Tu nous confies ton parcours. Voici où il va.
Cette page décrit des mécanismes, pas des intentions : une garde qui refuse l’appel plutôt que de laisser fuir, une règle d’isolation posée dans la base de données, un registre que le produit n’a pas le droit de réécrire. Et elle dit, à chaque fois, ce qu’ils ne couvrent pas.
Sans carte bancaire.
Tu déposes ton CV — ou tu réponds à quatre questions si tu ne l’as pas sous la main : les éléments qui t’identifient sont retirés du texte avant qu’il ne parte.
Qui reçoit quoi
Un seul fournisseur de modèle, et rien d’autre.
Le modèle qui analyse
OpenAI Ireland Ltd., en Irlande. Quatre traitements seulement lui envoient quelque chose : la lecture de ton parcours ou de ton CV, l’analyse d’une annonce, la préparation d’entretien et le débrief. Aucun autre sous-traitant ne reçoit ce texte. Ses affiliés hors Union européenne, dont OpenAI OpCo, LLC aux États-Unis, peuvent le traiter : c’est encadré par les clauses contractuelles types, et le § 8 de la politique de confidentialité le détaille.
La base de données
Hébergée à Francfort, en Allemagne : tes données au repos sont dans l’Union européenne. C’est là que vit tout ce que tu as validé.
L’hébergement et les fichiers
Les fonctions de l’application s’exécutent en France. La région du magasin où sont déposés le fichier de ton CV et les PDF produits n’est pas établie à ce jour : nous le traitons donc comme s’il pouvait se situer hors de l’Union européenne.
Ce que tu écris ne sert pas à entraîner un modèle. Aucun modèle n’est entraîné ici : il n’existe dans le produit aucun mécanisme d’apprentissage ni d’ajustement. Tes données ne sont transmises à aucun recruteur, à aucun employeur, à aucun annonceur ; elles ne sont ni vendues, ni louées, ni échangées, et nous ne constituons aucune base de profils consultable.
La borne, parce qu’elle existe. Du côté du fournisseur, l’absence d’entraînement sur le contenu de ses clients professionnels est un engagement contractuel, que nous n’avons pas encore adossé à une copie horodatée et archivée de la version des conditions qui nous est applicable. Notre politique de confidentialité le dit ainsi, et nous ne l’écrivons pas autrement ici. Ce même document indique combien de temps ce fournisseur conserve ce que nous lui transmettons, et qu’un effacement demandé chez nous ne peut pas rappeler ce qui a déjà été envoyé.
Ce qui est inconfortable
Tes données sortent de l’Union européenne.
Le fournisseur du modèle est établi aux États-Unis. Le texte de ton parcours, celui des annonces que tu colles et tes notes d’entretien y sont donc transmis, après le retrait décrit plus bas. Nous avons fait ce choix en connaissance de cause : il n’existe pas aujourd’hui de version européenne de ce service qui réponde à nos besoins.
Ce transfert repose sur les clauses contractuelles types de la Commission européenne, dont tu peux obtenir copie en nous écrivant. Notre politique de confidentialité documente cette base, et elle écrit aussi ce qu’elle ne couvre pas : les autorités américaines disposent, dans certaines conditions, de pouvoirs d’accès aux données détenues par des sociétés américaines plus larges que ceux prévus en droit européen. Ces clauses réduisent ce risque — elles ne le suppriment pas.
Nous préférons que tu le lises ici. Quelqu’un qui le découvre ailleurs n’aurait aucune raison de croire le reste de cette page.
Avant l’envoi
Ce qui t’identifie est retiré du texte avant qu’il ne parte.
Remplacées par un marqueur, puis remises en place
Le texte part avec un marqueur neutre — du type [EMAIL_1] — à la place de la valeur. La correspondance vit le temps de la requête, sur notre serveur, et n’est jamais enregistrée. Tes vraies valeurs sont remises en place au moment où le résultat t’est affiché.
- les adresses e-mail
- les numéros de téléphone français, sous toutes leurs formes d’indicatif
- les noms et prénoms portés par un champ qui les nomme
- les adresses postales françaises, ainsi que les couples code postal et commune
- les adresses de profil LinkedIn
- les adresses IP
Masquées définitivement
Aucune correspondance n’est conservée pour celles-ci : il n’y a rien à restituer, et elles ne reviennent jamais dans le document qui t’est remis. Aucune n’a le moindre usage dans un livrable de carrière, et l’une d’elles est une donnée sensible au sens du RGPD. Les laisser réversibles reviendrait à garder une porte ouverte sans en avoir besoin.
