Ceci est une traduction. En cas de différence avec la version anglaise, la version anglaise prévaut. English

1. Qui nous sommes

CVTailor est géré par Own Latitude (« Own Latitude », « nous », « notre », « nos »), une entreprise enregistrée aux Pays-Bas, numéro de Chambre de commerce (KVK) 42173419, numéro de TVA NL005557761B20. Adresse : Bovenover 49, 1025 JJ Amsterdam. Nous sommes le responsable du traitement des données personnelles décrites dans cette politique. Contact : [email protected] (voir la section 13).

2. Quelles données nous traitons

Un compte est requis pour générer des CV. Lorsque vous utilisez CVTailor, nous traitons les données suivantes :

• Adresse e-mail du compte - collectée à la création de votre compte, utilisée pour vous authentifier et vous permettre de vous connecter
• Détails du profil - le profil principal que vous constituez ou téléversez peut inclure votre nom, votre e-mail, votre numéro de téléphone, votre localisation, votre localisation cible, et vos liens LinkedIn/GitHub/site web, ainsi qu'éventuellement une photo de profil. Vous choisissez ce que vous renseignez.
• Documents et contenu du CV - les CV et documents justificatifs que vous téléversez (PDF, Word, texte, Markdown), et le texte du CV que vous collez ou modifiez
• Texte de l'offre d'emploi et questions de candidature - les offres d'emploi, notes et questions de candidature que vous fournissez. Si vous importez une offre d'emploi à partir d'un lien, notre serveur récupère cette page pour lire l'offre ; seul le lien que vous avez fourni est envoyé, jamais vos données.
• Résultats générés - les CV adaptés, lettres de motivation, réponses de candidature et évaluations d'adéquation que le service produit pour vous
• Données de paiement - si vous achetez des candidatures, le paiement est traité par Stripe ; nous recevons la confirmation de votre achat (identifiant de compte, pack, montant, TVA incluse, devise et code de réduction éventuel) mais jamais les détails de votre carte. Stripe nous transmet aussi une empreinte de la carte avec laquelle vous payez - un code dérivé du numéro de carte qui ne permet pas de retrouver ce numéro (voir la section 3).
• Données de parrainage - si vous invitez un ami ou vous inscrivez via un lien d'invitation, quels comptes le parrainage relie, quand, et si le bonus a été obtenu
• Données d'utilisation et de sécurité - adresse IP et horodatages des requêtes pour la limitation de débit et la prévention des abus ; des empreintes salées et irréversibles des adresses IP et des documents téléversés utilisées pour détecter les abus des candidatures gratuites (voir la section 3) ; et, uniquement si vous y consentez, des événements d'analyse pseudonymes (voir la section 8)

