Politique de confidentialité

Responsable du traitement

CVumi, représenté par Eric Tchepanou
Erna-Eckstein-Straße 3, 81245 München, Allemagne
E-mail : privacy@cvumi.com

1. Présentation

CVumi est une application de bureau qui stocke sur votre appareil vos CV d'origine, les descriptions de poste, votre profil professionnel et les documents générés. Nous ne recevons ni ne stockons ces documents professionnels d'origine. Les fonctions d'IA facultatives peuvent envoyer un texte pseudonymisé localement directement à un fournisseur d'IA tiers que vous choisissez, comme décrit à la section 3.

La présente politique couvre, dans l'ordre : ce que l'application de bureau transmet et ne transmet pas (section 2), le fonctionnement des fonctions d'IA facultatives (section 3), ce que nous traitons lorsque vous utilisez le site web ou achetez une licence (section 4), qui reçoit des données et dans quel rôle (sections 5 et 6), la durée de conservation des données (section 7) et vos droits (section 8).

2. L'application de bureau

L'application est conçue selon le principe du local d'abord, et ses flux de données sont assez courts pour être énumérés en totalité :

Aucune télémétrie. L'application ne contient ni analyse d'utilisation, ni rapport de plantage, ni suivi. Elle ne transmet rien à nos serveurs en arrière-plan.
Aucun compte. Il n'existe ni compte CVumi ni identifiant de connexion ; votre clé de licence est le seul justificatif.
Aucun stockage en nuage. Vos CV, lettres de motivation, descriptions de poste, votre profil professionnel, vos notes et les documents générés sont stockés uniquement sur votre appareil. Votre photo, si vous en ajoutez une à un CV, est intégrée localement et n'est jamais transmise où que ce soit par l'application, pas même à votre fournisseur d'IA.
Exactement deux fonctions réseau. L'application ne se connecte à Internet que pour l'activation et la désactivation de licence (section 4, ligne relative à l'activation de licence) et pour les requêtes d'IA que vous lancez vous-même (section 3). Rien d'autre ne quitte votre appareil.
Cette politique dans l'application. La version en vigueur de la présente Politique de confidentialité est accessible par un lien depuis l'application.

3. Fonctions d'IA facultatives et pseudonymisation locale

Les fonctions d'IA sont facultatives. Lorsque vous en activez une, le Logiciel remplace localement les noms, coordonnées et certains identifiants professionnels qu'il détecte par des espaces réservés avant d'envoyer le texte nécessaire directement au fournisseur d'IA tiers et au modèle que vous avez choisis. La table de correspondance reste sur votre appareil et sert localement à rétablir ces informations après le retour de la réponse.

Ce processus constitue une pseudonymisation (présentée dans le produit comme un « masquage de l'identité »), et non une anonymisation garantie. La détection automatique peut manquer des identifiants répétés, écrits dans un format inattendu, contenus dans du texte libre ou exprimés par le contexte. Un fournisseur peut aussi être en mesure de déduire ou de réidentifier une personne en combinant le texte masqué avec d'autres informations. Le texte transmis peut donc rester une donnée personnelle.

Le fournisseur d'IA choisi traite le texte transmis selon ses propres conditions et sa politique de confidentialité et peut traiter des données hors de l'UE/EEE. Il vous appartient de choisir le fournisseur, d'examiner ses conditions et paramètres de confidentialité et de décider d'utiliser ou non une fonction d'IA. CVumi ne reçoit ni ne stocke la requête ou la réponse.

