Politique de Confidentialité

Version 1.0 — En vigueur à compter du [DATE].

1. Préambule

La protection de vos données personnelles est une priorité pour [RAISON SOCIALE] (ci-après « nous » ou « l’Éditeur »), éditeur de la plateforme BeMyWork (ci-après « la Plateforme »).

La présente politique a pour objet de vous informer, en application du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi n°78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »), de la manière dont nous collectons, utilisons, conservons et protégeons vos données personnelles, ainsi que des droits dont vous disposez.

Elle complète les Conditions Générales d’Utilisation de la Plateforme.

2. Responsable du traitement

• [RAISON SOCIALE], [FORME JURIDIQUE]
• RCS de [RCS VILLE] — [SIREN]
• Siège social : [ADRESSE SIÈGE]
• Contact dédié à la protection des données : [EMAIL DPO ou CONTACT RGPD]

3. Données personnelles collectées

Nous collectons uniquement les données strictement nécessaires aux finalités décrites à l’article 4 (principe de minimisation, art. 5.1.c RGPD).

3.1 Données communes à tous les Utilisateurs

3.2 Données spécifiques aux Candidats

3.3 Données spécifiques aux Recruteurs

3.4 Données générées par la Plateforme

• Résultats de matching : suggestions calculées, scores partiels, statut (proposé, accepté, refusé)
• Rendez-vous : entretiens planifiés, statut, historique des notifications envoyées
• Métadonnées de notification : horodatage des e-mails et SMS envoyés, pour éviter les doublons

3.5 Données que nous ne collectons pas

Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données de santé, données génétiques, données biométriques, données relatives à la vie sexuelle ou à l’orientation sexuelle. Nous vous demandons de ne pas en mentionner dans les champs libres.

4. Finalités et bases légales des traitements

Conformément à l’article 6 du RGPD, chaque traitement repose sur une base légale déterminée :

Vous pouvez retirer votre consentement à tout moment depuis les paramètres de votre Compte ou en nous écrivant à [EMAIL CONTACT]. Le retrait ne remet pas en cause la licéité des traitements antérieurs.

5. Décisions automatisées et profilage (art. 22 RGPD)

5.1 Algorithme de Matching

La Plateforme utilise un algorithme de mise en relation automatisée combinant :

• des filtres déterministes (compétences obligatoires, contrat, salaire, mobilité, langues, expérience) ;
• un scoring pondéré (50 % valeurs, 20 % compétences, 20 % expérience, 10 % langue) ;
• un modèle d’intelligence artificielle (gpt-4.1-nano fourni par OpenAI) utilisé exclusivement pour comparer la similarité entre intitulés de postes. Aucune donnée d’identification, de salaire ou de coordonnées n’est transmise à OpenAI à cette occasion.

5.2 Caractère non décisionnaire

Le Matching produit une suggestion, pas une décision : il ne prive aucun Utilisateur d’opportunités, ne refuse aucune candidature et n’a pas d’effet juridique direct au sens de l’article 22.1 du RGPD.

5.3 Droit à l’intervention humaine

Vous pouvez à tout moment :

• demander une explication sur la logique appliquée à votre profil ;
• demander une revue humaine des résultats du Matching vous concernant ;
• contester un résultat que vous estimez injuste ou erroné.

Toute demande peut être adressée à [EMAIL CONTACT] et fera l’objet d’une réponse motivée dans un délai n’excédant pas 30 jours.

6. Destinataires et sous-traitants

Vos données sont accessibles, dans la stricte mesure nécessaire à leurs missions, par :

• les équipes habilitées de l’Éditeur (technique, support, juridique) ;
• les autres Utilisateurs dans le cadre du Matching et des prises de rendez-vous ;
• les sous-traitants listés ci-dessous, choisis pour leurs garanties techniques et organisationnelles.

6.1 Liste des sous-traitants

Chaque sous-traitant est lié à l’Éditeur par un contrat de sous-traitance conforme à l’article 28 du RGPD (DPA) garantissant un niveau de protection équivalent. Les DPA sont disponibles sur demande motivée à [EMAIL CONTACT].

