Politique de confidentialité
Dernière mise à jour : 2 novembre 2026
Candidor traite vos données avec la même règle que ses dossiers de candidature : rien d’inventé, rien de caché. Cette page décrit chaque traitement : quelles données, pourquoi, sur quelle base légale, combien de temps et chez qui.
Qui est responsable
Le responsable du traitement est Matthieu Janiak, éditeur de Candidor, 13 rue Joyeuse, 59148 Flines-lez-Raches, France. Contact pour toute question sur vos données : bonjour@candidor.fr.
Ce que nous ne faisons jamais
- Nous ne vendons ni ne louons vos données.
- Nous ne les utilisons pas pour de la publicité et ne posons aucun traceur publicitaire.
- Nous n’entraînons aucun modèle d’intelligence artificielle avec vos données, et notre prestataire d’IA (Anthropic) ne les utilise pas pour entraîner les siens.
- Aucune décision vous concernant n’est prise de façon automatisée : le score du scanner et les dossiers générés sont des aides, vous restez seul juge de ce que vous envoyez.
Les traitements, un par un
Le scanner de CV gratuit
- Données : Le CV que vous déposez et le texte de l'offre que vous collez.
- Pourquoi : Calculer votre score de compatibilité et la liste des mots-clés trouvés ou manquants.
- Base légale : Votre demande (mesure précontractuelle, art. 6.1.b du RGPD).
- Durée de conservation : Votre CV n'est pas enregistré sur nos serveurs : il est lu en mémoire puis effacé dès le rapport produit. Le texte de l'offre n'est pas conservé non plus. Si vous cliquez sur « Adapter mon CV à cette offre », votre CV et l'offre sont gardés uniquement dans votre navigateur, sur votre appareil, 24 h au plus, pour préremplir la suite ; ils sont effacés dès votre premier dossier généré.
- Qui y a accès : l’éditeur, et Notre moteur (Fly.io, Paris) lit le CV. Le texte de l'offre seul (pas votre CV) est transmis à Anthropic pour en extraire les mots-clés.
L'envoi du rapport du scanner par email
- Données : Votre adresse email et le contenu du rapport (score, verdict, mots-clés trouvés et manquants — jamais votre CV).
- Pourquoi : Vous envoyer le rapport que vous avez demandé.
- Base légale : Votre demande (art. 6.1.b du RGPD).
- Durée de conservation : 12 mois après l'envoi, puis suppression automatique.
- Qui y a accès : l’éditeur, et Supabase (stockage, Paris) et Resend (envoi de l'email).
Les conseils de candidature par email (facultatif)
- Données : Votre adresse email, si vous avez coché la case prévue à cet effet.
- Pourquoi : Vous adresser des conseils pour vos candidatures.
- Base légale : Votre consentement (art. 6.1.a du RGPD), que vous pouvez retirer à tout moment par un lien présent dans chaque email ou en nous écrivant.
- Durée de conservation : Jusqu'au retrait de votre consentement, et au plus 12 mois après votre dernier contact.
- Qui y a accès : l’éditeur, et Supabase (stockage) et Resend (envoi).
Votre compte
- Données : Votre adresse email (connexion par lien magique, aucun mot de passe n'est stocké) et la date de vos connexions.
- Pourquoi : Vous identifier et sécuriser l'accès à votre espace.
- Base légale : L'exécution des conditions générales d'utilisation (art. 6.1.b du RGPD).
- Durée de conservation : Tant que votre compte existe. Vous pouvez le supprimer vous-même à tout moment (Mon profil → Supprimer mon compte) ; il est aussi supprimé après 3 ans sans connexion.
- Qui y a accès : l’éditeur, et Supabase (authentification et base de données, Paris).
Votre profil, vos offres, vos dossiers et votre suivi
- Données : Ce que vous saisissez ou importez : identité et coordonnées, photo si vous en ajoutez une, expériences, formations, compétences, langues, CV importé, offres d'emploi enregistrées (y compris via l'extension Chrome), dossiers générés, statut et dates de vos candidatures, crédits utilisés.
- Pourquoi : Faire fonctionner le service : générer vos CV, lettres et mails adaptés à chaque offre, et suivre vos candidatures.
- Base légale : L'exécution des conditions générales d'utilisation (art. 6.1.b du RGPD).
- Durée de conservation : Tant que votre compte existe ; supprimés avec lui.
- Qui y a accès : l’éditeur, et Supabase (stockage, Paris) ; notre moteur (Fly.io, Paris). Pour rédiger un dossier ou importer un CV, les éléments utiles de votre profil, votre CV importé et le texte de l'offre sont transmis à Anthropic.
Les offres suggérées
- Données : Des mots-clés tirés des compétences de votre profil et, le cas échéant, votre département. Ni votre nom ni votre email.
- Pourquoi : Vous proposer des offres France Travail proches de votre profil.
- Base légale : L'exécution des conditions générales d'utilisation (art. 6.1.b du RGPD).
- Durée de conservation : Les suggestions sont conservées avec votre compte.
- Qui y a accès : l’éditeur, et L'API publique de France Travail (France).
L'achat d'un Pass
- Données : Votre adresse email, la date, le montant et la référence du paiement, le nombre de dossiers utilisés, le lien de votre facture. Votre numéro de carte est saisi chez Stripe et n'arrive jamais chez nous.
- Pourquoi : Encaisser le paiement, activer votre Pass, établir la facture, gérer un éventuel remboursement.
