Politique de confidentialité

1. Qui sommes-nous

La présente politique de confidentialité explique comment cvtobrand.com (« CVtoBrand », « nous ») traite les données personnelles sur le site cvtobrand.com et dans l’application web app.cvtobrand.com (le « Service »). CVtoBrand est responsable du traitement pour les traitements décrits à la section 2.2. Notre adresse de contact pour toute question ou demande relative à la vie privée est [email protected]. Si vous souhaitez connaître l’identité juridique complète (dénomination légale, numéro d’immatriculation et adresse) de la personne ou de l’entité derrière CVtoBrand, demandez-la-nous à cette adresse ; nous vous la communiquerons sans délai injustifié. Nous n’avons pas désigné de délégué à la protection des données.

2. Nos deux rôles

2.1 Sous-traitant pour nos clients. Lorsqu’un client (un cabinet de recrutement ou une société d’intérim) importe des CV, les données personnelles qu’ils contiennent sont traitées pour le compte et sur instruction du client. Le client est responsable du traitement ; le DPA s’applique. Le client est seul responsable de la base légale, de l’information des candidats et du respect des lois de son propre pays.

2.2 Responsable du traitement pour nos propres traitements. Pour le site web, les comptes clients, la communication et la facturation, CVtoBrand est responsable du traitement. Ces traitements sont décrits ci-dessous.

3. Ce que nous traitons et pourquoi

• Visites du site : données techniques nécessaires pour fournir et protéger le site, telles que l’adresse IP, le type de navigateur et la page demandée, traitées par notre hébergeur et fournisseur réseau. Base légale : intérêt légitime à disposer d’un site sûr et fonctionnel. Nous n’utilisons des cookies d’analyse qu’avec votre consentement (voir la section 4) et nous n’utilisons pas de cookies publicitaires.
• Mesure d’audience (uniquement avec votre consentement) : si vous acceptez les cookies d’analyse, des données sur votre utilisation du site, collectées avec Google Analytics (voir la section 4). Base légale : votre consentement (article 6, paragraphe 1, point a), du RGPD), que vous pouvez retirer à tout moment.
• Comptes et Utilisateurs : nom, adresse e-mail professionnelle, rôle (administrateur ou recruteur), Espace de travail et données de connexion et d’utilisation. Base légale : exécution du contrat avec le client et notre intérêt légitime à fournir et sécuriser le Service.
• Demandes de contact et de démo : les informations que vous nous envoyez, pour répondre à votre demande. Base légale : intérêt légitime ou mesures précontractuelles.
• Facturation : données de l’entreprise et de facturation, statut de paiement. Base légale : exécution du contrat et obligations légales (fiscales).

4. Cookies

Le site cvtobrand.com utilise un stockage strictement nécessaire dans le stockage local (local storage) de votre navigateur : votre choix entre mode clair et mode sombre (cvtb-theme), votre choix de langue (cvtb-lang, uniquement si vous choisissez vous-même une langue) et votre choix en matière de cookies (cvtb-consent, avec la date et la version de ce choix). Si votre navigateur bloque le stockage local, votre choix de langue et votre choix en matière de cookies sont conservés dans des cookies strictement nécessaires portant les mêmes noms. Ce stockage ne nécessite pas de consentement et n’est pas utilisé pour vous suivre.

Mesure d’audience, uniquement avec votre consentement. Si vous acceptez les cookies d’analyse, nous utilisons Google Analytics 4 pour comprendre comment le site est utilisé, par exemple quelles pages sont consultées et comment les visiteurs trouvent le site, afin de l’améliorer. Google Analytics n’est chargé qu’après votre consentement : jusque-là, et si vous refusez l’analyse, aucun script Google Analytics n’est chargé et aucun cookie d’analyse n’est déposé. Nous utilisons Google Consent Mode, avec toutes les catégories réglées par défaut sur « refusé ». Nous n’utilisons pas les fonctions publicitaires de Google Analytics ni Google Signals, et nous n’utilisons pas les données d’analyse à des fins publicitaires.

Avec votre consentement, Google Analytics dépose les cookies _ga (pour distinguer les visiteurs) et _ga_<ID> (pour conserver l’état de la session) ; par défaut, ils expirent jusqu’à 2 ans après votre dernière visite. Google Analytics traite alors un identifiant en ligne issu de ces cookies, les pages que vous consultez, l’heure et la provenance de votre visite, ainsi que des informations sur votre appareil, votre navigateur et votre localisation approximative, déduite de votre adresse IP. Les données au niveau des événements sont conservées dans Google Analytics pendant la durée de conservation paramétrée dans notre compte Google Analytics ; les rapports agrégés qui ne vous identifient pas peuvent être conservés plus longtemps.

Le destinataire de ces données est Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande), qui fournit Google Analytics ; les données peuvent également être traitées par Google LLC aux États-Unis. Ce transfert est encadré par le EU-US Data Privacy Framework, au titre duquel Google LLC est certifiée. La base légale est votre consentement (article 6, paragraphe 1, point a), du RGPD ; pour les cookies, article 11.7a de la loi néerlandaise sur les télécommunications, Telecommunicatiewet). Google Analytics est utilisé uniquement pour ce site, et non pour les CV ou les autres données des clients dans l’application web.

Lors de votre première visite, nous vous demandons votre choix ; refuser est aussi simple qu’accepter, et l’analyse reste désactivée tant que vous ne l’acceptez pas. Vous pouvez modifier ou retirer votre consentement à tout moment via le lien « Paramètres des cookies » en bas de chaque page ; cela n’affecte pas le traitement effectué avant le retrait. Après le retrait, Google Analytics n’est plus chargé et nous supprimons ses cookies de votre navigateur ; vous pouvez aussi supprimer vous-même les cookies dans les paramètres de votre navigateur. Nous vous redemandons votre choix après 12 mois ou lorsque les catégories changent.

