Politique de confidentialité

Dernière mise à jour : 29 octobre 2026

1. Responsable du traitement

Raoul Bajjani, entrepreneur individuel, éditeur de jetrouvepasdetravail.com, 18 rue de la Mare, 75020 Paris, France. Pour toute question sur vos données : jetrouvepasdetravail@gmail.com.

2. Les données que nous traitons

Tout compte : adresse e-mail, prénom et nom, pseudo, photo, mot de passe (haché, jamais en clair) ou identifiant de connexion GitHub, Google ou Apple, date et version des conditions acceptées, préférences (langue, e-mails, tableau de bord).
Talent : depuis GitHub, votre identifiant, votre pseudo, votre photo, votre adresse e-mail principale et vos repos (description, langages, README, fichiers servant à détecter les technologies). Votre photo GitHub est copiée sur notre stockage : son adresse d'origine contient votre identifiant GitHub, qui suffirait à vous reconnaître. Un repo privé n'est lu que si vous l'avez partagé avec notre application GitHub. Ce que vous écrivez vous-même : profil, ville, langues, disponibilité, rémunération souhaitée (affichée seulement si vous le décidez), liens, compétences, projets, images et vidéos.
Recruteur : prénom, nom, entreprise ou mention « particulier », poste, profils suivis et dossiers, notes privées (jamais montrées au talent), recherches enregistrées.
Visites de recruteurs : quand un recruteur connecté ouvre un profil, nous enregistrons le jour et les technologies de sa recherche, sans adresse IP. Le talent abonné à Pro voit l'entreprise du recruteur (ou « un particulier »), jamais son nom.
Visites de votre profil et de vos projets : pour chaque visite comptée, nous gardons l'heure et la famille d'appareil (téléphone, tablette ou ordinateur, et son système), pour vous la montrer. Rien sur la personne qui visite, ni adresse IP, ni identifiant, ni ville.
Profils anonymes : aux visiteurs et aux comptes qui n'y ont pas accès, votre profil se montre sans votre identité, à une adresse neutre (le détail figure dans les CGU). Aucun lien ne dévoile votre identité à un visiteur sans compte recruteur, sauf si vous êtes Talent Pro.
Messagerie : messages et pièces jointes (stockées en accès privé, servies aux seuls participants).
Liens de candidature (Pro) : le nom d'entreprise saisi par le talent, le nombre d'ouvertures et leurs dates. Rien sur la personne qui clique : ni adresse IP, ni cookie, ni identité.
CV : ce que vous y écrivez (titre, présentation, ville, expériences, formations, langues, compétences par catégorie, projets choisis et ce que vous en dites, mise en page). Votre adresse e-mail et votre téléphone n'y figurent que si vous les ajoutez, et la photo que si vous en choisissez une ; une photo envoyée pour un CV est gardée sur notre stockage de fichiers, comme celle du profil.
CV certifiés et scans : quand vous téléchargez un CV certifié, nous gardons son code et une copie de son contenu tel qu'il est imprimé, avec votre adresse e-mail et votre téléphone masqués (seuls la première lettre et le domaine de l'adresse, et les deux derniers chiffres du numéro restent visibles). Toute personne qui scanne le QR code du PDF, ou ouvre son adresse de vérification, voit cette copie, pour s'assurer que le document n'a pas été modifié. Pour les scans, nous ne gardons que leur nombre, la date du premier et celle du dernier. Rien sur la personne qui scanne, ni adresse IP, ni appareil, ni identité.
CV adapté à une offre (Pro) : le texte de l'offre que vous collez sert à créer une copie de votre CV, puis il n'est pas gardé. Seul le nom de la copie reprend le début de l'offre, et vous pouvez le changer. Si vous utilisez votre clé d'IA, l'offre et le contenu du CV sont envoyés à son fournisseur (voir « Assistant IA » plus bas).
App iPhone : pour chaque appareil connecté, son nom (par exemple « iPhone de Camille »), la date de connexion et celle de la dernière utilisation, et, si vous acceptez les notifications, l'adresse technique qui permet de vous les envoyer.
Blocages : les comptes que vous avez bloqués, et depuis quand.
Statut étudiant (facultatif) : trois photos prises en direct (recto et verso de la carte, selfie avec un code du jour), l'établissement et l'année de fin d'études. Les photos sont stockées en accès privé, leurs métadonnées retirées, vues par le seul administrateur, et détruites dès la décision, acceptée ou refusée.
Clé d'IA : si vous enregistrez votre clé Claude ou ChatGPT, elle est chiffrée ; seuls ses 4 derniers caractères vous sont montrés. Nous gardons le nombre d'appels et de jetons consommés, jamais les textes.
Abonnement : sur le site, les identifiants client et abonnement chez Stripe, le statut et l'échéance. Dans l'app iPhone, l'identifiant de l'achat chez Apple, l'offre achetée, la fin de la période payée, et la date de la dernière information reçue d'Apple (pour ne jamais appliquer une information arrivée en retard). Aucune donnée bancaire ne passe par nos serveurs.
Appareil utilisé : pour chacun de vos gestes (inscription, visite, modification du profil ou d'un projet, envoi d'image, GitHub, IA, messages), seulement le type d'appareil (téléphone, tablette ou ordinateur) et un compteur par jour. Ni le modèle, ni le navigateur, ni l'adresse IP ne sont gardés.
Assistance et contact : le contenu de vos demandes, signalements ou messages de contact, et la capture d'écran éventuelle.
Engagement des recruteurs : la date et la version de l'engagement accepté (ne proposer que de vrais postes, ni publicité ni vente).
Bannissement : si un compte est banni, une empreinte de son adresse e-mail, de son identifiant GitHub et de son identifiant Apple (une empreinte ne permet pas de les retrouver), le domaine de son adresse professionnelle s'il s'agit d'un recruteur, le motif, et une copie du compte et des messages en cause.