4. Données que nous traitons sur le site web et lors de l'achat

Données	Finalité	Base légale
Journaux serveur (adresse IP, URL demandée, date et heure, informations sur le navigateur et l'appareil)	Fournir le site web ainsi que nos points de terminaison de licence et de formulaires, les sécuriser, diagnostiquer les pannes. Notre hébergeur est Cloudflare (section 5)	Intérêt légitime (art. 6, par. 1, point f du RGPD) : exploiter un site web sûr et fiable
Données de paiement et de facturation	Traitées par Lemon Squeezy en qualité de Merchant of Record pour finaliser l'achat, collecter les taxes et émettre les factures. Nous ne recevons jamais vos coordonnées de paiement complètes	Exécution du contrat (art. 6, par. 1, point b du RGPD), par Lemon Squeezy en tant que responsable du traitement propre
Données d'achat et de licence que nous recevons de Lemon Squeezy (nom, adresse e-mail, pays, édition achetée, identifiants de commande et de licence, statut d'inscription aux e-mails de mise à jour)	Vous remettre votre clé de licence, assurer l'assistance, tenir les registres requis. Stockées dans notre back-end de contenu (Sanity, un sous-traitant ; section 5)	Exécution du contrat (art. 6, par. 1, point b) ; obligations légales de conservation (art. 6, par. 1, point c)
Données du contrôle du tarif étudiant (données de commande et adresse e-mail d'achat)	Protéger le tarif étudiant réduit contre les abus. Tout examen est effectué par un humain	Intérêt légitime (art. 6, par. 1, point f) : protéger le tarif étudiant réduit contre les abus
Données d'activation de licence (clé de licence, un identifiant d'appareil, compteur d'activations)	Envoyées par l'application de bureau via cvumi.com à Lemon Squeezy lorsque vous activez ou désactivez un appareil, pour faire respecter la limite d'activation de 3 appareils et prévenir l'utilisation abusive des clés de licence	Exécution du contrat (art. 6, par. 1, point b)
Demandes d'assistance (votre adresse e-mail, le contenu de votre message)	Répondre à votre demande et résoudre votre problème	Exécution du contrat (art. 6, par. 1, point b) ; à défaut, intérêt légitime à répondre
Retours, avis, demandes de fonctionnalités (message, note, nom facultatif, e-mail facultatif, captures d'écran facultatives que vous joignez)	Améliorer le produit ; publier les avis sur cvumi.com avec le nom tel que vous l'avez indiqué. Le dépôt d'un avis suppose une clé de licence valide (achat vérifié). Stockés dans notre back-end de contenu (Sanity), envoi des e-mails via Resend	Exécution du contrat (art. 6, par. 1, point b) pour la publication de votre avis telle que demandée ; consentement ou intérêt légitime pour les retours utilisés pour améliorer le produit
E-mail facultatif pour les mises à jour produit	Vous informer des nouvelles fonctionnalités ou des mises à jour importantes (double confirmation : uniquement après votre confirmation d'inscription). La même inscription couvre aussi une invitation unique à évaluer CVumi, envoyée environ une semaine après l'achat	Consentement (art. 6, par. 1, point a) ; vous pouvez vous désinscrire à tout moment
Données d'utilisation du site web (pages visitées, clics, type d'appareil, référent)	Comprendre l'utilisation du site web et l'améliorer (PostHog, hébergé dans l'UE). Collectées uniquement si vous acceptez la mesure d'audience	Consentement (art. 6, par. 1, point a du RGPD ; § 25, al. 1 TDDDG, loi allemande sur la protection des données dans les services numériques, pour le stockage ou la lecture d'informations sur votre appareil), révocable à tout moment via « Paramètres des cookies » dans le pied de page

En tant qu'exploitant de CVumi, nous ne collectons ni le contenu de vos CV, lettres de motivation, offres d'emploi, requêtes ou réponses d'IA, ni les clés API que vous utilisez. Un fournisseur d'IA tiers choisi par vous traite le texte pseudonymisé que vous envoyez lorsque vous activez une fonction d'IA.

Si nous publions un avis ou une déclaration de votre part comme témoignage ailleurs que dans l'affichage des avis auquel il a été soumis (par exemple dans un support marketing), nous vous le demandons d'abord et nous fondons sur votre consentement (art. 6, par. 1, point a).

5. Destinataires et leurs rôles

Nous maintenons une liste de destinataires courte, et chacun a un rôle défini :

Lemon Squeezy (Merchant of Record) : exploite le paiement, la facturation, les taxes, les remboursements et le service de clés de licence. Lemon Squeezy est un responsable du traitement indépendant pour l'opération d'achat, selon sa propre politique de confidentialité ; il nous transmet les données de commande énumérées à la section 4.
Cloudflare : hébergement du site web, diffusion de contenu et fonctions edge derrière nos formulaires et points de terminaison de licence. Sous-traitant pour notre compte.
Sanity : notre back-end de contenu, qui stocke les enregistrements d'achat, avis, retours et demandes de fonctionnalités décrits à la section 4, y compris les captures d'écran que vous joignez. Sous-traitant pour notre compte.
Resend : envoie nos e-mails transactionnels et, si vous vous y êtes inscrit, les e-mails de mise à jour produit. Sous-traitant pour notre compte.
PostHog (UE) : mesure d'audience du site web respectueuse de la vie privée, hébergée dans l'UE (Francfort), active uniquement après votre consentement. Sous-traitant pour notre compte.
Votre fournisseur d'IA : ni notre sous-traitant, ni choisi par nous. L'application envoie votre texte pseudonymisé directement au fournisseur et au modèle que vous avez configurés, sur votre instruction. Le fournisseur le traite en tant que responsable du traitement propre, selon ses propres conditions (section 3).

Nos sous-traitants n'agissent que sur nos instructions, dans le cadre de contrats de sous-traitance (art. 28 du RGPD). Nous ne vendons pas de données personnelles et ne les utilisons pas à des fins publicitaires.

6. Transferts internationaux

Lorsqu'un destinataire traite des données hors de l'UE/EEE, nous nous appuyons, pour chaque destinataire, sur une décision d'adéquation (y compris le cadre de protection des données UE-États-Unis, DPF) ou sur des clauses contractuelles types (CCT) :

Cloudflare (Cloudflare, Inc., États-Unis) : certifié DPF ; CCT en solution de repli dans son avenant de sous-traitance.
PostHog : les données de mesure d'audience sont hébergées dans l'UE (Francfort). La société mère américaine (PostHog Inc.) est certifiée DPF pour tout accès résiduel.
Sanity (Sanity AS, Norvège/EEE) : notre jeu de données est hébergé dans l'UE ; lorsque des sous-traitants ultérieurs de Sanity aux États-Unis interviennent, le DPF ou les CCT s'appliquent.
Resend (États-Unis) : CCT dans le cadre de son contrat de sous-traitance.
Lemon Squeezy (États-Unis) : responsable du traitement indépendant ; il sécurise ses propres transferts selon sa politique de confidentialité (DPF ou CCT).
Votre fournisseur d'IA : dépend entièrement de votre choix et peut se trouver hors de l'UE/EEE ; les conditions propres du fournisseur s'appliquent (section 3).

