Politique de confidentialité

Date d'entrée en vigueur : 15 janvier 2025

Chez JobStep, nous prenons votre vie privée au sérieux. Cette politique de confidentialité explique comment TenThirty GmbH (« JobStep », « nous », « notre » ou « notre ») collecte, utilise, divulgue et protège vos informations personnelles lorsque vous utilisez notre plateforme de carrière alimentée par l'IA.

1. Informations sur l'entreprise

Ce service est exploité par :
TenThirty GmbH
Guggachstrasse 6
8057 Zurich, Suisse
E-mail : help@jobstep.io
UID: CHE-167.324.376

Directeurs généraux : Jan-Oliver Seidenfuss, Alexander Eichhorn, Max Brenner

2. Informations que nous collectons

2.1 Informations que vous nous fournissez

Nous collectons les informations que vous fournissez volontairement lorsque vous utilisez JobStep :

• Informations sur le compte : Nom, adresse e-mail, mot de passe (crypté) et données d'authentification via Firebase Authentication
• CV et contenu du CV : Antécédents professionnels, études, compétences, expérience professionnelle, réalisations et autres informations professionnelles
• Matériel de candidature : Lettres de motivation, descriptions de poste, curriculum vitae sur mesure et autres documents de candidature
• Fichiers multimédias : Photos de profil, portraits, vidéos d'application (enregistrées ou téléchargées)
• Données de suivi des travaux : Offres d'emploi que vous suivez, statut de la candidature, notes et métadonnées liées à la candidature
• Informations de paiement : Traité par Stripe (nous ne stockons pas les numéros de carte de crédit)
• Données de communication : Messages, commentaires et correspondance avec notre équipe d'assistance

2.2 Informations collectées automatiquement

Lorsque vous utilisez JobStep, nous collectons automatiquement certaines informations :

• Données analytiques : Adresses IP (hachées à l'aide de PBKDF2), données de géolocalisation, informations sur l'agent utilisateur, type d'appareil, type de navigateur et système d'exploitation
• Données d'utilisation : Pages visitées, fonctionnalités utilisées, temps passé sur la plateforme, modèles de clics et données d'interaction collectées via PostHog
• Analyse de sites Web d'applications publiques : Lorsque vous créez un site Web d'application public, nous suivons les adresses IP des visiteurs (hachées), la géolocalisation, les agents utilisateurs et les mesures d'engagement pour fournir des informations aux recruteurs.
• Cookies et technologies similaires : Cookies de session, jetons d'authentification et cookies d'analyse
• Données d'erreur et de performances : Erreurs d'application, rapports de plantage et mesures de performances via Sentry
• Données du journal : Journaux du serveur, requêtes API et événements système via Better Stack (Logtail)

2.3 Informations provenant de tiers

• Fournisseurs OAuth : Si vous vous connectez avec Google ou Apple, nous recevons votre nom, votre adresse e-mail et vos informations de profil.
• Données sur les offres d'emploi : Nous collectons les offres d'emploi accessibles au public via Exa.ai et Firecrawl pour vous aider à adapter vos candidatures.
• Attribution marketing : TikTok Pixel et Google Ads peuvent fournir des données sur les performances des campagnes et des informations de suivi des conversions.

3. Comment nous utilisons vos informations

Nous utilisons vos informations aux fins suivantes :

3.1 Prestation des services de base

• Amélioration du CV basée sur l'IA : Traitez le contenu de votre CV via les modèles OpenAI GPT pour fournir des suggestions, des améliorations et des optimisations
• Adaptation spécifique à l'emploi : Générez des CV et des lettres de motivation sur mesure basés sur des descriptions de poste spécifiques à l'aide de l'IA
• Suivi des candidatures : Stockez et organisez vos candidatures, suivez l'état des candidatures et fournissez des analyses
• Sites Web d'applications publiques : Générez et hébergez des pages de destination d'application personnalisées avec votre CV, vos vidéos et vos coordonnées
• Traitement vidéo : Stockez et diffusez des vidéos d'application via Cloudflare R2
• Tableau de bord analytique : Fournissez des informations sur l'engagement des recruteurs avec votre site Web de candidature public

3.2 Gestion du compte et authentification

• Créez et gérez votre compte via l'authentification Firebase
• Vérifiez votre identité et empêchez tout accès non autorisé
• Gérer les niveaux d'abonnement (gratuit ou premium) et l'accès aux fonctionnalités
• Traiter les paiements et la facturation via Stripe

3.3 Amélioration du produit et analyses

• Analyser les modèles d'utilisation pour améliorer les fonctionnalités et l'expérience utilisateur via PostHog
• Surveiller les performances des applications et identifier les bugs via Sentry
• Effectuer des tests A/B et des expérimentations de fonctionnalités
• Générez des statistiques et des informations globales (jamais vendues à des tiers)