3. Comment nous utilisons vos données

• Adresse e-mail - utilisée pour authentifier votre compte (connexion, réinitialisation du mot de passe) et pour vous identifier et vous répondre lorsque vous contactez le support ou envoyez un retour. Nous n'envoyons aucun e-mail marketing sauf si vous vous inscrivez aux e-mails de mise à jour produit dans les Paramètres.
• Votre profil, vos documents, votre CV et le texte de l'offre d'emploi sont envoyés à l'API Claude d'Anthropic pour générer des CV adaptés, des lettres de motivation et des réponses de candidature.
• Votre historique de génération est conservé dans votre compte - les offres d'emploi, les CV générés, les lettres de motivation, les réponses de candidature et les évaluations d'adéquation sont conservés afin que vous puissiez les revoir, les retélécharger et itérer dessus. Ils restent jusqu'à ce que vous supprimiez la génération individuelle ou votre compte (voir les sections 6 et 7).
• Votre profil principal, vos documents téléversés et vos photos sont chiffrés (AES-256-GCM) avant d'être stockés ; des copies de travail existent sur le serveur de l'application pendant que vous utilisez le service. Les CV générés enregistrés dans votre historique contiennent tout ce qui apparaît sur le CV lui-même - y compris votre photo, si vous en avez activé une - et sont stockés comme documents dans notre base de données plutôt qu'avec cette couche de chiffrement supplémentaire.
• Prévention des abus - les adresses IP sont utilisées pour la limitation de débit. Une empreinte salée et irréversible de votre adresse IP peut être enregistrée à l'inscription, et lorsqu'un lien d'invitation est utilisé ou récupéré, pour empêcher que les candidatures gratuites ne soient exploitées en masse ; ces empreintes sont supprimées sous 31 jours. Une empreinte salée et à clé de chaque document que vous téléversez (jamais le document lui-même) est conservée pendant 90 jours pour repérer une personne exploitant plusieurs comptes ; elle ne produit qu'un décompte destiné à un examen humain, et aucune décision automatisée n'est prise à partir d'elle. Les adresses IP brutes ne sont pas écrites dans nos journaux d'application ni reliées à votre contenu.
• Prévention de la fraude au paiement - lorsque vous payez par carte, nous conservons avec votre compte l'empreinte de la carte fournie par Stripe. Si un compte est suspendu pour fraude ou abus, les cartes utilisées sur ce compte ne peuvent plus acheter ici, depuis aucun compte, et un achat effectué avec l'une d'elles est intégralement remboursé. Il en va de même pour tout compte ayant payé avec une telle carte, quel que soit le moyen de paiement qu'il utilise ensuite. La suspension d'un compte est toujours la décision d'une personne, chaque achat refusé est examiné par une personne, et vous pouvez nous demander de réexaminer le vôtre. Une carte utilisée sur plusieurs comptes est seulement signalée pour qu'une personne l'examine. Nous comptons aussi les achats de chaque compte : un nombre inhabituellement élevé en peu de temps suspend les nouveaux achats sur ce compte pendant 24 heures au plus, et une personne est alertée.
• Programme de parrainage - si vous utilisez un lien d'invitation, nous enregistrons le parrainage afin que les deux comptes reçoivent le bonus décrit sur l'invitation, et afin que le programme ne puisse pas être détourné.
• Nous ne prenons aucune décision vous concernant fondée uniquement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire.

4. Sous-traitants tiers

Nous utilisons les services tiers suivants susceptibles de traiter vos données pour notre compte :

• Anthropic (API Claude) - votre profil, vos documents, votre CV et le texte de l'offre d'emploi sont envoyés à l'API d'Anthropic pour le traitement par IA. Anthropic n'utilise pas les entrées ou sorties de l'API pour entraîner ses modèles. Selon les conditions commerciales standards d'Anthropic, elle les supprime sous 30 jours, sauf s'ils sont signalés pour violation de sa politique d'utilisation (conservés alors jusqu'à 2 ans) ou si la loi exige une durée plus longue. Pour accélérer la génération, une partie de la requête peut être conservée quelques minutes dans le cache de requêtes de courte durée d'Anthropic. La politique de confidentialité d'Anthropic s'applique : anthropic.com/privacy.
• Supabase - notre fournisseur d'authentification et notre plateforme de base de données/stockage, hébergée à Londres, Royaume-Uni. Votre compte, votre historique de génération, votre solde de candidatures, vos avis et vos préférences sont stockés dans la base de données gérée de Supabase ; votre profil, vos documents et vos photos chiffrés dans son stockage. La politique de confidentialité de Supabase s'applique : supabase.com/privacy.
• Railway - notre fournisseur d'hébergement cloud. L'infrastructure serveur et les journaux sont traités sur la plateforme de Railway.
• Stripe - traitement des paiements lors de l'achat de candidatures. Stripe collecte directement les détails de votre carte ; nous ne les voyons jamais. Lors du paiement, Stripe demande aussi les éléments d'adresse de facturation nécessaires au calcul de la TVA, comme votre pays. Stripe utilise aussi les données de paiement en tant que responsable de traitement indépendant, par exemple pour prévenir la fraude et respecter ses propres obligations légales. La politique de confidentialité de Stripe s'applique : stripe.com/privacy.
• Cloudflare - Cloudflare Turnstile assure la protection anti-bot lors de l'inscription et de la connexion, en traitant des signaux techniques de votre navigateur (comme l'adresse IP et les caractéristiques de l'appareil) pour distinguer les humains des bots. Cloudflare Workers KV conserve brièvement une décision de consentement analytique (votre identifiant de compte, le choix et son horodatage - rien d'autre) si notre base de données n'a pas pu la stocker à ce moment-là, jusqu'à ce qu'elle soit stockée, et au maximum 35 jours. La politique de confidentialité de Cloudflare s'applique : cloudflare.com/privacypolicy.
• Resend - livraison des e-mails transactionnels et de support. Si vous contactez le support ou envoyez un retour, le contenu de votre message est livré via Resend.
• Meta Platforms Ireland Ltd. - uniquement si vous acceptez les cookies marketing : le pixel de Meta sur nos pages et les événements que notre serveur envoie à Meta (section 8), pour mesurer nos publicités sur Facebook et Instagram. Pour la collecte et la transmission de ces données, Meta et nous sommes responsables conjoints du traitement (art. 26 RGPD) ; ce que Meta en fait ensuite relève de la politique de confidentialité de Meta : facebook.com/privacy/policy.