7. Durées de conservation

Registres d'achat et de facturation : conservés pendant les durées légales de conservation commerciales et fiscales (jusqu'à 10 ans à compter de la fin de l'année civile, § 147 AO, code fiscal allemand, et § 257 HGB, code de commerce allemand).
Enregistrement de licence et d'acheteur : conservé tant que votre licence peut être activée (elle est perpétuelle), afin de valider les clés et d'assurer l'assistance ; supprimé ou anonymisé sur demande lorsqu'aucune obligation légale n'impose sa conservation.
Journaux serveur : supprimés automatiquement au plus tard après 30 jours, sauf si un incident précis exige une analyse plus longue.
E-mails de mise à jour produit : jusqu'à votre désinscription ; nous conservons la preuve de votre inscription tant que nous vous envoyons des e-mails et jusqu'à 3 ans après (délais de prescription).
Invitation à évaluer : les données de planification de l'invitation unique sont supprimées dès que l'invitation a été envoyée ou abandonnée.
Avis : affichés tant que le produit est proposé ; retirés sur votre demande de suppression.
Retours, demandes de fonctionnalités, captures d'écran : conservés tant qu'ils sont pertinents pour le développement du produit, au maximum 24 mois, puis supprimés.
Données de mesure d'audience (PostHog) : conservées sous forme brute au maximum 12 mois ; votre choix de consentement est stocké dans votre navigateur pendant 12 mois.

8. Vos droits (RGPD)

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement et de portabilité des données, ainsi que du droit d'opposition et du droit d'introduire une réclamation auprès d'une autorité de contrôle. Pour exercer vos droits, contactez-nous à privacy@cvumi.com.

Lorsqu'un traitement est fondé sur l'intérêt légitime (art. 6, par. 1, point f), vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière (art. 21 du RGPD) ; nous cessons alors le traitement, à moins que des motifs légitimes impérieux ne prévalent. Lorsqu'un traitement est fondé sur le consentement, vous pouvez le retirer à tout moment avec effet pour l'avenir.

L'autorité de contrôle compétente à notre égard est l'autorité bavaroise de contrôle de la protection des données : Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Allemagne, www.lda.bayern.de. Vous pouvez également adresser une réclamation à l'autorité de votre lieu de résidence.

9. Consentement, cookies et mesure d'audience

Le site web fonctionne par défaut sans mesure d'audience. La mesure d'audience (PostHog, hébergé dans l'UE) ne démarre que si vous l'acceptez activement dans le bandeau de consentement ; refuser est aussi simple qu'accepter, et le site interprète les signaux Global Privacy Control et Do Not Track comme un « non ». Vous pouvez changer d'avis à tout moment via « Paramètres des cookies » dans le pied de page ; le retrait du consentement arrête la collecte à compter de ce moment. La base légale du stockage ou de la lecture d'informations sur votre appareil est votre consentement (§ 25, al. 1 TDDDG) ; pour le traitement ultérieur, l'art. 6, par. 1, point a du RGPD.

10. Pas de décision individuelle automatisée, pas d'entraînement de modèles

Nous ne prenons aucune décision vous concernant fondée exclusivement sur un traitement automatisé qui produirait des effets juridiques ou vous affecterait de manière significative de façon similaire (art. 22 du RGPD). En particulier, tout examen lié au tarif étudiant (section 4) est effectué par un humain. Nous n'entraînons pas de modèles d'IA avec vos données et n'avons aucun accès aux contenus que vous traitez dans l'application.

11. Supprimer et exporter vos données

Les données présentes sur votre appareil, vous les exportez, sauvegardez ou supprimez directement vous-même : elles ne transitent jamais par nous. Pour la petite quantité de données côté serveur décrite à la section 4, écrivez à privacy@cvumi.com et nous les supprimerons ou vous les remettrons dans un format portable, sauf lorsque des obligations légales de conservation (section 7) nous imposent de garder certains enregistrements. Les données de facturation détenues par Lemon Squeezy sont soumises à ses propres obligations de conservation ; nous vous indiquerons le bon interlocuteur.

12. Modifications

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre, par exemple lorsque la législation, nos outils ou le produit évoluent. La version en vigueur est toujours disponible sur notre site web et accessible par un lien depuis l'application ; la date (« Dernière mise à jour ») vous indique la dernière modification.

13. Contact

CVumi, représenté par Eric Tchepanou
Erna-Eckstein-Straße 3, 81245 München, Allemagne
E-mail : privacy@cvumi.com