Confidentialité
Qui est responsable
Le responsable du traitement est , qui édite cvestia à titre non professionnel, joignable à l'adresse de contact indiquée en bas de page. Les demandes reçoivent une réponse dans un délai d'un mois.
Ce que nous traitons, pourquoi, et sur quelle base
L'essentiel de ce que le service conserve tient dans ce tableau. Ce qui n'y figure pas n'est pas collecté, et il n'existe aucun mot de passe. Aucun téléphone ni adresse postale ne vous est demandé ; si vous les écrivez sur votre site, ils font partie de son contenu. Le modèle qui lit votre CV a pour consigne de ne pas en extraire votre date de naissance, votre âge, votre nationalité, votre situation familiale, votre numéro de téléphone ni votre adresse postale, et votre photo n'est jamais lue : ce que votre site dit de vous vient de votre CV, puis de ce que vous y écrivez vous-même.
| Donnée | Pourquoi | Base légale | Durée |
|---|---|---|---|
| Adresse email | Retrouver votre site, vous y reconnecter, vous écrire à son sujet | Exécution du contrat | Vie du compte |
| CV au format PDF | En extraire les données de votre site | Exécution du contrat | Le temps de l'extraction, puis effacé. 48 heures au plus si l'adresse n'est jamais vérifiée |
| Contenu du site | Produire et afficher votre portfolio | Exécution du contrat | Vie du site |
| Sessions | Vous garder connecté sans mot de passe | Exécution du contrat | 30 jours, puis effacées automatiquement |
| Code de vérification | Prouver que l’adresse est la vôtre | Exécution du contrat | 10 minutes, conservé sous forme d’empreinte |
| Compteurs anti-abus | Empêcher un robot de faire monter la facture. Ils comptent par adresse email et par totaux de toute la plateforme, jamais par adresse IP | Intérêt légitime | 48 heures au plus |
| Date et version des conditions acceptées | Prouver quel texte vous avez accepté, et quand | Intérêt légitime (preuve du contrat) | Vie du compte |
| Fournisseur du modèle ayant lu votre CV | Pouvoir vous dire qui a lu votre CV, même après un changement de fournisseur | Intérêt légitime (traçabilité) | Vie du site |
| Mesures de visite | Vous montrer la fréquentation de votre site | Intérêt légitime | 12 mois |
| Journal des publications : adresse email, adresse du site, adresse IP, date et heure de chaque publication, de chaque remise en ligne et de la suppression du compte | Identifier l’auteur d’un contenu publié si une autorité le demande, comme la loi l’impose à tout hébergeur | Obligation légale (LCEN) pour l’adresse IP, la date et l’heure ; intérêt légitime pour ce qui reste ensuite : constatation, exercice ou défense de droits en justice. Cinq ans correspondent au délai de prescription des actions civiles (article 2224 du code civil). | Adresse IP, date et heure : un an après le geste, puis effacées. Adresse email et adresse du site : cinq ans après la suppression du compte |
Nous ne vendons ni ne partageons vos données, au sens commun de ces mots : aucune donnée n'est vendue, louée, échangée, ni utilisée à des fins publicitaires ou de profilage.
Si vous nous envoyez un retour depuis votre espace, il nous parvient par email, accompagné de votre adresse pour pouvoir vous répondre. Il n'est pas conservé en base de données : il reste dans la boîte de messagerie le temps du suivi, et s'efface sur simple demande.
Le journal des publications est tenu à part : aucune page du service ne le lit, il ne sert à rien d'autre, et il n'est consulté que sur demande légale d'une autorité. Passé l'année que la loi exige, l'adresse IP, la date et l'heure sont effacées et il ne reste que l'adresse email et l'adresse du site, qui disent quelle adresse un compte a portée.
Votre CV
Le fichier que vous déposez est stocké le temps d'en lire le texte, puis effacé, que la lecture ait réussi ou échoué. Son nom n'est jamais conservé : il porte souvent votre nom et ne sert à rien.
