Politique de confidentialité

Responsable du traitement

Mariano De Vitto, entrepreneur individuel (autónomo, Espagne), NIF Y8773262H, domicilié à Carrer Lleida 25, 08004 Barcelona, España. Pour toute question sur vos données : [email protected].

Aucun délégué à la protection des données n'a été désigné : le traitement n'entre pas dans les cas prévus par l'article 37 du RGPD.

Quelles données nous traitons

• Données de compte. L'adresse e-mail avec laquelle vous vous connectez. Si vous entrez avec Google, aussi votre nom et votre photo de profil, que Google nous transmet.
• Profil professionnel. Ce que vous écrivez et ce qu'on extrait de votre CV : expérience, formation, compétences, langues, ville, niveau, mode de travail et prétentions salariales.
• Votre CV. Quand vous déposez un PDF, on le lit pour compléter le profil. On garde le texte extrait, pas le fichier.
• Votre activité dans l'application. Les offres que vous avez analysées, leurs scores, l'état de chaque candidature, vos notes et les documents générés.
• Données d'usage. Date de la dernière connexion et nombre de recherches et d'analyses que vous avez faites chaque jour. Ça sert à faire fonctionner le service et à éviter que quelqu'un épuise les limites des outils qu'on utilise.
• Courrier électronique, seulement si vous le connectez. Si vous activez la lecture des alertes emploi, on accède à votre boîte uniquement pour repérer les e-mails d'alertes des sites d'emploi et en extraire les intitulés, les entreprises et les liens. On ne lit pas, on ne conserve pas et on n'indexe pas le reste de votre courrier. Vous pouvez le déconnecter quand vous voulez et l'autorisation est révoquée à ce moment-là. Ce qui est lu dans votre messagerie sert uniquement à vous montrer vos propres offres : ce n'est ni partagé avec d'autres personnes ni utilisé à d'autres fins. L'utilisation que fait Cernoria des informations reçues des API Google respecte la Politique relative aux données utilisateur des services d'API Google (https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences d'utilisation limitée.
• Réponses des entreprises, seulement si vous l'activez. Si vous activez « Détecter les réponses des entreprises », nous regardons l'expéditeur, l'objet et les premières lignes des e-mails des entreprises auxquelles vous avez postulé, pour marquer la candidature comme entretien ou refusée. Nous ne conservons rien de ces e-mails.
• Invitations. Si vous arrivez par l'invitation d'une autre personne, nous enregistrons qui vous a invité pour offrir à cette personne son mois gratuit. La personne qui invite voit seulement combien de ses invitations ont été utilisées, pas qui vous êtes.
• Données de paiement, si vous souscrivez une formule. Le paiement est traité intégralement par Stripe. Cernoria ne voit ni ne conserve votre numéro de carte : il garde seulement un identifiant client, la formule souscrite et les dates de facturation.
• Votre voix, seulement si vous utilisez la dictée. Si vous préférez dire quelque chose plutôt que de l'écrire, l'audio est envoyé pour être converti en texte, puis supprimé dès que la transcription revient. Nous ne conservons aucun enregistrement, ni sur votre appareil ni sur nos serveurs : il ne reste que le texte, dans le champ où vous pouvez le corriger avant de l'enregistrer. C'est facultatif ; si vous n'utilisez pas la dictée, rien n'est enregistré.
• Vos entretiens, seulement si vous utilisez cette section. Nous conservons ce que vous saisissez pour chaque entretien (entreprise, poste, date, étape, avec qui et vos notes), sa transcription et le feedback produit par l'application. Si vous enregistrez l'entretien ou importez l'enregistrement, l'audio est envoyé pour être converti en texte puis supprimé : il n'est pas conservé. La transcription est conservée avec l'entretien tant que vous avez le compte ; vous pouvez la supprimer à tout moment depuis l'entretien, et elle est supprimée avec votre compte. Elle contient la voix d'autres personnes : vous vous engagez à les prévenir avant d'enregistrer, et l'application vous le demande à chaque fois.
• L'extension Chrome, seulement si vous l'installez. « Cernoria · Transcribir entrevistas » capte l'audio de l'onglet de la visioconférence (Meet, Teams ou Zoom dans le navigateur) uniquement lorsque vous cliquez sur « Activer la transcription », et l'envoie à Cernoria avec l'adresse de la réunion pour le transcrire et le rattacher à votre entretien ; l'audio n'est pas conservé. Elle garde dans votre navigateur une clé qui la relie à votre compte et qui cesse de fonctionner quand vous la déconnectez ou la désinstallez. Elle ne lit ni les autres onglets ni votre historique.
• Votre genre, seulement si vous l'indiquez. Le profil comporte un champ facultatif où vous pouvez dire comment vous voulez être nommé dans vos documents. C'est une catégorie particulière de données (art. 9 RGPD) : nous ne la traitons qu'avec votre consentement explicite, nous ne la déduisons jamais de votre prénom, elle n'est jamais envoyée à l'intelligence artificielle —on lui indique seulement s'il faut écrire au masculin, au féminin ou sans marquer le genre— et vous pouvez la laisser vide ou l'effacer quand vous voulez.

