Politique de confidentialité

⚠️ Projet. Ce document est cohérent avec le règlement d'examen et avec les durées de conservation arbitrées le 20 août 2026. Il doit être relu par un juriste avant publication, et complété des mentions ⟦ainsi⟧ marquées.

1. Qui traite vos données

Le responsable du traitement est ⟦Serious Labs, forme juridique⟧, ⟦adresse complète⟧, éditeur de Credency.

Aucun délégué à la protection des données n'a été désigné : le traitement ne relève d'aucun des cas où la désignation est obligatoire. Toute question relative à vos données peut être adressée à donnees@credency.fr.

2. Ce que nous traitons, pourquoi, et sur quel fondement

Nous ne traitons aucune donnée de santé. Une demande d'aménagement se fait sans justificatif médical : une demande motivée suffit, précisément pour ne pas créer un traitement de données sensibles là où il n'a rien à faire.

3. Le suivi pendant l'épreuve, dit sans détour

Pendant une session d'examen, la plateforme enregistre des événements de navigation : sortie de la fenêtre d'examen, retour, passage en arrière-plan, collage de contenu, reconnexion. Ces événements sont horodatés par le serveur.

Ce dispositif ne verrouille rien. Aucun logiciel n'est installé, le navigateur n'est pas contraint, et ni la caméra, ni le microphone, ni l'écran ne sont accessibles. Quitter la fenêtre reste techniquement possible à tout moment : ce qui est enregistré, c'est que cela a eu lieu.

Les seuils qui déclenchent un signalement sont publiés à l'article 7 du règlement d'examen. Un signalement n'emporte aucune conséquence automatique : il ouvre l'examen du dossier par une personne, sous 72 heures. Aucune décision défavorable (invalidation d'une session, révocation d'un certificat) ne peut être prise sans cet examen humain. Vous pouvez présenter vos observations et contester la décision selon l'article 9 du règlement.

Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé, au sens de l'article 22 du RGPD.

4. Intelligence artificielle

Le corpus de référence et les questions d'examen sont produits avec l'assistance d'un système d'intelligence artificielle, sous supervision humaine, avant toute session.

Aucune donnée vous concernant n'est transmise à un tel système : ni votre compte, ni vos réponses, ni vos événements de session, ni votre copie. La frontière est absolue et vaut aussi pour l'amélioration de modèles : vos données ne servent à entraîner aucun modèle.

5. Qui reçoit vos données

Cette distinction n'est pas cosmétique. Sur un sous-traitant, nous répondons de ce qui est fait de vos données et nous encadrons son intervention par contrat. Sur un responsable distinct, c'est lui qui répond de ses propres traitements, et c'est auprès de lui que s'exercent les droits qui les concernent.

Nous ne vendons ni ne louons vos données, et ne les transmettons à aucun annonceur. Les coordonnées bancaires ne transitent jamais par nos serveurs : le paiement est réalisé sur les pages de Stripe.

Les transferts hors de l'Union européenne éventuellement opérés par ces prestataires sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par le cadre de protection des données UE-États-Unis.

6. Ce qui est public, et ce qui ne l'est pas

Un certificat délivré est vérifiable publiquement, sans compte : sa page de vérification affiche le nom porté sur le certificat, la certification obtenue, le millésime de l'édition, la date de délivrance et l'état du certificat. C'est l'objet même du service : un certificat que personne ne peut vérifier ne vaut rien.

Ne sont jamais publics : votre adresse électronique, votre score, vos réponses, vos événements de session, vos signalements et vos recours.

7. Combien de temps

La durée de 6 mois retenue pour les journaux techniques suit la recommandation de la CNIL sur la journalisation. Elle est indépendante des données de session, qui relèvent d'un flux distinct et d'une durée distincte.

La durée de 5 ans est celle de la prescription de droit commun (article 2224 du code civil). Elle vous permet de contester une décision, et nous permet de prouver ce qui s'est passé, pendant toute la période où le litige reste recevable. Elle ne procède pas de la règle des 2 ans applicable aux candidatures en recrutement, qui ne concerne pas les dossiers d'examen.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Ils s'exercent depuis votre tableau de bord ou à donnees@credency.fr. Nous répondons dans un délai d'un mois. Une pièce d'identité ne vous sera demandée qu'en cas de doute sérieux sur l'identité du demandeur.

Le cas particulier du certificat. Un certificat est délivré à vie et vérifiable publiquement : supprimer votre compte n'emporte pas sa disparition, sans quoi le service ne tiendrait pas sa promesse. Deux voies vous sont ouvertes, et le choix vous appartient :

• l'anonymisation : la page de vérification reste accessible, sans votre nom : le certificat reste opposable, il n'est plus nominatif ;
• la révocation : le certificat cesse de valoir, et sa page indique son état.

Le retrait du consentement LinkedIn se fait depuis le tableau de bord, sans justification. La connexion LinkedIn n'est jamais obligatoire : ni pour créer un compte, ni pour passer un examen, ni pour obtenir un certificat.

Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (cnil.fr).

9. Âge

Le service est réservé aux personnes majeures. Nous ne collectons aucune date de naissance, aucune donnée d'âge, et ne procédons à aucune vérification : collecter une donnée dont aucun traitement n'a besoin serait contraire au principe de minimisation.

Si nous apprenons qu'un compte a été créé par un mineur, il est supprimé et les données de session associées avec lui.

10. Cookies

Credency dépose un seul cookie : celui qui maintient votre session connectée. Il est strictement nécessaire au fonctionnement du service et ne requiert donc pas votre consentement.

Aucun cookie publicitaire, aucun traqueur, aucune mesure d'audience tierce. Aucun bandeau de consentement ne vous est présenté parce qu'il n'y a rien à consentir.

Aucune donnée d'examen n'est stockée dans votre navigateur : ni vos réponses, ni le temps restant, ni les questions. Tout vit sur le serveur : c'est ce qui vous permet de retrouver votre session intacte après une coupure.

11. Sécurité

Les mots de passe sont conservés sous forme d'empreinte Argon2id, jamais en clair. Les échanges sont chiffrés en transit. Les sauvegardes de la base sont conservées hors du serveur d'exploitation.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en serez informé dans les meilleurs délais, conformément à l'article 34 du RGPD.

12. Modification

Toute modification de la présente politique est publiée avec une nouvelle version et une date. Les traitements en cours restent régis par la version en vigueur au moment de leur mise en œuvre.