Version du 24 octobre 2026
1. Responsable du traitement et rôles
Vik Consulting SRL, 112 rue Sans Souci, 1050 Bruxelles, exploitant la marque Thalionis, est responsable des traitements nécessaires à la gestion du site, des prospects, des comptes, de la sécurité, de la facturation et de ses propres assessments. Contact : assessment@thalionis.com · TVA BE 0693.674.615.
Lorsqu’une entreprise utilise Studio Thalionis pour évaluer ses candidats ou collaborateurs, cette entreprise détermine généralement les finalités de l’évaluation et agit comme responsable du traitement. Vik Consulting SRL agit alors comme sous-traitant pour l’hébergement, l’administration et la production technique du parcours, sauf pour ses obligations propres. Ces rôles sont précisés dans le contrat et l’accord de traitement des données.
2. Personnes concernées
La présente politique concerne les visiteurs du site, prospects, clients, responsables d’entreprise, recruteurs, consultants, candidats externes, collaborateurs évalués et utilisateurs de Studio ou des espaces Expert Thalionis.
3. Données traitées
- identité, coordonnées, entreprise, fonction et langue ;
- données de compte, droits d’accès, journaux de connexion, adresse IP, tokens et historique d’utilisation ;
- CV, photographie lorsqu’elle est collectée dans le parcours, diplômes, expériences, informations professionnelles et rapports de tests externes fournis pour la finalité annoncée ;
- réponses aux questionnaires retenus pour le parcours, résultats, scores et analyses de profils comportementaux ;
- observations issues des entretiens et mises en situation, notes du consultant et recommandations ;
- communications, demandes de support, commandes, crédits, factures et paiements ;
- données techniques nécessaires à la sécurité et au bon fonctionnement du service.
Thalionis ne demande pas de données sensibles sans nécessité légale et opérationnelle démontrée. Les clients et utilisateurs ne peuvent introduire que des informations pertinentes pour la fonction et la finalité annoncée.
4. Origine des données
Les données proviennent de la personne concernée, de l’entreprise cliente, d’un recruteur ou consultant autorisé, des réponses fournies pendant l’assessment et des systèmes techniques utilisés pour sécuriser le parcours. Lorsque les données ne sont pas obtenues directement auprès de la personne, celle-ci reçoit l’information requise dans les délais légaux.
5. Finalités et bases juridiques
- fournir le site, Studio et les assessments : exécution du contrat ou mesures précontractuelles ;
- gérer les candidatures et produire les rapports : base valable déterminée par le responsable du traitement selon le contexte, notamment intérêt légitime documenté ou mesures précontractuelles lorsque leurs conditions sont remplies ; le contrat commercial entre Thalionis et le client ne suffit pas, à lui seul, à justifier le traitement des données du candidat ;
- gérer les comptes, commandes, crédits et factures : contrat et obligations légales ;
- sécuriser les accès, prévenir les abus et assurer la traçabilité : intérêt légitime et obligations de sécurité ;
- répondre aux demandes : mesures précontractuelles ou intérêt légitime ;
- envoyer une communication commerciale : consentement lorsqu’il est requis ou intérêt légitime dans les limites permises ;
- respecter les obligations fiscales, sociales, judiciaires et réglementaires : obligation légale.
Le consentement n’est utilisé que lorsqu’il constitue une base valable et peut être retiré à tout moment sans affecter les traitements antérieurs.
6. Caractère obligatoire
Les données signalées comme obligatoires sont nécessaires à la création du compte, à l’identification du candidat, à la sécurité ou à la réalisation de l’assessment. Leur absence peut empêcher l’accès au service ou la production d’un rapport. Les autres données sont facultatives.
7. Intelligence artificielle et contrôle humain
Certaines étapes peuvent être assistées par un système d’intelligence artificielle pour structurer, rapprocher et synthétiser les informations recueillies. Le système ne décide jamais du recrutement, de la promotion ou du développement d’une personne. Les résultats sont contrôlés, contextualisés et validés par une personne compétente qui peut les modifier ou les écarter.
