Politique de confidentialité RGPD — Nehos Groupe

#1. Préambule

Nehos Groupe (ci-après « Nehos » ou « Nous ») accorde une importance fondamentale à la protection de vos données personnelles. La présente politique de confidentialité a pour objectif de vous informer, conformément aux articles 13 et 14 du Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés), de la manière dont nous collectons, traitons et protégeons vos données personnelles lorsque vous utilisez notre site nehos-groupe.com ou nos services.

Elle s'applique à toute personne physique interagissant avec Nehos : visiteurs du site, prospects, clients, candidats à un poste, abonnés à notre infolettre, ou contacts professionnels. Elle complète, sans s'y substituer, nos Conditions Générales d'Utilisation et notre Politique relative aux cookies, accessibles depuis le pied de page du site.

Nous nous engageons à traiter vos données avec loyauté, transparence, et dans le strict respect des principes posés par le RGPD : licéité, minimisation, exactitude, limitation de conservation, intégrité, confidentialité et responsabilité (accountability).

#2. Identité du responsable de traitement

Le responsable du traitement de vos données personnelles est :

• Raison sociale : Nehos Groupe SAS
• Représenté par : Foued Cherni, Président
• Siège social : À compléter (adresse postale officielle Toulouse)
• RCS : À compléter
• Email DPO : dpo@nehos-groupe.com
• Téléphone : À compléter

Nehos Groupe a désigné un Délégué à la Protection des Données (DPO), joignable à l'adresse dpo@nehos-groupe.com, pour répondre à toute question relative au traitement de vos données personnelles, à l'exercice de vos droits et à toute préoccupation en matière de conformité RGPD.

À ce jour, le rôle de Compliance Officer dédié est en cours de recrutement. Dans l'intervalle, la responsabilité DPO est assumée directement par la direction générale (Foued Cherni, CEO), conformément à la possibilité prévue à l'article 37 du RGPD pour les organisations dont l'activité principale ne consiste pas en un traitement à grande échelle de catégories particulières de données.

#3. Données collectées et finalités du traitement

Nous collectons uniquement les données strictement nécessaires aux finalités annoncées, conformément au principe de minimisation (article 5.1.c RGPD). Pour chaque catégorie de données, la base légale, la finalité et la durée de conservation sont précisées ci-dessous.

Donnée collectée	Finalité du traitement	Base légale (art. 6 RGPD)	Durée de conservation
Nom, prénom, email professionnel, société, téléphone (formulaire de contact)	Répondre à votre demande commerciale ou d'information	Intérêt légitime (art. 6.1.f)	3 ans à compter du dernier contact
Adresse email (newsletter / infolettre)	Envoi de notre infolettre Nehos Insights	Consentement (art. 6.1.a)	Jusqu'au retrait du consentement
Données de navigation anonymisées (cookies analytics Plausible)	Mesure d'audience, amélioration UX	Intérêt légitime (Plausible est cookie-less et anonymisé)	13 mois maximum
Données de prise de rendez-vous (Calendly : nom, email, créneau)	Organisation des rendez-vous commerciaux	Exécution de mesures précontractuelles (art. 6.1.b)	3 ans à compter du dernier contact
CV, lettre de motivation, parcours (page recrutement)	Étude de candidature et processus de recrutement	Mesures précontractuelles (art. 6.1.b) ou consentement	2 ans après le dernier contact (talent pool) ou destruction immédiate sur demande
Données contractuelles clients (raison sociale, IBAN, signataire)	Exécution du contrat, facturation, comptabilité	Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c)	10 ans (obligations comptables et fiscales — Code de commerce art. L123-22)

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions politiques, orientation sexuelle, données biométriques, etc.) dans le cadre de notre activité de conseil en intelligence artificielle.

#4. Destinataires des données

Vos données personnelles sont accessibles, dans la limite stricte de leurs fonctions et habilitations, aux destinataires suivants :

Personnel Nehos habilité : équipe commerciale (Foued Cherni, Raphaël Business Development), équipe communication et marketing (Zoé), équipes opérationnelles et techniques selon le contexte de la mission, équipe RH pour le traitement des candidatures, équipe comptable et financière pour la facturation.

Sous-traitants RGPD encadrés par contrat (article 28 RGPD) :

• OVHcloud (Roubaix, France) — hébergement du site et des bases de données. Sous-traitant RGPD natif, hébergement souverain français.
• Brevo (ex-Sendinblue) (Paris, France) — envoi des emails transactionnels et de la newsletter. Acteur français RGPD.
• Plausible Analytics (Tallinn, Estonie — Union européenne) — mesure d'audience cookie-less et anonymisée.
• Calendly (Atlanta, USA) — gestion des rendez-vous commerciaux. Transfert hors UE encadré par les Clauses Contractuelles Types de la Commission européenne (voir section 5).

Nous ne vendons jamais vos données personnelles à des tiers. Aucun transfert commercial de données n'est effectué, ni aujourd'hui ni à l'avenir.

Dans certains cas exceptionnels, vos données peuvent être communiquées à des autorités administratives ou judiciaires sur réquisition légale (article 6.1.c RGPD — obligation légale).

#5. Transferts de données hors Union européenne

Nous privilégions systématiquement des sous-traitants établis en Union européenne, et idéalement en France, pour assurer une protection juridique maximale de vos données. Notre hébergeur principal OVHcloud, notre solution emailing Brevo et notre outil analytics Plausible sont tous situés au sein de l'UE.