- les numéros de sécurité sociale
- les numéros IBAN
- les dates de naissance
Deux mécanismes, et il faut les deux. Le premier reconnaît une forme : une adresse e-mail écrite au milieu d’une phrase. Le second reconnaît un champ : un prénom n’a aucune forme reconnaissable, seul le nom du champ le trahit. Le premier seul laisse passer le prénom, le second seul laisse passer l’adresse glissée dans un résumé.
À la lecture de ton parcours, une seconde ligne de défense couvre l’en-tête du document — ses 200 premiers caractères, là où figure d’ordinaire ton identité. Elle ne dépend d’aucune donnée de ton compte : elle fonctionne sur un compte sans nom, sur une adresse générique, et le jour où quelqu’un oublierait de lui transmettre ton identité. Une défense dont l’unique entrée peut être vide n’est pas une défense, c’est une intention.
Enfin, une dernière vérification relit le texte juste avant qu’il ne parte sur le réseau et bloque l’appel si l’un de ces éléments a échappé aux filtres précédents. Refuser l’appel coûte un message d’erreur ; le laisser partir coûte une fuite, et elle est irréversible.
Ce que ce filtre ne retire pas
C’est une pseudonymisation partielle, pas une anonymisation. Nous n’employons donc jamais le mot « anonymisé » : il serait faux, et tu le découvrirais au premier document relu.
- Un nom propre que nous ne connaissons pas — celui d’un ancien manager cité dans une réalisation, d’un client, du recruteur dans tes notes — part en clair. Détecter de façon fiable un nom propre inconnu au milieu d’une phrase n’est pas possible avec les moyens que nous employons.
- Sur la préparation d’entretien et le débrief, la protection de l’en-tête est désactivée — sans quoi elle masquerait « Développeur Full-Stack Senior ». Un nom peut donc y passer.
- L’intégralité du contenu professionnel est transmise, y compris ce qu’un CV peut contenir de sensible sans qu’on y pense — un engagement syndical, une reconversion après un arrêt maladie. Rien ne les détecte, rien ne les retire, et c’est un défaut de notre produit, pas un risque que tu devrais assumer. Notre politique de confidentialité y consacre une section entière, avec ce à quoi nous nous engageons en attendant la correction.
Sans carte bancaire.
Entre comptes
Ce que tu ne verras jamais de quelqu’un d’autre.
La règle est dans la base, pas dans le code
Chaque table qui porte un identifiant de compte est soumise à une règle de la base de données elle-même, et le rôle qui exécute les requêtes du produit n’a pas le droit de la contourner. Une erreur de programmation ne suffit donc pas à exposer les données de quelqu’un d’autre.
Elle filtre les lectures et les écritures
Filtrer les seules lectures est le trou classique : les listes paraissent propres, et les écritures passent — on écrit chez le voisin sans que rien n’ait l’air anormal. La règle porte donc les deux, et un test le prouve en tentant l’écriture croisée.
Un identifiant qui ne t’appartient pas rend 404
Jamais 403. Un 403 confirmerait que la ressource existe et qu’elle est à quelqu’un d’autre : il deviendrait un moyen d’énumérer les diagnostics des autres, un identifiant après l’autre. Le nôtre ne dit rien du tout — un identifiant inconnu et un identifiant qui n’est pas le tien donnent exactement la même réponse.
Hors contexte, la requête échoue au lieu de ne rien rendre
Une troisième garde, applicative celle-là : une requête émise sans compte identifié lève une erreur nommée plutôt que de rendre zéro ligne en silence. Un compte plein et un compte vide ne doivent jamais se ressembler, et un échec silencieux est le plus cher de tous.
La couverture est constatée, pas déclarée. La liste des tables soumises à cette règle n’est écrite nulle part à la main : elle est établie en interrogeant le catalogue de la base — quelles tables portent un identifiant de compte ? — puis confrontée à ce que la base applique réellement. Une table ajoutée demain entre d’elle-même dans la vérification. C’est exactement l’oubli qu’une liste tenue à la main ne peut pas rattraper, puisque la liste est précisément ce qu’on oublie de mettre à jour.
Ces propriétés sont vérifiées contre une vraie base de données, pas contre une imitation, et sous le rôle applicatif lui-même. Le tout premier contrôle de la série vérifie que ce rôle n’est ni superutilisateur, ni autorisé à contourner les règles d’isolation — sans lui, toute la suite passerait au vert avec l’isolation intégralement désarmée, et dirait le contraire de la vérité.
Chaque table est éprouvée dans les deux sens, et la série se termine par un contrôle négatif : « chacun voit toujours les siennes ». Sans lui, une règle qui ne rendrait rien à personne ferait passer tout ce qui précède.
