Politique de confidentialité

Cette politique couvre deux choses :

le Hub Exaduo, l’application que les écoles mettent à la disposition de leurs candidats, intervenants, jurés et agents (leurs portails), et son administration ;
le site hub-exaduo.com, qui présente le Hub.

Qui est responsable de vos données

Dans le Hub, c’est l’école. Quand vous déposez une candidature, un dossier d’intervenant ou une évaluation, vous le faites pour une école. C’est elle qui décide de ce qu’elle vous demande et de ce qu’elle en fait : elle est responsable du traitement. Exaduo fournit l’application et agit pour le compte de l’école, comme sous-traitant. Chaque portail indique le nom de l’école et renvoie vers sa propre information sur les données.

Pour le site hub-exaduo.com, le responsable du traitement est Exaduo, SAS dont le siège est au 49 rue Guy Moquet, 92240 Malakoff (RCS Nanterre 523 609 378).

Exaduo a désigné un délégué à la protection des données (DPO), joignable à dpo@exaduo.fr pour toute question.

La règle du Hub : vos données restent dans le HubSpot de l’école

Ce que vous saisissez dans un portail est écrit directement dans le HubSpot de l’école : votre fiche de contact, votre dossier (une transaction HubSpot), vos pièces (en fichiers privés, servies par des liens valables une minute) et, pour les jurys, les évaluations (en notes). Les pièces que vous déposez traversent l’application sans y être conservées.

Exaduo ne garde que ce qui est nécessaire pour faire fonctionner le service, décrit ci-dessous.

Ce que le Hub traite, et pourquoi

Vous connecter sans mot de passe

Par code reçu par courriel : votre adresse électronique. Le code (6 chiffres) est valable 10 minutes et 5 essais ; il n’est conservé que sous forme chiffrée irréversible (empreinte). Si vous créez votre espace, votre adresse est gardée 30 minutes au plus, le temps de terminer. Le courriel est envoyé par Microsoft (Azure Communication Services), avec des données traitées en France et sans suivi d’ouverture ni de clic.
Pour limiter les abus, le nombre de demandes est compté par adresse et par adresse IP, sous forme d’empreintes, pendant 24 heures au plus.
Finalité : vous reconnaître et vous donner accès à votre espace.
Base légale : l’exécution du service que l’école vous rend (contrat ou mesures précontractuelles), et notre intérêt légitime à protéger le service.

Vous connecter avec Google ou Microsoft (si l’école le propose)

Le Hub demande à Google ou à Microsoft de confirmer votre adresse électronique, et rien d’autre n’est utilisé.

Données lues : votre adresse électronique et le fait qu’elle est vérifiée (chez Microsoft, aussi l’identifiant de votre organisation, pour s’assurer que l’adresse est vérifiée). Votre nom et votre photo de profil ne sont ni lus ni conservés.
Usage : retrouver votre fiche de contact dans le HubSpot de l’école, ou la créer si le portail permet l’inscription libre, puis ouvrir votre session.
Conservation : aucune. Le Hub ne conserve ni jeton Google ou Microsoft, ni profil ; votre adresse transite 2 minutes au plus dans un ticket à usage unique.
Partage : votre adresse n’est transmise qu’à l’école, dans son HubSpot. Elle n’est ni vendue, ni utilisée pour de la publicité, ni partagée avec des tiers. Le Hub n’accède à aucun autre service Google ou Microsoft (ni messagerie, ni fichiers, ni agenda).

L’utilisation des informations reçues des API Google respecte la Règle relative aux données utilisateur des services API Google, y compris les exigences d’utilisation limitée.

Votre session

Données : un identifiant de session, dans un cookie technique.
Durée : 8 heures au plus, et fin automatique après 1 heure d’inactivité.
Appareil reconnu : pour qu’un tiers ne puisse pas vous priver de votre code en multipliant les demandes, un appareil sur lequel vous vous êtes déjà connecté est reconnu pendant 90 jours.
Base légale : nécessaire au service ; ces cookies ne demandent pas votre accord.

Les écritures en attente vers HubSpot

Si HubSpot est momentanément indisponible, ce que vous venez d’enregistrer est mis en attente pour être écrit dès que possible, au lieu d’être perdu.

Données : le contenu de l’écriture, chiffré avec une clé propre à chaque école.
Durée : 72 heures au plus, puis effacement réel.

Les paiements

Le paiement se fait sur la page du prestataire de l’école (Stripe ou Paybox), avec le compte de l’école. Vos données bancaires ne passent jamais par le Hub. Le prestataire reçoit de quoi établir le paiement (votre adresse électronique, et selon le prestataire votre nom et votre adresse de facturation) ; il agit pour l’école.

Ce que le Hub garde : la référence du paiement, son montant, son statut et ses dates, ainsi que le code promotionnel éventuel, pour vérifier l’issue du paiement et la reporter dans HubSpot.
Durée : 13 mois après la fin du paiement.