Un dépôt dont l'adresse email n'a jamais été vérifiée est effacé sous 48 heures, fichier compris. Un dépôt resté sans suite plus d'une semaine est effacé quel que soit son état.
Gardez toujours l'original de votre CV : cvestia n'est pas un service de sauvegarde.
Le modèle qui lit votre CV
Le texte extrait de votre CV est transmis une seule fois, à la création du site, à OpenAI Ireland Ltd et ses sociétés affiliées, dont OpenAI, LLC aux États-Unis. Selon ses conditions, ce fournisseur peut conserver la requête jusqu’à 30 jours aux seules fins de détection des abus, puis l’efface. Elle n’est jamais utilisée pour entraîner ses modèles. Rien d'autre ne part avec : ni votre adresse email, ni vos sessions, ni les statistiques de votre site. Le fichier PDF lui-même n'est jamais transmis et ne quitte pas notre hébergeur.
Les conditions de l’API excluent l’entraînement sur ce qui lui est transmis, sauf adhésion explicite, que cvestia ne donne pas. cvestia ne demande ni n'accorde aucun droit d'entraînement sur votre contenu, et n'active aucune option d'amélioration du modèle.
Le fournisseur peut changer. Le nom qui figure ci-dessus est celui qui est en service aujourd'hui, lu dans la configuration réelle du service ; le nom de celui qui a lu votre CV est conservé avec votre site, et vous pouvez nous le demander. Un changement de fournisseur est annoncé sur cette page et, si vous avez un compte, par email.
La page Intelligence artificielle décrit en un seul endroit ce que le modèle fait, et ce qu'il ne fait pas.
Ce qui devient public quand vous publiez
Publier rend votre site accessible à toute personne connaissant son adresse, sans compte et sans authentification. Il expose un plan de site, un fichier lisible par des systèmes automatisés et un CV en PDF reprenant son contenu.
Un site publié est indexé, et peut être lu et cité par les moteurs de recherche et par les assistants d'intelligence artificielle qui y cherchent une réponse pour leurs utilisateurs. Sa collecte pour entraîner des modèles est en revanche refusée : le site le dit à ses visiteurs dans son pied de page, et aux robots par des signaux lisibles par machine. Un robot qui ne respecte pas ces signaux peut passer outre, et nous n'avons aucun moyen de l'en empêcher.
Une page publique est lisible par n'importe qui et par n'importe quoi. Retirer votre site le retire de cvestia, mais pas de ce que des tiers ont déjà copié, indexé ou archivé, et nous n'avons aucun moyen d'agir sur eux. C'est pour cela que la publication est toujours un geste explicite de votre part, jamais un défaut.
Ce que vous masquez depuis votre espace n'atteint le public par aucun chemin : ni la page, ni le PDF, ni le fichier lisible par les machines, ni le code source de la page. Masquer n'efface pas la donnée, cela la retire de ce qui est servi.
Les personnes que votre site nomme
Votre portfolio nomme des employeurs, des clients, des écoles, et parfois les auteurs de vos recommandations. De ces données vous êtes l'auteur, et cvestia l'hébergeur : c'est à vous de vous assurer que vous avez le droit de les publier et d'en informer les personnes concernées lorsque la loi l'exige.
Si un site cvestia vous nomme et que vous souhaitez y faire corriger ou retirer quelque chose, écrivez à l'adresse de contact en indiquant l'adresse de la page.
Qui d’autre y a accès
Le fournisseur qui lit votre CV est celui nommé sur la page Intelligence artificielle. Il est enregistré avec votre site. Un changement est annoncé sur cette page et par email.