Avant l’évaluation, le candidat reçoit une information adaptée sur la finalité du traitement, les données utilisées, la contribution de l’IA, le contrôle humain et ses droits. Il peut demander une explication compréhensible, signaler une erreur, présenter son point de vue et solliciter un réexamen humain. Thalionis prépare également sa documentation, sa gouvernance et ses contrôles en vue des obligations applicables aux systèmes d’IA à haut risque à partir du 2 décembre 2027.
8. Destinataires et sous-traitants
Les données sont accessibles uniquement aux personnes autorisées de Vik Consulting, au client concerné, aux consultants affectés à la mission et aux prestataires indispensables à l’hébergement, la messagerie, la sécurité, le paiement, le support, la production documentaire et l’assistance technologique. Chaque accès est limité au besoin d’en connaître et encadré contractuellement.
9. Transferts internationaux
Vik Consulting SRL est établie en Belgique. Le site public et le VPS opérationnel de Cockpit Thalionis sont hébergés par OVHcloud à Gravelines, en France. Les sauvegardes automatiques OVHcloud de cette infrastructure sont également hébergées en France. La localisation du VPS ne détermine pas celle des traitements des autres prestataires.
L’assistance IA utilise l’API OpenAI, avec un projet configuré en « Global » et une conservation standard. Le partage volontaire pour l’entraînement ou l’amélioration des modèles est désactivé. Cette configuration ne garantit pas un traitement exclusivement européen et ne constitue pas une approbation Zero Data Retention. L’accord public OpenAI prévoit OpenAI Ireland Ltd. pour les clients établis dans l’EEE et encadre les transferts internationaux ; des traitements hors de l’EEE ou de Suisse, notamment aux États-Unis, restent possibles. Les destinations et garanties applicables à notre organisation, y compris aux données suisses, font l’objet d’une demande de confirmation auprès d’OpenAI. Aucune résidence exclusivement européenne n’est annoncée.
La messagerie professionnelle utilise Google Workspace, abonnement Business Starter souscrit via Wix. Les envois automatiques de Thalionis utilisent le serveur SMTP Google smtp.gmail.com, avec l’adresse assessment@thalionis.com. Google traite les données nécessaires aux échanges, notamment les adresses, le contenu des messages, les pièces jointes éventuelles et les données techniques de livraison. La souscription via Wix ne signifie pas que Wix héberge cette boîte ou traite chaque message. Aucune résidence exclusivement européenne n’est établie pour cette configuration ; des traitements hors de l’EEE ou de Suisse, notamment aux États-Unis, sont possibles selon les services et sous-traitants concernés.
Les documents publics de Google prévoient un accord de traitement, des dispositions relatives à la LPD suisse et des mécanismes de transfert, dont des clauses contractuelles types selon le cas. Leur application dépend des contrats et services concernés ; une référence à ces documents n’est pas une certification de conformité. Les listes des prestataires décrivent des destinations possibles et des interventions parfois conditionnelles, sans prouver le circuit suivi par un dossier particulier. Avant l’évaluation, l’information propre au dossier doit préciser les États destinataires et les garanties effectivement applicables.
10. Durées de conservation
- dossiers candidats et rapports : durée nécessaire à la finalité, définie et justifiée par le responsable du traitement et communiquée avant l’évaluation, avec un point de départ précis ; aucune conservation générale de 24 mois n’est justifiée du seul fait de l’utilisation de Thalionis ;
- comptes et données d’utilisation : pendant la relation contractuelle puis la durée nécessaire à la clôture et à la défense des droits ;
- données comptables et factures : pendant la durée légale applicable ;
- journaux de sécurité : pendant une durée proportionnée aux besoins de sécurité et de preuve ;
- prospects : jusqu’à trois ans après le dernier contact pertinent, sauf opposition antérieure ;
- données d’essai : supprimées ou anonymisées après la clôture du compte et les délais techniques nécessaires.