L’origine de votre visite (portail de candidature)

Si vous arrivez sur le portail de candidature par un lien de campagne, le Hub relève l’origine de la visite (paramètres utm_*, gclid, fbclid, page d’arrivée, site d’où vous venez). Ces informations restent dans l’onglet de votre navigateur (pas de cookie), puis sont écrites sur votre dossier dans le HubSpot de l’école, pour qu’elle sache quelles actions lui amènent des candidats. Exaduo n’en conserve rien.

Le suivi et le chat HubSpot de l’école (si l’école l’active)

L’école peut activer, sur ses portails, son code de suivi et son chat HubSpot. Rien n’est chargé sans votre accord, donné dans le bandeau du portail (ou dans celui de l’école). Si vous êtes connecté, HubSpot peut vous reconnaître par votre adresse. Votre choix est gardé 6 mois dans votre navigateur ; les cookies HubSpot sont effacés quand vous vous déconnectez ou retirez votre accord.

Les comptes d’administration et le journal d’audit

Les personnes de l’école et d’Exaduo qui administrent le Hub ont un compte (adresse électronique, prénom, nom, fonction). Leurs actions et leurs connexions sont inscrites dans un journal d’audit (date, auteur, action, objet), sans adresse IP. Une tentative de connexion refusée n’y est conservée que sous forme pseudonymisée. Les actions des candidats et des intervenants n’y figurent pas.

Finalité : sécurité et traçabilité des opérations.
Durée : le compte est effacé quand la personne n’administre plus aucune école ; le journal est conservé 24 mois par défaut (de 12 à 36 mois selon le choix de l’école).
Jetons d’accès et outils connectés : un administrateur peut créer des jetons d’accès (valables 1, 7 ou 30 jours, effacés 30 jours après leur échéance) ou autoriser un assistant d’IA à régler ses écoles (autorisation de 30 jours, renouvelée à l’usage). Ils ne sont conservés que sous forme d’empreinte. Aucun ne donne accès au contenu d’un dossier.
Support : une demande écrite au support depuis l’administration crée un ticket chez Exaduo ; le Hub n’en garde que la référence.

Les journaux techniques

Comme tout service en ligne, l’infrastructure (Microsoft Azure) journalise les requêtes reçues, y compris l’adresse IP, pour la sécurité et le diagnostic. Ces journaux sont conservés 90 jours. Les sauvegardes de la base technique sont conservées 35 jours.

Où sont vos données

Le Hub fonctionne sur Microsoft Azure, région France Central : base de données, cache, coffre de clés et envoi des courriels sont en France. La protection en bordure (Azure Front Door) est un réseau mondial de Microsoft.
Les données métier (contacts, dossiers, pièces, évaluations) sont dans le HubSpot de l’école, selon le contrat de l’école avec HubSpot.
Les paiements sont traités par le prestataire de l’école (Stripe ou Paybox), sur son compte.
Les sauvegardes de la base technique ont une copie dans la région Azure France Sud.

Aucune donnée n’est vendue ni cédée. Aucune décision automatisée n’est prise à votre sujet par le Hub : c’est l’école qui décide.

La sécurité

Connexion sans mot de passe ; codes et identifiants conservés seulement sous forme d’empreintes.
Chiffrement des échanges (TLS 1.2 au moins) ; base de données et coffre de clés sans accès public.
Clés et accès HubSpot de chaque école conservés dans un coffre de clés (Azure Key Vault).

Le site hub-exaduo.com

Demander une démonstration

Données : prénom, nom, adresse électronique professionnelle, école, fonction, téléphone (facultatif), message.
Finalité : vous recontacter pour organiser la démonstration et répondre à votre demande.
Base légale : mesures précontractuelles prises à votre demande.
Où : dans le HubSpot d’Exaduo (HubSpot, Inc., sous-traitant).
Durée : trois ans après notre dernier échange.

Mesure d’audience

Sans votre accord, rien n’est déposé. Si vous acceptez, HubSpot dépose ses cookies de mesure (hubspotutk, __hstc, __hssc, __hssrc) pour mesurer la fréquentation et relier vos visites à une éventuelle demande de démonstration.
Base légale : votre consentement, que vous pouvez retirer à tout moment.
Durée : 13 mois au plus pour les cookies ; votre choix est gardé 6 mois dans votre navigateur, sans cookie, puis la question vous est reposée.

Vous pouvez changer d’avis à tout moment grâce au lien « Gérer les cookies », en bas de chaque page.

Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de leur traitement ou leur portabilité, et vous opposer à leur traitement. Vous pouvez retirer votre consentement à tout moment, sans que cela remette en cause ce qui a été fait avant.

Pour vos données dans un portail du Hub (candidature, dossier, pièces…), adressez-vous à l’école : c’est elle qui les détient, dans son HubSpot. Si vous nous écrivez, nous transmettons votre demande à l’école.
Pour le site hub-exaduo.com, ou pour toute question sur le Hub, écrivez à notre délégué à la protection des données, à dpo@exaduo.fr. Nous répondons sous un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : www.cnil.fr.

Dernière mise à jour : à la publication.