--- title: "Vos données : RGPD, hébergement dans l’UE, aucun entraînement | Skolbot" description: "Hébergement et traitement dans l’Union européenne, aucun entraînement sur vos données, notification des violations sous 48 h, AI Act : comment Skolbot protège les données des candidats." url: "https://www.skolbot.ai/fr-CH/securite" language: "fr" dateModified: "2026-11-09" --- # Les données de vos candidats restent les vôtres Mis à jour le 9 novembre 2026 Skolbot stocke et traite les conversations des candidats dans l’Union européenne. Un mode de résidence européenne bloque tout routage hors UE des requêtes de génération de réponse. Les données ne servent jamais à entraîner des modèles. Un accord de traitement des données (DPA) décrit chaque agent, ses finalités et ses sous-traitants. ## Quatre engagements, écrits dans le DPA Les mêmes engagements pour chaque école, dans l’accord de traitement des données. - Un DPA signé avec chaque école - Données hébergées et traitées dans l’Union européenne - Aucun entraînement : vos conversations n’entraînent aucun modèle d’IA - Purge : conversations supprimées 6 mois après le dernier message ## L’école reste responsable de traitement Cette page couvre le service Skolbot : les conversations des candidats avec les agents qu’une école installe. L’école est responsable de traitement. KYX AI est sous-traitant et agit sur ses instructions, dans le cadre du DPA. ## Traitements, finalités et conservation Pour chaque agent : les données, la finalité, les sous-traitants et la durée de conservation. L’annexe 1 du DPA donne le détail. - Agent site web : conversation, coordonnées si le candidat les donne, formation, campus et rentrée visés. Finalité : répondre et qualifier la demande. Sous-traitants : Google Cloud et Vertex AI (UE), Vercel (interface). Conservation : 6 mois après le dernier message. - WhatsApp Capture : conversation, numéro et nom de profil WhatsApp, coordonnées si le candidat les donne. Finalité : répondre et qualifier la demande. Sous-traitants : Google Cloud et Vertex AI (UE). Conservation : 6 mois après le dernier message. - WhatsApp Activate : contacts transmis par l’école qui ont accepté d’être contactés, historique de relance, conversation. Finalité : relancer et prendre rendez-vous. Sous-traitants : Google Cloud et Vertex AI (UE). Conservation des conversations : 6 mois après le dernier message. - Instagram Answer : conversation, identifiant et nom de profil Instagram. Finalité : répondre aux messages reçus. Sous-traitants : Google Cloud et Vertex AI (UE). Conservation : 6 mois après le dernier message. - Documents de l’école (brochures, programmes) : lus par Reducto, depuis un point d’accès UE, pour construire la base de connaissances. - Suivi des erreurs : Sentry, région UE, avec caviardage des données personnelles. ## Les rôles au sens du RGPD L’école est responsable de traitement : elle définit les finalités et la base légale, et informe les candidats. KYX AI, qui édite Skolbot, est sous-traitant au sens de l’article 28 du RGPD et traite les données uniquement sur instruction de l’école. ## Hébergement dans l’Union européenne Le stockage et le traitement principal ont lieu dans l’UE. - Stockage et base de données sur Google Cloud, dans l’UE - Agnostique en matière de LLM : nous utilisons les modèles les plus performants du marché en temps de réponse et en efficacité, appelés depuis des points d’accès dans l’UE - Mode de résidence européenne : aucune requête de génération routée hors UE - Accès résiduels depuis les États-Unis encadrés par les clauses contractuelles types ## Mesures de sécurité Les mesures sont décrites dans l’annexe du DPA. - Chiffrement en transit (TLS) et au repos - Authentification multifacteur et principe du moindre privilège - Données de chaque client isolées dans la plateforme - Fenêtre de discussion limitée aux domaines autorisés - Suivi des erreurs avec caviardage des données personnelles ## Aucune décision automatisée Les agents ne prennent aucune décision au sens de l’article 22 du RGPD. Le scoring classe chaque lead en froid, tiède ou chaud, selon des critères que l’école choisit, par exemple la rentrée visée, le niveau d’anglais ou le financement. Il sert seulement à prioriser les relances. Un conseiller décide toujours de la suite, et le scoring ne vaut pas recommandation d’admission. ## Transparence et AI Act Le candidat sait qu’il échange avec une IA, conformément à l’obligation de transparence de l’AI Act. Les candidats peuvent être mineurs : les agents ne demandent pas l’âge, sauf instruction écrite de l’école. ## Incidents et conservation Toute violation de données est notifiée à l’école au plus tard 48 heures après sa découverte. Les conversations sont supprimées 6 mois après le dernier message, comme le prévoit le DPA. ## Consentement WhatsApp Sur WhatsApp, le candidat écrit en premier, ou il a donné son accord dans le CRM de l’école avant toute relance. Un seul message suffit pour ne plus être contacté. ## Candidats de moins de 18 ans Certains candidats sont mineurs. Les agents collectent seulement les champs dont l’école a besoin pour traiter la demande, et ne demandent pas l’âge. Le scoring suit les mêmes règles que pour un adulte : il aide l’équipe à prioriser ses rappels, et un conseiller décide de la suite. ## Qui porte la responsabilité des réponses Chaque réponse est sourcée à partir de la base de connaissances de l’école. L’école relit les réponses pendant la mise en place. Quand une question dépasse ces contenus, ou quand le candidat demande une personne, un conseiller reprend la main. ## Questions fréquentes ### Nos données servent-elles à entraîner l’IA ? Non. Ni Skolbot ni ses sous-traitants n’utilisent vos données pour entraîner des modèles. ### Où sont hébergées les données ? Dans l’Union européenne, sur Google Cloud. Skolbot est agnostique en matière de LLM : nous utilisons les modèles les plus performants du marché en temps de réponse et en efficacité, appelés depuis des points d’accès dans l’UE. ### Qui sont les sous-traitants ? Google Cloud (hébergement et Vertex AI, UE), Reducto (lecture des brochures, point d’accès UE), Sentry (suivi des erreurs, région UE) et Vercel (hébergement de l’interface). La liste complète figure dans le DPA. ### Et WhatsApp ? L’école exploite son compte WhatsApp Business au titre de son propre contrat avec Meta. Avant toute relance par WhatsApp Activate, l’école doit disposer du consentement de la personne. ### Combien de temps les conversations sont-elles conservées ? Six mois après le dernier message. La purge est un engagement du DPA signé avec chaque école. ### Et les candidats de moins de 18 ans ? Les agents collectent le minimum dont l’école a besoin pour traiter la demande, et ne demandent pas l’âge sauf instruction écrite de l’école. Le scoring sert seulement à prioriser les rappels. Aucune décision n’est automatisée. ### Le scoring des leads est-il un profilage ? Il évalue certains critères du candidat. L’école doit donc le faire qualifier par son délégué à la protection des données (DPO). Les critères, les données utilisées et le rôle du conseiller sont définis avec l’école pendant la mise en place : elle peut les décrire dans son registre. ### Qui est responsable si un agent se trompe ? L’école est responsable de traitement et valide les contenus dont les agents se servent pour répondre. Chaque réponse est sourcée dans ces contenus, l’école relit les réponses pendant la mise en place, et un humain peut reprendre la conversation à tout moment. ## À lire aussi - [Intégrations](https://www.skolbot.ai/fr-CH/integrations) - [Mise en place](https://www.skolbot.ai/fr-CH/mise-en-place) - [Solutions](https://www.skolbot.ai/fr-CH/solutions)