Politique de confidentialité
Quelles données personnelles FlowResume collecte, pourquoi, qui les reçoit, combien de temps nous les conservons, et vos droits au titre du RGPD, du UK GDPR, du CCPA/CPRA, de la LPRPDE (PIPEDA) et de la loi australienne Privacy Act.
En bref
Cette politique explique quelles données personnelles FlowResume collecte, pourquoi nous les collectons, qui les reçoit, combien de temps nous les conservons et quels droits vous avez. Elle s’applique à toute personne qui utilise nos sites, l’application web, notre API et les e-mails que nous envoyons, où que vous viviez. Nous avons rédigé une seule politique pour tous les utilisateurs et ajoutons des informations propres à chaque région lorsqu’une loi l’exige (voir « Vos droits »).
- Nous collectons ce dont nous avons besoin pour faire fonctionner votre compte et vos documents : données de compte, CV, lettres et informations sur les offres que vous saisissez, données de facturation et données techniques de base.
- Nous ne vendons pas vos données personnelles, et nous ne les partageons pas à des fins de publicité comportementale intercontextuelle. [To confirm by lawyer: re-check this sentence before any advertising or analytics partner is added.]
- Les fonctions d’IA ne voient que ce dont une requête a besoin. Les noms, adresses e-mail, numéros de téléphone, adresses et autres identifiants similaires sont retirés avant que le texte ne quitte nos serveurs, puis réintégrés dans le résultat. Voir « Comment nous utilisons l’IA ».
- Vos documents sont stockés dans l’UE : notre base de données se trouve à Francfort (Allemagne) et les fichiers téléversés sont conservés dans la juridiction UE de notre prestataire de stockage. Certains prestataires traitent des données aux États-Unis ; voir « Transferts internationaux ».
- Vous gardez la main. Vous pouvez exporter vos données, supprimer votre compte et gérer vos choix en matière de cookies et d’e-mails dans Paramètres → Confidentialité.
Qui est responsable (responsable de traitement)
Le responsable du traitement de vos données personnelles est SolutionPlus UG (haftungsbeschränkt), Berlin, Allemagne, inscrite au registre du commerce de l’Amtsgericht Charlottenburg sous le numéro HRB 291768 B. Adresse professionnelle : [ADDRESS]. Gérant : [MANAGING DIRECTOR]. Nous exploitons FlowResume (le « service »).
Contact confidentialité : [EMAIL] Délégué à la protection des données : [DPO if appointed] Représentant au Royaume-Uni (article 27 du UK GDPR) : [UK REPRESENTATIVE]
[To confirm by lawyer: whether a data protection officer must be appointed (§ 38 BDSG) and whether a UK representative is required.]
Nous traitons les données personnelles conformément au Règlement général sur la protection des données de l’UE (RGPD), au UK GDPR et au Data Protection Act 2018, à la loi fédérale allemande sur la protection des données (BDSG) et à la loi allemande sur la protection des données dans les télécommunications et les services numériques (TDDDG), au California Consumer Privacy Act tel que modifié par le California Privacy Rights Act (CCPA/CPRA) et aux lois comparables d’autres États américains, à la Loi sur la protection des renseignements personnels et les documents électroniques du Canada (LPRPDE / PIPEDA) et aux lois provinciales telles que la Loi 25 du Québec, ainsi qu’à la loi australienne Privacy Act 1988 et aux Australian Privacy Principles (APPs).
