Politique de confidentialité
Version 1 — en vigueur au 1er octobre 2026
Responsable de traitement
ZOUMIO, société par actions simplifiée au capital de 1 000 euros, RCS d'Agen n° 107 028 409, dont le siège est situé 22 A rue Roland Goumy, 47000 Agen.
Contact pour toute question relative aux données personnelles : privacy@zoumio.com
Le référent protection des données de Zoumio est Monsieur Kévin CAMOIT, joignable à cette adresse ou par courrier au siège social.
Traitements mis en œuvre par Zoumio pour son propre compte
2.1 Navigation sur le site
| Finalité | Fournir et sécuriser le site, mesurer l'audience |
| Données | Adresse IP, données de connexion, pages consultées, type de navigateur |
| Base légale | Intérêt légitime (art. 6.1.f) pour le fonctionnement et la sécurité ; consentement (art. 6.1.a) pour la mesure d'audience non exemptée et tout traceur publicitaire |
| Conservation | Journaux techniques : 6 mois · Traceurs : voir la Politique de cookies |
2.2 Demandes de contact, de démonstration et inscription à la bêta
| Finalité | Répondre à la demande, qualifier le besoin, organiser une démonstration, gérer la liste d'accès à la bêta privée |
| Données | Nom, adresse électronique professionnelle, société, fonction, téléphone, contenu du message |
| Base légale | Mesures précontractuelles à la demande de la personne (art. 6.1.b) et intérêt légitime à développer l'activité (art. 6.1.f) |
| Conservation | 3 ans à compter du dernier contact |
Les champs obligatoires sont signalés dans les formulaires. À défaut de les renseigner, la demande ne peut être traitée.
2.3 Prospection commerciale
| Finalité | Adresser des informations sur les offres Zoumio |
| Données | Identité, coordonnées professionnelles, historique des échanges |
| Base légale | Intérêt légitime en matière de prospection entre professionnels (art. 6.1.f), dans les conditions admises par la CNIL : sollicitation en lien avec la fonction exercée et information sur le droit d'opposition dès la collecte |
| Conservation | 3 ans à compter du dernier contact |
Un lien de désinscription figure dans chaque message. L'opposition est prise en compte sans délai.
2.4 Gestion de la relation contractuelle
| Finalité | Conclure et exécuter le contrat, facturer, recouvrer, tenir la comptabilité |
| Données | Identité et coordonnées des interlocuteurs, données de facturation, échanges |
| Base légale | Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c) pour les obligations comptables et fiscales |
| Conservation | Durée du contrat, puis 10 ans au titre des obligations comptables (art. L. 123-22 du Code de commerce) |
2.5 Comptes d'accès aux plateformes
| Finalité | Créer et administrer les comptes, authentifier, tracer les accès |
| Données | Identité, adresse professionnelle, rôle, identifiant du fournisseur d'identité, secret de double authentification, journaux de connexion et d'action |
| Base légale | Exécution du contrat conclu avec le Client (art. 6.1.b) et intérêt légitime à la sécurité (art. 6.1.f) |
| Conservation | Durée du compte · Journaux d'audit : voir l'Annexe RGPD |
2.6 Support et assistance
| Finalité | Traiter les demandes d'assistance, améliorer le service |
| Données | Identité du demandeur, contenu de la demande, éléments techniques joints |
| Base légale | Exécution du contrat (art. 6.1.b) |
| Conservation | 3 ans à compter de la clôture de la demande |
2.7 Sécurité des plateformes et prévention des abus
| Finalité | Détecter et traiter les incidents, prévenir la fraude et les usages abusifs, conserver la preuve des actions réalisées |
| Données | Journaux d'accès, adresses IP, actions réalisées, signalements |
| Base légale | Intérêt légitime (art. 6.1.f) et obligation de sécurité (art. 32 RGPD) |
| Conservation | 12 mois |
2.8 Candidatures spontanées et recrutement chez Zoumio
| Finalité | Étudier les candidatures adressées à Zoumio |
| Données | Identité, parcours, curriculum vitæ, échanges |
| Base légale | Mesures précontractuelles (art. 6.1.b) ; consentement pour la conservation au-delà du recrutement visé |
| Conservation | 2 ans après le dernier contact, conformément à la recommandation de la CNIL |
Origine des données
Les données sont collectées directement auprès des personnes concernées, par les formulaires du site, les échanges commerciaux et l'usage des plateformes.
