Politique de confidentialité

Version du 16 octobre 2026.

1. Qui sommes-nous, et quel est notre rôle ?

Iris est une plateforme éditée par Flair IT (SAS, 15 place Saint-Georges, 31000 Toulouse — voir les mentions légales). Selon les personnes et les situations, Flair IT n'a pas le même rôle :

Responsable de traitement : pour les visiteurs du site, les comptes des utilisateurs, la facturation, les journaux de sécurité, les demandes d'exercice de droits et les candidats de l'instance Iris Self Service.
Sous-traitant : pour les données des candidats que les organisations clientes (cabinets de recrutement, ESN, entreprises) importent ou font évaluer dans leur instance Iris. Le client est alors responsable de traitement : il décide pourquoi et combien de temps ces données sont utilisées, et Flair IT les traite sur ses instructions, conformément aux conditions générales d'utilisation et à l'accord de traitement des données.

2. Visiteurs du site

Données : nom, prénom, adresse e-mail professionnelle, entreprise, téléphone (facultatif) et contenu du message du formulaire de contact.
Finalité : répondre à vos demandes de contact et de démonstration.
Base légale : votre consentement (envoi du formulaire).
Durée : 3 ans au plus après votre dernier contact.

3. Utilisateurs d'Iris (comptes)

Données : nom, adresse e-mail, identifiant, langue, mot de passe (conservé sous forme chiffrée irréversible), rôles dans les instances, jeton de connexion à BoondManager si vous le configurez (chiffré), données d'abonnement et de facturation (le paiement est traité par Stripe ; Iris ne conserve que l'identifiant client Stripe, le type de carte et ses quatre derniers chiffres), journaux de connexion et d'utilisation, journaux de sécurité (connexions des administrateurs, double authentification), conversations avec l'assistant, preuve de votre acceptation des conditions (date et version des textes) et, si vous activez la double authentification ou si votre compte l'exige, son secret (chiffré) et vos codes de secours (conservés sous forme d'empreinte).
Finalités : fournir le service, facturer, assurer la sécurité de la plateforme.
Bases légales : exécution du contrat ; intérêt légitime de sécurité (journaux) ; obligation légale (comptabilité).
Durées : durée du contrat ; session de connexion de 120 minutes ; option « se souvenir de moi » de 30 jours ; conversations avec l'assistant 90 jours ; journaux de l'application 14 jours ; journaux d'accès au site 90 jours ; journaux de sécurité 12 mois ; documents de facturation selon les obligations comptables.
Suppression : vous pouvez supprimer votre compte vous-même dans Réglages > Mon compte. Ce que vous avez créé pour votre organisation lui appartient et est conservé sans votre nom.

4. Candidats d'une organisation cliente

Si une organisation cliente a importé votre CV, vous a envoyé un test ou a créé votre profil dans Iris, cette organisation est responsable de vos données et c'est elle qui doit vous informer de leur utilisation. Flair IT n'agit que pour son compte.

Données : identité et coordonnées, CV, parcours, formations, compétences, résultats d'évaluations (réponses, notes, commentaires, temps passé, indicateurs d'engagement, collages et changements d'onglet pendant un test), et les éléments produits par l'intelligence artificielle (voir la section 6).
Origine : vous-même (CV, test), l'organisation cliente, ou son outil BoondManager si elle l'a relié à Iris.
Durée : jusqu'à 24 mois après votre dernière activité, puis suppression automatique ; l'organisation peut vous effacer plus tôt.
Vos droits : adressez-vous à l'organisation, ou utilisez la page Mes données : votre demande lui est transmise, elle doit vous répondre sous un mois.

5. Candidats d'Iris Self Service

Si vous passez un test ou créez votre profil sur l'instance Iris Self Service, Flair IT est responsable de vos données.

Données : celles que vous fournissez (identité, coordonnées, CV, réponses au test), le résultat de l'évaluation et la preuve de votre acceptation des conditions (date et version des textes).
Finalité : réaliser l'évaluation que vous demandez et vous en donner le résultat.
Base légale : exécution du service que vous demandez.
Durée : 12 mois après votre dernière activité, puis suppression automatique.
Vos droits : sur la page Mes données, l'effacement ou une copie de vos données sont immédiats après vérification de votre adresse e-mail.

