Traduit automatiquement pour votre commodité. La version anglaise sur /legal/privacy est le texte juridiquement contraignant.

Politique de confidentialité

Version 0.4 — adresse e-mail de contact + entité juridique renseignées · Dernière mise à jour 2026-05-09

⚠️ Ceci est un projet de travail. Il n'a pas été examiné par un avocat. Ne pas publier en externe sans cet examen. Le document interne complémentaire est SECURITY_AND_PERSONAL_INFORMATION.md, qui approfondit les détails techniques.

1. Qui nous sommes

AI Stream Jobs est un outil d'adaptation de CV exploité par Næxt AI ("nous"). Vous pouvez nous contacter à l'adresse e-mail indiquée au §11 Contact.

Si vous résidez dans l'UE, l'EEE ou le Royaume-Uni, le responsable du traitement de vos données personnelles est Næxt AI.

2. Version courte

Nous collectons ce à quoi vous vous attendez — votre e-mail de compte, le contenu du CV que vous téléversez, les offres d'emploi que vous enregistrez et la façon dont vous utilisez le produit (brouillons générés, formule, facturation). Nous les utilisons pour faire fonctionner le produit, générer des CV et lettres de motivation adaptés par IA, vous facturer correctement et améliorer le service. Nous envoyons votre texte de CV et la description du poste à Anthropic et Google lorsque vous générez un brouillon, car ce sont les fournisseurs d'IA qui effectuent la réécriture ; leurs conditions commerciales leur interdisent d'entraîner leurs modèles sur ces données. Nous ne vendons jamais vos données. Vous pouvez exporter ou supprimer à tout moment tout ce que vous avez saisi.

La version complète suit.

3. Ce que nous collectons, pourquoi, et la base légale (RGPD article 6)

Nous ne collectons pas intentionnellement les catégories sensibles de l'article 9 du RGPD (origine, religion, santé, biométrie, etc.). Les CV en mentionnent parfois — c'est du contenu volontairement fourni par l'utilisateur ; nous le traitons comme le reste du CV (chiffré au repos, envoyé uniquement aux fournisseurs d'IA listés, supprimable sur demande).

4. Combien de temps nous conservons les données

5. Avec qui nous les partageons

Nous ne vendons pas vos données personnelles. Nous ne les partageons qu'avec les prestataires qui font fonctionner le produit :

Tant Anthropic que Google s'engagent contractuellement, dans leurs conditions commerciales, à ne pas entraîner leurs modèles sur le trafic API en production. Nous publierons des accords de traitement des données (DPA) signés avec les deux avant le lancement UE. (Voir le Plan de mise en œuvre pour le calendrier.)

Nous ne partagerons jamais vos données à des fins de marketing, de publicité ou de vente à des tiers.

Minimisation des données personnelles dans les appels utilitaires. Lorsque nous envoyons votre texte de CV à un fournisseur d'IA pour des tâches qui n'ont pas besoin de vous identifier — évaluer la correspondance entre votre CV et une offre, extraire votre profil de carrière (fonction, niveau, postes visés) pour les puces de suggestion de recherche — nous retirons votre nom (le cas échéant), votre e-mail, téléphone, URL LinkedIn et autres identifiants personnels du texte avant envoi. Le fournisseur voit quelque chose comme "[NOM_OCCULTE] a travaillé comme Senior Engineer chez Stripe 2020–2024" et produit une note/extraction tout aussi précise. Les tâches qui ont réellement besoin de votre contenu complet — génération de CV adaptés, réécriture de puces, rédaction de lettres de motivation, génération de questions de préparation d'entretien — conservent le texte intégral parce que la sortie vous nomme et écrit avec votre voix.

6. Transferts internationaux

Si vous êtes dans l'UE, l'EEE, le Royaume-Uni ou en Suisse, vos données peuvent être transférées et traitées aux États-Unis par les fournisseurs ci-dessus. Nous nous appuyons sur :

• Les clauses contractuelles types (CCT) approuvées par la Commission européenne, intégrées à nos DPA avec Anthropic, Google et Stripe (signés avant le lancement UE — voir l'écart ouvert ci-dessus).
• Les décisions d'adéquation lorsqu'elles s'appliquent (EU-US Data Privacy Framework à compter de 2026).

Lorsque la résidence des données dans l'UE arrivera (prévue, voir Plan de mise en œuvre §7), le contenu de CV, les brouillons, les candidatures et les appels aux modèles d'IA des utilisateurs UE resteront dans la région europe-west1 de Google Cloud. Une exception subsiste : voir §6.1.

6.1 Exception documentée — identité Firebase Authentication

AI Stream Jobs utilise Google Firebase Authentication pour gérer la connexion. À compter de 2026, Firebase Authentication ne propose pas de résidence des données dans l'UE : votre identité de connexion (adresse e-mail et nom affiché) est stockée et traitée par Google aux États-Unis.

