Politique de confidentialité

1. Qui est responsable du traitement

Le responsable du traitement pour getshortlisted.ai est l'exploitant du service, basé en Suisse. Pour toute demande relative à la protection des données, écrivez à privacy@getshortlisted.ai. Aucun délégué à la protection des données (DPO) formel n'est désigné à ce stade ; la même adresse atteint la personne responsable des décisions de confidentialité.

2. Ce que nous collectons

Nous ne collectons que ce dont nous avons besoin pour faire fonctionner le service :

• —Données de compte — votre adresse e-mail et l'identifiant OAuth de votre fournisseur de connexion (Google) si vous l'avez utilisé. Nous ne voyons jamais votre mot de passe.
• —Profil et contenu du CV — chaque champ que vous remplissez : nom, coordonnées, parcours professionnel, formation, compétences, langues, certifications. C'est la copie de travail de votre CV.
• —PDF importés — lorsque vous importez un CV, le texte du PDF est extrait, envoyé au fournisseur d'IA pour extraction structurée, puis vous est rendu pour relecture. Nous ne conservons pas le texte extrait après le retour de la requête.
• —Descriptions de poste collées — traitées temporairement pour adapter les suggestions de l'IA à un poste précis.
• —Journaux d'exploitation — chemins de requête, horodatages, traces d'erreurs, et un enregistrement par appel d'usage de l'IA (uniquement le nombre de jetons, jamais le contenu). Utilisés pour la sécurité, le débogage et la comptabilité des limites de débit.
• —Cookies — voir section 7.

3. Pourquoi nous les traitons

• —Pour fournir le service — stocker votre CV, exécuter les suggestions IA quand vous les déclenchez, générer l'export. Base légale : exécution du contrat (RGPD art. 6, 1, b).
• —Pour maintenir le service sécurisé et stable — limitation de débit, détection d'abus, surveillance des erreurs. Base légale : intérêt légitime (RGPD art. 6, 1, f).
• —Pour respecter nos obligations légales — réponse aux demandes légales, conformité comptable et fiscale. Base légale : obligation légale (RGPD art. 6, 1, c).
• —Analyses optionnelles — uniquement après votre consentement via la bannière cookies. Base légale : consentement (RGPD art. 6, 1, a).

4. Ce qui est envoyé à OpenAI

Le traitement par IA est assuré par l'API d'OpenAI. OpenAI est un sous-traitant — nous lui envoyons le minimum de données nécessaires à chaque requête, et il ne les conserve que pendant une courte fenêtre de surveillance des abus.

Les conditions de l'API d'OpenAI engagent OpenAI à ne pas s'entraîner sur les entrées API — voir la politique officielle d'OpenAI : https://platform.openai.com/docs/models/how-we-use-your-data. Les entrées API sont conservées par OpenAI jusqu'à 30 jours pour la surveillance des abus, puis supprimées.

Concrètement, les données suivantes sont envoyées à OpenAI :

• —Lorsque vous enregistrez votre profil, chaque poste de votre parcours est résumé sous la forme « intitulé du poste @ entreprise (dates) : résumé + faits marquants » et envoyé au point de terminaison d'embedding d'OpenAI (text-embedding-3-small). Le vecteur numérique obtenu est stocké dans notre base vectorielle ; le texte lui-même n'est pas conservé par OpenAI au-delà de la fenêtre de 30 jours.
• —Lorsque vous lancez un flux de génération IA, la description de poste collée est envoyée au même point de terminaison d'embedding pour récupérer les segments de poste les plus pertinents de votre profil, puis le prompt assemblé — incluant ces segments et la description de poste — est envoyé au point de terminaison de chat-completions en streaming d'OpenAI.
• —Lorsque vous importez un CV depuis un PDF, le texte extrait (tronqué à 32 000 caractères) est envoyé au point de terminaison de chat-completions d'OpenAI avec un schéma de sortie structurée, qui renvoie un brouillon de profil. Nous ne l'enregistrons pas automatiquement ; vous le relisez et le validez avant que quoi que ce soit ne soit consigné dans votre compte.

OpenAI traite ces données sur une infrastructure hors UE. Le transfert s'appuie sur les Clauses contractuelles types de l'UE et les engagements d'OpenAI au titre du Data Privacy Framework UE-US. Les suggestions de l'IA s'affichent dans l'éditeur pour relecture et ne sont jamais écrites dans votre profil sans une action explicite de votre part — vous restez décideur sur chaque ligne. Les obligations de transparence de l'article 50 du Règlement IA (à partir d'août 2026) seront signalées en ligne au moment de la génération. Si ce transfert vous gêne, n'utilisez pas les fonctions IA — le reste du service (édition manuelle, gestion du compte) fonctionne sans rien envoyer à OpenAI.

5. Où vos données sont stockées

Les données applicatives — votre compte, votre profil, votre CV — sont stockées dans une base PostgreSQL sur un VPS suisse hébergé par AlexHost en Suisse. Les représentations vectorielles de vos segments de poste vivent dans une instance Qdrant sur le même serveur. Les sauvegardes restent sur le même hôte suisse.

Le rendu PDF pour l'export utilise un service de navigateur sans interface (« headless ») hébergé sur le même hôte suisse. Votre CV ne quitte pas l'hôte pendant l'export.

