Politique de confidentialité de Rhye.

01Qui traite les données et à quel titre

Cette politique s'applique au site rhye.com.br et à la plateforme Rhye. Elle suit la loi générale brésilienne sur la protection des données (LGPD, loi nº 13.709/2018) et les orientations de l'Autorité nationale brésilienne de protection des données (ANPD).

Le site et la plateforme sont exploités par Rhai Inova Simples, personne morale de droit privé immatriculée au CNPJ (registre brésilien des entreprises) sous le nº 61.202.205/0001-44, dont le siège est à Brusque, État de Santa Catarina, Brésil, désignée ici par « Rhye ».

Rhye agit à deux titres différents, et cela change qui répond de quoi :

• En tant que responsable du traitement, pour les données que nous collectons pour notre propre compte : les contacts laissés sur le site, les données des représentants et des Utilisateurs nécessaires à la gestion de la relation avec l'entreprise cliente (facturation, support, communications) et les données techniques d'utilisation du site et de la plateforme.
• En tant que sous-traitant, pour les données que l'entreprise cliente saisit sur la plateforme au sujet de ses collaborateurs, managers, candidats et autres personnes. Dans ce cas, l'entreprise est le responsable du traitement : elle décide des finalités, des bases légales et des données qui y entrent. Rhye traite ces données uniquement selon les instructions documentées de l'entreprise, conformément au contrat et à l'Accord de conformité à la LGPD.

Si vous êtes collaborateur d'une entreprise qui utilise Rhye et souhaitez exercer un droit sur vos données, le premier canal est l'entreprise elle-même, qui est le responsable du traitement. Rhye accompagne l'entreprise dans ce traitement et reçoit également votre demande, qu'elle lui transmet.

02Données que nous traitons en tant que responsable du traitement

Newsletter et formulaires du site. Lorsque vous vous inscrivez à la newsletter, nous conservons votre e-mail, votre nom (facultatif), votre langue et l'origine de l'inscription. Pour la candidature au programme de design partners, nous conservons également l'entreprise, le poste, la taille de l'équipe et, si vous les indiquez, les outils que vous utilisez et le contexte de votre demande.

Relation avec l'entreprise cliente. Nom, e-mail professionnel, poste et téléphone des représentants et contacts indiqués dans le contrat, utilisés pour l'onboarding, le support, la facturation et les communications relatives au service.

Données techniques. Journaux d'accès et d'erreur (adresse IP, date et heure, navigateur, pages ou ressources consultées), générés automatiquement à des fins de sécurité, de diagnostic et de respect du Marco Civil da Internet.

Préférences dans le navigateur. Langue et thème choisis, conservés dans le stockage local de votre navigateur. Dans l'application authentifiée, le jeton de session et un cache des données de base de votre profil, pour que vous n'ayez pas à vous reconnecter à chaque page.

03Données que nous traitons en tant que sous-traitant, pour le compte de l'entreprise cliente

L'entreprise cliente décide de ce qu'elle saisit. En général, les catégories sont les suivantes :

• Identification et contact : nom, e-mail professionnel, téléphone, CPF (numéro d'identification fiscale brésilien), photo.
• Données fonctionnelles : poste, département, unité, manager, date d'entrée et, lorsque l'entreprise choisit de les saisir, rémunération et avantages.
• Données de performance et de développement : évaluations, feedbacks, notes de 1:1, objectifs et OKR, plans de développement, reconnaissances, résultats d'évaluations comportementales.
• Données de recrutement : CV, parcours professionnel, étapes du processus de sélection et notes de sélection.
• Données d'utilisation de la plateforme : actions réalisées, journaux d'audit, conversations avec Aeva.

Personnes concernées : collaborateurs, managers et administrateurs de l'entreprise ; candidats à des postes ; anciens collaborateurs, lorsqu'ils sont importés ; et contacts de tiers mentionnés dans des enregistrements, le cas échéant.

Les données personnelles sensibles ne font pas partie du service prévu. Si l'entreprise décide de saisir des données de cette nature (des informations de santé dans un enregistrement d'absence, par exemple), elle doit en informer Rhye au préalable et garantir une base légale spécifique.

04Pourquoi nous utilisons les données et sur quelle base légale

En tant que responsable du traitement :

• Envoyer la newsletter et répondre aux demandes de contact : consentement, que vous pouvez retirer à tout moment.
• Évaluer et traiter les candidatures au programme de design partners : mesures précontractuelles, à votre demande.
• Gérer le contrat avec l'entreprise cliente, assurer le support et facturer : exécution du contrat et respect d'une obligation légale.
• Conserver les journaux d'accès, prévenir la fraude et garantir la sécurité : respect d'une obligation légale et intérêt légitime à la protection des services.
• Mesurer et faire évoluer le produit avec des données agrégées et anonymisées : intérêt légitime, sans identification des personnes.