Pour protéger la connexion contre les abus, l’application web (app.cvtobrand.com) utilise Google reCAPTCHA Enterprise via Firebase App Check ; cela est strictement nécessaire à la sécurité. L’application web utilise également les cookies et le stockage strictement nécessaires pour se connecter et l’utiliser.

5. Durée de conservation

Nous ne conservons pas les données personnelles plus longtemps que nécessaire aux finalités décrites ci-dessus. Concrètement :

• CV et données des candidats (en tant que sous-traitant) : les profils de CV générés ne sont conservés que pendant la durée choisie par l’administrateur du client (7 à 90 jours ; 14 par défaut), puis sont supprimés. Nous ne conservons ni les fichiers source des CV ni les photos. Voir l’article 13 du DPA.
• Comptes et Utilisateurs : aussi longtemps que le compte du client existe.
• Suppression d’un compte client : lorsqu’un client supprime son compte (dans l’application web ou en nous le demandant), ou lorsque le contrat prend fin d’une autre manière, un délai d’annulation de 10 jours commence, pendant lequel le client peut annuler la suppression et exporter ses données. À l’issue de ces 10 jours, nous supprimons définitivement toutes les données de l’Espace de travail de ce client (le compte, les Utilisateurs, les profils de CV, les paramètres, les journaux d’audit et les données d’utilisation), sans retard injustifié et au plus tard 30 jours plus tard.
• Journaux d’audit (quel Utilisateur a effectué quelle action sur quel élément, et quand ; aucun contenu de CV) : 12 mois, et en tout état de cause pas plus longtemps que l’existence de l’Espace de travail du client.
• Demandes de contact et de démonstration : 12 mois après notre dernier contact.
• Cookies d’analyse (uniquement avec votre consentement) : voir la section 4.
• Seule exception : les pièces de facturation et de paiement que nous devons conserver en vertu du droit néerlandais (article 2:10 du Code civil néerlandais et article 52 de la loi générale néerlandaise sur les impôts, Algemene wet inzake rijksbelastingen) sont conservées pendant 7 ans. Nous ne conservons que les données nécessaires à cette fin (telles que la dénomination de l’entreprise, les coordonnées de facturation, les données de facture et de paiement), jamais de CV ni de données de candidats.
• Sauvegardes : si des fonctions de sauvegarde ou de restauration de nos fournisseurs cloud contiennent des copies de données personnelles, ces copies ne sont utilisées que pour restaurer le Service après un incident et sont supprimées ou écrasées à l’expiration de leur durée de conservation fixe. Les données supprimées peuvent en outre subsister pendant une durée limitée dans les systèmes de sauvegarde internes de nos fournisseurs avant d’être définitivement écrasées, conformément à leurs conditions.
• Journaux techniques de nos hébergeurs et fournisseurs cloud et e-mail : pendant les durées de conservation limitées applicables à ces journaux chez nos fournisseurs, puis supprimés.

6. Destinataires et sous-traitants ultérieurs

Nous faisons appel aux prestataires suivants, qui traitent des données personnelles pour notre compte : Google (Google Cloud et Firebase : back-end, base de données, connexion, protection contre les abus avec reCAPTCHA Enterprise, traitement par IA avec Vertex AI, ainsi que notre boîte de support via Google Workspace), Resend (e-mails de service) et Cloudflare (diffusion du site et de l’application, DNS et sécurité réseau). Les détails, lieux et garanties figurent à l’annexe C du DPA. Google Analytics (Google Ireland Limited) n’est utilisé que sur le site et uniquement avec votre consentement ; voir la section 4.

7. Transferts internationaux

Nos fonctions back-end s’exécutent dans la région Google Cloud europe-west4 (Pays-Bas) et notre traitement par IA s’effectue dans l’UE. Certains de nos prestataires sont des sociétés américaines ou appartiennent à de telles sociétés, et certaines données peuvent être traitées en dehors de l’EEE : en particulier, la connexion et la protection contre les abus fonctionnent sur l’infrastructure mondiale de Google, Cloudflare exploite un réseau mondial, Resend conserve les métadonnées et journaux des e-mails aux États-Unis et, si vous consentez à la mesure d’audience, les données Google Analytics peuvent être traitées par Google LLC aux États-Unis. Lorsque des données personnelles sont traitées en dehors de l’EEE, le transfert est encadré par le EU-US Data Privacy Framework et/ou les clauses contractuelles types de la Commission européenne, comme indiqué à l’annexe C du DPA et à la section 4.

8. Vos droits

Vous disposez, dans les limites de la loi, d’un droit d’accès, de rectification et d’effacement de vos données personnelles, d’un droit à la limitation du traitement et d’opposition, ainsi que d’un droit à la portabilité. Vous pouvez également introduire une réclamation auprès d’une autorité de protection des données, telle que la CNIL. Si votre demande concerne un CV importé par une agence, veuillez contacter cette agence ; nous l’aiderons à traiter votre demande.

9. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment des connexions chiffrées (HTTPS), la séparation des Espaces de travail des clients et des accès fondés sur les rôles.

10. Modifications

Nous pouvons mettre à jour la présente politique de confidentialité. La date en haut de page indique la dernière version.

11. Contact

Vous pouvez adresser vos questions sur la présente politique ou sur vos droits à CVtoBrand par e-mail à [email protected]. Les demandes relatives à la vie privée (par exemple pour exercer vos droits) peuvent également être envoyées à cette adresse.