6. Intelligence artificielle

Iris utilise des modèles d'intelligence artificielle pour extraire les informations d'un CV, résumer un parcours, générer des questions, noter et commenter des réponses, et rapprocher des profils d'offres. Les notes, commentaires et indicateurs produits ainsi sont des aides pour les personnes de l'organisation : Iris ne prend pas de décision de recrutement à leur place, et ces éléments peuvent être relus, ajustés et contestés. Ils sont inclus, marqués « IA », dans la copie de vos données.

Les textes concernés sont transmis à OpenRouter, qui les fait traiter par l'hébergeur du modèle choisi (aujourd'hui Microsoft Azure ou Amazon Bedrock, selon le modèle). Iris impose à chaque appel la rétention zéro : seuls sont utilisés des hébergeurs qui, selon leurs engagements déclarés, ne conservent pas les textes et ne les utilisent pas pour entraîner des modèles. Sauf pour la lecture initiale d'un CV, qui en a besoin, ni le nom, ni la localisation, ni les coordonnées du candidat ne sont transmis. Le contenu des appels est effacé de nos bases 30 jours après son traitement.

7. Destinataires et sous-traitants

Destinataire	Pourquoi	Pays du fournisseur
OVHcloud	hébergement des serveurs, stockage des fichiers, sauvegardes chiffrées	France (interventions à distance possibles depuis le Canada et le Royaume-Uni)
Stripe	paiement et facturation des abonnements	Irlande, États-Unis
Brevo	envoi des e-mails (invitations, résultats, réinitialisations, réponses à vos demandes)	France et Belgique (hébergement) ; accès de sociétés du groupe depuis l'Inde et les États-Unis
Google Workspace	messagerie du support (formulaire de contact, demandes d'exercice de droits, alertes)	États-Unis
OpenRouter, puis l'hébergeur du modèle (Microsoft Azure ou Amazon Bedrock)	traitement par intelligence artificielle, en rétention zéro	États-Unis
YouTube (Google)	vidéo de présentation, chargée seulement si vous la lancez	États-Unis

Les organisations clientes sont destinataires des données de leurs candidats. Si une organisation relie son compte BoondManager à Iris, des données sont échangées avec cet outil à sa demande. Nous ne vendons aucune donnée et n'utilisons ni publicité ni outil de mesure d'audience.

Transferts hors de l'Union européenne : lorsque des données sont transmises hors de l'Union européenne (fournisseurs d'intelligence artificielle, Stripe, Brevo, Google Workspace, YouTube, accès à distance d'OVHcloud), elles ne le sont que vers des fournisseurs offrant les garanties prévues au chapitre V du RGPD (décision d'adéquation de la Commission européenne ou clauses contractuelles types).

8. Sécurité

Communications chiffrées (HTTPS), sauvegardes chiffrées et conservées 30 jours, isolation des instances clientes, accès limités par rôle, journaux d'application dépourvus de données personnelles, liens temporaires pour les tests, les relectures, les copies de données et les réinitialisations. Les comptes des administrateurs de Flair IT sont protégés par une double authentification obligatoire ; l'entrée d'un administrateur dans une instance dont il n'est pas membre exige un motif, est limitée à une heure et est journalisée, et l'ouverture des écrans d'administration est journalisée (journal conservé 12 mois).

9. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

Candidats et autres personnes : Mes données pour demander l'effacement ou une copie.
Titulaires de comptes : Réglages > Mon compte pour supprimer votre compte ; copie ou rectification sur demande.
Toute demande, y compris la rectification : support_iris@flairit.fr. Nous répondons sous un mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr).

10. Cookies

Iris n'utilise que des cookies strictement nécessaires (session, sécurité des formulaires, option « se souvenir de moi »). Ils ne demandent pas de consentement. Aucun cookie publicitaire ni de mesure d'audience n'est utilisé ; les polices et les bibliothèques de l'interface sont hébergées par Iris.

11. Évolutions de cette politique

Cette politique peut évoluer ; la date de version figure en haut de la page. Les changements importants sont signalés aux utilisateurs.