Politique de confidentialité

1. Responsable du traitement

L'Éditeur n'a pas désigné de délégué à la protection des données (DPO), la nature et le volume de ses traitements ne rendant pas cette désignation obligatoire au sens de l'article 37 du RGPD. Toute demande relative aux données personnelles est traitée à l'adresse indiquée ci-dessus.

2. Données collectées

2.1 Données d'identification du compte

Adresse électronique, mot de passe (conservé sous forme de condensat cryptographique, jamais en clair), nom affiché si l'Utilisateur en saisit un.

2.2 Données figurant sur le CV

Saisies librement par l'Utilisateur : nom, prénom, ville, adresse électronique, numéro de téléphone, permis et mobilité, disponibilité, accroche, expériences professionnelles, stages, engagements bénévoles, projets, formations et diplômes, compétences, qualités, langues, certifications, centres d'intérêt, sections libres, liens vers des profils en ligne, et photographie si l'Utilisateur en ajoute une.

2.3 Documents importés

2.4 Suivi des candidatures

Si l'Utilisateur en fait usage : nom de l'entreprise, intitulé du poste, lien et texte de l'annonce, statut de la candidature, date et lieu d'entretien, notes personnelles, dates.

2.4 bis Lettres et mails

Si l'Utilisateur en rédige : destinataire, entreprise, poste, paragraphes de la lettre ou du mail, lieu et date, et la signature qu'il dessine s'il en ajoute une. Ces éléments sont supprimés avec la lettre ou avec le compte.

2.4 ter CV en ligne

Si l'Utilisateur met un CV en ligne, ce CV devient consultable par toute personne disposant du lien, dont l'adresse est tirée au hasard et impossible à deviner. La page est exclue des moteurs de recherche. L'Utilisateur choisit d'y masquer son téléphone et sa ville, peut couper le lien ou le supprimer à tout moment, et le lien reste actif après la fin de son accès tant qu'il ne l'a pas coupé. Le Service compte les consultations sans enregistrer de donnée sur les visiteurs : pour ne compter qu'une fois un même visiteur dans la journée, une empreinte non réversible est gardée en mémoire vive jusqu'à la fin de la journée, puis effacée.

2.5 Texte des annonces

Le texte d'une offre d'emploi collé par l'Utilisateur aux fins de comparaison est enregistré avec le CV concerné, afin de pouvoir réafficher le résultat. Il est supprimé avec le CV.

2.6 Données de paiement

Le montant, la date, l'adresse électronique et les coordonnées communiquées lors de la commande sur Shopify, et les identifiants techniques de la transaction. Aucune donnée de carte bancaire — numéro, date d'expiration, cryptogramme — n'est collectée ni conservée par l'Éditeur : ces éléments sont saisis directement sur la page de paiement sécurisée de Shopify.

2.7 Données techniques

Adresse IP, date et heure des requêtes, pages consultées, type de navigateur et système d'exploitation transmis par celui-ci. Ces éléments figurent dans les journaux du serveur et servent au fonctionnement, à la sécurité et à la limitation des abus.

3. Données sensibles

4. Finalités et bases légales

5. Destinataires et sous-traitants

Les données ne sont accessibles qu'à l'Éditeur, dans la stricte mesure nécessaire à l'exploitation du Service et au traitement des demandes. Les sous-traitants intervenant sont les suivants :

Les données peuvent en outre être communiquées aux autorités judiciaires ou administratives sur réquisition régulière.

6. Transferts hors Union européenne

Les données du Service sont hébergées en France, chez OVH SAS. Elles ne quittent pas le territoire de l'Union européenne du fait de l'hébergement. Le responsable du traitement est lui-même établi en France.

Des transferts hors Union européenne interviennent néanmoins dans deux cas :

• Shopify, pour la commande et le traitement des paiements. Les données de commande sont traitées par Shopify International Limited, établie en Irlande, et peuvent être transférées à sa société mère Shopify Inc., établie au Canada (pays bénéficiant d'une décision d'adéquation de la Commission européenne), ainsi qu'à ses prestataires aux États-Unis ;
• Google, qui reçoit l'adresse IP du visiteur lors du chargement des polices de caractères.

Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), au titre de l'article 46.2.c du RGPD, complétées par des mesures techniques : chiffrement des communications, minimisation des données transmises, absence de transmission du contenu des CV à des tiers.

7. Durées de conservation

8. Sécurité

Les mesures techniques suivantes sont effectivement en place :

• chiffrement de l'intégralité des communications en TLS, certificat Let's Encrypt, redirection systématique de HTTP vers HTTPS et en-tête HSTS d'une durée d'un an ;
• mots de passe conservés sous forme de condensat bcrypt à coût 12, jamais en clair et jamais réversibles ;
• cookie de session signé cryptographiquement, marqué HttpOnly, Secure et SameSite=Lax, donc inaccessible au JavaScript et non transmis en clair ;
• cloisonnement strict : chaque requête de lecture ou d'écriture est filtrée sur l'identifiant du compte, un utilisateur ne pouvant en aucun cas atteindre les données d'un autre ;
• limitation du débit des requêtes par adresse IP et par compte, avec protection renforcée de la page de connexion contre les tentatives systématiques ;
• bornes strictes sur la taille des requêtes, la taille des fichiers importés et la durée des connexions ;
• service applicatif accessible uniquement depuis la boucle locale du serveur, derrière un serveur frontal ;
• aucune donnée de carte bancaire ne transite par les serveurs de l'Éditeur.

Aucune mesure de sécurité ne rend un système inviolable. L'Éditeur met en œuvre les moyens ci-dessus et les fait évoluer, sans pouvoir garantir un risque nul.

9. Cookies

Le site dépose un seul cookie, strictement nécessaire à la fourniture du service expressément demandé par l'Utilisateur.

L'Utilisateur peut à tout moment supprimer ce cookie via les paramètres de son navigateur, ou se déconnecter depuis son espace personnel. La suppression du cookie ferme la session : il faudra se reconnecter pour accéder au Service.

10. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie ;
• Droit de rectification : faire corriger des données inexactes. La plupart de vos données sont directement modifiables dans votre espace personnel ;
• Droit à l'effacement : obtenir la suppression de vos données. La suppression de votre compte, disponible en un bouton dans votre espace, efface immédiatement compte, CV et candidatures ;
• Droit à la limitation du traitement ;
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine. Le Service propose un export JSON de chaque CV, directement téléchargeable ;
• Droit d'opposition à un traitement fondé sur l'intérêt légitime ;
• Droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci ;
• Droit de définir des directives relatives au sort de vos données après votre décès, conformément à l'article 85 de la loi Informatique et Libertés.

10.1 Comment les exercer

Par courriel à alexisleclou@gmail.com, ou par courrier à Ibraguim Chinkhoyev, 20 boulevard Banon, 13004 Marseille, France.

Une réponse vous est apportée dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de complexité, auquel cas vous en serez informé. Une preuve d'identité peut vous être demandée en cas de doute raisonnable sur l'identité du demandeur.

10.2 Réclamation auprès de l'autorité de contrôle

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés :

11. Protection des mineurs

Le Service est réservé aux personnes physiques âgées de 18 ans révolus, conformément à l'article 3.2 des conditions générales. Il n'est ni destiné ni proposé aux mineurs.

Si l'Éditeur apprend qu'un compte a été ouvert par une personne mineure, il procède à sa suppression et à celle des données associées. Tout titulaire de l'autorité parentale constatant une telle situation est invité à écrire à alexisleclou@gmail.com.

12. Modification de la politique

La présente politique peut être modifiée pour tenir compte d'évolutions du Service ou de la réglementation. En cas de modification substantielle, les Utilisateurs disposant d'un accès en cours en sont informés au moins quatorze (14) jours avant son entrée en vigueur, par courriel ou par notification dans le Service.

La date de dernière mise à jour figure en tête du document.

13. Contact