Politique de confidentialité

1. Qui nous sommes et ce que ce document couvre

Cette politique explique ce qu’il advient de vos données personnelles lorsque vous utilisez CreateCVOnline à l’adresse www.createcvonline.com (« le service »). Elle couvre le site public, l’éditeur de CV, l’export PDF et l’espace de compte. Elle ne couvre pas les autres sites que vous atteindriez en suivant un lien depuis celui-ci.

Au sens du RGPD, l’exploitant de www.createcvonline.com est le responsable de traitement des données décrites ci-dessous. Les questions, demandes et réclamations se font toutes à support@createcvonline.com.

Une remarque qui a son importance : un CV est un document exceptionnellement révélateur. Il contient généralement votre nom complet, vos coordonnées, votre parcours professionnel, votre formation, et parfois votre photographie ou votre nationalité. Nous traitons le contenu de vos documents comme l’élément le plus sensible du service, et les sections ci-dessous disent précisément qui peut y accéder.

2. Ce que nous collectons

Données de compte

Votre adresse e-mail, un nom d’affichage si vous en fournissez un, et la méthode d’authentification utilisée. Si vous vous connectez avec Google, nous recevons de Google votre adresse e-mail, votre nom et l’URL de votre photo de profil. Nous ne recevons ni ne conservons jamais votre mot de passe : l’authentification est assurée par Firebase Authentication, et les mots de passe n’atteignent jamais le code de notre application.

Contenu des CV

Tout ce que vous saisissez dans l’éditeur : coordonnées, parcours professionnel, formation, compétences, langues, projets et rubriques sur mesure, ainsi que les réglages de mise en forme attachés à chaque document. Ces éléments sont conservés pour que vous puissiez les retrouver, et pour aucune autre finalité.

Données de paiement

Si vous achetez une offre, nous conservons l’identifiant de transaction Paddle, l’offre achetée, le montant, la devise, le statut et l’horodatage. Nous ne voyons jamais votre numéro de carte. La fenêtre de paiement s’ouvre par-dessus notre page, mais le formulaire qu’elle contient est une iframe servie par Paddle : les coordonnées bancaires y sont saisies et traitées intégralement par Paddle.

Données techniques et d’usage

Les enregistrements côté serveur nécessaires au fonctionnement et à la sécurité d’un service web : le nombre de CV sur votre compte, votre compteur de téléchargements du mois en cours, des horodatages, et — pour la limitation de débit et la prévention des abus — une donnée éphémère dérivée des en-têtes de requête. Les messages envoyés via le formulaire de contact sont conservés avec l’adresse que vous y indiquez.

3. Pourquoi nous les traitons, et sur quelle base légale

Chaque traitement décrit ici repose sur l’une des bases légales prévues à l’article 6 du RGPD :

• Exécution du contrat — créer et tenir votre compte, enregistrer vos CV, produire vos PDF, appliquer les limites de votre offre et traiter votre paiement. Sans ces traitements, le service ne peut pas être fourni.
• Intérêt légitime — sécuriser le service, prévenir les abus et la fraude, et conserver des journaux techniques le temps nécessaire au diagnostic d’un incident. L’intérêt poursuivi est le fonctionnement fiable du service ; l’atteinte à votre vie privée est minimale parce que ces données sont techniques et de courte durée.
• Obligation légale — conserver les pièces comptables relatives aux paiements pendant la durée exigée par la réglementation applicable.
• Consentement — les e-mails de produit, auxquels vous vous inscrivez volontairement et dont vous vous désinscrivez d’un clic, et les cookies de mesure d’audience s’ils sont activés sur ce déploiement.

Nous n’utilisons pas le contenu de vos CV pour de la publicité, nous ne le vendons pas, et nous ne le proposons à aucun recruteur. Il n’existe pas de base de candidats.

4. Qui d’autre intervient

Nous faisons appel à un petit nombre de sous-traitants, chacun pour une fonction précise :

• Google Firebase (authentification, base de données Firestore, stockage de fichiers) — héberge votre compte, vos CV et vos photos de profil.
• Paddle — vendeur officiel pour les paiements. Paddle collecte vos coordonnées bancaires, calcule et déclare la TVA applicable, et nous transmet un identifiant de transaction et un statut. Paddle est responsable de traitement pour ses propres besoins de facturation.
• Vercel — hébergement de l’application et du réseau de diffusion.
• Google Analytics — uniquement si une clé de mesure est configurée sur ce déploiement. Voir la politique relative aux cookies.

Chacun de ces prestataires est lié par un contrat de sous-traitance et ne peut traiter les données que pour les finalités que nous définissons. Nous ne transmettons vos données à personne d’autre, sauf obligation légale à laquelle nous serions tenus de nous conformer.

5. Cookies

Le service pose un cookie de session strictement nécessaire, sans lequel vous ne pouvez pas rester connecté, ainsi qu’un cookie de préférence de langue. Les cookies de mesure d’audience ne sont posés que si l’analytique est configurée, et ils sont facultatifs.