- Base légale : L'exécution du contrat de vente (art. 6.1.b) et nos obligations comptables (art. 6.1.c du RGPD).
- Durée de conservation : L'historique du Pass est conservé avec votre compte. Les factures et pièces comptables sont conservées 10 ans (article L123-22 du Code de commerce).
- Qui y a accès : l’éditeur, et Stripe (paiement et facture) ; Supabase (historique du Pass).
Vos échanges avec nous
- Données : Votre adresse email et le contenu de vos messages à bonjour@candidor.fr.
- Pourquoi : Vous répondre et traiter vos demandes, y compris l'exercice de vos droits.
- Base légale : Notre intérêt légitime à vous répondre (art. 6.1.f du RGPD).
- Durée de conservation : 3 ans après notre dernier échange.
- Qui y a accès : l’éditeur, et Notre messagerie.
La mesure d'audience et la sécurité
- Données : Pages consultées, site de provenance, type d'appareil, pays, adresse IP (journaux techniques et limitation des abus). Le nom de la campagne qui vous a amené sur le site (par exemple « tiktok »), enregistré sans aucun identifiant à chaque scan terminé, et, si vous créez un compte, avec votre compte.
- Pourquoi : Mesurer la fréquentation de façon agrégée, protéger le service contre les abus (nombre de demandes par adresse IP) et corriger les erreurs.
- Base légale : Notre intérêt légitime à faire fonctionner et sécuriser le site (art. 6.1.f du RGPD).
- Durée de conservation : Statistiques agrégées sans identification ; journaux techniques conservés quelques jours à quelques semaines selon l'hébergeur.
- Qui y a accès : l’éditeur, et Vercel (hébergement et Vercel Analytics, sans cookies), Fly.io, Supabase.
Nos prestataires et les transferts hors de l’Union européenne
Nos prestataires agissent pour notre compte, sur nos instructions, dans le cadre d’un contrat de sous-traitance conforme à l’article 28 du RGPD :
- Vercel Inc. : hébergement du site et mesure d'audience sans cookies — États-Unis (et réseau mondial de serveurs).
- Supabase, Inc. : base de données et connexion par lien magique — Union européenne (région Paris, eu-west-3).
- Fly.io, Inc. : moteur d'analyse et de génération des dossiers — Union européenne (région Paris).
- Anthropic, PBC : intelligence artificielle qui rédige les dossiers, lit les offres et importe les CV — États-Unis.
- Resend (Plus Five Five, Inc.) : envoi des emails (rapport du scanner) — États-Unis.
- Stripe : paiement du Pass et facture — Irlande (Stripe Payments Europe) et États-Unis.
Certains de ces prestataires sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE–États-Unis (Data Privacy Framework). Vous pouvez nous demander une copie de ces garanties.
Cookies et traceurs
Le site ne dépose que des cookies strictement nécessaires, qui ne demandent pas votre consentement :
- Cookies de session Supabase (émetteur : candidor.fr) : vous garder connecté à votre compte. Ils ne sont posés que si vous vous connectez, et disparaissent à la déconnexion ou à l’expiration de la session.
La mesure d’audience (Vercel Analytics) fonctionne sans cookie et sans rien lire sur votre appareil. Si vous arrivez par un lien de campagne (par exemple « ?utm_source=tiktok »), le seul nom de cette campagne est gardé dans le stockage de l’onglet (sessionStorage), effacé à sa fermeture, pour compter les scans et les inscriptions par provenance. Il ne contient aucun identifiant et ne sert à rien d’autre. Enfin, si vous cliquez sur « Adapter mon CV à cette offre », votre CV et le texte de l’offre sont gardés dans votre navigateur (stockage local), 24 h au plus, uniquement pour vous éviter de les redonner : ce stockage est nécessaire au service que vous demandez. C’est pourquoi aucun bandeau de consentement ne vous est présenté. Le paiement se fait sur la page de Stripe, qui applique sa propre politique en matière de cookies. Aucun cookie publicitaire, aucun réseau social, aucune vidéo intégrée.
Vos droits
Vous pouvez, à tout moment et gratuitement :
- accéder à vos données et en obtenir une copie ;
- les faire rectifier si elles sont inexactes (vous pouvez aussi modifier votre profil vous-même) ;
- demander leur effacement, y compris la suppression complète de votre compte — que vous pouvez aussi faire vous-même, immédiatement, depuis Mon profil ;
- vous opposer à un traitement fondé sur notre intérêt légitime ;
- demander la limitation d’un traitement ;
- recevoir vos données dans un format réutilisable (portabilité) ;
- retirer votre consentement aux conseils par email, sans que cela remette en cause ce qui a été fait avant ;
- définir des directives sur le sort de vos données après votre décès.
Pour cela, écrivez à bonjour@candidor.fr, de préférence depuis l’adresse de votre compte. Nous répondons sous un mois au plus. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr/fr/plaintes, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
Âge minimum
Candidor s’adresse aux personnes de 15 ans et plus. Nous ne collectons pas sciemment de données concernant des enfants plus jeunes.
Sécurité
Connexion sans mot de passe, échanges chiffrés (HTTPS), accès à la base protégés par des règles par utilisateur (chacun ne voit que ses propres données), clés secrètes jamais exposées dans le navigateur.
Modifications
Cette politique évolue avec le service. La date de mise à jour figure en haut de page. Voir aussi les conditions générales d’utilisation et les mentions légales.