1. Qui est responsable de vos données
Le responsable du traitement de vos données à caractère personnel est l'exploitant du service MySkillsSpace. Ses coordonnées complètes d'identification, son siège social et ses numéros d'immatriculation sont publiés sur la page Contact, qui fait partie du présent avis.
Pour toute question relative au présent avis, ou pour exercer l'un des droits décrits à la section 11, utilisez le formulaire de contact. Les demandes relatives à la protection des données reçoivent une réponse sans retard injustifié et, en tout état de cause, dans un délai d'un mois à compter de leur réception ; si une demande est complexe, nous vous en informerons dans ce délai d'un mois et pourrons le prolonger de deux mois supplémentaires.
Aucun délégué à la protection des données n'a été désigné, car le traitement décrit ici ne remplit pas les conditions de l'article 37, paragraphe 1, du RGPD. Si cela change, les coordonnées du délégué seront publiées ici.
2. Ce que couvre le présent avis
Le présent avis couvre le site MySkillsSpace et l’espace de compte qui se trouve derrière. Il décrit le service tel qu’il fonctionne réellement aujourd’hui : les professionnels publient un profil et des services tarifés, seuls ou en équipe ; chacun peut consulter les professionnels, les services et les équipes ; les entreprises connectées peuvent enregistrer des profils, envoyer des messages et des invitations de recrutement, mener un processus de recrutement et demander à un professionnel de passer une évaluation de compétences.
Il n'y a ni bourse d'emploi, ni annuaire d'employeurs, ni outils salariaux dans le service que vous utilisez, sauf si vous voyez ces rubriques dans l'interface ; elles sont désactivées par défaut. Il n'y a ni paiements, ni publicité, ni placements sponsorisés, ni décisions automatisées vous concernant.
3. Ce que nous collectons
Les données de compte, que vous devez fournir pour disposer d'un compte : adresse électronique, nom et prénom, un mot de passe (conservé uniquement sous forme de hachage bcrypt, jamais en clair), le rôle sous lequel vous vous inscrivez et la langue de votre interface. Sans ces données, un compte ne peut pas être créé.
Les données de profil et d'offre, toutes facultatives et toutes rédigées par vous : titre, résumé, ville et pays, compétences, langues, parcours professionnel avec le nom des employeurs et les dates, formation, certifications, réalisations, liens vers un portfolio, disponibilité, prétentions tarifaires, ainsi que les services que vous publiez avec leurs descriptions, leurs prix et l'adresse de contact que vous choisissez d'afficher. Vous décidez lesquelles de ces informations sont visibles et par qui.
Les fichiers que vous téléversez : CV et autres documents, un avatar et une image de couverture. Les fichiers téléversés sont vérifiés par rapport au type de fichier qu'ils déclarent et sont stockés sur le serveur propre du service, et non chez un prestataire de stockage tiers.
Données d’activité créées par l’utilisation du service : conversations et leurs messages, invitations, notifications et les abonnements push du navigateur que vous activez pour elles, recherches enregistrées, profils et services enregistrés et, pour les entreprises connectées, la trace qu’un profil Skills First leur a été révélé. Équipes que vous créez ou rejoignez : votre appartenance, votre rôle dans l’équipe et les invitations et demandes d’adhésion associées. Processus de recrutement auxquels vous participez : leurs étapes, décisions et journal d’activité. Évaluations de compétences que vous passez : vos réponses, scores et résultats, ainsi que les événements techniques de la session (démarrage, soumission, changements de focus et de connexion, chronologie) conservés comme trace neutre de son déroulement. Lorsqu’un contenu rédigé par un utilisateur est affiché dans une autre langue, la traduction de ce texte est stockée pour ne pas avoir à être produite à nouveau.
Les données techniques enregistrées par le serveur : adresse IP, agent utilisateur du navigateur, heure et résultat de la requête dans les journaux du serveur ; l'adresse IP et l'agent utilisateur associés à un enregistrement de consentement afin de pouvoir en apporter la preuve ; et les entrées d'audit relatives aux actions importantes pour la sécurité, telles que la connexion, le changement de mot de passe, la suppression du compte et les décisions administratives.
Données d'usage, uniquement si vous acceptez l'analytique : pages consultées, actions effectuées, détails techniques du navigateur et de l'appareil, une localisation approximative dérivée de l'adresse IP et, lorsque vous êtes connecté, l'identifiant et le rôle de votre compte. PostHog les collecte sur nos instructions. Elles ne servent pas à vous montrer des publicités.
