Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur le site CVpass est :

2. Données collectées

Dans le cadre de l'utilisation du service CVpass, nous sommes amenés à collecter et traiter les catégories de données suivantes :

• Données de compte (via Clerk) : prénom, nom, adresse email, photo de profil.
• Données d'utilisation : score ATS, nombre d'analyses effectuées, métadonnées anonymisées.
• Données de paiement : gérées exclusivement par Stripe, CVpass ne stocke aucune donnée bancaire (numéro de carte, CVV, etc.).
• CVs uploadés : le fichier est lu en mémoire pour la durée de l'analyse, puis supprimé. Son texte est transmis à OpenAI pour l'analyse (voir sous-traitants). Si vous exportez un PDF, la version structurée de votre CV est enregistrée dans votre historique, de même que les lettres de motivation générées. Si votre PDF ne contient que des images (scan, export aplati), le fichier lui-même est envoyé à OpenAI pour en lire le contenu, aux mêmes conditions que le texte.
• Cookies : cookies d'authentification (Clerk) et, si vous les acceptez, cookies de mesure d'audience (PostHog, liés à l'identifiant de votre compte si vous êtes connecté) et cookies publicitaires (Google Ads, Meta, TikTok). Après cet accord, un achat est aussi transmis à Meta avec l'adresse e-mail hachée.
• Réponse « poste décroché » (si vous la donnez) : nom de l'entreprise, intitulé du poste, pays, mois et langue de la page, liés à l'identifiant de votre compte. Une réponse venue du lien de notre mail garde aussi une empreinte de ce lien, pour qu'il ne serve qu'une fois. Le nom de l'entreprise n'est cité sur le site qu'avec votre accord et après vérification ; votre nom ne l'est jamais.

3. Finalités du traitement

• Fourniture et fonctionnement du service CVpass (analyse de CV, génération de suggestions, export PDF).
• Amélioration du produit avec PostHog : événements d'usage envoyés par nos serveurs, avec ou sans votre accord, liés à l'identifiant de votre compte ou, sans compte, à un identifiant aléatoire, sans e-mail, nom ni adresse IP ; et, si vous l'acceptez, mesure d'audience dans votre navigateur (voir Cookies).
• Mesure de l'efficacité de nos publicités, si vous acceptez les cookies publicitaires.
• Envoi d'emails transactionnels (confirmations de paiement, notifications de compte).
• Envoi ponctuel par Brevo de messages aux clients, par exemple « Vous avez trouvé un poste ? ». Brevo reçoit votre adresse e-mail et un lien personnel, enregistré comme attribut de votre contact : il contient l'identifiant de votre compte, ouvre le formulaire sans connexion, reste valable 30 jours et ne sert qu'une fois. Chaque message contient un lien de désinscription.
• Gestion de la facturation et des abonnements via Stripe.
• Savoir si CVpass aide à trouver un emploi, à partir des réponses « poste décroché » ; avec votre accord seulement, citer sur le site le nom de l'entreprise.

4. Base légale du traitement

• Exécution du contrat : nécessaire à la fourniture du service (article 6.1.b du RGPD).
• Intérêt légitime : événements d'usage envoyés à PostHog par nos serveurs, sans e-mail, nom ni adresse IP, pour améliorer le service (article 6.1.f du RGPD). Vous pouvez vous y opposer en écrivant à contact@cvpass.fr.
• Messages ponctuels aux clients : intérêt légitime, dans le cadre de la relation client existante (article 6.1.f du RGPD). Vous pouvez vous y opposer à tout moment par le lien de désinscription présent dans chaque message.
• Consentement : communications marketing optionnelles, mesure d'audience dans le navigateur (PostHog), cookies publicitaires et envoi des achats à Meta (article 6.1.a du RGPD).
• Réponse « poste décroché » : intérêt légitime pour mesurer l'utilité du service (article 6.1.f du RGPD) ; consentement pour citer le nom de l'entreprise sur le site (case décochée par défaut, article 6.1.a du RGPD).

5. Durée de conservation

• Données de compte : conservées jusqu'à la suppression du compte par l'utilisateur.
• Métadonnées d'analyses : 24 mois après la dernière activité sur le compte.
• CVs uploadés : fichier supprimé dès la fin de l'analyse. CV structuré exporté et lettres de motivation : supprimés automatiquement 30 jours après leur création, ou avant à votre demande.
• Données de paiement : conservées par Stripe conformément à leurs obligations légales et réglementaires.
• Logs techniques : 12 mois maximum.
• Réponse « poste décroché » : conservée jusqu'à la suppression du compte, ou avant à votre demande.

6. Sous-traitants et transferts de données

CVpass fait appel aux sous-traitants suivants pour le fonctionnement du service :

Les transferts de données hors de l'Union Européenne sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne, conformément à l'article 46.2.c du RGPD.

7. Droits des utilisateurs

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (article 15 du RGPD) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie.
• Droit de rectification (article 16) : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (article 17) : demander la suppression de vos données personnelles.
• Droit à la portabilité (article 20) : recevoir vos données dans un format structuré et lisible.
• Droit d'opposition (article 21) : vous opposer au traitement de vos données pour des motifs légitimes.
• Droit de limitation (article 18) : demander la limitation du traitement dans certains cas.

8. Cookies

• Cookies strictement nécessaires : Clerk (authentification, gestion de session), ne peuvent pas être désactivés.
• Cookies de mesure d'audience : PostHog (société américaine, données hébergées dans l'Union européenne, à Francfort, conservées 12 mois au plus), seulement si vous les acceptez dans le bandeau. Ils envoient les pages visitées, les clics, le site d'origine, l'appareil, le pays et la ville, liés à l'identifiant de votre compte si vous êtes connecté, et, depuis le 9 novembre 2026, sans e-mail ni nom, sans conserver l'adresse IP et sans enregistrement de session. Sans cet accord, votre navigateur n'envoie rien à PostHog ; nos serveurs lui envoient des événements d'usage sans e-mail, nom ni adresse IP (voir Finalités). Pour refuser ou retirer votre accord : bouton « Gérer mon consentement » de la politique de cookies.
• Cookies publicitaires : Google Ads, Meta et TikTok, uniquement si vous les acceptez dans le bandeau.

Pour plus de détails, consultez notre Politique de cookies.

9. Sécurité des données

CVpass met en place les mesures de sécurité suivantes pour protéger vos données personnelles :

• Chiffrement HTTPS/TLS sur l'ensemble du site.
• Authentification sécurisée via Clerk (gestion des sessions, MFA disponible).
• Aucun stockage de données bancaires (délégué à Stripe, certifié PCI DSS).
• Fichiers CV jamais conservés ; CV exportés et lettres supprimés automatiquement après 30 jours.
• Accès aux données de production restreint aux administrateurs autorisés.

10. Modifications de la politique

VertexLab se réserve le droit de modifier la présente politique de confidentialité. En cas de modification substantielle, les utilisateurs seront informés par email ou par une notification sur le site. La date de dernière mise à jour est indiquée en haut de cette page.