En tant que sous-traitant : les finalités sont celles définies par l'entreprise cliente dans le contrat, dans le périmètre de la plateforme : structure organisationnelle et postes, job descriptions, recrutement et sélection, onboarding, évaluations et calibration, feedbacks et 1:1, plans de développement, enquêtes de climat et enquêtes pulse, reconnaissances, OKR, indicateurs RH et assistance conversationnelle via Aeva. La base légale est définie par l'entreprise, qui en répond.

Nous n'utilisons pas les données à des fins publicitaires, nous ne vendons pas de données personnelles et nous ne croisons pas les données d'entreprises différentes.

05Intelligence artificielle

Aeva et les autres fonctionnalités d'IA traitent les données personnelles exclusivement pour générer des réponses, des analyses, des classifications et des suggestions dans le contexte de l'entreprise cliente elle-même, dans le respect des permissions de la personne qui pose la question.

Les données de l'entreprise cliente ne sont utilisées ni par Rhye ni par les fournisseurs de modèles de langage auxquels elle fait appel pour entraîner, ajuster ou améliorer des modèles d'intelligence artificielle à usage général. C'est un engagement contractuel avec les fournisseurs.

La plateforme ne prend pas de décisions exclusivement automatisées produisant des effets juridiques ou affectant de manière significative les personnes. Les indicateurs, scores, analyses prédictives et recommandations sont une aide à la décision ; la décision est humaine. Sur demande de l'entreprise cliente, Rhye fournit des informations claires sur les critères et les données pris en compte par ces fonctionnalités, dans le respect du secret commercial et industriel.

06Enquêtes anonymes et protection contre la réidentification

Les réponses aux enquêtes pulse et aux autres enquêtes configurées comme anonymes sont enregistrées sans lien récupérable avec le répondant, dans la structure même de la base de données, et pas seulement masquées à l'écran. Les résultats n'apparaissent que de manière agrégée et avec un nombre minimal de réponses.

Les indicateurs calculés par la plateforme suppriment les résultats lorsque le segment est suffisamment petit pour identifier quelqu'un. Rhye ne donne pas suite aux demandes d'identification des répondants d'enquêtes anonymes, et l'entreprise cliente s'engage, par contrat, à ne pas tenter de les réidentifier.

07Avec qui nous partageons

Nous ne vendons pas de données personnelles. Nous ne partageons des données qu'avec ceux qui en ont besoin pour que la plateforme fonctionne, dans les catégories ci-dessous, sous contrat comportant des clauses de protection des données :

• Fournisseur d'infrastructure cloud : hébergement des applications, bases de données, stockage de fichiers et sauvegardes.
• Fournisseur de modèles de langage : traitement des textes et des requêtes par Aeva et par les fonctionnalités assistées par IA, sans utilisation des données pour l'entraînement.
• Fournisseur d'e-mails transactionnels : envoi des invitations, notifications et communications de la plateforme.
• Google LLC (Google Calendar), uniquement lorsque l'entreprise active l'intégration et que chaque Utilisateur autorise individuellement, via OAuth, l'accès à son propre agenda pour les 1:1 et les réunions.
• Outil de monitoring et de logs : surveillance des erreurs et de la disponibilité, avec des données minimisées.

Certains de ces fournisseurs, en particulier ceux d'infrastructure infonuagique, de modèles de langage et d'e-mail, traitent des données hors du Brésil. Ces transferts internationaux sont réalisés avec les garanties de l'art. 33 de la LGPD, au moyen de clauses contractuelles de protection des données. La liste à jour des sous-traitants ultérieurs est fournie aux entreprises clientes dans l'Accord de conformité à la LGPD et sur demande auprès du délégué à la protection des données ; les ajouts et remplacements sont communiqués à l'avance.

Nous pouvons également partager des données lorsque la loi, une décision de justice ou une autorité compétente l'exige, en informant l'entreprise cliente, sauf interdiction légale.

08Comment nous protégeons les données

• Chiffrement au repos dans les bases de données et les sauvegardes, et en transit, avec TLS, entre le navigateur, les services internes et les fournisseurs. Les clés sont gérées par un service dédié du fournisseur cloud, avec un accès restreint.
• Isolation logique par entreprise : chaque requête est liée à l'organisation de l'Utilisateur authentifié, sans possibilité de lecture entre clients.
• Contrôle d'accès par rôle et permission au sein de la plateforme, configuré par l'administrateur de l'entreprise, avec une chaîne poste, rôle et ajustements individuels.
• Accès des personnes de Rhye aux environnements de production restreint par fonction, avec des identifiants individuels et une revue périodique. Accès humain au contenu individuel uniquement sur demande écrite de l'entreprise, limité au nécessaire et journalisé.
• Journal d'audit des actions significatives (création, modification, suppression, exportation), avec auteur, date et heure, consultable par l'administrateur de l'entreprise.
• Séparation entre les environnements de développement, de recette et de production ; les données réelles des clients ne sont pas copiées vers les environnements de développement.
• Revue de code avant publication, mise à jour continue des dépendances et des correctifs de sécurité, et processus de réponse aux incidents.
• Personnes de Rhye soumises à un engagement de confidentialité et formées à la protection des données.