Ce que nous collectons
| Catégorie | Ce qu’elle comprend | Provenance |
|---|---|---|
| Compte et connexion | Nom, adresse e-mail, mot de passe (stocké uniquement sous forme d’empreinte irréversible), langue, fuseau horaire, pays ou région, préférences. Si vous vous connectez avec Google ou LinkedIn : nom, adresse e-mail, photo de profil et identifiant de compte du fournisseur. | Vous ; Google ou LinkedIn à votre demande |
| Vos documents et données de carrière | CV, lettres de motivation, informations de profil, compétences, parcours professionnel et formation, photos, fichiers téléversés (PDF, Word, images), candidatures et notes, supports de préparation d’entretien, pages portfolio et réglages de partage. Cela peut inclure tout ce que vous choisissez d’écrire. | Vous |
| Données d’offres | Offres d’emploi et liens que vous enregistrez ou collez, noms d’entreprises, langue d’une offre, scores de correspondance et ATS, résultats de recherche sur l’entreprise. | Vous ; sources web publiques pour la recherche sur l’entreprise |
| Facturation | Formule, registre des crédits, factures, pays de facturation, numéro de TVA ou d’identification fiscale si vous en indiquez un, référence client Stripe, marque de la carte et quatre derniers chiffres. Les numéros de carte complets vont à Stripe et n’atteignent jamais nos serveurs. | Vous ; Stripe |
| Données d’utilisation et d’appareil | Adresse IP, type de navigateur et d’appareil, pages et actions dans l’application, journaux d’erreurs, événements de sécurité tels que les connexions, identifiants de session, enregistrements d’utilisation de l’IA (fonction, taille, crédits, heure). | Votre appareil et nos systèmes |
| Communications | E-mails d’assistance et retours que vous nous envoyez, journaux des e-mails que nous vous adressons, vos réglages de notification et, si vous activez les notifications push web, l’adresse push de votre navigateur. | Vous ; nos systèmes |
| Preuves de consentement | Les choix que vous avez faits concernant les conditions, la politique de confidentialité, les cookies, le marketing et le traitement par IA, la date, la version du texte concernée, ainsi qu’un identifiant de consentement pseudonymisé. | Vous |
| Fonctions facultatives | Entraînement oral : votre voix, convertie en texte. Photos de profil : les photos que vous téléversez. Recherche sur l’entreprise : nom de l’entreprise et poste. | Vous |
Nous ne demandons pas d’informations sensibles telles que la santé, la religion, l’origine ethnique ou les opinions politiques. Si vous choisissez d’inclure de telles informations dans vos propres documents, nous les traitons uniquement pour fournir le service selon vos instructions. Veuillez ne pas les inclure dans les textes que vous envoyez aux fonctions d’IA.
Pourquoi nous les utilisons, et sur quelle base juridique
| Finalité | Données | Base juridique (RGPD et UK GDPR) |
|---|---|---|
| Créer votre compte, vous connecter et fournir l’éditeur, les modèles, les exports, le suivi des candidatures et les autres fonctions que vous utilisez | Compte, documents, données d’offres, données d’utilisation | Contrat (art. 6, par. 1, point b) |
| Exécuter les actions d’IA que vous lancez et décompter les crédits | Le texte que vous soumettez (après masquage), registre des crédits | Contrat (art. 6, par. 1, point b) |
| Encaisser les paiements, émettre les factures, calculer et déclarer les taxes, tenir la comptabilité | Données de facturation | Contrat ; obligation légale (art. 6, par. 1, point c) |
| Envoyer des e-mails de service : confirmations, reçus, rappels que vous avez activés, avis de sécurité | Données de compte, communications | Contrat ; intérêts légitimes (art. 6, par. 1, point f) pour les avis de sécurité |
| Envoyer des conseils et des nouveautés sur le produit | Adresse e-mail, préférences | Consentement (art. 6, par. 1, point a) ; vous pouvez le retirer à tout moment |
| Mesurer l’utilisation du produit (statistiques d’audience) | Données d’utilisation collectées par cookies ou technologies similaires | Consentement (art. 6, par. 1, point a, et § 25 TDDDG) |
| Assurer la sécurité du service, prévenir la fraude et les abus, appliquer des limites de débit, corriger les erreurs | Données d’utilisation et d’appareil, événements de sécurité | Intérêts légitimes (art. 6, par. 1, point f) |
| Prouver les consentements, répondre aux demandes légales, constater, exercer et défendre des droits en justice | Preuves de consentement, journaux d’audit, données de facturation | Obligation légale ; intérêts légitimes |
| Améliorer le produit à partir de statistiques agrégées qui ne vous identifient pas | Données d’utilisation dépersonnalisées | Intérêts légitimes |
Si vous vivez au Canada ou en Australie, nous nous appuyons sur votre consentement, ou sur les finalités que nous avons expliquées lors de la collecte, et nous n’utilisons vos données que pour ces finalités ou lorsque la loi le permet (principes d’équité en matière d’information de la LPRPDE ; Australian Privacy Principles 3 et 6).