4. Pourquoi nous les utilisons et sur quelle base juridique
Pour fournir le service que vous avez demandé : créer et faire fonctionner votre compte, publier votre profil et vos services, la recherche et la consultation, la messagerie, les invitations, les notifications et les éléments enregistrés. Base juridique : l'exécution d'un contrat, article 6, paragraphe 1, point b), du RGPD. Si vous ne fournissez pas les données de compte mentionnées à la section 3, nous ne pouvons pas fournir le service.
Pour maintenir le service sûr et fonctionnel : limitation du débit des requêtes, prévention des abus, journaux du serveur et d'audit, et investigation des incidents. Base juridique : notre intérêt légitime à disposer d'un service qui ne fasse pas l'objet d'abus, article 6, paragraphe 1, point f), du RGPD.
Pour modérer les contenus publiés et faire respecter les Conditions, y compris en restreignant ou en retirant des contenus et en suspendant des comptes, et pour indiquer à la personne concernée les motifs. Base juridique : notre intérêt légitime à une plateforme conforme à la loi et, lorsque la loi impose la mesure, le respect d'une obligation légale, article 6, paragraphe 1, points f) et c), du RGPD.
Pour répondre aux messages envoyés via le formulaire de contact et pour traiter les réclamations. Base juridique : notre intérêt légitime à répondre aux personnes qui nous écrivent, article 6, paragraphe 1, point f), du RGPD.
Pour envoyer des informations commerciales par courrier électronique, lorsque vous vous y êtes abonné séparément. Base juridique : votre consentement, article 6, paragraphe 1, point a), du RGPD, combiné à l'article 398 de la loi polonaise sur les communications électroniques. Vous pouvez le retirer à tout moment au moyen du lien de désabonnement, sans que cela affecte ce que vous avez reçu auparavant.
Comprendre comment le service est utilisé, lorsque vous acceptez l'analytique : quelles pages sont ouvertes, quelles actions sont effectuées, le type d'appareil et de navigateur, et une localisation approximative dérivée de l'adresse IP. Cela se fait avec PostHog. Base juridique : votre consentement, article 6(1)(a) du RGPD conjointement avec l'article 399 de la loi polonaise sur les communications électroniques. Vous pouvez le retirer à tout moment depuis l'avis sur les cookies, sans effet sur ce qui a déjà été enregistré.
5. Ce que les autres peuvent voir
La visibilité de votre profil vous appartient : public, membres connectés uniquement, entreprises connectées uniquement, identité masquée ou privé. Le réglage est appliqué par le serveur sur chaque route susceptible de renvoyer un profil, il n'est pas seulement masqué dans l'interface, et un profil qui n'est pas public est refusé aux visiteurs qui n'y ont pas droit.
Le mode identité masquée cache votre nom, votre photo, vos employeurs, vos coordonnées, vos liens, vos attentes salariales et l’identifiant de votre profil, et réduit votre localisation et celle de chaque poste au pays tout au plus. Dans les textes que vous avez écrits, le serveur remplace aussi votre nom, toute adresse e-mail, votre numéro de téléphone et toute adresse web avant l’envoi de la page. C’est un choix d’affichage, pas une garantie d’impossibilité de recoupement : ce que vous écrivez sur vous peut encore vous identifier si c’est suffisamment distinctif, par exemple un employeur nommé dans une description ou un service décrit de manière très précise. La vérification de confidentialité dans vos paramètres liste ce qu’elle a trouvé dans vos textes ; considérez le mode identité masquée comme montrer votre travail sans votre nom, pas comme intraçable.
Les coordonnées et les fichiers de CV ne sont jamais montrés aux visiteurs anonymes. Ils ne sont affichés que si vous les activez, et alors uniquement aux entreprises connectées et aux administrateurs. Votre profil public n'est proposé aux moteurs de recherche que si vous activez l'indexation ; elle est désactivée par défaut.
6. Comment les résultats sont classés, et le pourcentage de correspondance
Les résultats de recherche sont classés selon le critère choisi par le visiteur : par défaut les plus récemment publiés d'abord, ou par prix, ou par disponibilité indiquée. Personne ne peut payer pour obtenir une meilleure position, et il n'y a ni résultats promus ni résultats sponsorisés.
Le pourcentage affiché à côté d'un service est un calcul simple et fixe portant sur des informations que vous avez publiées vous-même : le degré de complétude du profil, la présence de compétences, l'indication d'un prix et d'une disponibilité. C'est de l'arithmétique, pas de l'intelligence artificielle, cela ne modifie pas l'ordre des résultats et cela ne produit aucune décision vous concernant. Aucun profilage au sens de l'article 22 du RGPD n'a lieu, et aucune décision produisant des effets juridiques ou vous affectant de manière significative de façon similaire n'est prise de manière automatisée.
