Aller au contenu

Document légal

Politique de confidentialité

Dernière mise à jour : 2026-10-27

Qui traite vos données : un double rôle

Le site cvlize.fr et le service CVlize sont édités par CVlize, exploité sous le régime de l’auto-entreprise (sans capital social ni immatriculation au RCS, en franchise en base de TVA, art. 293 B du CGI). Coordonnées de l’éditeur communiquées sur demande à procvlize@gmail.com (ci-après « CVlize » ou « nous »). La présente politique décrit la manière dont CVlize traite les données personnelles. CVlize intervient en deux qualités distinctes au sens du règlement (UE) 2016/679 (« RGPD ») :

  • Responsable de traitement pour les données des utilisateurs du Service et de leur compte : identification, connexion, crédits, abonnements, facturation, support et sécurité (les « Données de compte ») ;
  • Sous-traitant au sens de l’article 28 du RGPD pour les données des candidats (CV, fiches de poste et résultats d’analyse) que le recruteur client dépose dans le Service et fait traiter pour son propre compte (les « Données candidats »). Le recruteur en est le responsable de traitement : il détermine la finalité du recrutement et la base légale, et informe les candidats ; la durée de conservation de ces données dans le Service est fixe (30 jours à compter de la création de la campagne, voir « Durées de conservation »). CVlize ne traite ces données que sur ses instructions documentées, dans les conditions de l’accord de sous-traitance figurant dans les Conditions d’utilisation.

Vous êtes candidat ? Le responsable du traitement de votre candidature est l’entreprise ou le cabinet de recrutement à qui vous l’avez adressée. Pour exercer vos droits, adressez-vous d’abord à lui ; si vous nous écrivez, nous lui transmettrons votre demande et l’aiderons à y répondre.

Contact données personnelles : procvlize@gmail.com
Adresse : communiquée sur demande à procvlize@gmail.com

Données traitées

Données de compte (CVlize responsable de traitement)

  • Identification et connexion : adresse e-mail, identifiant technique, nom et prénom si vous les indiquez à l’inscription, mot de passe conservé sous forme hachée par le prestataire d’authentification (jamais en clair) ; en cas de connexion avec Google ou Microsoft, les informations que ce fournisseur transmet à CVlize lors de la connexion : adresse e-mail et indication de sa vérification ou non par ce fournisseur, identifiant de votre compte chez ce fournisseur, le cas échéant, le domaine ou l’identifiant de votre organisation (compte professionnel) et, s’ils sont transmis, vos nom et prénom et le lien vers votre photo de profil. Aucun mot de passe Google ou Microsoft n’est communiqué à CVlize.
  • Crédits et facturation : solde de crédits, historique des mouvements de crédits, abonnement souscrit, identifiant client et références de paiement transmis par Stripe, factures. Les données de carte bancaire sont collectées et conservées par Stripe uniquement.
  • Utilisation du Service : campagnes créées, nombre de CV analysés, crédits consommés, statut des analyses.
  • Données techniques et de sécurité : journaux de connexion et d’accès (dont l’adresse IP), compteurs de requêtes destinés à prévenir les abus, adresse e-mail normalisée ayant bénéficié des crédits offerts à la confirmation de l’adresse e-mail (pour éviter les octrois multiples).
  • Support : contenu de vos échanges avec nous.

Données candidats (CVlize sous-traitant)

  • Fichiers déposés : CV (PDF, DOCX, DOC, images, scans) et fiche de poste.
  • Contenu des CV : identité, coordonnées, parcours professionnel, formation, compétences, langues et toute autre information que le candidat a choisi d’y faire figurer.
  • Résultats d’analyse : nom affiché (ou « Candidat n° » lorsque la campagne est anonymisée), note sur 100, détail des points et justification par critère, synthèse, points forts, points de vigilance, rang dans le classement, export Excel.
  • Annotations du recruteur : inscription en shortlist et note libre.

Le Service n’est pas conçu pour traiter des catégories particulières de données (santé, convictions, origine, etc.) : le recruteur s’engage à ne pas en faire un critère et à ne déposer que les documents nécessaires au recrutement.

Finalités du traitement

Données de compte

  • créer et gérer votre compte, vous authentifier ;
  • fournir le Service : campagnes, analyses, résultats, exports ;
  • gérer les crédits, les abonnements, les paiements et la facturation ;
  • vous adresser les e-mails nécessaires au Service (confirmation d’adresse, réinitialisation du mot de passe, reçus, informations importantes sur le Service) ;
  • répondre à vos demandes de support ;
  • assurer la sécurité du Service, prévenir la fraude et les abus, notamment le cumul des crédits offerts ;
  • respecter nos obligations légales, comptables et fiscales.