Comment nous utilisons l’IA
Certaines fonctions font appel à des modèles de langage d’IA de tiers : par exemple reformuler une ligne, adapter un CV à une offre, rédiger une lettre de motivation, traduire, importer un document, préparer un entretien, l’agent de carrière et le coach d’écriture. Vous lancez chaque action d’IA, nous affichons d’abord son coût en crédits, et vous acceptez ou rejetez le résultat avant qu’il ne modifie votre document.
Ce qui est envoyé. Uniquement le texte dont la requête a besoin, par exemple le passage à reformuler et l’offre d’emploi. Avant qu’une requête ne quitte nos serveurs, un filtre de confidentialité remplace par des marqueurs les noms, adresses e-mail, numéros de téléphone, adresses postales, dates de naissance, numéros de compte bancaire, numéros d’identité nationale ou de sécurité sociale et liens de profil personnels. Nous réintégrons les éléments d’origine dans le résultat lorsqu’il vous est renvoyé. Aucun filtre n’est parfait, surtout pour les noms et les détails en texte libre ; veuillez donc ne pas saisir de données sensibles dans les fonctions d’IA.
Qui les traite. Notre prestataire d’IA (indiqué sous « Qui reçoit vos données ») agit selon nos instructions. Cette politique ne nomme pas de modèles précis. [To confirm by lawyer: state here whether the provider may use the redacted text to improve its own models and what retention applies at the provider. Until the owner has confirmed the provider’s current terms, this draft makes no “no training” promise.]
Fonctions facultatives avec d’autres prestataires. Les photos de profil par IA envoient votre photo à un prestataire de génération d’images ; les originaux sont supprimés après 30 jours, sauf si vous les enregistrez. L’entraînement oral envoie votre voix à un prestataire de reconnaissance vocale pour la convertir en texte, puis supprime l’enregistrement audio. La recherche sur l’entreprise envoie le nom de l’entreprise et le poste à un prestataire de recherche web. Chacune de ces fonctions demande votre accord avant de démarrer.
Aucune décision automatisée vous concernant. Les résultats de l’IA, les contrôles ATS et les scores de correspondance sont des indications. Nous ne les utilisons pas pour prendre des décisions produisant des effets juridiques ou vous affectant de manière significative de façon similaire. Les employeurs qui utilisent nos outils de recrutement prennent leurs propres décisions.
Enregistrements. Pour chaque action d’IA, nous conservons la fonction, la taille de la requête, les crédits débités et le résultat, aux fins de facturation, de remboursements et de lutte contre les abus. Cet enregistrement ne contient pas votre texte.
Qui reçoit vos données
Nous ne partageons des données personnelles qu’avec les prestataires ci-dessous, qui les traitent selon nos instructions dans le cadre d’accords de sous-traitance, et avec les personnes que vous choisissez (par exemple un recruteur qui ouvre un lien que vous partagez). Nous ne vendons pas de données personnelles.
| Prestataire | Ce qu’il fait pour nous | Lieu |
|---|---|---|
| Hetzner Online GmbH | Héberge nos serveurs d’application | Allemagne (Nuremberg) |
| Cloudflare, Inc. | Sécurité et diffusion réseau, notre site marketing et la diffusion de l’application, stockage de fichiers (R2, juridiction UE), envoi et routage d’e-mails | Réseau mondial ; fichiers stockés dans l’UE |
| MongoDB, Inc. (Atlas sur Amazon Web Services) | Notre base de données | Allemagne (Francfort) |
| Stripe (Stripe Payments Europe, Ltd. et Stripe, Inc.) | Paiements par carte et portefeuille, calcul des taxes, factures. [To confirm by lawyer: the Stripe entity that contracts with us.] | UE et États-Unis |
| Resend, Inc. | Envoi d’e-mails de secours si l’acheminement principal échoue | États-Unis |
| Meta Platforms, Inc. | Prestataire de modèles de langage d’IA pour nos fonctions de rédaction, d’adaptation, de traduction et de coaching. [To confirm by lawyer: provider entity, role and data-use terms.] | États-Unis |
| Google LLC | Connexion avec Google ; génération d’images pour les photos de profil facultatives | États-Unis |
| LinkedIn Ireland Unlimited Company / LinkedIn Corporation | Connexion avec LinkedIn | Irlande et États-Unis |
| ElevenLabs | Reconnaissance et synthèse vocale pour l’entraînement oral facultatif. L’audio est converti puis supprimé. | UE ou États-Unis |
| Brave Software, Inc. | Recherche web pour la recherche facultative sur l’entreprise | États-Unis |
| [ANALYTICS PROVIDER] | Statistiques d’utilisation, uniquement après votre acceptation des cookies d’audience. [To confirm by lawyer: name the tool or delete this row if none is used.] | [To confirm by lawyer] |
| Services push des navigateurs (par exemple Apple, Google, Mozilla) | Envoient des rappels à votre navigateur si vous activez les notifications push web | Selon votre navigateur |
Nous pouvons également communiquer des données à des conseillers professionnels tenus à la confidentialité, aux autorités lorsque la loi l’exige ou pour protéger des droits et la sécurité, ainsi qu’à un acquéreur en cas de fusion ou de cession de l’entreprise (avec information préalable de votre part lorsque la loi l’exige).
