Politique de confidentialité

1. Introduction

Kynto SAS (« Kynto », « nous », « notre ») s'engage à protéger la vie privée et les données personnelles de toute personne interagissant avec notre site web et notre plateforme. La présente politique de confidentialité explique comment nous collectons, utilisons, conservons et protégeons les données personnelles, conformément au Règlement Général sur la Protection des Données (RGPD) et à la politique d'utilisation des données utilisateur des services API Google (Google API Services User Data Policy), y compris ses exigences de « Limited Use » (utilisation limitée).

2. Qui sommes-nous

3. Notre rôle au regard du RGPD

Kynto agit en qualité de sous-traitant au sens du RGPD. Nos clients (les entreprises utilisatrices de la plateforme) agissent en qualité de responsables de traitement pour les données personnelles des candidats et les données liées au recrutement traitées via Kynto.

Pour une présentation complète de nos engagements RGPD, incluant la conservation des données, les droits des candidats, notre cadre relatif aux sous-traitants ultérieurs et notre conformité en matière d'IA, veuillez consulter notre page RGPD.

4. Données personnelles que nous traitons

4.1 Données de l'utilisateur (client)

• • Nom et prénom
• • Adresse e-mail professionnelle
• • Nom de l'entreprise et fonction
• • Données d'authentification et de compte
• • Données de connexion (adresse IP, journaux, informations sur l'appareil)
• • Données de facturation (traitées via Stripe)

4.2 Données des candidats (traitées pour le compte des clients)

• • CV et documents de candidature
• • Parcours professionnel, expérience et compétences
• • Coordonnées
• • Notes d'évaluation et retours sur le recrutement
• • Scores et synthèses générés par l'IA
• • Transcriptions et enregistrements d'entretiens
• • Messages échangés avec les candidats (e-mail, LinkedIn, WhatsApp)

4.3 Données des prospects de sourcing (traitées pour le compte des clients)

• • Informations de profil professionnel (nom, poste, entreprise, expérience, localisation)
• • Coordonnées professionnelles obtenues par enrichissement
• • Messages échangés dans le cadre d'une campagne de sourcing

4.4 Destinataires des données personnelles

• • Les utilisateurs autorisés de l'organisation cliente, selon leur rôle et les postes auxquels ils ont accès
• • Les sous-traitants de Kynto, pour le fonctionnement technique du service (voir section 7)
• • Les assistants IA tiers que le client choisit de connecter à Kynto (voir section 9)
• • Les destinataires des messages envoyés depuis la plateforme : candidats, prospects et intervieweurs
• • Le personnel de Kynto, uniquement lorsque c'est nécessaire au support ou à la sécurité

Kynto ne collecte pas intentionnellement de catégories de données sensibles au sens de l'article 9 du RGPD. Si de telles données figurent dans les documents des candidats, elles sont traitées sous la seule responsabilité du responsable de traitement.

5. Bases légales du traitement

Nous traitons les données personnelles sur les bases légales suivantes :

• • L'exécution du contrat, afin de fournir la plateforme Kynto et ses fonctionnalités à nos clients
• • L'intérêt légitime, afin d'assurer la sécurité, la fiabilité et l'amélioration continue de la plateforme
• • L'obligation légale, afin de nous conformer aux lois et réglementations applicables
• • Le consentement, pour les cookies optionnels et les fonctionnalités non essentielles, lorsque celui-ci est requis

6. Infrastructure et localisation des données

L'ensemble des données personnelles traitées via Kynto est hébergé exclusivement au sein de l'Union européenne :

• • Hébergement de l'application : Vercel (UE)
• • Stockage des fichiers (CV, transcriptions, enregistrements) : Amazon Web Services S3 (région : eu-west-3, Paris, France)

Ces deux prestataires opèrent dans le cadre de Clauses Contractuelles Types (CCT), conformément aux exigences du RGPD relatives aux transferts internationaux de données, le cas échéant.

7. Sous-traitants ultérieurs

Kynto travaille avec un ensemble soigneusement sélectionné de sous-traitants techniques conformes au RGPD. Un accord de traitement des données (Data Processing Agreement - DPA) est en place avec chacun d'entre eux.

La liste complète et à jour de nos sous-traitants ultérieurs est disponible sur notre page Sous-traitants.