Données candidats (sur instruction du recruteur)

  • stocker les CV et la fiche de poste déposés pour une campagne ;
  • extraire le texte des documents (lecture directe, ou reconnaissance de caractères pour les scans et images) ;
  • anonymiser le texte avant la notation lorsque l’option est activée (elle l’est par défaut) ;
  • noter chaque CV critère par critère selon la grille définie par le recruteur, classer les candidatures et restituer les résultats (tableau, détail, export) ;
  • supprimer automatiquement les données 30 jours après la création de la campagne.

CVlize n’utilise pas les Données candidats pour ses propres besoins : ni entraînement ou amélioration de modèles d’IA, ni prospection, ni cession, ni constitution de fichiers.

Bases légales

  • Exécution du contrat (article 6.1.b du RGPD) : gestion du compte, fourniture du Service, crédits, abonnements, support.
  • Obligation légale (article 6.1.c) : conservation des factures et pièces comptables.
  • Intérêt légitime (article 6.1.f) : sécurité du Service, prévention de la fraude et des abus, statistiques internes d’usage agrégées.

Le Service n’utilisant que des traceurs strictement nécessaires, aucun consentement n’est requis à ce titre (voir Gestion des cookies).

Pour les Données candidats, la base légale est déterminée par le recruteur, responsable de traitement (le plus souvent l’exécution de mesures précontractuelles prises à la demande du candidat qui postule, ou l’intérêt légitime du recruteur). Il lui appartient de s’en assurer et d’en informer les candidats.

Durées de conservation

Données candidats

La durée de conservation est fixe : 30 jours à compter de la création de la campagne. Elle n’est pas réglable, et la clôture de la campagne ne la prolonge pas. La date de suppression prévue est affichée sur la campagne, dans la liste des campagnes et sur le tableau de bord ; le recruteur qui souhaite garder le classement plus longtemps doit l’exporter avant cette date, l’export téléchargé relevant alors de sa propre politique de conservation.

À l’échéance, et au plus tard 24 heures après l’échéance des 30 jours, les données sont supprimées automatiquement : fichiers des CV, fiche de poste et export Excel, fiches candidats et résultats d’analyse (noms, scores, justifications, commentaires, notes du recruteur, shortlist). Seule une trace anonyme de la campagne est conservée (nom, dates, nombre de CV, crédits consommés et grille de critères, qui ne contient aucune donnée de candidat), sans le texte de la fiche de poste. Le recruteur peut supprimer une campagne et ses CV à tout moment avant l’échéance.

Le serveur d’analyse ne conserve pas les CV après leur traitement, et ses journaux techniques ne contiennent pas le contenu des CV. Le prestataire de base de données réalise des sauvegardes automatiques et chiffrées de la base de données, conservées pour une durée limitée (sauvegardes quotidiennes des 7 derniers jours avec la formule Pro). Une donnée supprimée de la base (fiche candidat, résultat d’analyse, compte) peut donc encore figurer, pendant cette période, dans une sauvegarde réalisée avant sa suppression. Les fichiers déposés (CV, fiches de poste, exports) ne font pas partie de ces sauvegardes, qui ne contiennent que leurs métadonnées (notamment le nom et l’emplacement du fichier).

Données de compte

  • Compte : pendant toute la durée d’utilisation, puis suppression au plus tard 3 ans après la dernière activité, après un préavis de 30 jours adressé par e-mail, ou dès la suppression du compte à votre demande. Un compte dont l’adresse e-mail n’a jamais été confirmée ne reçoit aucun e-mail : il est supprimé sans préavis après 3 ans sans activité.
  • Factures et pièces comptables : 10 ans (article L123-22 du Code de commerce).
  • Journaux techniques et de sécurité : 12 mois au plus, sauf incident ou litige justifiant une conservation plus longue.
  • Messagerie de CVlize (procvlize@gmail.com) : les e-mails envoyés et reçus (e-mails liés au compte, échanges avec le support, demandes d’exercice des droits) sont supprimés au plus tard 3 ans après le dernier échange.
  • Adresse e-mail normalisée ayant reçu les crédits offerts : 3 ans après la suppression du compte, uniquement pour empêcher un nouvel octroi.

Destinataires et sous-traitants

Nous ne vendons ni ne louons aucune donnée. Les données sont accessibles, dans la limite de ce qui est nécessaire :

  • aux personnes habilitées de CVlize (technique, support, facturation), tenues à la confidentialité ;
  • pour les Données candidats, au seul recruteur titulaire du compte : chaque compte n’accède qu’à ses propres campagnes ;
  • à nos sous-traitants et prestataires techniques listés ci-dessous ;
  • aux autorités compétentes, lorsque la loi l’exige.