Les journaux
Rien de ce qui t’identifie n’est écrit en clair dans un journal.
Le même principe qu’avant l’envoi, et pour la même raison : deux mécanismes, l’un par nom de champ, l’autre par forme de valeur. Le caviardage couvre aussi les messages d’erreur et les piles d’appels, qui sont le trou symétrique : un message d’erreur n’a pas de nom de champ, et c’est pourtant là qu’atterrit la valeur qui a fait échouer la requête.
Ton adresse IP et ton navigateur ne sont conservés que sous forme d’empreinte, jamais en clair. Les journaux techniques sont conservés six mois, conformément à la recommandation de la CNIL en matière de journalisation, et ne servent à rien d’autre qu’au diagnostic des pannes et à la sécurité du service. L’outil de supervision d’erreurs, lui, n’est pas activé à ce jour ; le filtre qui retirera tes identifiants de ces rapports est écrit et testé avant qu’il ne serve, parce qu’une barrière non testée n’est pas une barrière.
Le registre d’audit est en ajout seul — et il est vide
Le registre destiné à consigner les événements sensibles d’un compte est protégé par la base de données elle-même : le rôle qui exécute le produit n’a le droit ni de le modifier, ni d’en supprimer une ligne. Le produit ne peut donc pas réécrire la trace de ce qu’il fait. Ce n’est pas une bonne intention applicative, c’est un refus opposé par la base — et un test le prouve en tentant la modification, puis la suppression.
Et voici la borne, parce qu’elle compte plus que ce qui précède : ce registre ne porte aucune ligne à ce jour. Le dispositif existe, il est protégé, et rien n’y est écrit. Nous ne sommes donc pas en mesure de reconstituer qui a consulté quoi, ni d’établir rapidement le périmètre exact d’un incident. Notre politique de confidentialité en tire la conséquence sans détour : dans l’intervalle, ton signalement est notre principale source d’alerte.
Quand une IA écrit
Tout écran qui affiche du texte généré le dit.
L’ensemble de ce que le produit te remet est généré par une intelligence artificielle : l’extraction des faits de ton CV, l’analyse de l’annonce, le diagnostic, la préparation, le débrief et le CV reformaté. Aucune personne ne relit tes documents, et un contenu généré peut être inexact ou mal interprété. C’est précisément pourquoi le produit te fait vérifier chaque fait avant de s’en servir.
Sous un texte long qui vient d’être généré
« Ce contenu a été généré par une intelligence artificielle, à partir des éléments que vous avez validés. Relisez-le avant de l’utiliser. »
Au bas d’un document téléchargeable
« Ce document a été généré par une intelligence artificielle, à partir des éléments que vous avez validés. Relisez-le avant de l’envoyer. »
À côté d’une aide ponctuelle à l’écran
« Cette aide est générée par une intelligence artificielle. Elle peut se tromper : vérifiez avant de vous en servir. »
La préparation d’entretien te tutoie, par décision assumée : elle s’adresse à toi la veille au soir, pas dans une brochure. Sa mention dit donc exactement la même chose dans ce registre-là, et rien de plus — « Ce document a été généré par une intelligence artificielle, à partir des éléments que tu as validés. Relis-le avant de l’envoyer. », tel qu’il t’est rendu.
Une mention visible, donc. Et, dans l’autre sens, aucune marque invisible dans ce que tu envoies : c’est le dernier point de cette page, et c’est un comportement du code, pas une promesse.
Aucun marqueur caché dans un document que tu envoies.
Les documents que tu télécharges ne portent ni filigrane, ni caractère invisible, ni traceur. Un contrôle automatique relit chaque document avant qu’il soit produit, et le refuse entièrement s’il en trouve un.
Ce n’est pas une commodité laissée pour plus tard. Un marqueur invisible casse la lecture de ton CV par les logiciels de recrutement, et il révèle que le document a été produit par un outil, dans un fichier que tu transmets à des tiers. Le dépôt le nomme parmi les pratiques interdites.
Tes droits
Ce que tu peux exiger, et comment.
Accéder à ce que nous détenons sur toi
Article 15 du RGPD. Tu peux obtenir une copie de l’ensemble des données que nous détenons : ton compte, ton profil, tes expériences, tes formations, tes compétences, les CV que tu as déposés, les annonces collées, tes diagnostics, tes préparations et tes débriefs.