5. Base juridique du traitement (RGPD)

Nous traitons les données personnelles sur les bases juridiques suivantes :

• Exécution du contrat / fourniture du service (art. 6(1)(b) RGPD) - pour votre compte, votre profil, vos documents, votre historique de génération, votre solde de candidatures, les bonus de parrainage et le traitement des paiements : tout ce qui est nécessaire pour fournir le service que vous avez demandé
• Intérêt légitime (art. 6(1)(f) RGPD) - pour la limitation de débit, la protection anti-bot et la prévention des abus, pour le journal d'audit (section 6), pour la conservation des avis non affichés publiquement et leur prise en compte dans notre note globale (section 12), et pour comprendre à quel stade des achats entamés n'ont pas abouti
• Consentement (art. 6(1)(a) RGPD) - pour les cookies et événements analytiques facultatifs (section 8), pour les e-mails de mise à jour produit et pour l'affichage public de votre avis (section 12). Vous pouvez retirer votre consentement à tout moment : pour les cookies via les Préférences de cookies, pour les e-mails de mise à jour produit dans les Paramètres, pour un avis sur la page de la candidature dans Mes candidatures, ou par e-mail.
• Obligation légale (art. 6(1)(c) RGPD) - pour la conservation des registres de paiement exigée par le droit fiscal néerlandais (section 6)
• Consentement (art. 6(1)(a) RGPD) - pour les cookies marketing facultatifs et les événements de mesure publicitaire envoyés à Meta (section 8). Vous pouvez le retirer à tout moment via les préférences de cookies.

