La présente politique de confidentialité est établie par la société LSA, société par actions simplifiée à mission, immatriculée au Registre du Commerce et des Sociétés de Bobigny sous le numéro 990 261 646, dont le siège social est situé au Raincy (93340), ci-après dénommée « l'Éditeur ».
L'Éditeur assure le développement et l'exploitation de l'application mobile IMPAKT, service numérique d'aide à l'orientation professionnelle et scolaire et à l'insertion.
Pour toute question relative au traitement de vos données personnelles, vous pouvez adresser votre demande à l'adresse suivante : contact@impakt-tech.fr
La présente politique a pour objet d'informer les utilisateurs de l'application IMPAKT des conditions dans lesquelles leurs données à caractère personnel sont collectées, traitées et protégées, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (ci-après « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
Les traitements mis en œuvre reposent sur les bases légales suivantes :
Pour les traitements fondés sur le consentement, l'utilisateur peut retirer celui-ci à tout moment, depuis les réglages de l'application ou de son appareil (notamment pour la localisation), en supprimant son compte, ou en adressant sa demande à contact@impakt-tech.fr, sans que ce retrait ne porte atteinte à la licéité du traitement effectué avant celui-ci. Il peut s'opposer aux traitements fondés sur l'intérêt légitime dans les conditions de l'article 21 du RGPD. Les diagnostics techniques peuvent être désactivés à tout moment dans les réglages de l'application, selon les modalités précisées à l'article 12.
Conformément au principe de minimisation (article 5.1.c du RGPD), l'Éditeur ne collecte que les données nécessaires aux fonctionnalités utilisées par l'utilisateur :
Les informations indispensables à la création du compte (prénom, adresse électronique, date de naissance, situation) sont signalées lors de la collecte ; les autres données sont facultatives et ne conditionnent que les fonctionnalités qui les utilisent. Le genre n'est jamais obligatoire.
L'application ne demande jamais de données bancaires, de données de santé, d'opinions politiques, philosophiques, syndicales ou religieuses, ni d'informations sur l'orientation sexuelle ; l'utilisateur est invité à ne pas en inclure dans ses messages, son journal et ses documents. Les zones de texte libre ne font l'objet d'aucune exploitation visant à en déduire de telles informations. Le nom, le numéro de téléphone ou l'adresse ne sont renseignés que si l'utilisateur décide lui-même de les inscrire dans son CV ou sa lettre.
Les données collectées sont traitées aux seules fins suivantes :
L'accès aux données individuelles de l'utilisateur dépend de son mode d'inscription :
Dans les deux cas, les statistiques éventuellement communiquées aux partenaires ou financeurs restent exclusivement anonymisées et agrégées. Elles sont distinctes du suivi individuel assuré par la structure de rattachement, lorsque l'utilisateur est accompagné.
L'Éditeur s'engage à ne procéder à aucun profilage publicitaire, à ne diffuser aucune publicité au sein de l'application, et à ne céder, louer ou vendre les données des utilisateurs à quelque tiers que ce soit.
Afin d'enrichir les informations présentées, l'application interroge les interfaces publiques (API) des organismes suivants :
Ces interrogations passent par un serveur mandataire (proxy) sécurisé. Aucune donnée personnelle identifiante n'est transmise à ces services : seules des données contextuelles anonymes (département, code ROME du métier) sont utilisées dans les requêtes.
L'application recourt à des technologies d'intelligence artificielle fournies par la société Mistral AI (société française, Union européenne) pour :
Le choix des métiers recommandés est effectué par l'algorithme de l'Éditeur ; l'intelligence artificielle n'intervient que pour rédiger les textes.
Données transmises : seules les données utiles à chaque fonctionnalité sont transmises à Mistral AI, à savoir les réponses au questionnaire et les résultats du test de personnalité ; le prénom, l'âge, le genre s'il est renseigné, la ville et le département ; la situation scolaire ou professionnelle, le niveau, le domaine et la filière d'études, les spécialités et la moyenne si elles sont renseignées, le métier actuel et les expériences déclarées ; les métiers recommandés, aimés ou testés ; les messages adressés à l'assistant et une synthèse du journal de motivation ; pour le CV et la lettre, les informations saisies par l'utilisateur, dont son nom de famille, ainsi que le nom, le secteur et la ville de l'entreprise visée. Ne sont jamais transmis : l'adresse électronique, le mot de passe, le numéro de téléphone, ni l'identifiant du compte.
Accord préalable : aucune donnée n'est transmise à Mistral AI ou à Black Forest Labs sans l'accord exprès de l'utilisateur, recueilli dans l'application par une case à cocher distincte de l'acceptation des conditions d'utilisation, jamais cochée par défaut, accompagnée du détail des données concernées et des prestataires. Sans cet accord, l'application reste utilisable : le questionnaire, la recommandation de métiers (avec des explications simplifiées), les fiches métiers, les études, les salaires, les aides et les offres demeurent accessibles ; seules les fonctionnalités rédigées par l'intelligence artificielle ne le sont pas. L'utilisateur peut donner ou retirer son accord à tout moment depuis Réglages → Confidentialité ; le retrait prend effet immédiatement, sans affecter la licéité des traitements antérieurs.
Garanties : Mistral AI agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Les données sont traitées au sein de l'Union européenne, uniquement pour exécuter la requête ; elles sont conservées par le prestataire trente (30) jours au plus, aux seules fins de détection des abus, puis supprimées, et ne sont pas utilisées pour entraîner ses modèles. Elles bénéficient ainsi d'une protection au moins équivalente à celle décrite dans la présente politique.