3.4 Communications

• Envoyer des e-mails transactionnels (vérification de compte, réinitialisations de mot de passe, mises à jour d'abonnement)
• Assurer le support client et répondre aux demandes de renseignements
• Envoyer des mises à jour de produits et des annonces de service importantes (avec option de désinscription)

3.5 Juridique et sécurité

• Respecter les obligations légales et les exigences réglementaires
• Détecter et prévenir la fraude, les abus et les menaces de sécurité
• Appliquer nos conditions d'utilisation et protéger les droits des utilisateurs
• Tenir des journaux d'audit à des fins de sécurité et de conformité

4. Services tiers et partage de données

Nous travaillons avec des prestataires de services tiers de confiance pour proposer JobStep. Vos données peuvent être partagées avec :

4.1 IA et traitement de contenu

• OpenAI (GPT-5) : Les processus reprennent le contenu, les descriptions de poste et génèrent des documents de candidature sur mesure. Les données envoyées à OpenAI ne sont pas utilisées pour entraîner leurs modèles conformément à notre accord. OpenAI est basé aux États-Unis. Politique de confidentialité d'OpenAI
• Exa.ai : Récupère les offres d'emploi accessibles au public pour vous aider à adapter vos candidatures. Service basé aux États-Unis.
• Feu d'artifice : Extrait le contenu des offres d’emploi des sites Web des employeurs. Service basé aux États-Unis.

4.2 Infrastructure et stockage

• Cloudflare R2 : Stocke vos fichiers téléchargés (CV, vidéos, images) avec cryptage au repos. Cloudflare opère à l'échelle mondiale avec des centres de données en Europe. Politique de confidentialité de Cloudflare
• PostgreSQL : Base de données hébergée sur des serveurs européens (Railway/régions AWS dans l’UE) stockant des données structurées
• Redis : Couche de mise en cache pour l'optimisation des performances

4.3 Authentification et paiements

• Authentification Firebase : Gère l'authentification des utilisateurs, y compris OAuth (Google, Apple). Service Google avec une infrastructure mondiale. Politique de confidentialité de Firebase
• Rayure : Traite les paiements et gère les abonnements. Certifié PCI DSS niveau 1. Nous ne stockons pas les informations de carte de crédit. Politique de confidentialité de Stripe

4.4 Analyse et surveillance

• PostHog : Plateforme d'analyse de produits qui suit le comportement des utilisateurs et l'utilisation des fonctionnalités. Les adresses IP sont hachées avant le stockage. Basé aux États-Unis avec des options d'hébergement dans l'UE. Politique de confidentialité de PostHog
• Sentinelle : Suivi des erreurs et surveillance des performances. Peut recevoir des traces de pile et un contexte d'erreur. Service basé aux États-Unis. Politique de confidentialité de Sentry
• Meilleure pile (Logtail) : Gestion et suivi des journaux. Service basé dans l’UE.

4.5 Marketing et attribution

• API TikTok Pixel et événements : Suit les conversions et les performances publicitaires pour les campagnes TikTok. Nous pouvons partager des données personnelles hachées (adresse e-mail, numéro de téléphone si fourni) avec TikTok pour l'attribution des conversions et la correspondance d'audience via leur API d'événements. Politique de confidentialité de TikTok
• API de conversions méta (Facebook) : Nous pouvons partager des données personnelles hachées (adresse e-mail, numéro de téléphone si fourni) avec Meta pour le suivi des conversions et l'attribution des annonces. Méta-politique de confidentialité
• Annonces Google : Suivi des conversions pour les campagnes publicitaires Google. Politique de confidentialité de Google

4.6 Autres services

• Cal.com : Système de réservation de rendez-vous de consultation (fonctionnalité optionnelle). Politique de confidentialité de Cal.com

4.7 Divulgation légale

Nous pouvons divulguer vos informations si la loi, une ordonnance d'un tribunal ou une demande du gouvernement l'exige, ou pour protéger nos droits, notre propriété ou notre sécurité.

5. Stockage et sécurité des données

5.1 Où nous stockons vos données

• Stockage des données primaires : Bases de données PostgreSQL hébergées dans les régions de l'Ouest de l'UE (Irlande et Francfort) via Railway et AWS
• Stockage de fichiers : Cloudflare R2 avec distribution mondiale, y compris les régions de l'UE
• Cryptage : Toutes les données transmises via HTTPS (TLS 1.3). Fichiers stockés avec cryptage au repos. Jetons sensibles chiffrés à l'aide du chiffrement Fernet
• Authentification : Jetons Firebase JWT pour une gestion sécurisée des sessions

5.2 Mesures de sécurité

• Chiffrement conforme aux normes de l'industrie pour les données en transit et au repos
• Hachage d'adresse IP à l'aide de PBKDF2 pour les données analytiques
• Authentification à deux facteurs (2FA) disponible pour les comptes d'utilisateurs
• Audits de sécurité et évaluations de vulnérabilité réguliers
• Contrôles d'accès et autorisations basées sur les rôles
• Surveillance et alertes automatisées via Sentry et Better Stack

Même si nous mettons en œuvre des mesures de sécurité robustes, aucun système n’est sécurisé à 100 %. Nous ne pouvons pas garantir une sécurité absolue de vos données.