3. Pourquoi, et sur quelle base

Fournir le service, votre profil et la messagerie : exécution du contrat (les CGU).
Gérer l'abonnement et la facturation : contrat, et obligations comptables.
Afficher votre profil aux recruteurs, en version anonyme aux visiteurs, et, si vous l'avez autorisé, aux moteurs de recherche : contrat, et votre consentement pour l'indexation (retirable à tout moment).
Prévenir les abus, sécuriser les comptes, corriger les erreurs : intérêt légitime.
Protéger les talents d'un usage commercial de la plateforme, bannir durablement les comptes qui s'y livrent et signaler les faits aux autorités : intérêt légitime, et constatation des infractions.
Savoir sur quel appareil le site sert, pour améliorer d'abord ce qui compte : intérêt légitime (statistiques internes, jamais partagées).
Mesurer la fréquentation des pages (Vercel Web Analytics) : intérêt légitime. Sans cookie et sans identifiant gardé d'un jour sur l'autre, la mesure ne permet pas de vous suivre.
Comprendre ce qui intéresse sur la page d'accueil (sections vues, temps passé, clics, section où l'on quitte la page, type d'appareil, et d'où l'on vient en grande catégorie, LinkedIn, Google, autre réseau ou accès direct) : intérêt légitime. Des compteurs par jour seulement, sans cookie, sans adresse IP gardée ni identifiant : le navigateur retient le jour déjà compté, rien ne permet de vous reconnaître. Les membres connectés ne sont pas mesurés.
Créer vos CV, les certifier et permettre à un recruteur de vérifier un CV imprimé : exécution du contrat, à votre demande. Vous montrer combien de fois votre CV certifié a été scanné : exécution du contrat.
Ne jamais faire payer Pro deux fois, entre le site et l'app iPhone : exécution du contrat.
Vérifier le statut étudiant : votre consentement, donné en envoyant les photos.

Aucune donnée n'est vendue, louée ni utilisée pour de la publicité.

4. Prestataires

Nous faisons appel aux prestataires suivants, chacun limité à ce dont il a besoin. Pour ceux établis hors de l'Union européenne, les transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE-États-Unis.