Le seul transfert routinier hors UE est vers l'API OpenAI, décrit en section 4. La distribution des e-mails utilise un fournisseur SMTP transactionnel pour les liens de connexion et les notifications ; l'e-mail contient votre adresse et un lien, jamais le contenu du CV.

6. Combien de temps nous les conservons

• —Inscriptions sur la liste d'attente — conservées jusqu'à la fermeture de la liste ou jusqu'à votre demande de suppression.
• —Comptes non vérifiés — supprimés après 30 jours d'inactivité si vous n'avez jamais confirmé votre adresse e-mail.
• —Comptes actifs — conservés tant que votre compte est ouvert. Vos données vous appartiennent ; nous ne les expirons pas à votre place.
• —Comptes fermés — supprimés dans les 30 jours suivant la fermeture. Les sauvegardes chiffrées contenant les données peuvent persister jusqu'à 30 jours supplémentaires avant que la rotation des sauvegardes ne les écrase.
• —Journaux d'exploitation — 30 jours, puis rotation.
• —Enregistrements d'usage IA par appel — conservés un an pour la facturation et la surveillance des abus (nombres de jetons uniquement, pas de contenu).

7. Cookies

Nous utilisons aussi peu de cookies que possible :

• —Cookies essentiels — requis pour la connexion (le cookie de session) et pour mémoriser votre choix dans la bannière cookies. Aucun consentement nécessaire ; le service ne peut pas fonctionner sans.
• —Cookies d'analyse — uniquement déposés si vous les acceptez dans la bannière. Aucun n'est actif par défaut.
• —Cookies tiers — Google reCAPTCHA v3 dépose un cookie `_GRECAPTCHA` lorsqu'un formulaire (liste d'attente, contact) est affiché, utilisé par Google pour évaluer si la requête provient d'un humain avant la soumission. Voir les sous-traitants (section 10) pour le détail.

Vous pouvez changer d'avis à tout moment via le lien « Gérer les cookies » en pied de page. La bannière réapparaît avec vos choix actuels et vous pouvez ajuster chaque catégorie individuellement.

8. Vos droits

Au titre du RGPD et de la LPD suisse, vous pouvez :

• —Accéder à vos données — demander une copie de tout ce que nous détenons sur vous.
• —Rectifier vos données — corriger toute inexactitude. Vous pouvez modifier la plupart des champs vous-même dans votre profil.
• —Exporter vos données — demander une copie structurée de votre compte, de votre profil et de vos exports.
• —Supprimer votre compte — fermer votre compte et faire supprimer les données associées dans les 30 jours (sous réserve de la fenêtre de sauvegarde décrite en section 6).
• —Vous opposer ou restreindre — nous demander de cesser de traiter vos données pour une finalité donnée, lorsque la loi l'autorise.
• —Retirer votre consentement — pour tout ce que vous avez accepté (cookies d'analyse, e-mails marketing), à tout moment, sans effet sur les traitements déjà effectués.
• —Déposer une réclamation — auprès du Préposé fédéral suisse à la protection des données et à la transparence (PFPDT, edoeb.admin.ch) ou, si vous êtes dans l'UE, auprès de l'autorité de contrôle de votre pays.

Pour exercer l'un de ces droits, écrivez à privacy@getshortlisted.ai. Nous répondons sous 30 jours. Nous ne facturons jamais la première copie de vos données ni une demande de suppression.

9. Sécurité

Les données en transit sont chiffrées via TLS. La base de données, la base vectorielle et le service d'export vivent tous derrière un réseau privé sur le même hôte ; aucun n'est accessible depuis l'internet public. La connexion utilise des liens à usage unique par e-mail ou OAuth — nous ne stockons jamais de mot de passe.

Nous surveillons les erreurs avec Sentry, configuré pour expurger les informations personnellement identifiables des traces et fils d'événements. Aucun contenu brut de CV n'arrive jusqu'à Sentry.

Si une violation affectant vos données survient, nous notifions le PFPDT dans les 72 heures et contactons les utilisateurs concernés par e-mail.

10. Sous-traitants

Sous-traitants actuels :

• —AlexHost (Suisse) — hébergeur du serveur applicatif, de la base de données, de la base vectorielle et du service d'export PDF.
• —OpenAI (États-Unis) — inférence IA pour les points de terminaison d'embedding, de chat-completion et d'extraction structurée. Voir section 4.
• —Fournisseur SMTP — distribution d'e-mails transactionnels pour les liens de connexion et les notifications de compte.
• —Sentry (États-Unis / UE) — surveillance des erreurs, configurée pour expurger les données personnelles.

Si nous ajoutons ou changeons un sous-traitant, le changement apparaît ici et la date « Dernière mise à jour » est mise à jour. Les changements substantiels sont notifiés par e-mail.

11. Enfants

Le service n'est pas destiné aux utilisateurs de moins de 16 ans. Nous ne collectons pas sciemment de données auprès d'enfants. Si vous pensez qu'un enfant a créé un compte, contactez privacy@getshortlisted.ai et nous le supprimerons.

12. Modifications de cette politique

Lorsque nous mettons à jour cette politique, la date « Dernière mise à jour » en haut change. Les changements substantiels (nouveau sous-traitant, nouvelle finalité de traitement, nouvelle règle de conservation) sont annoncés dans le service et par e-mail. Nous n'assouplissons jamais notre posture de confidentialité en silence.

13. Contact

Questions sur la confidentialité, demandes liées aux droits, réclamations : privacy@getshortlisted.ai.