Pour l'unique sous-traitant établi hors UE — Calendly (États-Unis) — le transfert est encadré par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne le 4 juin 2021, conformément à l'article 46 du RGPD. Ces clauses garantissent un niveau de protection équivalent à celui applicable au sein de l'UE.

Une copie des Clauses Contractuelles Types signées avec Calendly peut être obtenue sur demande écrite à dpo@nehos-groupe.com.

#6. Sécurité des données

Conformément à l'article 32 du RGPD, Nehos Groupe met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

Mesures techniques :

• Hébergement chez OVHcloud France, datacenters certifiés ISO 27001, SOC 2 et HDS (Hébergeur de Données de Santé).
• Chiffrement des données en transit via TLS 1.3 (certificat SSL/TLS étendu).
• Chiffrement des données au repos via AES-256.
• Sauvegardes chiffrées quotidiennes avec rétention 30 jours, restauration testée trimestriellement.
• Pare-feu applicatif (WAF), protection DDoS de niveau infrastructure, monitoring 24/7.

Mesures organisationnelles :

• Authentification à deux facteurs (2FA) obligatoire pour l'ensemble du personnel Nehos accédant aux données.
• Politique de mots de passe robuste (Argon2id, rotation, gestionnaire dédié).
• Habilitations strictes par rôle (principe du moindre privilège).
• Sensibilisation continue du personnel aux risques cyber et au RGPD.
• Audits de sécurité annuels réalisés par un prestataire externe indépendant.
• Plan de continuité d'activité (BCP) et plan de reprise d'activité (DRP) documentés et testés annuellement.
• Registre des activités de traitement (article 30 RGPD) à jour.
• Analyses d'impact relatives à la protection des données (AIPD / DPIA — article 35 RGPD) réalisées pour les traitements à risque élevé.

En cas de violation de données : conformément à l'article 33 du RGPD, toute violation susceptible d'engendrer un risque pour vos droits et libertés sera notifiée à la CNIL dans les 72 heures suivant sa détection. Si la violation est susceptible d'engendrer un risque élevé, vous serez également informé(e) directement et sans délai, conformément à l'article 34 du RGPD.

#7. Vos droits sur vos données personnelles

Le RGPD vous reconnaît un ensemble de droits que vous pouvez exercer à tout moment :

• Droit d'accès (article 15 RGPD) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (article 16 RGPD) : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement ou « droit à l'oubli » (article 17 RGPD) : obtenir l'effacement de vos données dans les cas prévus par le RGPD.
• Droit à la limitation du traitement (article 18 RGPD) : suspendre temporairement un traitement.
• Droit à la portabilité (article 20 RGPD) : récupérer vos données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV).
• Droit d'opposition (article 21 RGPD) : vous opposer à tout moment au traitement de vos données pour des motifs tenant à votre situation particulière, ou de manière absolue pour la prospection commerciale.
• Droit de définir des directives post-mortem : indiquer le sort de vos données après votre décès, conformément à l'article 85 de la Loi Informatique et Libertés.
• Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur celui-ci (sans remettre en cause la licéité du traitement antérieur).
• Droit de réclamation auprès de la CNIL : vous pouvez à tout moment introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés via www.cnil.fr ou par courrier (3 Place de Fontenoy, 75007 Paris).

Comment exercer vos droits ? Adressez votre demande à dpo@nehos-groupe.com, accompagnée d'un justificatif d'identité (copie de pièce d'identité en cours de validité, masquée des informations non nécessaires). Nous vous répondrons dans un délai d'un mois à compter de la réception de la demande, extensible à deux mois supplémentaires en cas de complexité ou de volume élevé (vous serez alors informé(e) de ce délai et des motifs).

L'exercice de vos droits est entièrement gratuit, sauf demandes manifestement infondées ou excessives (article 12.5 RGPD).

#8. Cookies et traceurs

Notre site utilise un nombre limité de cookies, conformément aux recommandations de la CNIL et à la directive ePrivacy. Pour le détail (types de cookies, finalités, durée, gestion du consentement), veuillez consulter notre Politique relative aux cookies dédiée.

À noter : notre solution analytics principale, Plausible, est cookie-less et entièrement anonymisée — elle ne nécessite donc pas de bandeau de consentement pour la mesure d'audience.

#9. Mises à jour de la politique

La présente politique de confidentialité peut être mise à jour pour refléter les évolutions de notre activité, de nos outils ou du cadre légal applicable. Toute modification substantielle vous sera signalée par un bandeau d'information en page d'accueil et, le cas échéant, par email pour les abonnés à notre infolettre.

Date de dernière mise à jour : 22 mai 2026.

Nous vous invitons à consulter régulièrement cette page pour rester informé(e) des éventuelles modifications. La version applicable est celle en vigueur au moment de votre visite ou de votre interaction avec nos services.

#10. Contact

Pour toute question relative à la présente politique de confidentialité ou au traitement de vos données personnelles, vous pouvez contacter notre Délégué à la Protection des Données :

• Email : dpo@nehos-groupe.com
• Courrier : Nehos Groupe SAS — DPO — [adresse postale à compléter]

Nous nous engageons à vous répondre dans les meilleurs délais et, en tout état de cause, dans le délai légal d'un mois prévu par le RGPD.