À quoi elles nous servent et sur quelle base légale

• Vous fournir le service — chercher des offres, les noter, générer des documents, tenir votre suivi. Base légale : l'exécution du contrat que vous acceptez en créant le compte (art. 6.1.b RGPD).
• Vous facturer, si vous avez une formule payante, et respecter les obligations fiscales et comptables. Base légale : exécution du contrat et obligation légale (art. 6.1.b et 6.1.c).
• Lire les alertes emploi de votre courrier. Base légale : votre consentement explicite, que vous donnez au moment de connecter la boîte et que vous pouvez retirer à tout moment (art. 6.1.a).
• Détecter les réponses des entreprises et alertes Telegram. Base légale : votre consentement, donné lors de l'activation et retirable à tout moment (art. 6.1.a).
• Garder le service sûr et dans ses limites techniques. Base légale : intérêt légitime (art. 6.1.f).
• Vous écrire pour des questions liées au service — un changement important, un problème avec votre compte. Base légale : exécution du contrat. On n'envoie pas de publicité.
• Écrire vos documents comme vous le demandez. Si vous indiquez votre genre, la base légale est votre consentement explicite pour une catégorie particulière de données (art. 9.2.a RGPD), donné au moment de le choisir et retiré en l'effaçant. Sans cette information, les documents sont écrits sans marquer le genre.

Ce qu'on ne fait PAS

On ne vend pas vos données. On ne les cède pas à des entreprises pour qu'elles vous proposent du travail, ni pour aucune autre fin commerciale. On ne fait pas de profils publicitaires. On n'utilise ni vos données ni vos documents pour entraîner des modèles d'intelligence artificielle, ni les nôtres ni ceux de tiers.

On n'envoie pas de candidatures en votre nom et on n'accède pas à vos comptes sur les sites d'emploi.

Décisions automatisées

Cernoria note les offres de façon automatique et vous suggère de postuler ou non. Cette note est une orientation pour vous : elle ne produit aucun effet juridique à votre égard et ne vous affecte pas de manière significative, parce qu'elle ne décide rien face à des tiers et que c'est toujours vous qui décidez de postuler. Vous pouvez toujours voir le détail du calcul, le contester et postuler quand même.

Avec qui elles sont partagées

Uniquement avec les prestataires nécessaires au fonctionnement de l'application, tous liés par un contrat de sous-traitance :