[To confirm by lawyer: delete the rows of optional providers that are not enabled at launch, and list each provider’s legal entity.]
Transferts internationaux
Nous stockons vos documents en Allemagne et dans l’UE. Certains prestataires ci-dessus sont établis aux États-Unis ou dans d’autres pays hors de l’UE, de l’EEE et du Royaume-Uni, ou peuvent accéder aux données depuis ces pays. Pour ces transferts, nous nous appuyons sur une décision d’adéquation lorsqu’il en existe une (par exemple le cadre de protection des données UE–États-Unis pour les destinataires certifiés et ses extensions britannique et suisse) et, à défaut, sur les clauses contractuelles types de la Commission européenne et, pour le Royaume-Uni, sur l’addendum international sur le transfert de données, assortis de garanties supplémentaires si nécessaire.
Si vous vivez au Canada ou en Australie, vos données sont traitées en Allemagne et aux États-Unis. Nous en restons responsables et exigeons des prestataires qu’ils les protègent à un niveau comparable (LPRPDE, principe 1 ; APP 8). Vous pouvez nous demander une copie des garanties à [EMAIL].
[To confirm by lawyer: transfer mechanism per provider (Data Privacy Framework or standard contractual clauses) and transfer impact assessments.]
Durée de conservation
| Données | Conservation |
|---|---|
| Compte, documents, données d’offres et fichiers | Jusqu’à ce que vous les supprimiez ou supprimiez votre compte. Lorsque vous supprimez votre compte dans l’application, il est verrouillé immédiatement puis effacé après un délai de 14 jours pendant lequel vous pouvez le restaurer ; vous pouvez aussi nous demander de l’effacer plus tôt. Les données supprimées peuvent rester dans les sauvegardes jusqu’à 14 jours. |
| Factures, registre des crédits et données de facturation | Aussi longtemps que le droit fiscal et comptable l’exige, en règle générale de 8 à 10 ans en Allemagne. [To confirm by lawyer: exact periods.] Elles sont conservées après la suppression du compte. |
| Preuves de consentement, journaux d’audit, trace d’une demande de suppression | Conservés comme preuve légale après la suppression, sans contenu de CV. [To confirm by lawyer: retention period, for example 3 years.] |
| Sessions | Jusqu’à 30 jours, puis elles expirent automatiquement |
| Journaux d’envoi d’e-mails | 90 jours |
| Cache des PDF générés | 90 jours |
| Originaux des photos de profil | 30 jours, sauf si vous les enregistrez |
| Entraînement oral | L’audio est supprimé juste après la conversion en texte. La transcription et les commentaires restent liés à votre session pendant 30 jours et peuvent être supprimés à tout moment |
| Liens de partage et pages publiques | Jusqu’à l’expiration du lien (7 jours par défaut pour les comptes gratuits) ou jusqu’à ce que vous les supprimiez |
| E-mails marketing | Jusqu’à votre désabonnement ou au retrait de votre consentement |
| Comptes inactifs | [To confirm by lawyer: policy for accounts with no activity] |
Vos droits
Pour tous
Nous accordons les droits suivants à tous les utilisateurs, où que vous viviez. Vous pouvez en exercer la plupart vous-même dans Paramètres → Confidentialité : télécharger toutes vos données dans un format ouvert, supprimer votre compte, modifier vos choix en matière de cookies et de marketing. Pour le reste, écrivez à [EMAIL]. Nous pouvons vous demander de confirmer votre identité au préalable. Les demandes sont gratuites ; nous répondons dans un délai d’un mois (30 jours selon la LPRPDE et les APPs, 45 jours selon le CCPA) et vous prévenons si nous avons besoin de plus de temps.