7. Qui d'autre reçoit des données
Les autres utilisateurs, mais uniquement dans les limites que vous fixez : ce que permet votre réglage de visibilité, le contenu des conversations auxquelles vous participez et les invitations que vous recevez. Les administrateurs du service peuvent voir les données de compte et de contenu lorsque cela est nécessaire à la modération et à l'assistance.
Des prestataires agissant sur nos instructions : cyber_Folks S.A., qui héberge le serveur du service ; Resend, qui envoie les e-mails de compte tels que les réinitialisations de mot de passe et les liens de vérification ; Cloudflare, Inc., qui fournit le DNS du domaine, se place devant le service comme proxy inverse de sorte que les requêtes transitent par lui, et fournit le stockage d'objets (Cloudflare R2) qui contient nos copies de sauvegarde externes chiffrées ; et PostHog, Inc., qui fournit l'analyse produit, uniquement après votre accord. Aucun réseau publicitaire, prestataire de paiement ni fournisseur d'intelligence artificielle ne reçoit vos données, car le service n'en utilise aucun.
Google est destinataire dans deux cas. Si vous vous connectez avec Google, Google gère cette connexion et nous transmet votre adresse e-mail, votre nom et votre photo de profil. Si un utilisateur s'est inscrit de cette manière, sa photo est servie par Google, et votre navigateur contacte donc Google pour l'afficher. Par ailleurs, votre propre navigateur établit deux connexions : l'ouverture de la carte charge les tuiles depuis OpenStreetMap, qui reçoit votre adresse IP, et notre serveur interroge Nominatim d'OpenStreetMap pour convertir un nom de lieu saisi en coordonnées, ce qui transmet ce nom et provient de notre serveur, pas de vous.
Si vous acceptez l'analytique, votre navigateur envoie les événements d'usage vers notre propre origine et nous les transmettons au cloud européen de PostHog. PostHog voit alors les pages que vous consultez, les actions que vous effectuez, votre adresse IP, les informations de navigateur et d'appareil, et un identifiant aléatoire. Si vous êtes connecté, nous y joignons l'identifiant et le rôle de votre compte, pas votre adresse e-mail ni votre nom. PostHog ne reçoit ni le contenu des messages, ni les mots de passe, ni les fichiers que vous téléversez. Vous pouvez l'arrêter à tout moment depuis l'avis sur les cookies ; nous cessons alors d'envoyer des événements et demandons à PostHog d'oublier l'identifiant utilisé dans ce navigateur.
8. Transferts en dehors de l'Espace économique européen
Le service, sa base de données et les fichiers téléversés sont hébergés sur un serveur en Pologne. Les copies de sauvegarde chiffrées sont stockées dans un bucket Cloudflare R2 créé avec la restriction de juridiction Union européenne, de sorte qu'elles restent dans des centres de données situés dans l'UE. Les événements analytiques que vous avez acceptés sont traités dans le cloud européen de PostHog. Cloudflare et Resend exploitent une infrastructure mondialement distribuée, et Google ainsi que PostHog, Inc. sont établis hors de l'Espace économique européen, de sorte qu'une partie de leur traitement peut avoir lieu en dehors de celui-ci.
Dans ce cas, le transfert repose sur les garanties prévues par notre contrat avec ce prestataire, telles qu'une décision d'adéquation, une certification ou des clauses contractuelles types approuvées par la Commission européenne. Vous pouvez demander, via le formulaire de contact, laquelle s'applique à un prestataire donné, et nous vous le préciserons.
9. Combien de temps nous les conservons
Données de compte, de profil, d'offre et fichiers : aussi longtemps que le compte existe. Lorsque vous supprimez votre compte, l'enregistrement du compte et tout ce qui figure sur votre profil sont anonymisés immédiatement, les fichiers téléversés sont supprimés du serveur, le parcours professionnel, les services publiés, les documents et les éléments enregistrés sont supprimés, et toutes les sessions sont closes. Un enregistrement anonymisé et vide du compte est conservé afin que les conversations et les enregistrements d'autres personnes ne soient pas rompus ; il ne contient aucune donnée permettant de vous identifier.
Les messages que vous avez envoyés à un autre utilisateur restent dans la conversation de cette personne après la disparition de votre compte, affichés en regard d'un compte anonymisé. Ils sont autant l'enregistrement de cette personne que le vôtre, raison pour laquelle ils ne sont pas supprimés avec votre profil.
Journaux du serveur et d'audit et enregistrements de consentement : conservés à des fins de sécurité et de responsabilité. Les enregistrements de consentement sont conservés aussi longtemps qu'ils peuvent être nécessaires pour prouver le consentement et pour se défendre contre des réclamations ; les entrées d'audit relatives aux actions sur le compte sont conservées pour la même raison.