Certaines données sont transmises par un Client, lorsqu'il crée des comptes pour ses collaborateurs, ou par un annuaire d'entreprise raccordé.
En matière de prospection entre professionnels, des coordonnées professionnelles peuvent provenir de sources publiques ou de partenaires. La personne en est alors informée lors du premier contact.
Destinataires
Les données sont accessibles :
- aux personnels habilités de Zoumio, dans la limite de leurs attributions : équipes commerciale, support, technique et administrative ;
- aux sous-traitants listés à l'article 5, dans la limite de leurs prestations ;
- le cas échéant, au Distributeur ou au Revendeur par l'intermédiaire duquel le Client a souscrit, pour la gestion de la relation commerciale dont il a la charge ;
- aux autorités habilitées, sur réquisition et dans les conditions prévues par la loi.
Zoumio ne vend pas de données personnelles et ne les communique pas à des tiers à des fins de prospection pour leur propre compte.
Sous-traitants et hébergement
5.1 Hébergement
Les plateformes sont hébergées sur Microsoft Azure, région France (Microsoft Ireland Operations Limited). Les données sont stockées et traitées au sein de l'Union européenne.
5.2 Autres sous-traitants
| Sous-traitant | Prestation | Localisation des traitements | Encadrement des transferts |
|---|---|---|---|
| Microsoft Ireland Operations Limited | Hébergement infonuagique (Azure, région France), services d'identité et messagerie professionnelle | Union européenne — région France | Clauses contractuelles types pour les traitements résiduels hors UE |
| OVH SAS | Hébergement des agents d'analyse mutualisés | France | Aucun transfert hors Union européenne |
| Brevo SAS | Acheminement des courriers électroniques transactionnels | France | Aucun transfert hors Union européenne |
| Stripe Payments Europe, Limited | Encaissement des abonnements souscrits en ligne | Irlande — Union européenne | Clauses contractuelles types pour les flux vers Stripe, Inc. (États-Unis) |
| Mistral AI SAS | Assistant conversationnel intégré aux plateformes | Espace économique européen | Clauses contractuelles types pour les traitements résiduels hors Espace économique européen |
| Google Ireland Limited | Mesure d’audience du site (Google Analytics), uniquement après consentement | Union européenne et États-Unis | Cadre de protection des données UE–États-Unis (Google LLC certifié) et clauses contractuelles types |
L'assistant conversationnel s'appuie sur les modèles de Mistral AI, société de droit français dont l'infrastructure d'inférence est établie dans l'Espace économique européen. Les fonctions d'exploitation auxquelles Mistral recourt — acheminement réseau, supervision de sécurité — peuvent comporter des flux résiduels hors Espace économique européen, encadrés par clauses contractuelles types.
Pour les Clients, la liste contractuellement opposable est celle de l'Annexe 3 de l'annexe RGPD jointe aux Conditions Générales de Vente ; en cas de divergence, cette annexe prévaut.
5.3 Transferts hors Union européenne
Zoumio privilégie des prestataires traitant les données au sein de l'Union européenne.
Lorsqu'un transfert hors de l'Union est nécessaire, il est encadré par l'un des mécanismes prévus au chapitre V du RGPD : décision d'adéquation de la Commission européenne, ou clauses contractuelles types, assorties le cas échéant de mesures supplémentaires.
La liste des transferts et des garanties applicables est communiquée sur demande à privacy@zoumio.com.
À ce jour, l'ensemble des sous-traitants directs de Zoumio traitent les données au sein de l'Union européenne ou de l'Espace économique européen. Les flux résiduels hors Espace économique européen se situent au niveau des sous-traitants ultérieurs de ces prestataires — encaissement, acheminement réseau, supervision de sécurité — et sont encadrés par clauses contractuelles types.
Durées de conservation
Les durées applicables à chaque traitement figurent à l'article 2.