Espace économique européen et Royaume-Uni (RGPD, UK GDPR)
- accès à vos données et copie de celles-ci (art. 15), et portabilité dans un format lisible par machine (art. 20)
- rectification des données inexactes (art. 16)
- effacement (art. 17) et limitation du traitement (art. 18)
- opposition au traitement fondé sur les intérêts légitimes, y compris le profilage (art. 21), et, à tout moment, à la prospection directe
- retrait du consentement à tout moment, sans effet sur le traitement antérieur (art. 7, par. 3)
- ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire (art. 22)
- introduire une réclamation auprès d’une autorité de contrôle. Pour nous, il s’agit de la Berliner Beauftragte für Datenschutz und Informationsfreiheit (datenschutz-berlin.de) ; vous pouvez aussi vous adresser à l’autorité du lieu où vous vivez ou travaillez. Au Royaume-Uni : l’Information Commissioner’s Office (ico.org.uk). [To confirm by lawyer: authority details.]
Californie et autres États américains (CCPA/CPRA)
Si vous résidez en Californie, vous avez le droit de savoir quelles informations personnelles nous collectons, utilisons et communiquons ; de les supprimer ; de les corriger ; de vous opposer à la vente ou au partage d’informations personnelles ; de limiter l’utilisation des informations personnelles sensibles ; et de ne pas être traité différemment parce que vous exercez ces droits. Nous ne vendons ni ne partageons d’informations personnelles au sens du CCPA. Nous utilisons les seules informations personnelles sensibles que nous détenons, vos identifiants de connexion (e-mail et mot de passe), uniquement pour fournir le service. Les résidents d’autres États américains dotés de lois sur la vie privée (par exemple le Colorado, le Connecticut, le Texas, la Virginie) disposent de droits similaires ; nous les offrons à tous les utilisateurs américains. Vous pouvez recourir à un mandataire autorisé ; nous demanderons une preuve de son mandat. Si nous refusons une demande, vous pouvez faire appel en répondant à notre réponse.
| Catégorie CCPA (12 derniers mois) | Exemples | Communiquées à | Vendues ou partagées |
|---|---|---|---|
| Identifiants | Nom, adresse e-mail, adresse IP, identifiant de compte | Prestataires d’hébergement, d’e-mail, de paiement et de sécurité | Non |
| Dossiers clients et informations commerciales | Pays de facturation, formule, achats, historique de crédits | Prestataires de paiement et de fiscalité | Non |
| Informations professionnelles, d’emploi et de formation | Contenu des CV et lettres de motivation, candidatures | Prestataires d’hébergement et d’IA (après masquage) | Non |
| Activité sur internet et sur le réseau | Pages et actions dans l’application, données d’appareil et de navigateur, journaux | Prestataires d’hébergement et de sécurité | Non |
| Localisation approximative | Pays et région déduits de l’adresse IP | Prestataires d’hébergement et de sécurité | Non |
| Informations audio et visuelles | Photos que vous téléversez ; voix si vous utilisez l’entraînement oral | Prestataires d’images et de reconnaissance vocale (fonctions facultatives) | Non |
| Déductions | Scores de correspondance et ATS | Non communiquées | Non |
| Informations personnelles sensibles | Identifiants de connexion (e-mail et mot de passe) | Prestataires d’hébergement | Non |
[To confirm by lawyer: second request method or toll-free number if required, and the exact CCPA notice-at-collection wording.]
Canada (LPRPDE / PIPEDA, Loi 25 du Québec, PIPA de l’Alberta et de la Colombie-Britannique)
Nous sommes responsables des renseignements personnels que nous détenons. Notre responsable de la protection de la vie privée est [MANAGING DIRECTOR], joignable à [EMAIL]. Vous pouvez demander à consulter vos renseignements et en contester l’exactitude, retirer votre consentement (sous réserve de restrictions légales ou contractuelles) et déposer une plainte auprès de nous ou du Commissariat à la protection de la vie privée du Canada (priv.gc.ca). Les résidents du Québec disposent également des droits prévus par la Loi 25, notamment la portabilité des données et l’information sur les traitements automatisés, et peuvent déposer une plainte auprès de la Commission d’accès à l’information du Québec. Vos données sont traitées en Allemagne et aux États-Unis (voir « Transferts internationaux »).