• Supabase — base de données et authentification. Serveurs dans l'Union européenne.
• Hetzner — le serveur propre de Cernoria, à Nuremberg (Allemagne), qui héberge l'application et effectue tout le traitement : le site, la lecture d'un CV, la génération des documents et la mise à jour de l'index des offres. Fourni par Hetzner Online GmbH.
• Netlify — hébergement de secours : si le serveur propre tombe en panne, l'application peut de nouveau être servie depuis Netlify, avec les fonctions à Francfort (Allemagne). En attendant, il vérifie seulement de l'extérieur que le site répond, sans traiter de données personnelles. Fourni par Netlify, Inc. ; transfert international encadré par les clauses contractuelles types.
• Cloudflare — conserve les copies de sauvegarde de la base de données, chiffrées avec une clé que seule Cernoria détient, et sert de porte d'entrée au site : il le protège des attaques et le distribue. Fourni par Cloudflare, Inc. ; transfert international encadré par les clauses contractuelles types.
• Anthropic — traite le texte de votre profil et de l'offre pour générer l'analyse et les documents. Anthropic n'utilise pas ce qui est envoyé via son API pour entraîner ses modèles. Transfert international encadré par les clauses contractuelles types de la Commission européenne.
• OpenAI — seulement si vous utilisez la dictée vocale. Reçoit l'audio que vous enregistrez et le renvoie converti en texte, rien d'autre : ni votre profil, ni votre CV, ni les offres. OpenAI n'utilise pas ce qui est envoyé via son API pour entraîner ses modèles et supprime l'audio une fois traité. Fourni par OpenAI, L.L.C. ; transfert international couvert par les clauses contractuelles types de la Commission européenne.
• Mistral AI — seulement si vous enregistrez un entretien ou importez son enregistrement. Reçoit l'audio et le renvoie converti en texte, rien d'autre : ni votre profil, ni votre CV, ni les offres. Ni l'enregistrement ni le texte renvoyé n'y sont conservés : le texte est conservé par Cernoria, avec l'entretien. Fourni par Mistral AI SAS, société établie en France ; le traitement reste dans l'Union européenne.
• Sentry — reçoit un avis technique lorsque quelque chose échoue dans l'application (quel écran, quelle erreur), sans votre profil, votre CV ni le texte des offres. Fourni par Functional Software, Inc. ; les données sont hébergées dans sa région européenne.
• Resend — achemine les e-mails que Cernoria vous envoie : le message de bienvenue, le résumé des offres et les alertes que vous avez activées. Reçoit votre adresse e-mail et le contenu du message ; ni votre CV ni votre profil. Fourni par Resend, Inc. ; transfert international couvert par les clauses contractuelles types.
• Telegram — uniquement si vous connectez Telegram pour recevoir des alertes. Il reçoit les titres des offres signalées. Telegram fournit son service depuis l'extérieur de l'Espace économique européen et ne signe pas de clauses contractuelles types : ce transfert repose sur votre consentement explicite, que vous donnez en le connectant et retirez en le déconnectant (art. 49, paragraphe 1, point a) du RGPD).
• Google — seulement si vous choisissez de vous connecter avec votre compte Google ou de connecter Gmail.
• Microsoft — seulement si vous connectez une boîte Outlook.
• Google Tag Manager — le gestionnaire qui charge les outils de mesure ci-dessous. En lui-même il ne stocke rien sur votre appareil et ne reçoit aucune donnée vous concernant : il décide seulement ce qui s'active selon ce que vous avez accepté. Fourni par Google Ireland Limited.
• Google Analytics — uniquement si vous acceptez les cookies de mesure d'audience. Il reçoit les pages visitées et des données techniques du navigateur, jamais votre profil, votre CV ni les offres que vous consultez. Transfert international couvert par les clauses contractuelles types.
• Meta — uniquement si vous acceptez les cookies marketing. Il reçoit le fait que quelqu'un est arrivé sur le site depuis une publicité, pour mesurer les campagnes. Ici Meta et Cernoria sont responsables conjoints du traitement. Transfert international couvert par le cadre de protection des données UE-États-Unis.
• Microsoft — uniquement si vous acceptez les cookies de mesure d'audience. Il reçoit un enregistrement de l'utilisation de l'écran, tous les textes masqués avant de quitter votre navigateur. Il ne reçoit ni votre CV, ni les offres que vous consultez, ni votre nom. Transfert international couvert par les clauses contractuelles types.
• Stripe — seulement si vous souscrivez une formule payante. Il traite le paiement et les données de la carte ; Cernoria ne reçoit qu'un identifiant client, la formule et les dates de facturation. Fourni par Stripe Payments Europe, Ltd. (Irlande) ; les transferts vers Stripe, Inc. sont couverts par le cadre de protection des données UE-États-Unis et par les clauses contractuelles types.
• Les sources d'offres d'emploi — elles reçoivent la requête de recherche (le poste et la ville), jamais votre identité ni votre profil.

Combien de temps on les garde

Tant que votre compte est ouvert. Quand vous le supprimez, tout est effacé — profil, CV, analyses, documents et suivi — sans copie de notre côté.

Exception : les factures et les écritures comptables sont conservées pendant le délai qu'impose la loi fiscale espagnole, aujourd'hui de quatre ans. Ces documents contiennent votre nom et le montant, pas votre profil professionnel.

Si vous ne vous connectez pas pendant deux ans d'affilée, on vous prévient par e-mail et, sans réponse de votre part, on supprime le compte.

Vos droits

Vous avez le droit d'accéder à vos données, de les rectifier, de les effacer, d'en limiter le traitement, de vous y opposer et de les emporter vers un autre service. Vous pouvez aussi retirer votre consentement à tout moment, sans que cela remette en cause ce qui a été fait avant.

Les trois premières choses, vous pouvez les faire vous-même sans rien nous demander : le profil se modifie, toutes vos données se téléchargent dans un fichier depuis Mon compte, et le compte se supprime depuis Mon compte avec effet immédiat. Pour le reste, écrivez-nous à [email protected] et on répond dans un délai d'un mois.

Si vous pensez qu'on traite mal vos données, vous pouvez introduire une réclamation auprès de l'Agencia Española de Protección de Datos (Agence espagnole de protection des données, www.aepd.es).

Sécurité

Les mots de passe, ce n'est pas nous qui les gardons : c'est le prestataire d'authentification qui les gère. Les données circulent chiffrées et chaque ligne de la base a des règles d'accès par utilisateur, de sorte que personne ne peut lire les données de quelqu'un d'autre. Les autorisations d'accès au courrier sont stockées chiffrées.

S'il arrivait une violation de données présentant un risque pour vous, on vous le communique et on le notifie à l'autorité dans les 72 heures, comme l'exige l'article 33 du RGPD.

Mineurs

Cernoria ne s'adresse pas aux moins de 16 ans et ne peut pas être utilisé en dessous de cet âge.

Modifications

Si cette politique change de façon importante, on vous prévient par e-mail avant son entrée en vigueur. La date de la dernière mise à jour est indiquée en haut.