Politique de Confidentialité

Le responsable du traitement de vos données est :

• Monsieur Marceau Timbal-Duclaux de Martin--Loury, entrepreneur individuel (EI), exploitant le service « Vocaway ».
• Adresse : 25 rue Broca, 75005 Paris, France.
• SIREN : 999 443 013 — SIRET : 999 443 013 00019.
• Référent à la protection des données : Monsieur Marceau Timbal-Duclaux de Martin--Loury (aucun délégué à la protection des données n'est légalement requis à ce jour).
• Contact dédié à la vie privée : contact@vocaway.com

• Adresse e-mail, nom, prénom ou pseudonyme, langue et thème préférés.
• Mot de passe, stocké uniquement sous forme de hachage irréversible.
• En cas de connexion avec Google : identifiant Google, nom, adresse e-mail et photo de profil transmis par Google avec votre accord. Nous ne recevons jamais votre mot de passe Google.
• Profil et rôle (particulier, étudiant, membre ou responsable d’un établissement).

• Votre voix, captée par le microphone pendant les simulations et transmise en direct à la reconnaissance vocale pour être transcrite ; aucun enregistrement audio n’est conservé.
• Transcriptions écrites de vos échanges avec le recruteur IA.
• Documents que vous importez (CV, offre d’emploi, lettre de motivation).
• Paramètres de simulation, rapports d’évaluation, scores, indicateurs (débit, pauses, tics de langage, structure du discours) et historique de progression.

• Historique des commandes, abonnements, packs de crédits, factures et coordonnées de facturation.
• Les données de carte bancaire sont saisies directement chez Stripe et ne sont jamais reçues ni stockées par Vocaway.

• Lorsque votre compte est rattaché à une école ou à une organisation : appartenance à une cohorte, code d’accès utilisé, crédits attribués, participation et résultats agrégés ou individuels mis à disposition des responsables de l’établissement dans les limites prévues par le contrat.

• Contenu de vos messages, adresse e-mail et informations nécessaires au traitement de votre demande.

• Adresse IP, type de navigateur et d’appareil, horodatage des connexions, journaux d’accès, d’erreurs et d’actions sensibles.
• Préférences enregistrées sur votre appareil (langue, thème, choix relatifs aux cookies).

Chaque traitement repose sur une base légale précise (article 6 du RGPD) :

• Création et gestion de votre compte, authentification (y compris via Google).
  • Base légale : exécution du contrat (CGU) — article 6.1.b du RGPD.
• Réalisation des simulations : transcription de la voix en direct, analyse des documents importés, réponses du recruteur IA, génération du rapport d’évaluation et suivi de votre progression.
  • Base légale : exécution du contrat — article 6.1.b du RGPD.
• Paiements, gestion des abonnements et des crédits, facturation et comptabilité.
  • Base légale : exécution du contrat (article 6.1.b) et respect d’une obligation légale de conservation comptable et fiscale (article 6.1.c).
• Sécurité de la Plateforme, prévention de la fraude et des abus, journaux de sécurité.
  • Base légale : intérêt légitime de Vocaway à protéger le Service et ses utilisateurs (article 6.1.f).
• Support utilisateur et e-mails de service (vérification d’adresse, réinitialisation du mot de passe, alertes de sécurité, informations sur le compte).
  • Base légale : exécution du contrat et intérêt légitime à répondre à vos demandes (articles 6.1.b et 6.1.f).
• Gestion des cohortes pour les écoles et organisations clientes.
  • Base légale : exécution du contrat conclu entre Vocaway et l’établissement (article 6.1.b), et intérêt légitime de l’établissement à suivre la formation de ses membres (article 6.1.f).
• Cookies et traceurs non indispensables (mesure d’audience, le cas échéant).
  • Base légale : votre consentement (article 6.1.a du RGPD et article 82 de la loi Informatique et Libertés), que vous pouvez retirer à tout moment.

Vocaway ne vend pas vos données et ne les utilise pas à des fins publicitaires.

L’adresse e-mail et le mot de passe (ou la connexion Google) sont nécessaires pour créer un compte. L’accès au microphone et la transcription de la voix sont indispensables pour réaliser une simulation. Les données de facturation sont requises pour tout achat. Sans ces données, le service correspondant ne peut pas être fourni.

Les autres informations (photo, documents importés, précisions sur votre profil) sont facultatives.

• Vous échangez avec un système d’intelligence artificielle : le recruteur n’est pas une personne réelle, et la voix que vous entendez est synthétique, générée par IA.
• Pour fonctionner, le contenu de vos simulations (audio, transcriptions, documents importés et consignes) est transmis à Mistral AI (France), qui fournit les modèles de langage, la reconnaissance vocale et la synthèse vocale. Vocaway demande contractuellement que ces contenus ne soient pas utilisés pour entraîner ou améliorer les modèles de Mistral AI.
• Le rapport d’évaluation est un scoring automatisé produit à des fins d’entraînement uniquement. Il ne produit aucun effet juridique et ne vous affecte pas de manière significative au sens de l’article 22 du RGPD : il ne s’agit ni d’une note officielle, ni d’une décision de recrutement ou d’admission.
• Vous pouvez contester une évaluation ou demander qu’elle soit examinée par une personne en écrivant au support : contact@vocaway.com.
• Les résultats produits par l’IA peuvent comporter des erreurs ; ils doivent être interprétés comme des conseils pédagogiques.