6. Conservation des données

• E-mail du compte, profil, documents et historique de génération - conservés tant que votre compte est actif, jusqu'à ce que vous supprimiez l'élément individuel ou votre compte. La suppression de votre compte efface tout immédiatement (voir la section 7). Si votre compte est resté inactif pendant 2 ans, nous pouvons le supprimer.
• Fichiers de travail sur le serveur de l'application - les copies utilisées pendant la génération résident sur une infrastructure éphémère, ne survivent pas aux redéploiements du serveur, et sont supprimées automatiquement dès que votre compte n'a fait aucune requête pendant 24 heures (votre profil, vos documents et votre historique stockés ne sont pas affectés et sont rechargés lors de votre prochaine connexion).
• Données de prévention des abus - les compteurs de limitation de débit basés sur l'IP sont stockés en mémoire et réinitialisés au redémarrage du serveur. Les empreintes IP (de l'inscription et des liens d'invitation) sont salées, non réversibles vers votre adresse, et supprimées automatiquement sous 31 jours. Les empreintes des documents téléversés sont supprimées après 90 jours, ou avec votre compte si cela survient en premier.
• Empreintes de carte - conservées 24 mois après la dernière utilisation de la carte sur votre compte, ou supprimées avec votre compte si cela intervient avant. Le blocage d'une carte utilisée sur un compte suspendu est conservé 24 mois, même si ce compte est supprimé.
• Registres de parrainage - l'enregistrement qu'un parrainage a eu lieu (les deux identifiants de compte, les dates et le résultat) est conservé après la suppression du compte afin qu'un bonus ne puisse pas être réclamé deux fois. Il ne contient ni nom, ni e-mail, ni contenu, et son empreinte IP est supprimée après 31 jours comme ci-dessus. Une fois l'un des deux comptes supprimé, le registre lui-même est effacé 24 mois après que le parrainage a eu lieu.
• Registres de paiement - votre solde de candidatures et votre historique d'achat dans CVTailor sont supprimés avec votre compte. Les registres de paiement dans notre compte Stripe (montant, TVA, date, pack, ainsi que l'adresse e-mail et les éléments d'adresse de facturation fournis lors du paiement) sont conservés pendant 7 ans, la période exigée par le droit fiscal néerlandais.
• Événements analytiques (uniquement si vous y avez consenti) - les événements d'usage pseudonymes sont supprimés en même temps que votre compte, et le cookie analytique est effacé. Les événements enregistrés avant votre inscription ne portent que l'identifiant de cookie aléatoire, jamais votre compte, donc nous ne pouvons les effacer que lorsque le navigateur depuis lequel vous supprimez porte encore ce cookie - il dure au maximum 12 mois, et la demande de suppression est le seul moment où le lien existe. Sinon, et pour les événements pré-inscription de tout autre navigateur, ces événements restent non reliables à personne et sont retirés par le nettoyage de 14 mois ci-dessous. Indépendamment de tout cela, les événements analytiques sont supprimés automatiquement dès qu'ils ont plus de 14 mois, par une tâche exécutée quotidiennement.
• Avis - conservés jusqu'à ce que vous les supprimiez ou supprimiez votre compte, y compris en cas de suppression après 2 ans d'inactivité. La trace du moment où vous avez donné et retiré votre consentement à l'affichage d'un avis est conservée 24 mois dans le journal d'audit (ci-dessous). Voir la section 12.
• Journal d'audit - un registre des actions effectuées sur votre compte (par exemple : une exportation de données demandée, un document supprimé, un paiement commencé, un achat validé, le compte supprimé) est conservé pendant 24 mois afin que nous puissions répondre à vos questions, résoudre des litiges et démontrer la conformité (art. 5(2) et art. 17(3)(e) RGPD). Il ne contient que votre identifiant de compte, le nom de l'événement, l'horodatage et des détails techniques tels que des tailles et des identifiants - jamais votre nom, votre e-mail, vos documents ou le texte de votre CV. Parce qu'il prouve ce qui a été fait à votre compte, y compris sa suppression, ce registre n'est pas effacé avec le compte ; il expire selon son propre calendrier. Votre export de données l'inclut.

7. Vos droits (RGPD)

En tant que personne dans l'UE/EEE, vous avez le droit :

• Effacement (droit à l'oubli) - vous pouvez supprimer votre compte et toutes les données associées directement depuis l'application : connectez-vous, puis cliquez sur Supprimer le compte… dans la barre de navigation supérieure. Cela supprime définitivement et immédiatement votre compte de nos systèmes. Ce qui subsiste est décrit à la section 6 : le registre d'audit pseudonyme (expire après 24 mois), le registre de parrainage (effacé 24 mois après le parrainage), et les registres de paiement que nous devons conserver à des fins fiscales. Si votre compte a été suspendu pour fraude ou abus, le blocage des cartes de paiement utilisées sur ce compte est également conservé, pendant 24 mois (voir la section 6).
• Accès - téléchargez une copie des données personnelles que nous détenons à votre sujet directement depuis l'application : connectez-vous, ouvrez votre page de profil et, sous Confidentialité et données, cliquez sur Télécharger mes données. L'archive indique aussi les finalités, les destinataires, les durées de conservation et les sources des données.
• Portabilité - le même téléchargement vous fournit vos données dans des formats lisibles par machine (JSON, YAML, HTML, Markdown et vos fichiers téléversés d'origine) dans une archive ZIP.
• Rectification - demander la correction de données inexactes
• Vous opposer au traitement ou en demander la limitation, y compris le traitement fondé sur notre intérêt légitime
• Retirer votre consentement à tout moment, sans affecter le traitement effectué avant ce retrait
• Introduire une réclamation auprès de votre autorité nationale de protection des données (aux Pays-Bas : Autoriteit Persoonsgegevens, l'autorité néerlandaise de protection des données)

L'effacement, l'accès et la portabilité sont en libre-service. Pour une rectification, une limitation ou une opposition, contactez-nous à [email protected], via la page de support ou le bouton de commentaires dans l'application.