8. Utilisation de l'intelligence artificielle

Kynto utilise des technologies d'IA pour appuyer les processus de recrutement, notamment l'analyse de CV, l'évaluation des candidats et l'assistance aux entretiens. Ces fonctionnalités constituent exclusivement des outils d'aide à la décision. Tous les résultats générés par l'IA doivent être vérifiés et validés par un utilisateur humain.

Kynto ne procède à aucune prise de décision entièrement automatisée au sens de l'article 22 du RGPD.

Les modèles d'IA utilisés par Kynto :

• • ne sont pas entraînés sur les données des clients ou des candidats
• • fonctionnent en mode sans entraînement / sans conservation (no-training / no-retention)
• • sont hébergés au sein de l'Union européenne

Les données reçues des API Google ne sont jamais utilisées pour développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique (voir section 10).

9. Assistants IA connectés par le client

Les utilisateurs peuvent connecter un assistant IA tiers, tel que Claude (Anthropic), ChatGPT (OpenAI) ou Mistral (Mistral AI), à leur compte Kynto grâce au connecteur Kynto, qui repose sur le Model Context Protocol (MCP). La connexion est établie par l'utilisateur, avec son propre compte Kynto, et peut être révoquée à tout moment depuis Réglages > Intégrations > Assistants IA. Le fonctionnement du connecteur est décrit sur notre page dédiée aux assistants IA.

Lorsque l'assistant utilise le connecteur, Kynto lui renvoie les données nécessaires à la demande de l'utilisateur, dans la limite de son organisation et de ses droits. Selon la demande, il peut s'agir :

• • des offres d'emploi et des processus de recrutement
• • des profils des candidats, de leurs coordonnées, du contenu de leur CV, de leurs scores et analyses IA
• • des transcriptions d'entretiens, des notes d'évaluation et des avis des intervieweurs
• • des messages échangés avec les candidats et les prospects de sourcing
• • des données des campagnes de sourcing et des prospects
• • des noms et adresses e-mail des membres de l'équipe et des employés des clients finaux
• • des documents de la bibliothèque et des indicateurs de recrutement
• • des disponibilités pour les entretiens, calculées à partir des agendas connectés (créneaux libres uniquement)

Le fournisseur de l'assistant reçoit ces données en tant que destinataire choisi par le client, et les traite dans le cadre du contrat qui lie le client à ce fournisseur. Il n'est pas un sous-traitant de Kynto. Kynto n'accède pas aux conversations de l'utilisateur avec l'assistant : il ne reçoit que les requêtes que l'assistant adresse au connecteur.

Pour cette fonctionnalité, Kynto conserve :

• • l'accès accordé à l'assistant : les jetons d'accès expirent au bout d'une heure et les jetons de renouvellement après 60 jours sans utilisation, et tous sont invalidés dès la révocation
• • un journal de chaque requête (compte, outil utilisé, paramètres, date, adresse IP), conservé 12 mois à des fins de sécurité et d'audit

10. Utilisation des données utilisateur Google

Lorsqu'un utilisateur connecte son compte Google, Kynto utilise les données Google suivantes, uniquement pour planifier les entretiens et les tenir à jour :

• • Google Agenda : les plages occupées de l'agenda (informations de disponibilité, sans titre, description ni participants des événements), pour calculer les créneaux d'entretien disponibles
• • Google Agenda : les événements d'entretien créés par Kynto, que Kynto peut modifier ou supprimer et dont il suit les changements pour tenir les entretiens à jour
• • les informations de base du compte (nom et adresse e-mail)

Les créneaux d'entretien calculés à partir de ces plages occupées sont affichés dans Kynto, proposés par l'assistant IA de Kynto et, à la demande de l'utilisateur, transmis à un assistant IA tiers qu'il a connecté à Kynto (voir section 9), uniquement pour planifier des entretiens. Kynto ne lit pas le contenu des événements de l'agenda, en dehors des événements d'entretien qu'il a créés.

Les boîtes e-mail, y compris les boîtes Gmail, sont connectées par l'intermédiaire de notre prestataire de messagerie Unipile, avec l'autorisation Google propre à Unipile (voir notre page des sous-traitants). Kynto ne conserve alors que les e-mails échangés avec les candidats et les prospects de sourcing de l'organisation, pour les afficher dans la boîte de réception Kynto ; le contenu des e-mails des autres expéditeurs n'est pas conservé. Ces messages peuvent être lus par l'assistant IA de Kynto et, à la demande de l'utilisateur, par un assistant IA qu'il a connecté à Kynto (voir section 9). Ils ne sont jamais utilisés pour développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique.

