les actions sensibles (création session, export, suppression).
• Environnements de test isolés (containers Linux dédiés) et éphémères.
• Sauvegardes chiffrées, revues d'accès trimestrielles.

En cas de violation de données à caractère personnel, notification à la CNIL sous 72 h et information des personnes concernées conformément aux articles 33 et 34 du RGPD.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données et à une copie.
• Droit de rectification des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») dans les cas prévus par la loi.
• Droit à la limitation du traitement.
• Droit à la portabilité des données que vous nous avez fournies.
• Droit d'opposition au traitement, notamment fondé sur l'intérêt légitime.
• Droit de définir des directives post-mortem sur le sort de vos données après votre décès.
• Droit de retirer votre consentement à tout moment lorsque celui-ci est requis.

Pour exercer vos droits : dpo@rh.stayweb.io. Nous répondons sous un mois maximum (délai prorogeable de deux mois pour les demandes complexes).

En cas de désaccord, vous disposez du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Avant chaque session, le candidat est explicitement informé :

• de l'identité du responsable de traitement (le recruteur qui l'invite) ;
• du principe et des finalités de l'évaluation ;
• de l'analyse par IA de sa démarche (rythme de frappe, méthode, signaux anti-triche) ;
• de la durée de conservation prévue et de ses droits d'accès et d'opposition.

Le candidat qui refuse peut interrompre la session à tout moment sans pénalité.

Le site rh.stayweb.io utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du service :

• eval_admin : cookie de session administrateur (HMAC-SHA256, httpOnly, Secure, SameSite=Lax, durée 7 jours).
• eval_impersonate : cookie temporaire d'impersonation super-admin (httpOnly, Secure, durée 8 h).
• sidebar_collapsed : préférence d'interface stockée en localStorage (client uniquement).

Ces cookies sont exemptés du consentement préalable au titre de l'article 82 de la loi Informatique et Libertés (cookies « strictement nécessaires »). Aucun cookie de mesure d'audience tiers, aucun cookie publicitaire n'est déposé.

Toute évolution future du site introduisant un cookie non essentiel donnera lieu à un consentement explicite via une bannière conforme aux recommandations de la CNIL.

Le service rh.stayweb.io est destiné à un usage professionnel B2B. Il ne s'adresse pas aux mineurs de moins de 15 ans. Aucune collecte volontaire de données concernant des mineurs n'est effectuée. Un candidat mineur peut être évalué dans le cadre d'une alternance ou d'un stage sous la responsabilité de son représentant légal, avec information préalable.

La présente politique de confidentialité peut être modifiée à tout moment pour tenir compte des évolutions légales, techniques ou du service. Toute modification substantielle sera notifiée aux clients par email et affichée sur cette page, avec mise à jour de la date en tête de document.

Délégué à la protection des données (DPO) : dpo@rh.stayweb.io

Contact général : contact@rh.stayweb.io

Courrier postal :
STAY WEB (SASU) — DPO
59, rue de Ponthieu, Bureau 326
75008 Paris, France