Politique de confidentialité

Qui est responsable

Le responsable du traitement, c'est-à-dire la société qui décide de l'usage de vos données, est MBM Travel Gate S.A.R.L., société de droit OHADA établie au Cameroun. Ses coordonnées complètes figurent dans les mentions légales. Pour toute question ou pour exercer vos droits : contact@mbmtravelgate.com.

Ce que nous conservons

• Votre compte : adresse e-mail, prénom, nom, date de création, date de confirmation de l'adresse, date de votre dernière visite (notée au plus deux fois par jour, pour savoir combien d'inscrits reviennent) et, si vous vous connectez avec Google, l'identifiant de votre compte Google.
• Vos candidatures : tout ce que vous saisissez dans le formulaire, à savoir état civil, coordonnées, photo d'identité si vous en ajoutez une, parcours scolaire et professionnel, compétences, langues, centres d'intérêt, ainsi que les CV et lettres produits.
• Des jetons à usage unique : ceux des liens de confirmation d'adresse et de réinitialisation du mot de passe, enregistrés sous forme d'empreinte.
• Des compteurs techniques : le nombre de requêtes sur une courte période, afin d'empêcher les abus. Ils sont rattachés à votre compte, ou à une empreinte de votre adresse IP ou de votre adresse e-mail.
• Votre avis, si vous le donnez : avant votre premier téléchargement, un questionnaire facultatif de trois questions vous est proposé (note, ce qui vous a servi, ce qui vous a freiné, un commentaire libre). Les réponses sont enregistrées sans identifiant de compte : ni nom, ni adresse, ni heure, seulement le jour, le type de document et le pays visé. Votre compte garde seulement la date à laquelle le questionnaire vous a été proposé, pour ne pas vous le reposer. Votre adresse e-mail n'est jointe à l'avis que si vous cochez « J'accepte d'être recontacté ».
• Vos messages à l'équipe : ce que vous écrivez depuis la page Contact (sujet, message, adresse e-mail, nom si vous le donnez), avec un numéro de suivi, et le lien avec votre compte si vous êtes connecté.

D'où viennent ces informations

• De vous : ce que vous saisissez dans le formulaire, et le texte des CV que vous importez.
• De Google, si vous choisissez de vous connecter avec Google : l'identifiant de votre compte Google, votre adresse e-mail et la confirmation qu'elle est vérifiée, votre prénom et votre nom. Nous ne demandons rien d'autre : aucun accès à vos e-mails, à vos fichiers ni à vos contacts Google.

Ce que nous ne conservons pas

• Aucun mot de passe en clair : seule une empreinte irréversible est stockée. Un compte créé avec Google n'a pas de mot de passe chez nous.
• Aucune adresse IP en clair : les compteurs anti-abus n'en gardent qu'une empreinte, c'est-à-dire une suite de caractères calculée à partir de l'adresse. Cette empreinte est pseudonymisée : elle ne laisse pas lire l'adresse, mais une même adresse donne toujours la même empreinte. Ce n'est donc pas une donnée anonyme.
• Aucun traceur publicitaire, aucune revente, aucun profilage.

Pourquoi, et sur quelle base

Chaque usage de vos données repose sur une base prévue par la loi. Le terme juridique est suivi de sa signification.

• Fournir le service que vous demandez, c'est-à-dire produire vos documents et les conserver pour que vous les retrouviez : exécution du contrat qui nous lie. Autrement dit, sans ces données, nous ne pourrions pas vous rendre le service que vous demandez en créant votre compte.
• Vous permettre de récupérer votre compte, par la confirmation de votre adresse et les e-mails de réinitialisation du mot de passe : exécution du contrat.
• Protéger le service contre les abus, par la limitation du nombre de requêtes : intérêt légitime. C'est-à-dire un besoin réel de notre part, ici garder le service disponible pour tous, qui ne doit pas peser sur vos droits plus que nécessaire.
• Mesurer l'audience du site pour l'améliorer : intérêt légitime.
• Recueillir votre avis pour corriger ce qui gêne : intérêt légitime. Le questionnaire est facultatif, et le passer ne change rien au service. Être recontacté au sujet de votre avis repose sur votre consentement, donné en cochant la case, et retirable à tout moment en nous écrivant.
• Répondre à vos messages et traiter vos réclamations : intérêt légitime, et, pour une demande sur vos données, le respect de nos obligations légales.
• Assister les inscrits, contrôler la qualité des documents produits et assurer la sécurité du service, intérêt légitime également. Cela couvre la consultation d'un CV ou d'une lettre par l'équipe, toujours inscrite au journal de l'administration, les notes internes sur un compte, les statistiques de qualité calculées sur l'ensemble des CV, et la date de dernière visite, qui sert à savoir combien d'inscrits reviennent.

La photo d'identité est facultative. Elle n'est ajoutée que si vous la déposez, et n'est jamais exigée. Certains pays de destination déconseillent la photo sur un CV : le service en tient compte automatiquement.

