Confidentialité
Cette politique décrit les traitements réellement prévus par le site. Le responsable du traitement est infowebstudio LLC, société à responsabilité limitée de l'État du Wyoming (États-Unis), 30 N Gould St Ste N, Sheridan, WY 82801, États-Unis. E-mail : [À COMPLÉTER]. Représentant dans l'Union européenne (article 27 du RGPD) : [À COMPLÉTER].
Mise à jour : octobre 2026
Finalités
Brouillon du CV : il reste dans le navigateur, pour reprendre l'édition sans compte. ClairCV ne le reçoit pas tant que vous ne l'enregistrez pas.
Compte, documents, export et suppression : pour fournir le service demandé. La base légale est l'exécution du contrat.
Compte : e-mail et mot de passe, ou connexion avec Google, tous deux gérés par Firebase Authentication (Google). Les e-mails de confirmation et de réinitialisation sont envoyés par Firebase et leurs liens sont à usage unique. ClairCV ne reçoit ni ne conserve votre mot de passe.
Test de lisibilité : le fichier est lu en mémoire, le résultat vous est montré, puis le fichier est effacé. Il n'est pas enregistré.
Correspondance avec une offre, suggestions, lettre, traduction et entretien : pour les fonctions demandées. La comparaison avec une offre est possible sans compte, quelques fois par jour ; les autres fonctions demandent un compte. Le texte du CV et celui de l'offre sont utilisés, puis ne sont pas conservés. Un CV envoyé en fichier pour la comparaison est lu en mémoire, puis effacé. L'IA ne doit pas ajouter un fait absent du CV.
Import d'une annonce par lien : à votre demande, le serveur ouvre une fois la page indiquée pour en lire le texte. Ni le lien ni le texte ne sont enregistrés. Le site de l'annonce voit une visite venant de notre serveur, pas de votre appareil.
Photo CV : uniquement avec votre accord explicite, coché avant l'envoi. Le selfie sert à produire le portrait, puis il est effacé. Il n'est pas enregistré.
Paiement : pour encaisser un achat unique et empêcher un second crédit pour le même paiement.
Mesure d'audience : compter les pages vues, sans cookie et sans identifiant de personne. La base légale est l'intérêt légitime.
Limitation de débit : protéger le service contre les envois automatiques. L'adresse IP n'est pas enregistrée en clair : seule une empreinte, calculée avec un secret du serveur, est gardée au plus 2 jours.
Données concernées
E-mail du compte, documents que vous enregistrez, textes d'offres collés, compteurs d'usage, identifiant d'achat, produit, montant et date.
Un cookie technique, nommé claircv_session, est déposé après la connexion. Il est HttpOnly, limité au site, et dure 30 jours. Il ne sert pas à la publicité ni à la mesure d'audience.
Le fichier du test de lisibilité et le selfie ne font pas partie des données conservées.
Durées
Les liens de confirmation et de réinitialisation envoyés par Firebase ont une durée limitée et ne servent qu'une fois.
La session dure 30 jours, ou jusqu'à la déconnexion.
Le compte, les documents, les compteurs et les achats enregistrés chez nous restent jusqu'à la suppression du compte, en un clic. Cette suppression efface aussi ces achats de notre base.
Le reçu de paiement reste chez Stripe, selon les durées de Stripe. L'organisation de l'archivage comptable de l'éditeur est [À COMPLÉTER].
Les totaux de pages vues sont gardés 14 mois, puis supprimés. Ils ne contiennent ni nom, ni e-mail, ni adresse IP.
Sous-traitants et pays
Hébergement du site et de la base de données : serveur situé en Allemagne, hébergeur [À COMPLÉTER]. Les documents d'un compte sont enregistrés dans cette base.
Google LLC (Firebase Authentication), États-Unis : connexion par e-mail et mot de passe, ou avec Google. Firebase conserve votre adresse e-mail et un identifiant de compte, et envoie les e-mails de confirmation et de réinitialisation. La suppression de votre compte ClairCV supprime aussi cet identifiant.
OpenAI, États-Unis : texte du CV et texte de l'offre, seulement quand vous utilisez une fonction d'IA. Selon les conditions de son API, OpenAI n'utilise pas ces données pour entraîner ses modèles. Le transfert hors de l'Union européenne repose sur [À COMPLÉTER : accord de traitement des données et garanties retenues]. Le portrait photo n'est pas envoyé à OpenAI. Il est produit dans l'application, puis le selfie est effacé.
Stripe, paiement unique. La société européenne est en Irlande et la société mère est aux États-Unis. Le contrat de sous-traitance signé est [À COMPLÉTER].
Envoi des e-mails de compte : serveur de messagerie [À COMPLÉTER], pays [À COMPLÉTER].
Transferts hors de l'Union européenne
Le serveur est en Allemagne, mais l'éditeur, infowebstudio LLC, est une société des États-Unis, et Stripe et Google (connexion avec Google) peuvent traiter des données depuis les États-Unis. Le site ne prétend donc pas que toute la chaîne reste dans l'Union européenne.
Les clauses ou garanties qui encadrent ces transferts sont [À COMPLÉTER], tant que les contrats ne sont pas joints ici.
Vos droits
Vous pouvez accéder à vos données, les rectifier, les exporter en JSON, et supprimer le compte et les documents en un clic depuis l'espace compte.
Vous pouvez aussi demander la limitation ou vous opposer à un traitement fondé sur l'intérêt légitime, en écrivant à [À COMPLÉTER].
Vous pouvez saisir l'autorité de protection des données de votre pays, en France la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07.
Ce texte décrit le fonctionnement du site. Il doit être relu et validé par un professionnel avant le premier paiement. Les crochets [À COMPLÉTER] attendent vos informations : rien n'a été inventé à leur place.