| Prestataire | Ce qu’il reçoit | Où | Encadrement du transfert | État |
|---|---|---|---|---|
| Cloudflare, Inc. · hébergement | Héberge le service, la base de données, les fichiers et l’envoi des emails. Tout ce que le service conserve : votre adresse email, le contenu de votre site, vos fichiers, vos emails | États-Unis, et les autres pays où Cloudflare opère | Clauses contractuelles types de la Commission européenne, et certification au cadre de protection des données UE-États-Unis | En service |
| Google LLC · messagerie | Héberge la boîte qui reçoit l’adresse de contact, après le relais de l’hébergeur. Les messages adressés à l’adresse de contact, les retours envoyés depuis votre espace et les signalements compris | États-Unis | Certification de Google LLC au cadre de protection des données UE-États-Unis | En service |
| Cloudflare, Inc. (Workers AI) | Le texte de votre CV, une seule fois, à la création du site | États-Unis, et les autres pays où Cloudflare opère | Clauses contractuelles types de la Commission européenne, et certification au cadre de protection des données UE-États-Unis | Peut être branché |
| OpenAI, LLC | Le texte de votre CV, une seule fois, à la création du site | États-Unis, et les autres pays où ses sous-traitants opèrent | Accord de traitement des données et clauses contractuelles types de la Commission européenne | En service |
| Anthropic, PBC | Le texte de votre CV, une seule fois, à la création du site | États-Unis | Accord de traitement des données intégré aux conditions, et clauses contractuelles types de la Commission européenne | Peut être branché |
| Google LLC | Le texte de votre CV, une seule fois, à la création du site | États-Unis | Accord de traitement des données de Google et clauses contractuelles types de la Commission européenne, complétés par la certification de Google LLC au cadre de protection des données UE-États-Unis | Peut être branché |
Aucun autre tiers ne reçoit quoi que ce soit : ni régie publicitaire, ni outil de mesure externe, ni prestataire d'envoi d'emails. Les polices de caractères sont servies depuis nos propres adresses, donc aucun appel ne part vers un tiers quand vous ouvrez une page.
Ce que vous écrivez à l'adresse de contact passe par le relais de messagerie de notre hébergeur, puis arrive dans une boîte tenue par Google. C'est un compte de messagerie grand public : aucun contrat de sous-traitance ne nous lie à son fournisseur, et l'encadrement du transfert est celui indiqué dans le tableau.
Mesure d’audience
Les visites des sites publiés sont mesurées sans cookie ni traceur soumis à consentement, sans adresse IP conservée ni utilisée, et sans identifiant permettant de vous reconnaître d'une visite à l'autre ou d'un site à l'autre. Le seul identifiant employé vit dans l'onglet de votre navigateur et disparaît avec lui.
Aucune fenêtre de consentement ne vous est imposée parce que cette mesure remplit les conditions de l'exemption prévue par les lignes directrices de la CNIL : sa finalité se limite strictement à la mesure d'audience du site, les données ne sont ni recoupées, ni transmises à un tiers, ni utilisées pour suivre quelqu'un d'un site à l'autre, et elles sont conservées douze mois au plus.
Le site auquel une mesure se rattache est déduit de l'adresse par notre serveur, jamais envoyé par votre navigateur : un site ne peut donc pas écrire sous l'identité d'un autre.
Vous pouvez vous opposer à cette mesure : si votre navigateur envoie le signal Global Privacy Control ou Do Not Track, votre visite n'est pas comptée.
Cookies et stockage local
Aucun cookie publicitaire, aucun cookie de mesure, aucun traceur tiers, et rien qui soit soumis à consentement.
| Ce qui est posé | À quoi ça sert | Durée |
|---|---|---|
| Cookie de session | Vous garder connecté à votre espace, sans mot de passe | 30 jours |
| Cookie de parcours | Relier le CV que vous venez de déposer à l’adresse que vous saisissez ensuite | Le temps du dépôt |
| Identifiant de page vue | Ne pas compter deux fois la même page vue ; il vit dans l’onglet et disparaît avec lui | Le temps de l’onglet |
| Préférences d’affichage | Retenir le thème et la langue que vous avez choisis, dans votre navigateur seulement | Jusqu’à effacement par vous |
Les deux premiers sont nécessaires au fonctionnement du service et ne servent à rien d'autre. Les deux derniers ne quittent jamais votre navigateur.