Le détail complet — nom, finalité, durée de vie et moyen de les désactiver — figure dans la politique relative aux cookies.

6. Combien de temps nous conservons les données

• Compte et CV — tant que le compte existe. Nous ne supprimons pas les documents d’un compte inactif sans vous prévenir au préalable.
• Historique de paiement — pendant la durée de conservation comptable exigée par la réglementation applicable, même après la suppression du compte, car il s’agit d’une obligation légale et non d’un choix.
• Messages de contact — vingt-quatre mois, puis suppression. Assez longtemps pour retrouver le contexte d’un échange antérieur, pas assez pour constituer une archive.
• Journaux techniques et données de limitation de débit — quelques jours au plus.

Lorsque vous supprimez un CV, il est retiré de la base ; il peut subsister dans les sauvegardes de notre hébergeur pendant une courte période avant d’en disparaître par rotation.

7. Où vos données sont traitées

Nos sous-traitants opèrent des infrastructures situées notamment aux États-Unis. Les transferts hors de l’Espace économique européen s’appuient sur les mécanismes prévus au chapitre V du RGPD : le cadre de protection des données UE–États-Unis lorsque le prestataire y est certifié, et à défaut les clauses contractuelles types de la Commission européenne.

Nous ne pouvons pas garantir qu’aucune autorité étrangère n’adressera jamais de demande à l’un de ces prestataires. C’est une limite réelle du recours à une infrastructure mondiale, et il nous paraît plus honnête de l’écrire que de la passer sous silence.

8. Sécurité

Les échanges se font exclusivement en HTTPS. Les mots de passe sont gérés par Firebase Authentication et n’atteignent jamais notre code. L’accès à vos documents est contraint côté base de données par des règles de sécurité Firestore qui vérifient l’identité du demandeur, en plus des contrôles applicatifs — un défaut dans notre code ne suffit donc pas à exposer le CV d’un autre utilisateur.

Un lien de partage public, quand vous en créez un, pointe vers une adresse aléatoire non devinable et non indexable par les moteurs. Il reste néanmoins accessible à quiconque le détient : ne le diffusez pas plus largement que nécessaire, et coupez-le quand il n’a plus lieu d’être.

Aucun service n’est à l’abri d’une compromission. En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, nous vous en informerons et notifierons l’autorité de contrôle compétente dans les délais prévus par le RGPD.

9. Vos droits

Le RGPD vous ouvre les droits suivants, que vous pouvez exercer à tout moment :

• Accès — obtenir une copie des données que nous détenons sur vous. L’export JSON disponible dans les réglages y répond immédiatement, sans nous écrire.
• Rectification — corriger une donnée inexacte. Le contenu de vos CV est modifiable directement dans l’éditeur.
• Effacement — obtenir la suppression de votre compte et de son contenu, sous réserve des pièces comptables que la loi nous impose de conserver.
• Limitation et opposition — restreindre ou contester un traitement fondé sur notre intérêt légitime.
• Portabilité — recevoir vos données dans un format structuré et lisible par machine. C’est exactement ce que produit l’export JSON.
• Retrait du consentement — pour les e-mails de produit et les cookies facultatifs, sans que cela affecte la licéité du traitement antérieur.

Écrivez à support@createcvonline.com. Nous répondons sous un mois, comme le prévoit le règlement, et en pratique bien plus vite. Si notre réponse ne vous satisfait pas, vous pouvez saisir l’autorité de contrôle de votre pays de résidence — en France, la CNIL.

10. Exporter et supprimer vos données

Exporter. Depuis les réglages de votre compte, un bouton télécharge l’intégralité de vos CV en JSON — coordonnées, rubriques et réglages de mise en forme pour chaque document. Le fichier est assemblé dans votre navigateur à partir de votre propre compte : rien n’est envoyé ailleurs pour le produire.

Supprimer. La suppression de compte se demande depuis les réglages. Elle n’est pas encore automatisée : la demande ouvre un message pré-rempli à notre équipe, qui la traite à la main et vous confirme la suppression par e-mail. Nous préférons l’écrire ainsi plutôt que d’afficher un bouton qui laisserait croire à un effacement instantané.

Exportez avant de supprimer : la suppression retire votre profil, tous vos CV et l’historique associé, et elle est irréversible.

11. Mineurs

Le service n’est pas destiné aux enfants de moins de seize ans et nous ne collectons pas sciemment leurs données. Un CV rédigé par un lycéen en recherche de stage relève d’un usage légitime ; si vous êtes le représentant légal d’un mineur et estimez qu’un compte a été créé sans base valable, écrivez-nous et nous le supprimerons.

12. Modifications de cette politique

Nous mettons ce document à jour lorsque le service change. La date de dernière mise à jour figure en haut de la page. Une modification substantielle — une nouvelle finalité de traitement, un nouveau sous-traitant ayant accès au contenu de vos CV — vous sera signalée par e-mail ou dans le produit avant son entrée en vigueur, et non annoncée rétroactivement.