Australie (Privacy Act 1988)
Vous pouvez demander l’accès (APP 12) à vos informations personnelles et leur correction (APP 13) à [EMAIL]. Nous communiquons des informations personnelles à des destinataires situés à l’étranger, en Allemagne et aux États-Unis, et prenons des mesures raisonnables pour qu’ils les traitent conformément aux APPs (APP 8). Si vous n’êtes pas satisfait du traitement d’une plainte, vous pouvez contacter l’Office of the Australian Information Commissioner (oaic.gov.au). En cas de violation de données éligible, nous vous en informerons ainsi que l’OAIC, comme l’exige le régime Notifiable Data Breaches.
Ailleurs dans le monde
Si la loi de votre pays vous confère des droits supplémentaires (par exemple en Suisse, au Brésil ou en Nouvelle-Zélande), ils s’appliquent également, et nous les respecterons comme la loi l’exige.
Sécurité
Nous protégeons les données par le chiffrement en transit (HTTPS), des mots de passe stockés sous forme d’empreinte irréversible, des cookies de session que les scripts ne peuvent pas lire, des limites de débit, des contrôles d’accès, des journaux conçus pour exclure le contenu des CV, et une infrastructure hébergée dans l’UE avec des sauvegardes régulières conservées 14 jours. Aucun système n’est totalement sûr. Si une violation de données porte atteinte à vos droits, nous vous en informerons ainsi que les autorités comme la loi l’exige, dans un délai de 72 heures pour les autorités de contrôle au titre du RGPD.
Mineurs
FlowResume n’est pas destiné aux personnes de moins de 16 ans, et nous ne collectons pas sciemment leurs données. Si vous pensez qu’un enfant nous a fourni des données personnelles, écrivez à [EMAIL] et nous les supprimerons. [To confirm by lawyer: minimum age. Options: 16 for the EU, 13 for the US; COPPA and Art. 8 GDPR.]
Liens de partage, portfolios et employeurs
Tout ce que vous publiez via un lien de partage ou une page portfolio hébergée est visible par toute personne disposant du lien ou de l’adresse de la page, et peut être copié par elle. Vous décidez de ce que vous publiez, de qui reçoit le lien et de la date d’expiration, et vous pouvez le retirer à tout moment.
Les employeurs peuvent utiliser FlowResume pour publier des offres et recevoir des candidatures. Si vous postulez à une offre publiée par un employeur, cet employeur est le responsable du traitement des données de votre candidature et FlowResume les traite pour son compte. Adressez-vous à l’employeur pour toute demande concernant cette candidature, ou utilisez la page de suppression de candidature des offres d’emploi. [To confirm by lawyer: data processing agreement for employer customers.]
E-mails marketing
Nous n’envoyons des conseils et des nouveautés sur le produit que si vous y avez consenti. La case n’est jamais cochée d’avance, nous envoyons au maximum deux e-mails par mois et chaque e-mail contient un lien de désabonnement en un clic. Les e-mails de service, tels que les reçus et les avis de sécurité, continuent après votre désabonnement. Pour les destinataires au Canada, cela couvre aussi le consentement au titre de la LCAP (CASL) ; pour les États-Unis, le CAN-SPAM.
Modifications de cette politique
Nous mettrons cette politique à jour lorsque nos pratiques ou la loi changeront. Nous vous informerons des modifications importantes par e-mail ou dans l’application avant leur entrée en vigueur, et la date de la dernière version figure en haut de cette page. Lorsque la loi exige votre consentement pour un nouvel usage, nous le demanderons.
Contact et réclamations
SolutionPlus UG (haftungsbeschränkt) Confidentialité : [EMAIL] Adresse postale : [ADDRESS], Berlin, Allemagne
Contactez-nous d’abord afin que nous puissions résoudre rapidement un problème. Vous avez toujours le droit d’introduire une réclamation auprès d’une autorité de protection des données, comme décrit sous « Vos droits ».