Combien de temps
Tant que votre site existe. La suppression de votre site, que vous déclenchez vous-même, efface tout : les données du site, votre adresse email, vos sessions, le CV s'il en reste un, vos fichiers et les mesures de visite associées. Seul le journal des publications, que la loi nous impose de tenir, y survit, et à deux échéances : l'adresse IP, la date et l'heure de chaque geste sont effacées un an après ce geste ; votre adresse email et l'adresse de votre site restent cinq ans après la suppression du compte, puis la ligne disparaît.
Un compte resté six mois sans aucune connexion à votre espace et sans aucune visite sur votre site est considéré comme abandonné : un email vous prévient, et sans réaction de votre part sous trente jours, le compte et le site sont supprimés.
Une sauvegarde technique peut conserver une copie de ces données pendant sept jours au plus après leur effacement, le temps que la rotation des sauvegardes la recouvre.
Sécurité
Les échanges sont chiffrés en transit par HTTPS, et les données au repos sont chiffrées par notre hébergeur. Les codes de vérification ne sont jamais conservés en clair mais sous forme d'empreinte calculée avec une clé, et les cookies sont signés de la même façon. Aucun mot de passe n'existe, donc aucun ne peut fuiter.
Le contenu d'un site non publié n'est atteignable par personne d'autre que son propriétaire, ses fichiers compris. Nous ne journalisons ni contenu de CV, ni contenu de site. cvestia ne conserve aucune adresse IP pour ses propres besoins : notre hébergeur la traite le temps de la requête pour la sécurité du réseau, et la loi nous impose d'en garder trace pendant un an lorsque vous publiez un contenu, dans le journal décrit plus haut.
Une sauvegarde nocturne existe et peut servir à rétablir les données après un incident, sans qu'aucune restauration ne soit garantie : voir l'article 5 des conditions d'utilisation.
En cas de violation de données présentant un risque, la CNIL est informée dans les 72 heures, et vous l'êtes directement si le risque est élevé.
Si vous découvrez une faille, écrivez à l'adresse de contact plutôt que de la publier : vous recevrez une réponse.
Aucun système n'est infaillible. Nous appliquons des mesures raisonnables, sans pouvoir garantir une sécurité absolue.
Pas de décision automatisée
cvestia ne vous note pas, ne vous classe pas, ne vous filtre pas et ne vous sélectionne pas. Aucune décision produisant un effet juridique à votre égard, ou vous affectant de manière significative, n'est prise par un traitement automatisé.
Mineurs
Le service est réservé aux personnes de 18 ans révolus et n'est conçu pour aucun usage par un mineur. Si vous constatez qu'un compte a été créé par un mineur, écrivez à l'adresse de contact : il sera supprimé.
Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation du traitement, et du droit de définir des directives sur le sort de vos données après votre mort.
L'essentiel s'exerce directement depuis votre espace : corriger votre site, le retirer, emporter l'intégralité de votre contenu dans un fichier, supprimer votre compte. Pour le reste, écrivez à l'adresse de contact.
Si une réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Si vous visitez un site cvestia
Vous n'avez pas de compte et nous ne savons pas qui vous êtes. Votre visite est comptée comme le décrit la section Mesure d'audience : sans cookie, sans adresse IP conservée, sans identifiant qui vous suive. Le propriétaire du site voit des totaux, jamais votre parcours.
Nous ne pouvons pas retrouver vos visites pour les corriger ou les effacer, faute de pouvoir vous identifier.
Chaque site publié porte en pied de page un lien vers cette page et un lien « Signaler ce site », qui prépare un email à l'adresse de contact avec l'adresse de la page. Si un site vous nomme et que vous souhaitez y faire corriger ou retirer quelque chose, c'est le chemin le plus court.
Modification de cette page
Cette page porte sa date d'effet sous son titre et garde sa propre adresse, où elle reste lisible après avoir été remplacée. Une modification substantielle est annoncée sur le site et, si vous avez un compte, par email, au moins quinze jours avant son entrée en vigueur.
Les versions de ce texte
Contact : contact@cvestia.com