Messages du formulaire de contact : aussi longtemps que nécessaire pour traiter la demande et ses suites éventuelles.
Sauvegardes : une copie de la base de données est réalisée chaque jour sur le serveur et les 14 copies les plus récentes y sont conservées. Une fois par jour, la copie la plus récente, accompagnée d'une archive des fichiers téléversés, est chiffrée puis envoyée vers le stockage externe décrit aux sections 7 et 8, où sont conservées les 14 dernières copies quotidiennes, 4 hebdomadaires et 6 mensuelles ; les plus anciennes sont supprimées automatiquement. Une sauvegarde contient tout ce que la base de données et le stockage de fichiers détiennent à cet instant, y compris les données de comptes supprimés par la suite ; des données supprimées peuvent donc subsister dans une sauvegarde jusqu'à six mois, jusqu'à ce que la dernière copie les contenant soit remplacée. Les sauvegardes ne servent qu'à rétablir le service après une panne ; nous ne restaurons pas une sauvegarde pour rétablir des données supprimées.
10. Comment les données sont protégées
Les mots de passe ne sont conservés que sous forme de hachages bcrypt. Le trafic est servi via TLS. Les sessions utilisent des jetons d'accès de courte durée et un refresh token conservé dans un cookie que JavaScript ne peut pas lire ; la fermeture d'une session ou le changement de mot de passe invalide les jetons immédiatement, au lieu de les laisser expirer.
L'accès aux données d'un autre utilisateur est refusé par le serveur sur chaque route, les fichiers téléversés sont vérifiés par rapport au type de fichier qu'ils déclarent, et les requêtes font l'objet d'une limitation de débit. Les actions administratives sont consignées dans un journal d'audit.
Aucun système n'est parfaitement sûr, et nous ne prétendons pas le contraire. Si survient une violation susceptible d'engendrer un risque pour vos droits et libertés, nous en informerons l'autorité de contrôle et, lorsque la loi l'exige, vous-même.
Les sauvegardes sont chiffrées sur notre serveur avant de le quitter, avec une clé que nous seuls détenons ; le prestataire de stockage ne reçoit que des fichiers chiffrés et ne peut pas les lire. L'accès aux sauvegardes est limité aux personnes qui exploitent le service, le stockage conserve les versions précédentes de chaque fichier afin qu'une copie ne puisse pas être détruite discrètement, et les restaurations sont testées pour qu'une sauvegarde soit quelque chose sur quoi nous pouvons réellement compter.
11. Vos droits
Vous disposez du droit d'accès à vos données et d'en obtenir une copie, du droit de rectification, d'effacement, de limitation du traitement, du droit d'opposition au traitement fondé sur nos intérêts légitimes, et du droit à la portabilité des données. Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment ; cela n'affecte pas le traitement effectué avant ce retrait.
Vous pouvez exercer plusieurs de ces droits vous-même, immédiatement : modifier ou corriger tout élément de votre profil dans l'espace compte, changer votre visibilité, télécharger une copie de vos données sous forme de fichier depuis les paramètres du compte, retirer le consentement à la lettre d'information depuis le lien de désabonnement, et supprimer votre compte depuis les paramètres du compte après confirmation de votre mot de passe.
Pour tout le reste - limitation, opposition, ou une question sur la manière dont un droit a été traité - utilisez le formulaire de contact. Nous demanderons suffisamment d'informations pour nous assurer que la demande émane bien de vous, et nous ne facturerons rien, sauf si une demande est manifestement infondée ou excessive.
Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle. En Pologne, il s'agit du Président de l'Office de protection des données à caractère personnel (Prezes Urzędu Ochrony Danych Osobowych), ul. Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl. Si vous résidez ou travaillez dans un autre pays de l'EEE, vous pouvez saisir l'autorité de contrôle de ce pays.
13. Âge
MySkillsSpace est un service destiné aux personnes qui proposent des services professionnels et aux entreprises qui les recherchent. Il ne s'adresse pas aux enfants et les comptes sont destinés aux personnes âgées de 16 ans ou plus. Si vous pensez qu'un enfant a créé un compte, signalez-le-nous via le formulaire de contact et nous le supprimerons.
14. Modifications du présent avis
Le présent avis peut changer lorsque le service change ou lorsque la loi change. La version en vigueur est identifiée par la date d'entrée en vigueur indiquée en haut de cette page.
Si une modification affecte de manière substantielle l'utilisation de vos données, les titulaires de compte en seront informés avant son entrée en vigueur, par un courrier électronique ou un avis dans le service, plutôt que par une modification silencieuse.