8. Cookies et stockage local

Strictement nécessaires : un cookie de session (pour suivre votre tâche de génération), un cookie d'authentification lorsque vous vous connectez, un petit cookie stockant votre choix de consentement aux cookies lui-même, et, si vous arrivez via un lien d'invitation, un cookie conservant cette invitation jusqu'à votre inscription. Ceux-ci ne nécessitent aucun consentement.

L'analyse est facultative (opt-in). Ce n'est que si vous acceptez les cookies analytiques dans la bannière que nous déposons un cookie cv_anon - un identifiant aléatoire, valable au maximum 12 mois, lié à des événements d'usage pseudonymes (pages consultées, fonctionnalités utilisées ; jamais le contenu de votre CV). Si vous refusez, aucun cookie analytique n'est déposé et aucun événement lié à vous n'est enregistré. Nous conservons cependant des compteurs opérationnels anonymes quel que soit votre choix - par exemple, combien de CV ont été générés avec chaque modèle, combien de packs de candidatures ont été vendus, ou combien de visites proviennent d'un assistant IA tel que ChatGPT ou Perplexity (et quels robots d'indexation IA ont parcouru nos pages publiques) - qui ne contiennent aucun identifiant d'aucune sorte et ne peuvent être reliés à vous. Si vous acceptez, nous déposons aussi un second cookie (cv_src, au maximum 180 jours) enregistrant d'où vous venez initialement - un canal tel que « recherche », « assistant IA » ou « réseau social », ainsi que toute étiquette de campagne (utm_source, utm_medium, utm_campaign) présente sur le lien par lequel vous êtes arrivé. Il ne contient aucun identifiant vous concernant. De la page qui vous a orienté, nous ne conservons que le nom de domaine (par exemple google.com) et le type de site dont il s'agit - jamais son adresse complète ni aucun terme de recherche. Nous enregistrons aussi sur quelle page de notre propre site vous êtes arrivé en premier : son adresse seule, sans ce que vous y avez saisi, et tout identifiant qu'elle contient (une référence de document, un code d'invitation) est remplacé avant l'enregistrement. Cela nous permet de voir si un résultat de recherche ou une campagne a conduit à une inscription ou à un achat ; le canal est stocké avec votre achat et apparaît dans votre export de données. Retirez votre consentement plus tard via « Préférences de cookies » dans le pied de page : les deux cookies sont supprimés et la source enregistrée est aussi effacée de vos registres d'achat (les achats eux-mêmes, et vos candidatures, ne sont pas affectés). Nous respectons le signal de navigateur Global Privacy Control, qui prime sur toute acceptation antérieure.

Le marketing est facultatif. Nous ne chargeons le pixel de Meta que si vous acceptez le marketing dans le bandeau cookies. Il dépose deux cookies : _fbp, un identifiant aléatoire du navigateur, et _fbc, qui contient l'identifiant de clic publicitaire lorsque vous arrivez depuis une publicité Meta ; tous deux durent au plus 90 jours. Notre serveur informe aussi Meta lorsque vous créez un compte, commencez votre première candidature et finalisez un achat (avec son montant et sa devise). Ces événements contiennent votre adresse e-mail sous forme hachée (SHA-256), les valeurs des deux cookies, l'agent utilisateur de votre navigateur, l'adresse de la page CVTailor où l'événement a eu lieu (sans ce qui suit un ? ou #), l'heure de l'événement et un identifiant d'événement qui évite que Meta compte deux fois le même événement, jamais votre CV, les offres d'emploi ou ce que vous écrivez dans l'application. Le but est de mesurer quelles publicités mènent à des inscriptions et à des achats. Retirez votre consentement via "Préférences de cookies" en bas de page : les deux cookies sont supprimés et plus aucun événement n'est envoyé. Si vous retirez votre consentement en étant connecté, nous conservons la date de ce retrait avec votre compte, de sorte qu'un achat finalisé ensuite n'est pas signalé à Meta, même si vous l'avez commencé avant. Global Privacy Control refuse aussi le marketing.

Le choix de votre modèle de CV peut être conservé dans le stockage local de votre navigateur (fonctionnel, facultatif dans la même bannière).