Ces traitements ne constituent pas une prise de décision automatisée au sens de l'article 22 du RGPD ; il s'agit d'outils d'aide dont les résultats sont présentés à titre informatif. Les contenus rédigés librement par l'utilisateur sont transmis tels quels ; il est recommandé de ne pas y inclure d'informations sensibles. L'usage de l'assistant conversationnel est limité en volume quotidien par utilisateur ; le seuil en vigueur est indiqué dans l'application.
La retouche de la photo de CV (version « studio ») est réalisée, à la demande de l'utilisateur et après son accord, par la société Black Forest Labs (Allemagne, Union européenne). La photo est transmise au prestataire uniquement le temps du traitement ; il ne la conserve que le temps nécessaire à la livraison du résultat. La photo que l'utilisateur garde est enregistrée avec son CV dans son compte et supprimée avec lui.
L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées (article 32 du RGPD) :
Certains prestataires, notamment Google pour les outils de diagnostic technique, peuvent traiter des données en dehors de l'Union européenne ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (article 46.2.c du RGPD), dont copie peut être obtenue en écrivant à contact@impakt-tech.fr.
À l'exception de la photo de CV et du contenu des candidatures, dont la conservation est limitée conformément aux articles 7 et 8, ainsi que des données de diagnostic technique, conservées pour la durée maximale indiquée ci-après, les données sont conservées pendant la durée d'activation du compte. En cas de suppression du compte, l'ensemble des données personnelles est effacé des serveurs de l'Éditeur dans un délai maximum de trente (30) jours ; les données stockées localement sur l'appareil sont supprimées immédiatement. Les données anonymisées et agrégées à des fins statistiques peuvent être conservées au-delà, dès lors qu'elles ne permettent plus l'identification de l'utilisateur. Les données de diagnostic technique sont conservées pour une durée maximale de quatre-vingt-dix (90) jours.
Conformément aux articles 15 à 21 du RGPD, tout utilisateur dispose des droits d'accès, de rectification, d'effacement, de limitation, de portabilité (export au format JSON depuis l'application) et d'opposition.
Ces droits s'exercent directement dans l'application (Réglages → Exporter mes données / Supprimer mon compte) ou par courrier électronique à contact@impakt-tech.fr. En cas de réclamation, l'utilisateur peut saisir la CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
L'accès à l'application IMPAKT est réservé aux personnes âgées de quinze (15) ans révolus et plus ; l'âge est déclaré par l'utilisateur lors de l'inscription. Conformément à l'article 45 de la loi n° 78-17 modifiée, un mineur âgé de quinze ans révolus peut consentir seul au traitement de ses données pour une offre directe de services de la société de l'information.
L'application n'utilise aucun cookie publicitaire ni aucun traceur de ciblage et n'affiche aucune publicité. Elle ne recourt à aucune mesure d'audience tierce à visée publicitaire.
Le suivi d'utilisation interne porte sur la progression, les écrans consultés et le temps d'usage. Ces données sont stockées sur les serveurs de l'Éditeur, hébergés par Firebase au sein de l'Union européenne. Ce suivi permet la personnalisation du service et, pour les utilisateurs rattachés à une structure, l'accompagnement individuel décrit à l'article 5 ; ces traitements relèvent de l'exécution du contrat de service (article 6.1.b du RGPD). Il sert également à l'amélioration du service, sur le fondement de l'intérêt légitime de l'Éditeur (article 6.1.f du RGPD). En dehors de l'accès des conseillers de la structure de rattachement aux données nécessaires à l'accompagnement, dans les conditions de l'article 5, les données de ce suivi interne ne sont transmises à aucun tiers. L'utilisateur peut également désactiver ce suivi d'usage à tout moment (Réglages → Confidentialité) ; la désactivation arrête la collecte mais ne supprime pas les données déjà enregistrées, dont l'effacement peut être demandé dans les conditions de l'article 10.
Les outils Firebase Crashlytics et Performance de Google sont utilisés pour les rapports de plantage et la mesure de performance. Ces diagnostics portent uniquement sur des données techniques et ne servent pas à établir un profil publicitaire. Ils sont activés par défaut sur le fondement de l'intérêt légitime de l'Éditeur à assurer la fiabilité et la sécurité du service (article 6.1.f du RGPD). L'utilisateur peut s'y opposer à tout moment en les désactivant dans l'application (Réglages → Confidentialité). Pour les autres traitements fondés sur l'intérêt légitime, le droit d'opposition s'exerce dans les conditions de l'article 21 du RGPD, selon les modalités prévues à l'article 10.
L'Éditeur fait appel aux sous-traitants suivants, dans le respect de l'article 28 du RGPD :
Lorsque l'utilisateur demande l'envoi d'une candidature, l'employeur qu'il a sélectionné reçoit le message et ses pièces jointes (CV, lettre) et traite ensuite ces données sous sa propre responsabilité. La suppression du compte IMPAKT est sans effet sur les candidatures déjà reçues par les employeurs, auprès desquels l'utilisateur peut exercer ses droits directement.
Si l'utilisateur utilise la dictée de son appareil, le traitement de la voix relève du système d'exploitation et de ses réglages ; l'Éditeur ne reçoit que le texte transcrit et ne conserve aucun enregistrement vocal.
Chacun de ces sous-traitants est lié à l'Éditeur par un contrat conforme à l'article 28 du RGPD : il s'engage à n'utiliser les données des utilisateurs que pour exécuter le service demandé et à leur assurer une protection identique ou équivalente à celle décrite dans la présente politique.
Les organismes publics cités à l'article 6 ne reçoivent aucune donnée personnelle identifiante.
L'Éditeur se réserve le droit de modifier la présente politique afin de la mettre en conformité avec toute évolution législative, réglementaire ou jurisprudentielle. Toute modification substantielle sera portée à la connaissance des utilisateurs par notification au sein de l'application. La version en vigueur est accessible à tout moment depuis l'écran de connexion et depuis les réglages de l'application.