Sous-traitants et prestataires techniques

  • OVH SAS (OVHcloud), France : hébergement du site internet et du serveur d’analyse par IA (GPU), situé en France (Gravelines), qui analyse les CV sans les stocker.
  • Supabase Pte. Ltd. (Singapour ; données hébergées en région Paris, France) : base de données, authentification et stockage des fichiers (CV, fiches de poste, résultats, exports), hébergés en France, à Paris, sur l’infrastructure d’Amazon Web Services.
  • Stripe Payments Europe, Limited (Dublin) : paiement en ligne, gestion des abonnements et facturation (Données de compte uniquement).
  • jsDelivr : réseau de diffusion qui fournit une bibliothèque technique d’authentification ; il reçoit l’adresse IP du visiteur lors du chargement des pages.
  • Google Ireland Limited (service Gmail, Irlande) : messagerie de CVlize à l’adresse procvlize@gmail.com, utilisée pour envoyer les e-mails liés au compte (confirmation d’adresse, réinitialisation du mot de passe, préavis avant la suppression d’un compte inactif, informations importantes sur le Service) et pour recevoir les messages qui nous sont adressés (support, exercice des droits, signalements) ; elle traite les adresses e-mail des correspondants et le contenu des messages. Le Service n’envoie jamais de CV, de fiche de poste ni de résultat d’analyse par e-mail. Google fournit ce service selon ses propres conditions d’utilisation et règles de confidentialité (policies.google.com).

Aucune IA tierce : l’analyse des CV est réalisée par un modèle d’IA exécuté sur le serveur de CVlize, en France. Aucun CV, aucune fiche de poste et aucun résultat n’est transmis à un fournisseur d’intelligence artificielle tiers.

Le recruteur est informé de tout changement de sous-traitant ultérieur concernant les Données candidats et peut s’y opposer, dans les conditions prévues par les Conditions d’utilisation.

Connexion avec Google ou Microsoft (facultative)

Si vous choisissez de vous connecter avec Google ou Microsoft, ce fournisseur vous identifie puis transmet à CVlize les informations décrites plus haut. Il n’agit pas comme sous-traitant de CVlize : il traite vos données de connexion pour son propre compte, en responsable de traitement distinct, selon ses propres règles de confidentialité. Il s’agit, pour un compte Google, de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande) pour les personnes situées dans l’Espace économique européen ou en Suisse, et de Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis) pour les autres ; pour un compte Microsoft, de Microsoft Corporation (One Microsoft Way, Redmond, WA 98052, États-Unis) et, pour les personnes situées dans l’Espace économique européen, au Royaume-Uni ou en Suisse, de Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlande). Pour un compte professionnel ou scolaire (Google Workspace, Microsoft Entra ID), l’organisation qui gère ce compte intervient également, selon ses propres règles. Ce mode de connexion ne leur transmet aucun CV, aucune fiche de poste ni aucun résultat d’analyse. Vous pouvez retirer l’accès de CVlize depuis les réglages de votre compte Google ou Microsoft ; cela ne supprime pas votre compte CVlize, que vous pouvez faire supprimer en écrivant à procvlize@gmail.com.

Transferts hors de l’Union européenne

Données candidats : hébergement et analyse en France. Les CV, fiches de poste, résultats d’analyse et exports sont hébergés en France (Supabase, région Paris) et analysés en France (serveur d’analyse de CVlize) ; CVlize ne les transfère pas elle-même hors de l’Union européenne. Supabase Pte. Ltd. (Singapour) et Supabase, Inc. (États-Unis), société du groupe Supabase que celui-ci déclare parmi ses sous-traitants pour les services de support, peuvent être amenées à accéder ponctuellement à distance à ces données, notamment pour le support et l’exploitation du service ; ces éventuels accès sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), intégrées à l’accord de traitement des données de Supabase.

Données de paiement et de facturation : Stripe peut transférer certaines données à des entités de son groupe situées hors de l’Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne.

E-mails liés au compte et messages adressés à CVlize : la messagerie de CVlize (procvlize@gmail.com) est fournie par Google Ireland Limited (Gmail). Google peut traiter les adresses e-mail et le contenu des messages sur des serveurs situés hors de l’Union européenne, notamment aux États-Unis ; Google indique se conformer pour cela au cadre de protection des données UE–États-Unis (« Data Privacy Framework »), auquel Google LLC a certifié son adhésion, et recourir, lorsque cela est nécessaire, aux clauses contractuelles types adoptées par la Commission européenne. Le Service n’envoie jamais de CV, de fiche de poste ni de résultat d’analyse par e-mail.