9. Transferts de données hors de l'UE

Les données de votre compte, vos documents et votre historique de génération sont stockés chez Supabase à Londres, Royaume-Uni, couvert par la décision d'adéquation de la Commission européenne pour le Royaume-Uni. Les éléments décrits aux sections 3 et 4 sont envoyés aux services d'Anthropic, qui peuvent traiter les données sur des serveurs situés en dehors de l'UE, y compris aux États-Unis ; ces transferts sont couverts par le cadre de protection des données UE–États-Unis ou par les clauses contractuelles types de la Commission européenne (voir la politique de confidentialité d'Anthropic). Stripe, Cloudflare, Resend et notre fournisseur d'hébergement Railway peuvent aussi traiter des données en dehors de l'UE, sous les garanties énoncées dans leurs conditions de traitement des données ; leurs politiques de confidentialité s'appliquent.

Si vous acceptez les cookies marketing, Meta Platforms Ireland peut transférer les données à Meta Platforms, Inc. aux États-Unis, sur la base du Data Privacy Framework UE–États-Unis et des clauses contractuelles types de la Commission européenne.

10. Enfants

CVTailor ne s'adresse pas aux enfants de moins de 16 ans. Nous ne traitons pas sciemment les données d'enfants.

11. Modifications de cette politique

Nous mettons à jour cette politique lorsque le service ou la manière dont il traite vos données change. La date de « dernière mise à jour » en haut de page indique la version la plus récente. Si un changement affecte substantiellement la manière dont nous utilisons des données que vous nous avez déjà fournies, nous vous en informerons dans l'application ou par e-mail avant qu'il ne prenne effet.

12. Avis

Si vous laissez un avis après avoir téléchargé un CV, nous enregistrons les étoiles, le texte, la candidature concernée, si vous avez accepté qu'il soit affiché publiquement (avec le moment, la version du texte de consentement et la langue dans laquelle il a été présenté), le moment où vous avez retiré ce consentement le cas échéant, votre choix de nom et de photo, ainsi que son statut de vérification, avec le motif si nous ne l'affichons pas. Les avis sont stockés chez Supabase (section 4) et figurent dans votre export de données.

Avis que vous n'acceptez pas d'afficher. Nous les conservons pour calculer notre note globale et améliorer CVTailor, et nous en lisons le texte à cette fin. Ils ne sont jamais affichés. La base légale est notre intérêt légitime à savoir comment les utilisateurs évaluent le service (art. 6(1)(f) RGPD). Vous pouvez vous y opposer à tout moment. Le plus simple est de supprimer l'avis sur la page de la candidature, dans Mes candidatures.

Avis que vous acceptez d'afficher. Nous n'affichons un avis sur notre site, sur nos comptes de réseaux sociaux et dans nos publicités que si vous cochez la case de consentement distincte, et seulement après l'avoir vérifié. La base légale est votre consentement (art. 6(1)(a) RGPD). Nous ne publions pas d'informations de santé ni d'autres informations sensibles : nous les retirons ou n'affichons pas l'avis. Un avis affiché est visible par toute personne sur internet. Sur notre site, votre nom et votre photo sont lus dans votre compte à chaque affichage de l'avis. Une copie dans une publication sur les réseaux sociaux ou une publicité conserve le nom et la photo tels qu'ils étaient lors de sa création. Les plateformes où nous le publions, comme LinkedIn, Instagram et Facebook, le traitent aussi selon leurs propres politiques de confidentialité.

Retrait du consentement. Vous pouvez retirer votre consentement à tout moment sur la page de la candidature, dans Mes candidatures, ou par e-mail, sans effet sur ce qui a été affiché auparavant. L'avis quitte alors immédiatement notre site, et nos publications sur les réseaux sociaux et nos publicités dans un délai de 30 jours. Le retrait ne retire pas vos étoiles de la note globale. La suppression de l'avis, si. Supprimer la candidature ou votre compte a le même effet que supprimer l'avis.

Conservation. Les avis sont conservés jusqu'à ce que vous les supprimiez ou supprimiez votre compte, y compris en cas de suppression après 2 ans d'inactivité (section 6). Afin de pouvoir montrer ce que vous avez accepté, la trace du moment où vous avez donné et retiré votre consentement est aussi conservée 24 mois dans le journal d'audit (section 6).

13. Contact

Questions sur cette politique et demandes relatives à la protection des données : [email protected], ou le bouton de commentaires dans l'application. Own Latitude est le responsable du traitement de vos données.