Vercel Inc. : hébergement du site, stockage des images et des fichiers, mesure d'audience sans cookie (Vercel Web Analytics) (fonctions à Francfort ; société américaine).
Contabo GmbH : serveur de la base de données (Allemagne (Union européenne)).
Resend Inc. : envoi des e-mails (Irlande (Union européenne) ; société américaine).
Pusher Ltd : signal de messagerie en temps réel (jamais le contenu des messages) (Union européenne).
Upstash Inc. : limitation du nombre de tentatives (adresse IP, quelques minutes) (Francfort (Union européenne)).
Cloudflare Inc. : vérification anti-robot (Turnstile) à l'inscription, à la connexion et au contact (États-Unis).
Functional Software Inc. (Sentry) : suivi des erreurs techniques, sans cookie ni contenu de formulaire (États-Unis).
Stripe Payments Europe Ltd : paiement des abonnements (Irlande (Union européenne)).
GitHub Inc. : connexion des talents et lecture des repos qu'ils ont reliés (États-Unis).
Google LLC : connexion des recruteurs qui choisissent « Continuer avec Google », et relais (Gmail) des e-mails vers les adresses Epitech, que leur messagerie bloque autrement (États-Unis).
Apple Inc. : connexion « Se connecter avec Apple » dans l'app iPhone (nom et adresse, masquable), et achat des abonnements dans l'app (États-Unis ; Irlande (Union européenne)).
État français (geo.api.gouv.fr) : suggestions de villes en France : seul le texte tapé, envoyé par notre serveur, sans votre identité (France).
Komoot GmbH (Photon, OpenStreetMap) : suggestions de villes à l'étranger : seul le texte tapé, envoyé par notre serveur, sans votre identité (Allemagne (Union européenne)).

Assistant IA : si vous l'utilisez, les faits de votre projet (nom, description, technologies, extrait du README, même privé), et ce que vous précisez pour l'IA (contexte, demandes de retouche), sont envoyés à Anthropic ou à OpenAI, avec votre propre clé, à votre demande seulement. Ni votre nom ni votre e-mail ne leur sont transmis. Ce fournisseur traite alors ces données selon les conditions de votre propre compte chez lui.

Dictée à la voix : le micro des champs destinés à l'IA utilise la reconnaissance vocale de votre navigateur, seulement quand vous l'activez. Selon le navigateur, votre voix peut être transcrite par son éditeur (par exemple Google pour Chrome, Apple pour Safari, Microsoft pour Edge), selon ses propres conditions. Nous ne recevons jamais l'enregistrement : seulement le texte qui s'écrit dans le champ, comme si vous l'aviez tapé.

5. Durées de conservation

Compte, profil, projets : tant que le compte existe, puis 30 jours après une demande de suppression.
Conversations : tant que l'un des deux participants les garde. Après la suppression d'un compte, l'autre garde son exemplaire de l'échange (sous « Utilisateur supprimé ») jusqu'à ce qu'il le supprime : la conversation est alors effacée, pièces jointes comprises.
CV : tant que vous les gardez, puis effacés avec le compte.
CV certifiés et leurs scans : tant que le compte existe, même si le CV est supprimé, pour qu'un PDF déjà remis à un recruteur reste vérifiable. Ils sont effacés avec le compte.
Texte d'une offre collée pour adapter un CV : pas gardé.
Appareils de l'app iPhone : tant que le compte existe ; une déconnexion coupe l'accès de l'appareil.
Photos du statut étudiant : jusqu'à la décision, puis détruites.
Fichiers envoyés mais jamais utilisés : 24 heures.
Visites de recruteurs : 13 mois au plus.
Heure et appareil de chaque visite : 90 jours (le nombre de visites par jour reste tant que le compte existe).
Compteurs d'appareils : 13 mois au plus.
Messages du formulaire de contact : 3 ans au plus.
E-mails que nous vous envoyons : leur contenu 6 mois, leur trace (date, objet, destinataire) 13 mois au plus. Ceux de la messagerie ne gardent que leur trace : le message reste dans la conversation, nulle part ailleurs.
Compteurs anti-abus liés à une adresse IP : quelques minutes à une heure.
Bannissement : les empreintes (adresse, identifiant GitHub, identifiant Apple) et le domaine tant que le bannissement s'applique, c'est-à-dire définitivement ; la copie des messages en cause, 5 ans au plus (le temps des suites éventuelles).
Factures, chez Stripe : 10 ans (obligation comptable).