Conservation technique chez OpenAI : les appels du logiciel demandent de ne pas stocker les réponses comme état applicatif (store=false). Les journaux de prévention des abus peuvent toutefois contenir des contenus et être conservés jusqu’à 30 jours par défaut, avec des exceptions légales ou de sécurité ; certains caches techniques peuvent subsister jusqu’à 24 heures. Les fichiers téléversés suivent un régime distinct : le logiciel demande leur suppression après analyse, sans garantie actuelle de reprise en cas d’échec. Sans suppression effective ou expiration, ces fichiers peuvent rester conservés par le service. Ces durées ne remplacent pas celles du dossier conservé dans Thalionis.
Les échanges de messagerie et leurs éventuelles pièces jointes suivent un cycle distinct du dossier candidat et doivent être supprimés lorsqu’ils ne sont plus nécessaires, sous réserve des obligations légales et de la défense des droits. L’effacement d’un dossier Thalionis ne supprime pas automatiquement les messages ou les copies chez leurs destinataires. Le document public Google prévoit, après une instruction de suppression devenue irréversible pour le client, un délai technique pouvant aller jusqu’à 180 jours, sauf conservation imposée par la loi ; ce délai ne constitue pas une autorisation de conserver les messages pendant 180 jours par défaut.
11. Sécurité
Thalionis applique des mesures techniques et organisationnelles adaptées : contrôle des accès, séparation des rôles, chiffrement lorsque pertinent, sauvegardes, journalisation, gestion des incidents, confidentialité contractuelle et revue régulière des habilitations. Aucun système ne peut toutefois garantir un risque nul.
12. Vos droits
Lorsque le RGPD s’applique, vous disposez, selon ses conditions, des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Vous pouvez retirer un consentement pour l’avenir et bénéficier des garanties applicables aux décisions exclusivement automatisées produisant des effets juridiques ou similaires significatifs.
En Suisse, l’article 25 LPD prévoit le droit d’accès aux données et aux informations sur leur traitement. La rectification et les autres prétentions de protection de la personnalité, notamment la destruction selon les conditions applicables, peuvent être exercées. L’article 28 prévoit la remise ou la transmission des données communiquées par la personne, sous les conditions de cet article ; il ne s’étend pas automatiquement à toutes les déductions de l’IA. L’article 21 prévoit des garanties pour certaines décisions individuelles exclusivement automatisées, notamment un réexamen humain, sous réserve des exceptions légales.
13. Réclamation
Vous pouvez introduire une réclamation auprès de l’Autorité de protection des données : Rue de la Presse 35, 1000 Bruxelles · contact@apd-gba.be · autoriteprotectiondonnees.be.
14. Cookies et mises à jour
Après votre accord, le site active Google Analytics 4 et un compteur interne relié à Cockpit Thalionis. Les identifiants de navigateur et de session ainsi que les événements de navigation servent à mesurer l’audience. Une donnée hachée ou pseudonymisée ne doit pas être considérée automatiquement comme anonyme. Les communications réseau nécessitent le traitement technique d’une adresse IP ; les journaux d’infrastructure et les traitements de Google sont distincts du compteur interne. La politique relative aux cookies détaille les outils et le retrait du consentement. La date de cette politique est actualisée lors des modifications.
15. Cadre applicable en Suisse
Pour les traitements relevant du droit suisse, cette politique s’applique avec la LPD et son ordonnance. Les références aux bases juridiques du RGPD décrivent le cadre européen : elles ne remplacent pas les exigences suisses de licéité, de transparence, de finalité et de proportionnalité. En recrutement et dans la relation de travail privée, les informations doivent être pertinentes pour les aptitudes professionnelles ou nécessaires à l’exécution du contrat de travail, notamment au regard de l’article 328b du Code des obligations.
