Conformité RGPD et sécurité
Tout ce que votre DPO doit savoir avant de signer
CVpass est conçu pour passer la due diligence d'un DPO d'école publique ou d'un cabinet conseil. Hébergement UE, DPA signable, fichiers de CV jamais conservés, cloisonnement strict par organisation. Documentation complète ci-dessous.
Six engagements concrets
Hébergement Union européenne
Base de données et stockage de fichiers hébergés sur Supabase (région Frankfurt, Allemagne). Aucune donnée client en dehors de l'UE pour le stockage primaire.
DPA signable Article 28
Accord de traitement des données conforme au RGPD article 28, accepté par défaut à la souscription B2B. Version signée bilatéralement disponible sur demande.
Anonymisation à 6 mois
Par sécurité, tout espace qui existe encore est anonymisé 6 mois après la fin de son accès, quel que soit le type d'accès (essai gratuit, abonnement en ligne, forfait annuel ou licence par promotion) : les contacts et les invitations en attente sont effacés, et le logo est retiré de l'espace. Cette anonymisation ne supprime ni l'espace ni la liste de ses membres : à la fin d'un accès payant, et à tout moment sur demande à contact@cvpass.fr, toutes les données personnelles de l'espace et de ses membres sont supprimées ou restituées sous 30 jours. Les fichiers de CV ne sont jamais conservés, et le CV mis en forme qu'un utilisateur exporte est supprimé au bout de 30 jours, comme les lettres enregistrées.
Cloisonnement par organisation
Chaque organisation cliente a son propre org_id. Aucune visibilité croisée entre organisations. Politique Row Level Security au niveau base.
Chiffrement bout en bout
TLS 1.2+ en transit, AES-256 au repos sur la base de données. Certificats SSL renouvelés automatiquement. Les éventuelles sauvegardes de la base, gérées par Supabase, sont gardées 30 jours au plus.
IA sans entraînement sur vos données
Nous utilisons l'API OpenAI : les données envoyées ne servent pas à entraîner les modèles, et OpenAI les conserve 30 jours maximum (surveillance des abus) avant suppression.
Sous-traitants et finalités
Liste exhaustive des sous-traitants ultérieurs et leur finalité. Toute évolution est notifiée par email avec un préavis de 30 jours.
| Sous-traitant | Région |
|---|---|
| Vercel Inc. | États-Unis (DPF) |
| Supabase Inc. | Allemagne (UE) |
| Clerk Inc. | États-Unis (DPF) |
| OpenAI, LLC | États-Unis (DPF) |
| Stripe Inc. | États-Unis / Irlande |
| Brevo (Sendinblue) | France (UE) |
Droits des personnes concernées
CVpass met à disposition les outils nécessaires au Responsable de traitement pour répondre aux demandes des personnes concernées. Les demandes reçues directement par CVpass sont transférées sous 5 jours ouvrés.
- Droit d'accès aux données
- Droit de rectification
- Droit à l'effacement
- Droit à la portabilité
- Droit d'opposition
- Droit à la limitation du traitement
FAQ
Questions DPO les plus posées
Les réponses aux 5 questions que les délégués à la protection des données nous posent en premier lors d'un audit pré-signature.
Où sont stockées les données ? Restent-elles en Union européenne ?
Les données de la base (organisations, membres, métadonnées d'usage comme les scores et, pendant 30 jours au plus, les CV mis en forme exportés et les lettres enregistrées) sont stockées sur Supabase région Frankfurt (Allemagne, UE). Les fichiers de CV ne sont jamais stockés. Aucune réplication hors-UE. Les seuls transferts vers les États-Unis concernent les sous-traitants ultérieurs (Vercel pour l'hébergement front, Clerk pour l'authentification, OpenAI pour l'IA), tous certifiés DPF (Data Privacy Framework) avec CCT en complément.
Le DPA est-il signable bilatéralement ou imposé tel quel ?
Les deux options. Le DPA est accepté tacitement à la souscription B2B (texte affiché sur /b2b/dpa). Pour les organisations qui demandent une signature bilatérale, écrivez à legal@cvpass.fr : nous renvoyons un PDF sous 48 h ouvrées, signable via DocuSign ou en physique selon vos contraintes.
Quelle politique d'anonymisation après la fin du contrat ?
Les fichiers de CV ne sont jamais conservés, et leur texte ne reste pas sur nos serveurs, sauf dans le CV mis en forme qu'un utilisateur exporte et dans les lettres de motivation qu'il enregistre : les deux sont supprimés automatiquement au bout de 30 jours. Par sécurité, tout espace qui existe encore est anonymisé automatiquement 6 mois après la fin de son accès, quel que soit le type d'accès (essai gratuit, abonnement en ligne, forfait annuel ou licence par promotion) : les contacts et les invitations en attente sont effacés, et le logo est retiré de l'espace. Cette anonymisation ne supprime ni l'espace ni la liste de ses membres : à la fin d'un accès payant, et à tout moment sur demande à contact@cvpass.fr, toutes les données personnelles de l'espace et de ses membres sont supprimées ou restituées sous 30 jours. Les factures sont conservées 10 ans pour les obligations comptables françaises.
Que fait OpenAI de nos données quand l'IA analyse un CV ?
Elle ne s'en sert pas pour entraîner ses modèles. Selon les conditions de l'API OpenAI, les données envoyées sont conservées 30 jours maximum pour la surveillance des abus, puis supprimées. Documenté dans notre DPA Article 28.
Délai de notification en cas de violation de données ?
48 heures maximum après prise de connaissance, par email aux contacts désignés dans l'organisation cliente, conformément à l'article 33 du RGPD. Le DPO CVpass (dpo@cvpass.fr) coordonne la procédure incluant la notification CNIL si nécessaire.
Une question RGPD spécifique ?
Notre Délégué à la protection des données répond sous 48 h ouvrées. Audit documentaire annuel disponible pour les clients sous contrat.