Accord de traitement des données (DPA)

Le présent accord de traitement des données (ci-après le « DPA ») encadre le traitement des données à caractère personnel effectué par CVpass (ci-après « le Sous-traitant ») pour le compte du client professionnel ayant souscrit à un plan B2B (ci-après « le Responsable de traitement »), conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

Il complète les Conditions Générales d'Utilisation B2B et prévaut sur celles-ci en cas de divergence concernant la protection des données.

• Nature et finalité : analyse de CV, scoring ATS, réécriture assistée par IA, génération de PDF, gestion des comptes membres et statistiques agrégées d'usage.
• Catégories de données : données d'identification (nom, prénom, email professionnel), contenu de CV (parcours, compétences, formations), contenu d'offres d'emploi téléversées, métadonnées d'usage.
• Catégories de personnes concernées : membres de l'organisation cliente (collaborateurs, étudiants, candidats accompagnés).
• Durée : pendant toute la durée du contrat. Les fichiers de CV ne sont jamais conservés ; le CV mis en forme qu'un membre exporte et les lettres de motivation enregistrées sont supprimés automatiquement au bout de 30 jours. À la fin d'un accès payant, les données personnelles de l'espace sont supprimées ou restituées selon l'article 3 ; pour un essai gratuit jamais payé, seule l'anonymisation ci-dessous s'applique. Par sécurité, l'espace est aussi anonymisé automatiquement 6 mois après la fin de l'accès, quel que soit le type d'accès (essai gratuit, abonnement en ligne, forfait annuel ou licence par promotion) : ses contacts et ses invitations en attente sont effacés et son logo est retiré ; cette anonymisation ne supprime ni l'espace, ni la liste de ses membres, ni leur historique d'usage. Le Responsable de traitement peut aussi demander à tout moment la suppression ou la restitution complète en écrivant à contact@cvpass.fr. Les factures sont conservées 10 ans pour les obligations comptables françaises.

CVpass s'engage à :

• Traiter les données uniquement sur instruction documentée du Responsable de traitement, sauf obligation légale contraire.
• Garantir la confidentialité des données et veiller à ce que les personnes autorisées soient soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 6.
• Assister le Responsable de traitement dans le respect de ses obligations (réponses aux droits des personnes, analyses d'impact, notifications de violation).
• 6 mois après la fin de l'accès, quel que soit le type d'accès (essai gratuit, abonnement en ligne, forfait annuel ou licence par promotion), anonymiser automatiquement l'espace s'il existe encore, c'est-à-dire effacer ses contacts et ses invitations en attente et retirer son logo ; le faire plus tôt sur demande écrite du Responsable de traitement à contact@cvpass.fr. Cette anonymisation ne supprime ni l'espace, ni la liste de ses membres, ni leur historique d'usage : leur suppression relève du point suivant.
• À la fin du service, c'est-à-dire à la fin d'un accès payant (abonnement en ligne, forfait annuel ou licence par promotion), et à tout moment sur demande écrite du Responsable de traitement à contact@cvpass.fr : supprimer toutes les données personnelles traitées pour le compte du Responsable de traitement, notamment les contacts, les invitations, les comptes des membres et leur historique d'usage, ou, au choix du Responsable de traitement, les lui restituer puis en effacer les copies, sous 30 jours, sauf obligation légale de conservation (factures). À la fin du service, CVpass demande au Responsable de traitement de faire son choix ; sans réponse, les données sont supprimées au plus tard 30 jours après la fin du service. La fin d'un essai gratuit jamais payé n'est pas une fin du service : seule l'anonymisation du point précédent s'applique alors, sauf demande écrite de suppression ou de restitution. Un membre qui utilise aussi CVpass à titre personnel garde son compte, qui relève alors de la politique de confidentialité de CVpass. Les éventuelles sauvegardes s'effacent ensuite d'elles-mêmes sous 30 jours au plus, comme prévu à l'article 6.

Le Responsable de traitement autorise CVpass à faire appel aux sous-traitants ultérieurs suivants :

• Vercel Inc. (États-Unis, encadrement DPF) — hébergement de l'application, distribution et fonctions serverless.
• Supabase Inc. (Allemagne, Francfort) — base de données PostgreSQL et stockage de fichiers.
• Clerk Inc. (États-Unis, encadrement DPF) — authentification et gestion des organisations.
• OpenAI, LLC (États-Unis, encadrement DPF) — analyse sémantique et réécriture par IA. Aucune donnée n'est utilisée à des fins d'entraînement ; conservation 30 jours maximum chez OpenAI (surveillance des abus).
• Stripe Inc. (États-Unis / Irlande) — traitement des paiements et facturation.
• Brevo (ex-Sendinblue) (France) — envois d'emails transactionnels.
• PostHog Inc. (États-Unis, données hébergées dans l'Union européenne, Francfort, conservées 12 mois au plus) — mesure d'audience et événements d'usage : identifiants du compte et de l'espace, rôle et événements, sans email ni nom depuis le 9 novembre 2026 ; les pages vues et les clics seulement si le membre accepte les cookies de mesure.

Toute évolution de cette liste sera notifiée au Responsable de traitement par email avec un préavis de 30 jours, lui permettant de s'opposer pour motif légitime.

Les transferts de données vers les États-Unis sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et le Data Privacy Framework lorsque le sous-traitant ultérieur y est certifié.

• Chiffrement TLS 1.2+ en transit et chiffrement au repos sur la base de données.
• Cloisonnement strict des données par organisation (org_id).
• Authentification forte multi-facteurs disponible pour les administrateurs.
• Journalisation des accès administrateurs et accès uniquement via tunnel chiffré.
• Les éventuelles sauvegardes de la base, gérées par Supabase, sont gardées 30 jours au plus.
• Les données de CV ou d'offre transmises à OpenAI ne servent pas à l'entraînement et sont supprimées par OpenAI sous 30 jours maximum.

CVpass notifiera le Responsable de traitement de toute violation de données à caractère personnel sans délai injustifié et au plus tard dans les 48 heures après en avoir pris connaissance, par email aux contacts désignés dans l'organisation.

Le Responsable de traitement peut, une fois par an et avec un préavis raisonnable, demander un rapport d'audit ou la documentation des mesures de sécurité. Un audit sur place est réalisable aux frais du Responsable de traitement, dans le respect de la confidentialité des autres clients.

CVpass met à disposition du Responsable de traitement les outils nécessaires pour répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, opposition). Les demandes reçues directement par CVpass seront transférées au Responsable de traitement sous 5 jours ouvrés.

Délégué à la protection des données : dpo@cvpass.fr.

Le présent DPA est accepté par défaut lors de la souscription à un plan B2B. Une version signée bilatéralement peut être fournie sur demande, à legal@cvpass.fr.