S'agissant des données traitées pour le compte des Clients dans les plateformes, les durées sont paramétrées par le Client au moyen des politiques de conservation intégrées, sous sa responsabilité de responsable de traitement. Zoumio applique la durée configurée, sans pouvoir y substituer sa propre appréciation.
Au terme des durées applicables, les données sont supprimées ou anonymisées. Certaines données peuvent être conservées au-delà, en archivage à accès restreint, lorsqu'une obligation légale ou la conservation d'une preuve l'exige, et pour la seule durée nécessaire.
Sécurité
Zoumio met en œuvre les mesures techniques et organisationnelles suivantes :
- hébergement dans l'Union européenne, région France ;
- chiffrement des données sensibles au repos et des communications en transit, les secrets d'accès inclus ;
- cloisonnement strict par organisation, appliqué à chaque requête, y compris en mode multi-clients ;
- authentification par jetons en cookies non accessibles aux scripts, expiration courte, révocation immédiate ; double authentification par code temporaire ; authentification unique et approvisionnement automatique depuis l'annuaire du Client ;
- journal d'audit conservant l'auteur, la nature, l'objet et la date de chaque consultation, action ou export ;
- gestion des habilitations selon le principe du moindre privilège ;
- sauvegardes régulières et procédures de restauration ;
- suivi des vulnérabilités des composants utilisés et application des correctifs.
Aucune mesure ne garantit un risque nul. Zoumio met en œuvre un niveau de sécurité adapté au risque, au sens de l'article 32 du RGPD.
Violation de données
En cas de violation de données personnelles :
- lorsque Zoumio est responsable de traitement, elle notifie la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque, et informe les personnes concernées lorsque le risque est élevé ;
- lorsque Zoumio est sous-traitant, elle informe le Client sans délai injustifié après en avoir pris connaissance, dans les conditions et le délai fixés à l'Annexe RGPD, afin de lui permettre de satisfaire à ses propres obligations.
Vos droits
Vous disposez des droits suivants sur les données que Zoumio traite pour son propre compte :
| Droit | Portée |
|---|---|
| Accès | Obtenir la confirmation qu'un traitement existe et une copie des données |
| Rectification | Faire corriger des données inexactes ou incomplètes |
| Effacement | Obtenir la suppression, dans les cas prévus à l'article 17 du RGPD |
| Limitation | Obtenir le gel du traitement, dans les cas prévus à l'article 18 |
| Opposition | Vous opposer à un traitement fondé sur l'intérêt légitime, et sans condition à la prospection |
| Portabilité | Recevoir les données fournies, dans un format structuré et lisible par machine |
| Directives post mortem | Définir le sort de vos données après votre décès |
Comment exercer ces droits. Adressez votre demande à privacy@zoumio.com ou par courrier à ZOUMIO — 22 A rue Roland Goumy, 47000 Agen. Zoumio répond dans un délai d'un mois, prolongeable de deux mois en cas de complexité ou de nombre de demandes. Une pièce d'identité peut être demandée en cas de doute raisonnable sur votre identité, et uniquement dans ce cas.
Réclamation. Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
Données présentes dans les plateformes. Si votre demande porte sur des données traitées par Zoumio pour le compte d'un Client — notamment vos données de salarié ou de candidat dans Zoumio People — adressez-vous à cette organisation. Si vous saisissez Zoumio, elle transmet la demande au Client sans la traiter elle-même, et vous en informe.
Décisions automatisées
Zoumio ne met en œuvre aucune décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé, au sens de l'article 22 du RGPD.
Les plateformes produisent des scores, des priorisations et des recommandations. Ces éléments constituent une aide à la décision. Il appartient au Client de ne pas en faire le fondement exclusif d'une décision affectant une personne — en particulier dans le contexte des ressources humaines, où les évaluations, notations et analyses doivent donner lieu à une appréciation humaine.
Modification
Zoumio peut modifier la présente politique. La version applicable est celle publiée sur le site. Toute modification substantielle est portée à la connaissance des personnes concernées par un moyen approprié.
| Version | Date | Objet |
|---|---|---|
| 1 | 1er octobre 2026 | Version initiale |