Si vous avez moins de 15 ans

Le service est ouvert à partir de 15 ans. En dessous, son utilisation suppose l'accord de votre parent ou de votre représentant légal, comme le prévoient les conditions d'utilisation. Vous le déclarez en cochant la case prévue à l'inscription. Le service ne vérifie pas votre âge. Vos données sont alors traitées sur la base de cet accord. Votre représentant légal peut exercer vos droits en votre nom et retirer son accord à tout moment, en nous écrivant.

Qui y a accès

• Vous seul, via votre compte. Aucune candidature n'est visible par un autre utilisateur.
• OpenAI (États-Unis), qui exploite le modèle de langage. Il reçoit le contenu rédactionnel nécessaire à la fonction que vous utilisez : votre parcours, vos compétences, le poste ou la formation visés et, pour une lettre de motivation, les réponses que vous donnez sur votre motivation. Les fonctions concernées sont :
  • la rédaction du CV ;
  • la rédaction d'une lettre de motivation, à partir du CV choisi ou importé ;
  • l'import d'un CV existant ;
  • l'analyse d'une offre d'emploi ;
  • la traduction du CV ;
  • l'amélioration de la rédaction et l'adaptation à une offre ;
  • la correction des fautes ;
  • la rédaction de l'accroche de profil.

  Votre photo ne lui est jamais transmise, pas plus que vos coordonnées : adresse e-mail, téléphone, adresse postale, site personnel et profil LinkedIn. Votre date de naissance et votre nationalité ne le sont pas non plus. Pour un document en français ou en allemand, seul le genre grammatical que vous avez indiqué (masculin ou féminin) lui est précisé, pour accorder le texte.

  Une exception : quand vous importez un CV existant, le texte de votre fichier lui est transmis pour être rangé dans le formulaire. Les adresses e-mail, numéros de téléphone, liens et adresses que nous repérons sont d'abord remplacés par des marqueurs, et les mentions d'état civil retirées. Une adresse écrite sans numéro de rue ni libellé peut toutefois échapper à ce repérage. Les images du fichier, dont la photo, ne sont pas transmises.

  Ce qu'OpenAI fait ensuite de ces données, et combien de temps il les garde, relève des conditions qu'OpenAI applique aux clients de son API, c'est-à-dire aux entreprises qui intègrent son modèle à leur propre service.

• Supabase, qui héberge la base de données dans l'Union européenne (Irlande), et Vercel, qui héberge le site et en assure la mesure d'audience. Les fonctions du site s'exécutent dans la région de Dublin (Irlande).
• Google, si vous vous connectez avec Google : Google sait alors que vous utilisez le service. Les polices de caractères des modèles de CV sont hébergées par le site : votre navigateur ne contacte pas Google pour les afficher. Seule la création d'un PDF, faite par notre serveur, les charge depuis Google Fonts ; aucune donnée vous concernant n'y est transmise.
• Le service d'envoi des e-mails (confirmation d'adresse, réinitialisation du mot de passe, page Contact) : Resend, ou le service de messagerie de l'adresse d'expédition, selon la configuration. Il reçoit votre adresse e-mail et le contenu de chaque message : le lien de confirmation ou de réinitialisation, ou, pour la page Contact, votre nom s'il est connu, le sujet et le texte de votre message, ainsi que l'accusé de réception qui vous est envoyé.
• Airtable (Formagrid Inc., États-Unis), où l'équipe analyse les avis et suit les messages de la page Contact. Il en reçoit une copie : les avis sans identifiant de compte, les messages avec votre adresse e-mail. Cette copie est effacée en même temps que l'original.

Supabase, Vercel, OpenAI, Airtable et le service d'envoi des e-mails agissent pour notre compte. Pour la connexion, Google applique ses propres règles de confidentialité.

Certains de ces prestataires sont établis hors de l'Union européenne, notamment aux États-Unis. Les transferts sont encadrés par les clauses contractuelles types de la Commission européenne, c'est-à-dire un contrat modèle par lequel le prestataire s'engage à protéger vos données comme elles le seraient dans l'Union.

Combien de temps

• Votre compte et vos candidatures : tant que votre compte existe, afin que vous puissiez les rouvrir et les modifier.
• Après la suppression de votre compte : vos données sont effacées aussitôt de la base en service. Des copies peuvent subsister dans les sauvegardes de la base, selon leur cycle de rotation, avant d'en disparaître à leur tour.
• Les consultations de votre compte par l'équipe MBM : chaque ouverture de votre fiche, de vos CV ou de vos lettres par un administrateur (pour vous aider ou contrôler la qualité du service), et chaque action sur votre compte, est inscrite (qui, quoi, quand) et gardée douze mois. Cette liste figure dans l'export de vos données. Si votre compte est supprimé, le texte des notes et des motifs qui vous concernent est effacé aussitôt ; seule reste la trace des actions.
• Un compte dont l'adresse n'a jamais été confirmée : il est effacé trente jours après sa création, s'il ne contient ni CV ni lettre.
• Les liens de confirmation et de réinitialisation : ils expirent au bout de trois jours et d'une heure respectivement.
• Les compteurs anti-abus : ils valent une heure au plus.
• Les avis et les messages de la page Contact : 24 mois, copie Airtable comprise, puis effacés automatiquement. Si vous supprimez votre compte, vos messages sont détachés du compte et suivent la même durée.