Aucun système n'est infaillible. En cas d'incident de sécurité susceptible d'entraîner un risque ou un dommage significatif pour les personnes, nous informons l'entreprise cliente sans délai injustifié, dans les délais prévus au contrat, ainsi que l'ANPD et les personnes concernées lorsque la loi l'exige, avec les informations déjà disponibles et les mesures adoptées.

09Combien de temps nous conservons

• Newsletter : tant que vous souhaitez la recevoir. Chaque e-mail comporte une option de désinscription, et la demande de suppression peut être faite via le contact en bas de cette page.
• Candidatures au programme de design partners : le temps nécessaire pour évaluer la demande et y répondre et, en cas de contrat, pendant sa durée.
• Données de l'entreprise cliente sur la plateforme : pendant la durée du contrat. À son terme, l'entreprise peut demander l'exportation intégrale dans un format structuré dans un délai de 30 jours. Ensuite, en l'absence de souscription à un plan, nous supprimons les données des environnements de production dans les 30 jours suivant la fin du délai d'exportation. Les sauvegardes sont supprimées selon le cycle normal de rotation.
• Journaux d'accès et logs techniques : pendant la durée exigée par le Marco Civil da Internet et pendant la période limitée nécessaire à la sécurité et au diagnostic, définie dans le contrat avec l'entreprise cliente.
• Données exigées par une obligation légale ou fiscale, ou pour l'exercice de droits dans une procédure : pendant la durée légale correspondante.

10Cookies et stockage local

Le site et la plateforme n'utilisent ni cookies de suivi, ni pixels publicitaires, ni outils d'analytics tiers. C'est pourquoi il n'y a pas de bandeau de cookies : il n'y a rien de non essentiel à accepter.

Ce qui existe, c'est un stockage local du navigateur, strictement nécessaire au fonctionnement :

• la langue et le thème choisis, pour que le site se souvienne de votre préférence ;
• dans l'application authentifiée, le jeton de session et un cache des données de base du profil, qui permettent de vous garder connecté ;
• les préférences d'interface, comme la barre latérale repliée.

Vous pouvez effacer tout cela à tout moment dans les paramètres de votre navigateur. Ce faisant, la session est fermée et les préférences reviennent aux valeurs par défaut.

11Vos droits

La LGPD vous garantit, à tout moment et sur demande, les droits de l'art. 18 : confirmation de l'existence d'un traitement ; accès ; correction des données incomplètes, inexactes ou obsolètes ; anonymisation, blocage ou suppression des données inutiles ou traitées de manière non conforme ; portabilité ; information sur le partage ; information sur la possibilité de ne pas consentir et ses conséquences ; retrait du consentement ; et opposition à un traitement irrégulier.

Pour les données que Rhye traite en tant que responsable du traitement (newsletter, formulaires, relation contractuelle), écrivez au délégué à la protection des données via le contact en bas de cette page. Nous répondons dans les délais légaux et pouvons demander des informations pour confirmer votre identité.

Pour les données saisies sur la plateforme par une entreprise cliente, la demande doit être adressée à l'entreprise elle-même, qui est le responsable du traitement. Si vous nous écrivez directement, nous transmettrons la demande à l'entreprise et l'accompagnerons dans son traitement, avec les fonctionnalités de la plateforme ou par une prise en charge directe.

Vous pouvez également déposer une réclamation auprès de l'ANPD.

12Enfants et adolescents

Le site et la plateforme ne sont pas destinés aux personnes de moins de 18 ans et nous ne collectons pas sciemment de données d'enfants ou d'adolescents. Si nous apprenons que cela s'est produit, nous supprimerons les données.

13Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des changements dans le produit, dans la loi ou dans nos pratiques. La version en vigueur, avec la date de la dernière mise à jour, est toujours publiée sur cette page. Les changements significatifs sont communiqués aux entreprises clientes via les contacts du contrat et, le cas échéant, aux abonnés à la newsletter.

14Délégué à la protection des données et contact

Le délégué à la protection des données (DPO) de Rhye peut être contacté à erickkbonfim@gmail.com, avec l'objet « Confidentialité ». C'est le canal pour l'exercice des droits, les questions sur cette politique, les communications relatives aux incidents et les demandes des entreprises clientes concernant les sous-traitants ultérieurs et les mesures de sécurité.