6. Transferts internationaux de données

JobStep est exploité depuis la Suisse et vos données sont principalement stockées dans les régions de l'UE. Cependant, certains de nos prestataires de services tiers sont basés aux États-Unis et dans d’autres pays en dehors de l’Espace économique européen (EEE).

Lorsque nous transférons vos données à l’international, nous veillons à ce que des garanties appropriées soient en place :

• Clauses contractuelles types (CCS) approuvées par la Commission européenne
• Prestataires de services certifiés selon les cadres de protection des données pertinents
• Cryptage et pseudonymisation des données avant transfert
• Engagements contractuels exigeant des niveaux de protection équivalents

Les services basés aux États-Unis que nous utilisons incluent : OpenAI, PostHog, Sentry, Exa.ai et Firecrawl. Nous avons évalué les pratiques de sécurité et les mesures de protection des données de ces fournisseurs.

7. Vos droits en matière de confidentialité

En fonction de votre localisation, vous disposez de différents droits concernant vos données personnelles :

7.1 Droits RGPD (Espace économique européen)

• Droit d'accès : Demander une copie de vos données personnelles
• Droit de rectification : Corriger les données inexactes ou incomplètes
• Droit à l'effacement : Demander la suppression de vos données (« droit à l'oubli »)
• Droit de limiter le traitement : Limiter la façon dont nous utilisons vos données
• Droit à la portabilité des données : Exportez vos données dans un format lisible par machine
• Droit d'opposition : S'opposer au traitement fondé sur des intérêts légitimes
• Droit de retirer le consentement : Retirer à tout moment votre consentement au traitement des données
• Droit de déposer une plainte : Déposez une plainte auprès de votre autorité locale de protection des données

7.2 Droits CCPA (résidents de Californie)

• Droit de savoir quelles informations personnelles sont collectées
• Droit de savoir si des informations personnelles sont vendues ou divulguées
• Droit de refuser la vente d'informations personnelles (Remarque : nous ne vendons pas d'informations personnelles)
• Droit de demander la suppression des informations personnelles
• Droit à la non-discrimination pour l’exercice des droits CCPA

7.3 Droits suisses en matière de protection des données

En tant qu'entreprise suisse, nous nous conformons à la loi fédérale suisse sur la protection des données (LPD), qui prévoit des droits similaires au RGPD.

7.4 Comment exercer vos droits

Pour exercer l'un de ces droits, veuillez nous contacter à help@jobstep.io. Nous vous répondrons dans les 30 jours. Vous pouvez également gérer certains paramètres directement dans le tableau de bord de votre compte.

8. Conservation des données

Nous conservons vos données personnelles aussi longtemps que nécessaire pour fournir nos services et respecter les obligations légales :

• Comptes actifs : Données conservées pendant que votre compte est actif
• Comptes supprimés : La plupart des données sont supprimées dans les 30 jours suivant la suppression du compte. Certaines données conservées dans les sauvegardes jusqu'à 90 jours pour des raisons de sécurité et de conformité légale
• Données analytiques : Analyses agrégées et anonymisées conservées jusqu'à 2 ans
• Dossiers de paiement : Conservé pendant 7 ans pour respecter la réglementation fiscale et comptable
• Conservation légale : Les données peuvent être conservées plus longtemps si la loi l'exige ou dans le cadre d'une procédure judiciaire.

Vous pouvez demander la suppression de vos données à tout moment en contactant help@jobstep.io ou en supprimant votre compte dans le tableau de bord.

9. Cookies et technologies de suivi

Nous utilisons des cookies et des technologies de suivi similaires pour fournir et améliorer nos services :

9.1 Cookies essentiels

• Cookies d'authentification (jetons de session Firebase)
• Cookies de sécurité (protection CSRF)
• Cookies d'équilibrage de charge

9.2 Cookies d'analyse

• Cookies d'analyse PostHog (peuvent être désactivés)
• Suivi de l'utilisation et engagement des fonctionnalités

9.3 Cookies marketing

• TikTok Pixel (pour l'attribution des publicités)
• Suivi des conversions Google Ads

Vous pouvez contrôler les cookies via les paramètres de votre navigateur. Notez que la désactivation des cookies essentiels peut affecter la fonctionnalité.