Les jetons et les compteurs expirés sont effacés chaque jour. Les copies conservées dans votre navigateur sont décrites plus bas, avec les cookies.

Vos droits

Vous disposez des droits suivants sur vos données :

• accès : savoir ce que nous conservons et en obtenir une copie ;
• rectification : faire corriger une information inexacte ;
• effacement : faire supprimer vos données ;
• limitation : faire suspendre l'usage de vos données, par exemple le temps de vérifier une contestation ;
• opposition : refuser un usage fondé sur notre intérêt légitime ;
• portabilité : recevoir vos données dans un fichier lisible, que vous pouvez réutiliser ailleurs.

Deux d'entre eux s'exercent directement, sans nous écrire ni attendre :

• Télécharger toutes vos données dans un fichier lisible et réutilisable.
• Supprimer définitivement votre compte et l'ensemble de vos candidatures. Pour un compte créé avec Google, une reconnexion récente avec Google vous sera demandée.

Pour les autres demandes, écrivez à contact@mbmtravelgate.com. Nous vous répondons dans un délai d'un mois. Nous pouvons vous demander de justifier de votre identité, pour ne pas communiquer vos données à quelqu'un d'autre.

Si notre réponse ne vous satisfait pas, vous pouvez adresser une réclamation :

• à l'Autorité de protection des données à caractère personnel du Cameroun, instituée par la loi n° 2024/017 du 23 décembre 2024 ;
• si vous résidez dans l'Union européenne, à l'autorité de protection des données de votre pays. En France, il s'agit de la CNIL : cnil.fr.

Cookies et stockage dans votre navigateur

Le service dépose quatre cookies, tous nécessaires à son fonctionnement. Ils n'ont aucune finalité publicitaire ou statistique, et ne requièrent donc pas votre consentement.

• token : garde votre session ouverte. Il dure sept jours au plus et il est effacé à la déconnexion.
• google_oauth_state : n'est posé que pendant une connexion avec Google, pour vérifier que la réponse de Google correspond bien à votre demande. Il dure dix minutes au plus et il est effacé dès la connexion réussie.
• droits : n'est posé que pour un compte suspendu, après une identification réussie, pour lui permettre de télécharger ses données ou de supprimer son compte. Il ne sert qu'à ces deux opérations et dure quinze minutes au plus.
• admin_verifie, réservé aux membres de l'équipe, est posé après la saisie du code de vérification de l'administration. Il dure douze heures au plus et il est effacé à la déconnexion.

Le service enregistre aussi, dans votre navigateur :

• jusqu'à 40 versions de chaque CV, sans la photo, pour vous permettre d'annuler ou de rétablir une modification ;
• le brouillon de la création d'un CV, photo comprise, et celui d'une lettre, le temps que l'onglet reste ouvert ;
• le fait d'avoir fermé le bandeau d'annonce, le temps que l'onglet reste ouvert, pour ne pas vous le remontrer.

Ces copies restent sur votre appareil : elles ne nous sont pas envoyées. Elles sont effacées à la déconnexion et à la suppression du compte. Sur un ordinateur partagé, pensez à vous déconnecter.

Si vous choisissez le mode clair ou le mode sombre, ce choix est gardé dans votre navigateur (mbm-theme) pour les visites suivantes. Il ne contient rien d'autre, ne nous est pas envoyé, et reste jusqu'à ce que vous changiez de mode ou effaciez les données du site dans votre navigateur.

Mesure d'audience

Nous comptons les visites pour savoir quelles pages servent et lesquelles font abandonner. Cette mesure est assurée par Vercel Web Analytics, qui héberge déjà le site.

Elle ne dépose aucun cookie et ne vous suit pas d'un site à l'autre. Sont relevés la page consultée, la page d'où vous venez, le pays, le type d'appareil et le navigateur. Aucune de ces données n'est rattachée à votre compte, ni à votre CV, ni revendue.

Nous nous en tenons à ce qui sert à améliorer le service. C'est ce qui permet à cette mesure de se passer de votre consentement : elle est limitée à ce site, n'est rattachée à aucun compte et n'alimente aucun profil publicitaire.

Droit applicable

Cette politique est régie par la loi camerounaise n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel. Lorsque nous traitons les données de personnes qui se trouvent dans l'Union européenne, nous appliquons en outre le règlement général sur la protection des données (RGPD). Lorsque les deux textes divergent, nous appliquons celui qui vous protège le mieux.