Connexion avec Google ou Microsoft : si vous choisissez ce mode de connexion, le fournisseur traite vos données de connexion selon ses propres règles et peut les traiter hors de l’Union européenne, notamment aux États-Unis ; Google LLC et Microsoft Corporation ont certifié leur adhésion au cadre de protection des données UE–États-Unis (« Data Privacy Framework »). Ce mode de connexion ne leur transmet aucune des Données candidats.

Intelligence artificielle et contrôle humain

Un traitement local

Le modèle d’IA utilisé par CVlize est exécuté sur notre propre serveur, en France. Les CV ne sont ni transmis à un fournisseur d’IA tiers, ni utilisés pour entraîner ou améliorer un modèle.

Ce que fait l’analyse

Pour chaque CV, le texte est extrait du fichier puis, si l’anonymisation est activée (option par défaut), débarrassé du nom, des coordonnées, de l’adresse, de la date de naissance et de l’âge, de la nationalité et de la situation familiale ; la photo n’est jamais analysée. Le modèle attribue ensuite, pour chaque critère de la grille, un nombre de points assorti d’une justification tirée du CV ; la note sur 100 est la somme de ces points. Le modèle a pour consigne de ne jamais tenir compte des motifs de discrimination prohibés par l’article L1132-1 du Code du travail. L’anonymisation est réalisée au mieux et peut laisser subsister certaines informations : elle complète le contrôle humain, sans le remplacer.

Pas de décision exclusivement automatisée (article 22 du RGPD)

CVlize ne prend aucune décision à l’égard des candidats. Le Service produit un classement assisté et explicable ; il ne retient ni ne rejette aucune candidature. La présélection, l’invitation en entretien et toute décision de recrutement sont prises par le recruteur, qui dispose du détail des notes et du CV original pour exercer son propre jugement.

Règlement européen sur l’intelligence artificielle (AI Act)

Les systèmes d’IA destinés à analyser et filtrer des candidatures et à évaluer des candidats relèvent des usages à haut risque au sens du règlement (UE) 2024/1689 (annexe III). CVlize est conçu en conséquence : contrôle humain (aucun tri automatique, shortlist constituée par le recruteur), transparence (justification critère par critère, documentation du fonctionnement et des limites de l’outil) et journalisation technique des analyses, sans le contenu des CV. Le recruteur, en tant que déployeur du système au sens du règlement, informe les candidats et confie la supervision des résultats à des personnes compétentes. En application du règlement (UE) 2026/1744 (« omnibus numérique sur l’IA »), entré en vigueur le 27 juillet 2026, les obligations relatives aux systèmes à haut risque de l’annexe III s’appliquent à compter du 2 décembre 2027 ; CVlize, en qualité de fournisseur du système, prépare sa mise en conformité en vue de cette échéance.

Sécurité

CVlize met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

  • le chiffrement des échanges (HTTPS/TLS) ;
  • le cloisonnement des données par compte : chaque utilisateur n’accède qu’à ses propres campagnes et fichiers ;
  • un stockage privé des fichiers, consultables uniquement au moyen de liens temporaires signés ;
  • des clés d’accès techniques conservées côté serveur, jamais dans le navigateur ;
  • l’absence de contenu de CV dans les journaux techniques ;
  • un accès aux données limité aux personnes habilitées ;
  • une procédure de gestion des incidents : en cas de violation de données, notification au recruteur concerné dans les meilleurs délais pour les Données candidats et, pour les Données de compte, à la CNIL et aux personnes concernées lorsque la loi l’exige.

Vos droits

Pour les Données de compte, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Écrivez à procvlize@gmail.com ; nous répondons dans un délai d’un mois, qui peut être prolongé dans les cas prévus par le RGPD.

Vous pouvez supprimer vos campagnes à tout moment depuis votre espace, et demander la suppression de votre compte.

Pour les Données candidats, les droits s’exercent auprès du recruteur responsable de traitement ; CVlize l’aide à y répondre (accès, rectification, suppression d’un CV ou d’une campagne).

Cookies et traceurs

CVlize n’utilise que des traceurs strictement nécessaires au fonctionnement du Service, en particulier pour maintenir votre session d’authentification. Aucun traceur publicitaire ni outil de mesure d’audience n’est utilisé. Détails : Gestion des cookies.

Contact et réclamations

Pour toute question relative à vos données, y compris pour joindre la personne chargée de leur protection : procvlize@gmail.com.

Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

Cette politique peut évoluer ; la version en vigueur est celle publiée sur cette page, avec sa date de mise à jour. En cas de changement important, les utilisateurs en sont informés par e-mail ou dans le Service.