10. Sites Web d'applications publiques

JobStep vous permet de créer des sites Web de candidature publics à partager avec des employeurs potentiels. Attention :

• Informations publiques : Le contenu de votre site Web de candidature public est visible par toute personne disposant du lien
• Suivi des visiteurs : Nous suivons les visiteurs de votre site Web public (adresses IP hachées, géolocalisation, agents utilisateurs) pour vous fournir des analyses d'engagement des recruteurs.
• Contrôle : Vous contrôlez quelles informations sont incluses sur votre site Web public et pouvez les désactiver à tout moment
• Moteurs de recherche : Les sites Web publics peuvent être indexés par les moteurs de recherche, sauf si vous désactivez cette fonctionnalité.

11. IA et prise de décision automatisée

Nous utilisons l'IA (modèles OpenAI GPT) pour fournir des améliorations de CV, des suggestions et un contenu personnalisé. Remarques importantes :

• Aucune décision automatisée : Nous ne prenons pas de décisions automatisées qui vous affectent de manière significative sans surveillance humaine.
• L'IA comme outil : Les suggestions de l'IA ne sont que des recommandations. Vous révisez et contrôlez tout le contenu final
• Données de formation : Vos données ne sont pas utilisées pour entraîner les modèles OpenAI conformément à notre accord
• Examen humain : Vous pouvez toujours modifier ou rejeter le contenu généré par l'IA

12. Confidentialité des enfants

JobStep n'est pas destiné aux utilisateurs de moins de 16 ans. Nous ne collectons pas sciemment d'informations personnelles sur des enfants de moins de 16 ans. Si nous apprenons que nous avons collecté des données auprès d'un enfant de moins de 16 ans, nous les supprimerons rapidement. Si vous pensez que nous avons collecté des informations auprès d'un enfant, veuillez nous contacter à help@jobstep.io.

13. Ne suivez pas les signaux

Certains navigateurs prennent en charge les signaux « Do Not Track » (DNT). Nous ne répondons actuellement pas aux signaux DNT car il n’existe aucune norme industrielle sur la manière de les interpréter. Nous pourrions y revenir à mesure que les normes évolueront.

14. Modifications de cette politique de confidentialité

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre pour refléter les changements dans nos pratiques, notre technologie, nos exigences légales ou d'autres facteurs. Lorsque nous apportons des changements importants, nous :

• Mettez à jour la « Date d'entrée en vigueur » en haut de cette politique
• Vous avertir par e-mail (si vous avez un compte)
• Afficher un avis bien visible dans l'application
• Fournir un résumé des changements importants

Votre utilisation continue de JobStep après les modifications indique l'acceptation de la politique mise à jour. Si vous n'êtes pas d'accord avec les modifications, vous pouvez supprimer votre compte.

15. Contactez-nous

Si vous avez des questions, des préoccupations ou des demandes concernant cette politique de confidentialité ou nos pratiques en matière de données, veuillez nous contacter :

Courriel : help@jobstep.io
Courrier :
TenThirty GmbH
Délégué à la protection des données
Guggachstrasse 6
8057 Zurich, Suisse

Autorité de protection des données :
Si vous résidez dans l'UE/EEE et pensez que nous n'avons pas répondu à vos préoccupations, vous pouvez déposer une plainte auprès de votre autorité de contrôle locale ou du Préposé fédéral suisse à la protection des données et à l'information (PFPDT).

16. Base juridique du traitement (RGPD)

Pour les utilisateurs de l'Espace économique européen, nous traitons vos données sur la base des fondements juridiques suivants :

• Exécution du contrat : Traitement nécessaire pour fournir les services JobStep que vous avez demandés
• Consentement : Lorsque vous avez donné votre consentement explicite (par exemple, communications marketing, analyses)
• Intérêts légitimes : Pour la prévention de la fraude, la sécurité et l'amélioration des produits là où vos droits ne sont pas annulés
• Obligation légale : Pour se conformer aux lois, réglementations et procédures juridiques

17. Droits de confidentialité en Californie (détails CCPA)

Catégories de renseignements personnels collectés

• Identifiants (nom, email, adresse IP)
• Informations professionnelles (contenu du CV, historique de travail)
• Activité Internet (données d'utilisation, analyses)
• Données de géolocalisation
• Informations audiovisuelles (vidéos, photos)

Objectifs commerciaux de la collecte

• Fournir des services d’optimisation de carrière
• Amélioration et analyse des produits
• Sécurité et prévention de la fraude
• Assistance client

Vente de renseignements personnels

Nous ne vendons pas vos informations personnelles à des tiers. Nous partageons des données avec des prestataires de services uniquement dans la mesure nécessaire à la fourniture de nos services.