Ce droit s’exerce en libre-service, depuis « Mon profil » : le bouton « Télécharger toutes mes données » te rend un fichier JSON, sans passer par nous. Il contient tout ce que nos bases portent sur toi, et il énumère lui-même ce qui en est écarté et pourquoi. Les fichiers que tu as toi-même déposés — ton CV au format PDF ou DOCX — n’y sont pas : ils vivent hors des bases, et restent disponibles sur demande écrite. Si ce téléchargement échoue ou ne te suffit pas, la demande par écrit reste ouverte.
Le libre-service est immédiat. Pour une demande écrite, nous répondons dans un délai d’un mois à compter de sa réception (article 12.3 du RGPD). Ce délai peut être prolongé de deux mois si la demande est complexe ; dans ce cas nous te le disons, et pourquoi.
Corriger ce qui est faux
Article 16 du RGPD. Toute information inexacte peut être rectifiée, y compris un fait que la lecture de ton parcours aurait mal comprise.
Une partie de ce droit s’exerce déjà seul, et c’est l’étape la plus importante du parcours : au moment de l’import, chaque élément extrait t’est soumis avant d’entrer dans ton profil. Ce que tu n’as pas validé n’est jamais cité comme preuve dans un livrable.
Pour le reste — modifier ton profil une fois qu’il est confirmé — cela se demande par écrit, comme les autres droits, et dans le même délai d’un mois.
Faire effacer
Article 17 du RGPD. L’effacement porte sur les lignes de la base qui te concernent, sur les fichiers que tu as déposés et sur les documents que nous avons produits pour toi.
Il porte aussi sur les versions antérieures de tes faits de carrière, et sur ceux que tu avais déjà retirés. C’est un point que la politique de confidentialité écrit noir sur blanc : quand tu corriges un élément, l’ancienne version reste en base pour que l’on sache d’où vient chaque phrase de tes livrables. Ce n’est pas un effacement, et nous ne le présentons pas comme tel — seule une demande d’effacement la fait disparaître.
Deux limites, et nous ne les enjolivons pas. Tes données disparaissent des sauvegardes à l’issue de leur rotation, pas à l’instant de la demande. Et les textes déjà transmis au fournisseur du modèle ne peuvent pas être rappelés : ils sont supprimés chez lui à l’issue de sa propre durée de conservation, indiquée dans notre politique de confidentialité.
Récupérer tes données pour aller ailleurs
Article 20 du RGPD. Tes données te sont remises dans un format structuré et exploitable par un autre service, en JSON, depuis « Mon profil » — le même bouton que le droit d’accès, avec la même réserve sur les fichiers déposés.
Le CV en PDF que le produit te fait télécharger n’est pas cet export : c’est un document mis en forme, pas une copie de tes données. Ne confonds pas les deux — le premier est une prestation, le second est un droit.
T’opposer à un traitement
Article 21 du RGPD. Certains traitements ne reposent pas sur le contrat mais sur notre intérêt légitime : la sécurité de ton compte, la limitation des tentatives de connexion, la prévention des abus.
Tu peux t’y opposer pour un motif tenant à ta situation particulière. La mise en balance que nous avons effectuée entre cet intérêt et tes droits t’est communiquée sur demande : nous ne te demandons pas de nous croire sur parole.
Contester un score et demander un réexamen par une personne
Le score de compatibilité est calculé automatiquement. Il t’est remis à toi seul, il n’est transmis à aucun recruteur, il ne classe personne et il ne conditionne l’accès à aucun emploi.
Un score bas peut néanmoins te dissuader de postuler, et nous ne considérons pas ce sujet comme anodin. Tu peux contester un score, nous indiquer ce que le calcul a manqué, et demander qu’une personne relise le diagnostic et te réponde.
Le barème est publié avant toute inscription, et il le restera. Tu peux donc vérifier le calcul par toi-même, sans avoir à nous le demander.
Pour nous joindre, nos coordonnées et celles de l’éditeur figurent dans les mentions légales, et la politique de confidentialité indique l’adresse à laquelle adresser une demande d’exercice de droits. Nous n’en écrivons aucune ici : une adresse recopiée à un troisième endroit est une adresse qui finira par diverger des deux autres.
Si notre réponse ne te satisfait pas, ou en son absence, tu peux introduire une réclamation auprès de la CNIL. Tu n’as pas à nous saisir d’abord : les deux voies sont indépendantes, et la seconde ne dépend pas de nous.
Tu peux essayer sans déposer un seul fichier.
Le téléversement d’un CV est facultatif : quatre questions suffisent à constituer ton parcours. Tu verras donc ce que le produit fait de ce que tu écris avant de lui confier quoi que ce soit de plus.
Sans carte bancaire.