6. Supprimer ou exporter vos données

Depuis vos réglages, vous pouvez télécharger vos données (fichier JSON) et supprimer votre compte. La demande arrête tout de suite le traitement de vos données : le compte est désactivé, votre profil n'est plus visible, personne ne peut plus vous contacter, vous ne recevez plus aucune annonce, et l'abonnement éventuel est résilié sans remboursement de la période en cours. L'effacement définitif a lieu 30 jours plus tard : profil, projets, fichiers et propositions sont alors effacés. Pendant ces 30 jours, il vous suffit de vous reconnecter pour réactiver le compte ; ensuite, plus rien ne peut être restauré. Vos conversations restent lisibles par vos interlocuteurs, comme un courrier reçu, mais sans votre nom ni votre photo (« Utilisateur supprimé ») et sans qu'on puisse vous répondre ; chacune est effacée, pièces jointes comprises, dès que l'autre la supprime. Restent seulement : les factures chez Stripe, un journal technique anonymisé, et l'avis de départ facultatif, anonyme. Pour retirer aussi l'accès de notre application à votre compte GitHub, révoquez-la dans les réglages de GitHub.

7. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, et pouvez retirer un consentement à tout moment. Écrivez à jetrouvepasdetravail@gmail.com : nous répondons sous un mois. Vous pouvez aussi saisir la CNIL (cnil.fr).

8. Cookies

jetrouvepasdetravail.com n'utilise aucun cookie publicitaire ni de mesure d'audience (la mesure de fréquentation de Vercel fonctionne sans cookie). Les seuls cookies et éléments stockés dans votre navigateur sont nécessaires au service, ou servent à une mesure d'audience anonyme exemptée de consentement (recommandations de la CNIL) :

auth_token : garder votre session ouverte (30 jours).
app_locale : retenir la langue choisie (1 an).
login_as : retenir « Talent » ou « Recruteur » sur l'écran de connexion (1 an).
oauth_*, google_oauth_* : sécuriser une connexion GitHub ou Google en cours (10 minutes).
cv_seen_* : ne compter qu'une fois le scan d'un CV certifié ouvert plusieurs fois de suite (sans identifiant) (30 minutes).
admin_token, impersonating : accès temporaire de l'administrateur à un compte (assistance) (24 heures).
nav:collapsed (navigateur) : retenir la barre latérale repliée (jusqu'à effacement).
jtpdt:pending-follow (navigateur) : suivre un profil après la connexion (jusqu'à la connexion).
jtpdt_visit_day (navigateur) : ne compter votre visite qu'une fois par jour (mesure d'audience, sans identifiant) (jusqu'à effacement, réécrit chaque jour).
jtpdt_landing (navigateur) : ne compter qu'une fois par jour les sections de l'accueil déjà vues et la section quittée (mesure d'audience, sans identifiant) (jusqu'à effacement, réécrit chaque jour).

9. Sécurité

Échanges chiffrés (HTTPS), mots de passe hachés, jetons GitHub et clés d'IA chiffrés, fichiers sensibles en accès privé, limitation des tentatives (y compris quand le service qui les compte est en panne) et vérification anti-robot. En cas de violation de données présentant un risque, la CNIL et les personnes concernées sont prévenues dans les délais légaux. Pour signaler une faille : jetrouvepasdetravail@gmail.com.

10. Modifications

Cette politique peut évoluer avec le service. En cas de changement important, vous en êtes informé avant son entrée en vigueur. Voir aussi les CGU.