Nous nous appuyons sur les bases légales suivantes pour ce transfert :

• RGPD article 6(1)(b) — exécution d'un contrat. Nous ne pouvons pas faire fonctionner le service sans stocker votre identité d'authentification. Ce traitement n'est donc pas un "consentement" au sens de l'article 6(1)(a), mais une nécessité contractuelle. Si vous n'acceptez pas cette exception, merci de ne pas créer de compte.
• Clauses contractuelles types — le transfert UE-États-Unis de votre identité de connexion est couvert par les CCT du Google Cloud Data Processing Addendum, consultable sur cloud.google.com/terms/data-processing-addendum.
• EU-US Data Privacy Framework — Google est un participant certifié là où le cadre s'applique.

Ce qui est et n'est pas couvert par cette exception :

Chaque utilisateur de l'UE se voit présenter cette exception dans la boîte de dialogue de consentement à l'inscription et doit la reconnaître explicitement via une case à cocher — la piste d'audit des acceptations se trouve dans Firestore à users/{uid}/consents/*.

Nous réexaminerons cette exception lorsque (a) Firebase Authentication proposera une résidence complète des données dans l'UE, ou (b) notre base de clients UE nous obligera à migrer vers un fournisseur d'authentification résidant dans l'UE (Auth0 EU, Descope, FusionAuth ou similaire). La décision sera documentée dans le Plan de mise en œuvre.

7. Vos droits

Où que vous viviez, vous pouvez :

• Accéder à ce que nous détenons — Paramètres → Données → Tout exporter (/api/account/export prévu).
• Rectifier ce qui est erroné — modifiez-le directement dans l'application.
• Supprimer tout — Paramètres → Zone de danger → Supprimer le compte (/api/account/delete prévu). C'est définitif.
• Portabilité — même endpoint d'export, JSON lisible par machine.
• Retirer le consentement à l'envoi du contenu du CV aux fournisseurs d'IA — interrupteur dans Paramètres → Confidentialité. Cela arrête les appels d'IA futurs ; cela ne supprime pas rétroactivement les brouillons déjà générés.
• Vous opposer à un traitement spécifique — écrivez-nous via §11 Contact.
• Introduire une réclamation auprès de votre autorité de protection des données si vous résidez dans l'UE/l'EEE/au Royaume-Uni. Nous apprécierions d'être informés au préalable pour pouvoir corriger ce qui ne va pas.

Nous répondons aux demandes de droits sous 30 jours (souvent sous 7).

8. Cookies (la liste complète)

Nous utilisons un petit nombre de cookies, tous strictement nécessaires au fonctionnement du Service. Aucun cookie de suivi, publicité ou analytique. Aucun cookie tiers.

En vertu de la directive ePrivacy (article 5(3)) et des lignes directrices des régulateurs UE, les cookies strictement nécessaires sont exemptés de l'obligation de bandeau de consentement — c'est pour cela que nous n'en affichons aucun. La liste complète :

C'est tout. Les deux cookies sont posés à la connexion et supprimés à la déconnexion. Ils ne sont jamais lisibles par JavaScript (httpOnly), envoyés uniquement en HTTPS (Secure) et jamais envoyés en requêtes inter-sites (SameSite=Lax).

Nous n'utilisons pas :

• Google Analytics, le pixel Meta ou tout autre traceur comportemental
• Des cookies publicitaires de quelque nature que ce soit
• Des cookies tiers
• localStorage comme mécanisme de suivi (nous l'utilisons comme cache par appareil pour vos brouillons ; décrit au §3)

Le Cloud Logging que nous exécutons est uniquement côté serveur — il ne dépose pas de cookies chez vous. Les requêtes de votre navigateur vers /api/* produisent une ligne de journal contenant le chemin, votre IP tronquée (/24 pour IPv4, /48 pour IPv6) et le temps — voir §3 "Journaux serveur".

9. Enfants

AI Stream Jobs est destiné aux adultes. Nous ne collectons pas sciemment de données de personnes de moins de 16 ans. Si vous pensez qu'un enfant s'est inscrit, contactez-nous et nous supprimerons le compte.

10. Modifications

Lorsque nous modifions la présente politique, nous incrémentons la version dans l'en-tête, consignons la modification au §13 et (pour les modifications substantielles) vous envoyons un e-mail avant que la nouvelle version ne prenne effet. Pour les modifications non substantielles (coquilles, liens), nous publions simplement.

11. Contact

E-mail : support@aistreamjobs.com Adresse : (à renseigner — requise par le RGPD ; peut être une boîte postale ; en attente de revue juridique)

Si vous avez identifié une faille de sécurité, merci d'envoyer un e-mail plutôt que d'ouvrir une issue publique sur GitHub.

12. Définitions

• Données personnelles — tout ce qui peut vous identifier, directement ou indirectement, y compris votre nom, e-mail, adresse IP et le contenu de votre CV.
• Traitement — toute opération effectuée sur des données personnelles : collecte, stockage, utilisation, partage, suppression.
• Fournisseur d'IA — Anthropic et Google. Les deux opèrent leurs API selon des conditions commerciales qui excluent le trafic API de l'entraînement des modèles.

13. Journal des modifications