Les données utilisateur Google reçues par l'autorisation Google propre à Kynto sont :

• • utilisées uniquement pour fournir ces fonctionnalités à l'utilisateur
• • jamais utilisées à des fins publicitaires, d'analyse ou de profilage, et jamais vendues
• • jamais utilisées pour développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique
• • non conservées, à l'exception des jetons d'autorisation et des identifiants des événements créés par Kynto
• • partagées avec un tiers uniquement lorsque c'est nécessaire à une fonctionnalité demandée par l'utilisateur, comme décrit ci-dessus

L'utilisation par Kynto des informations reçues des API Google, et leur transfert à toute autre application, respectent la Google API Services User Data Policy, y compris les exigences de « Limited Use ». L'utilisation des informations reçues des API Google Workspace respecte la Google Workspace API User Data and Developer Policy.

11. Cookies

Kynto utilise des cookies strictement nécessaires au fonctionnement du site et de la plateforme (authentification, gestion de session, sécurité et mémorisation de vos choix en matière de cookies). Ils sont toujours actifs.

Avec votre consentement préalable, et uniquement pour les catégories que vous acceptez, nous utilisons également :

• • Cookies analytiques : Google Analytics, via Google Tag Manager, sur kyntoai.com, et PostHog (hébergé dans l'UE) sur kyntoai.com et app.kyntoai.com, pour mesurer l'audience et améliorer le service. Sur kyntoai.com, PostHog enregistre les pages vues, les clics et des replays de session : les visiteurs restent anonymes et les champs de formulaire sont toujours masqués.
• • Cookies marketing, programme d'affiliation : si vous arrivez par le lien d'un partenaire, nous enregistrons son code dans un cookie propriétaire (kynto_ref, conservé 60 jours, partagé entre kyntoai.com et app.kyntoai.com) afin que ce partenaire puisse être rémunéré si vous vous abonnez. Aucun tiers n'intervient.
• • Cookies marketing, OpenAI Ads : le pixel de mesure ChatGPT Ads mesure si nos publicités affichées dans ChatGPT conduisent à des actions sur nos sites (pages vues, consultation de la page tarifs, réservation de démo, demande de tarif, inscription et démarrage d'essai). Il dépose un cookie d'attribution (__oppref). Seul le type d'action est transmis à OpenAI : aucun contenu de formulaire, aucune coordonnée et aucune donnée relative aux candidats.
• • Cookies marketing, balises publicitaires : balises publicitaires gérées via Google Tag Manager, qui ne s'exécutent que si les cookies marketing sont acceptés.

Aucun de ces outils n'est chargé avant que vous ayez accepté sa catégorie. Refuser les cookies analytiques n'empêche pas les cookies marketing de fonctionner, et inversement.

Vous pouvez accepter, refuser ou personnaliser ces catégories dans la bannière de cookies, et modifier votre choix à tout moment via le lien « Gérer les cookies » en bas de page de kyntoai.com ou les préférences de cookies de la plateforme. Le retrait de votre consentement arrête les outils concernés et supprime les cookies qu'ils avaient déposés.

12. Conservation des données

Les données des candidats sont automatiquement supprimées 24 mois après la clôture du processus de recrutement concerné, sauf demande contraire du client ou obligation légale.

Les données de compte de l'utilisateur (client) sont conservées pendant toute la durée de la relation contractuelle et supprimées à la résiliation du compte, sous réserve des obligations légales de conservation applicables.

L'accès accordé à un assistant IA connecté expire après 60 jours sans utilisation, et le journal de ses requêtes est conservé 12 mois (voir section 9).

13. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition au traitement de vos données personnelles.

Les candidats peuvent également soumettre une demande de suppression ou de portabilité directement via notre Portail de confidentialité, sans avoir à contacter l'entreprise ayant collecté leurs données.

Toute autre demande peut être adressée à : privacy@kyntoai.com

14. Mises à jour de cette politique

Cette politique de confidentialité peut être mise à jour périodiquement. La version la plus récente sera toujours disponible sur le site web de Kynto. La poursuite de l'utilisation de la plateforme après une mise à jour vaut acceptation de la politique révisée.

15. Contact

Pour toute question relative à la présente politique de confidentialité ou au traitement de vos données personnelles :

privacy@kyntoai.com