7. Transferts hors Union européenne

Certains sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés par les mécanismes prévus aux articles 44 et suivants du RGPD :

• Décision d’adéquation « EU-US Data Privacy Framework » (CE, 10 juillet 2023) pour les sous-traitants certifiés ;
• À défaut, Clauses Contractuelles Types (CCT) adoptées par la Commission européenne ;
• Mesures complémentaires : chiffrement en transit (TLS 1.2+), chiffrement au repos, contrôle d’accès strict, journalisation.

Vous pouvez obtenir copie des garanties applicables à un transfert spécifique en écrivant à [EMAIL CONTACT].

8. Durées de conservation

9. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) :

9.1 Mesures techniques

• Chiffrement en transit : TLS 1.2 minimum sur toutes les connexions ;
• Chiffrement au repos : base de données chiffrée par l’hébergeur ;
• Chiffrement renforcé des secrets : refresh tokens Google Calendar chiffrés en AES-256-GCM avant écriture en base ;
• Hashage des mots de passe : algorithme Argon2id avec paramètres conformes aux recommandations ANSSI ;
• Authentification : JWT signé, cookies httpOnly, secrets en variables d’environnement ;
• Rate limiting sur les endpoints sensibles ;
• Cloisonnement des environnements (production / préproduction / développement) ;
• Mises à jour de sécurité régulières des dépendances.

9.2 Mesures organisationnelles

• Accès aux données restreint aux personnes habilitées (principe du moindre privilège) ;
• Sensibilisation interne à la sécurité et à la confidentialité ;
• Procédure de gestion des incidents et notification en cas de violation.

9.3 Notification en cas de violation

En cas de violation de données personnelles susceptible d’engendrer un risque élevé pour vos droits et libertés, nous notifierons la CNIL dans un délai de 72 heures (art. 33 RGPD) et vous informerons personnellement dans les meilleurs délais (art. 34 RGPD).

10. Cookies et traceurs

À la date de la présente Politique, la Plateforme utilise uniquement des cookies strictement nécessaires à son fonctionnement, ne requérant pas de consentement préalable (art. 82 LIL) :

Aucun cookie de mesure d’audience, de publicité ou de réseau social tiers n’est déposé à ce jour. L’ajout futur de tels traceurs s’accompagnera d’un bandeau de consentement conforme aux recommandations CNIL.

11. Vos droits

Conformément aux articles 15 à 22 du RGPD :

Comment exercer vos droits

• Depuis votre Compte : la majorité des droits sont activables depuis la rubrique Paramètres ;
• Par e-mail : [EMAIL CONTACT] (joindre une copie d’un titre d’identité en cas de doute raisonnable sur votre identité) ;
• Par courrier : [RAISON SOCIALE], [ADRESSE SIÈGE].

Nous nous engageons à vous répondre dans un délai d’un mois (prorogeable de deux mois en cas de complexité), conformément à l’article 12.3 du RGPD.

Réclamation auprès de la CNIL

Vous pouvez introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) :

• En ligne : cnil.fr/fr/plaintes
• Courrier : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22

12. Mineurs

La Plateforme n’est pas destinée aux personnes de moins de 15 ans. L’inscription requiert un âge minimum de 18 ans ; les Utilisateurs âgés de 15 à 17 ans doivent obtenir l’accord préalable d’un titulaire de l’autorité parentale (art. 7-1 LIL).

13. Modification de la Politique

La présente Politique peut être modifiée pour refléter l’évolution des Services, des sous-traitants ou de la législation. En cas de modification substantielle, nous vous en informerons par e-mail ou via une notification visible sur la Plateforme au moins 15 jours avant l’entrée en vigueur.

14. Contact

• E-mail dédié à la protection des données : [EMAIL DPO ou CONTACT RGPD]
• Courrier : [RAISON SOCIALE] — [ADRESSE SIÈGE]

Dernière mise à jour : [DATE].