Vos données sont accessibles uniquement aux personnes habilitées de Vocaway et, dans la limite de leur mission, aux sous-traitants suivants, qui agissent sur instruction et sont liés par des engagements de confidentialité et de sécurité :

• Mistral AI SAS — France (Union européenne)
  • Modèles de langage, transcription (Voxtral) et synthèse vocale des simulations.
• Stripe Payments Europe Ltd — Irlande, avec transferts possibles vers Stripe, Inc. (États-Unis)
  • Paiement en ligne, gestion des abonnements, prévention de la fraude.
• OVH SAS — France
  • Hébergement de l’application et des données.
• OVH SAS (OVHcloud Object Storage) — France
  • Stockage des documents importés et des rapports d’évaluation exportés en PDF.
• Brevo SAS — France
  • Envoi des e-mails de service (messagerie).
• Cloudflare, Inc. — États-Unis
  • Diffusion du site (CDN), protection contre les attaques (pare-feu applicatif) et vérification anti-robot Cloudflare Turnstile sur les formulaires d’inscription, de connexion, de mot de passe oublié et de contact (traitement de l’adresse IP et de caractéristiques techniques du navigateur).
• Google Ireland Ltd / Google LLC — Irlande et États-Unis
  • Uniquement si vous choisissez de vous connecter avec Google (authentification).

Si votre compte est rattaché à un établissement, les responsables désignés de cet établissement sont également destinataires des informations de cohorte décrites à l’article 2.4. Vos données peuvent enfin être communiquées aux autorités lorsque la loi l’exige.

Les données des simulations sont traitées par Mistral AI en France. Certains prestataires peuvent transférer des données vers les États-Unis : Stripe, Google et Cloudflare. Ces transferts sont encadrés par la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework), auquel ces sociétés sont certifiées, et, à défaut, par les clauses contractuelles types de la Commission européenne.

Vous pouvez obtenir une copie de ces garanties en écrivant à contact@vocaway.com.

• Compte : pendant toute la durée de la relation contractuelle.
• Compte de particulier ou d’étudiant inactif, sans abonnement en cours : supprimé après 3 ans sans connexion. Un e-mail d’avertissement vous est envoyé 30 jours avant la suppression. Les comptes des responsables et intervenants d’un établissement sont conservés pendant la durée du contrat conclu avec l’établissement.
• Compte dont l’adresse e-mail n’a pas été vérifiée : supprimé 30 jours après sa création.
• Transcriptions, documents importés et rapports d’évaluation : conservés jusqu’à ce que vous les supprimiez ou jusqu’à la suppression de votre compte.
• Suppression du compte : elle est effective à l’issue d’un délai de grâce de 30 jours, pendant lequel vous pouvez l’annuler en vous reconnectant. Passé ce délai, les données sont définitivement effacées.
• Factures et pièces comptables : 10 ans (article L. 123-22 du Code de commerce).
• Journaux de sécurité : 12 mois maximum.
• Échanges avec le support : pendant la durée nécessaire au traitement de la demande, puis au plus 3 ans après le dernier contact.
• Choix relatifs aux cookies : 6 mois, après quoi votre choix vous est redemandé. Les preuves de ces choix (identifiant aléatoire, version, date, décision) sont conservées 5 ans et 6 mois.

Vous disposez des droits suivants sur vos données :

• Droit d’accès (article 15 du RGPD) et droit de rectification (article 16).
• Droit à l’effacement (article 17), sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement (article 18).
• Droit d’opposition (article 21) aux traitements fondés sur l’intérêt légitime.
• Droit à la portabilité (article 20) des données que vous nous avez fournies.
• Droit de retirer votre consentement à tout moment, sans remettre en cause les traitements déjà réalisés.
• Droit de définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

• Export de vos données : depuis Paramètres, vous pouvez télécharger une copie de vos données dans un format structuré et lisible par machine.
• Suppression du compte : depuis Paramètres, avec un délai de grâce de 30 jours pendant lequel vous pouvez annuler la suppression.
• Rectification : vos informations de profil sont modifiables à tout moment depuis Paramètres.
• Cookies : via le lien « Gérer les cookies » présent en bas de chaque page.

Vous pouvez aussi exercer vos droits en écrivant à contact@vocaway.com. Nous pourrons vous demander de justifier de votre identité en cas de doute raisonnable. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes ; vous en serez alors informé.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Le Service est destiné aux personnes âgées d’au moins 15 ans. Conformément à l’article 45 de la loi Informatique et Libertés, un mineur de moins de 15 ans ne peut utiliser le Service qu’avec le consentement conjoint de l’un de ses titulaires de l’autorité parentale. Si nous apprenons qu’un compte a été créé sans ce consentement, nous pourrons le suspendre ou le supprimer.

Vocaway met en œuvre des mesures techniques et organisationnelles adaptées, notamment :

• Chiffrement des échanges (HTTPS/TLS).
• Hachage robuste des mots de passe (Argon2id).
• Sessions protégées par des cookies sécurisés (httpOnly).
• Contrôle strict des accès et journalisation des actions sensibles.

En cas de violation de données présentant un risque pour vos droits, la CNIL est notifiée dans les 72 heures et vous êtes informé sans délai si le risque est élevé.

La Plateforme utilise des cookies et un stockage local strictement nécessaires à son fonctionnement. Les traceurs non indispensables ne sont déposés qu’avec votre consentement, que vous pouvez modifier à tout moment via le lien « Gérer les cookies ». Le détail figure dans la Politique Cookies.

Cette politique peut évoluer. La version et la date d’entrée en vigueur figurent en haut de cette page. En cas de modification importante, vous serez informé par e-mail ou par une notification dans votre espace au moins 30 jours avant son entrée en vigueur.