16. Profilage et accords distincts
Le rapprochement de données destiné à évaluer des aspects du fonctionnement professionnel peut constituer un profilage. Le responsable doit examiner son éventuelle qualification de profilage à risque élevé au sens de la LPD et réaliser l’analyse d’impact requise lorsque le traitement est susceptible d’entraîner un risque élevé. Si le traitement repose sur un consentement et concerne un profilage à risque élevé ou des données sensibles, ce consentement doit être exprès selon les exigences applicables. Un accord général ne permet pas de collecter des informations excessives ni de contourner les protections du droit du travail.
La conservation pour de futures opportunités et toute utilisation pour une finalité distincte doivent être examinées séparément. Les données d’un assessment ne peuvent pas être réutilisées librement pour entraîner un modèle ou enrichir une mémoire destinée à d’autres dossiers. Une telle utilisation nécessite un cadre distinct, une information adaptée et les garanties et accords requis.
17. Informations sur les transferts avant une évaluation
Pour une personne en Suisse, l’information propre au dossier doit préciser les États destinataires, y compris les transferts vers la Belgique ou la France, et les garanties ou exceptions pertinentes au sens des articles 16 à 19 LPD. Pour les traitements relevant du RGPD, les règles européennes de transfert s’appliquent également. Une décision d’adéquation ne supprime pas le devoir d’information ni les autres obligations de protection.
Avant toute passation réelle, l’entreprise et Thalionis doivent préciser les prestataires, les pays de traitement et les garanties effectivement applicables au dossier, y compris pour l’IA et les sauvegardes. Si ces informations ne vous ont pas été remises, demandez-les à l’entreprise ou à assessment@thalionis.com avant de transmettre votre dossier ou de commencer l’évaluation. Cette politique générale ne remplace pas cette information spécifique.
18. Fin du recrutement et sauvegardes
En Suisse, les dossiers des candidatures écartées sont en principe supprimés à la fin de la procédure, sauf motif légitime de conservation. Une durée de 12 mois demandée par un client doit elle aussi être justifiée : ce n’est pas un délai légal général. La conservation pour un vivier distinct doit être annoncée et, lorsque requis, faire l’objet d’un accord séparé. Une consultation technique du dossier ne prolonge pas, à elle seule, sa durée de conservation.
Le backup automatisé OVHcloud actuellement identifié est l’offre Standard : une sauvegarde du VPS est réalisée quotidiennement, avec une rétention de 24 heures. La conservation de sept jours relève de l’option Premium et ne correspond pas à l’offre constatée. Cette durée de 24 heures concerne uniquement ce backup OVHcloud ; elle ne garantit pas la disparition sous 24 heures de toutes les données supprimées et ne couvre pas d’éventuelles copies locales, exports, autres sauvegardes ou copies détenues par les prestataires. Leur inventaire et leur cycle doivent être précisés dans les modalités du service. La procédure de restauration doit éviter de réintroduire les dossiers déjà supprimés.
19. Exercer vos droits et contacter les autorités
Écrivez à assessment@thalionis.com en précisant l’objet de votre demande et les éléments nécessaires pour vous identifier, sans envoyer de document excessif. Lorsque Thalionis est sous-traitant, la demande est orientée vers l’entreprise responsable et Thalionis lui apporte son assistance. Le délai d’accès est en principe de 30 jours selon la LPD, et d’un mois selon le RGPD, sous réserve des prolongations ou restrictions légales motivées. Les autres demandes sont traitées selon les délais applicables à leur nature.
Pour les traitements relevant du droit fédéral suisse, vous pouvez signaler une situation au Préposé fédéral à la protection des données et à la transparence (PFPDT) : www.edoeb.admin.ch. Le PFPDT est une autorité de surveillance, pas un tribunal chargé d’accorder des dommages-intérêts. Pour une autorité cantonale ou communale, l’autorité cantonale compétente peut être concernée. Les voies judiciaires restent réservées.
Documents des prestataires :