Politique de confidentialité

Le responsable de traitement est Bilal Afellah, entrepreneur individuel, éditeur d'Alternly (alternly.fr).

• Adresse : HLM Pifano I, Bât. E, 20137 Porto-Vecchio, France
• Contact : contact@alternly.fr

On ne collecte que les données que tu nous donnes toi-même, dans un seul but : préparer et suivre tes candidatures.

C'est tout : pas de données de navigation revendues, pas de profilage publicitaire, pas de collecte cachée.

Tes données ne sont jamais vendues. Pour faire tourner le service, on s'appuie sur des prestataires (« sous-traitants » au sens du RGPD), chacun avec un rôle précis :

• Vercel(États-Unis/UE) — hébergement de l'application.
• Supabase(région Paris, UE) — base de données et authentification. C'est là que vivent ton profil, ton CV et ton suivi de candidatures.
• Stripe — paiement des pass. Stripe ne voit que ton email et la transaction, jamais ton profil ni ton CV.
• Resend — envoi des emails transactionnels (connexion, confirmations).
• Anthropic— génération par IA de tes mails de candidature et de tes fiches d'appel, et analyse de ton CV. Pour les mails et les fiches d'appel, Anthropic reçoit ton prénom, ta formation, ta ville, le texte de parcours que tu as saisi et les informations publiques de l'entreprise visée. Pour le diagnostic de CV, Anthropic reçoit également ton CV (fichier PDF), uniquement le temps de l'analyser et de te renvoyer le résultat ; on ne conserve que ce résultat (score et conseils), jamais une copie supplémentaire de ton CV.
• Google— uniquement si tu choisis la connexion Google (OAuth), pour t'identifier.

Certains prestataires (Vercel, Anthropic, Stripe) peuvent traiter des données aux États-Unis : ces transferts sont encadrés par les garanties prévues au RGPD (clauses contractuelles types de la Commission européenne et/ou mécanismes d'adéquation en vigueur).

Tes données sont conservées tant que ton compte existe. Tu peux supprimer ton compte à tout moment depuis la page /profil : la suppression est immédiate et définitive, et entraîne l'effacement en cascade de toutes tes données, y compris ton CV.

Seules les données de facturation liées aux paiements peuvent être conservées au-delà, le temps des obligations légales comptables.

Tu disposes des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition sur tes données.

• 🗑️ Supprimer : bouton de suppression du compte dans /profil — effet immédiat.
• ✏️ Rectifier :ton profil est modifiable directement dans l'application.
• 📩 Tout le reste (accès, portabilité, opposition…) : écris-nous à contact@alternly.fr. On te répond au plus tard dans un délai d'un mois.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL(Commission nationale de l'informatique et des libertés) : cnil.fr.

Alternly utilise uniquement des cookies d'authentification, indispensables pour te maintenir connecté·e à ton compte. Ce sont des cookies dits « strictement nécessaires » : ils sont exemptés de consentement, c'est pourquoi tu ne vois pas de bandeau cookies sur le site.

Aucun cookie publicitaire, de mesure d'audience ou de traçage tiers n'est déposé.

Si — et seulement si — tu actives l'envoi automatique, Alternly te demande d'autoriser l'accès gmail.send à ta boîte Gmail. Cet accès sert à une seule chose : envoyer, depuis ta propre boîte et à ta demande explicite (quand tu swipes ou appuies sur « envoyer »), tes mails de candidature et de relance, avec ton CV en pièce jointe.

Ce qu'Alternly ne fait jamais avec cet accès :

• 🚫 lire tes emails, ta boîte de réception, tes contacts ou toute autre donnée de ton compte Gmail — le scope gmail.sendne permet que l'envoi, pas la lecture ;
• 🚫 stocker le contenu des mails que tu envoies ;
• 🚫 vendre, partager ou transférer ces données à des tiers, ni les utiliser pour de la publicité ou pour entraîner des modèles d'IA.

L'autorisation est conservée sous forme de jeton chiffré (AES-256-GCM — voir la section 8), et uniquement tant que ton compte existe et que l'envoi automatique est activé. Tu peux la révoquer à tout moment en un clic depuis ton profil (« déconnecter Gmail ») : le jeton est alors définitivement supprimé et l'accès est révoqué auprès de Google. La suppression de ton compte entraîne la même révocation et le même effacement, immédiatement. Tu peux aussi retirer l'accès d'Alternly depuis les paramètres de ton compte Google (myaccount.google.com/permissions).

L'utilisation et le transfert par Alternly des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences Limited Use (usage limité).

Si notre manière d'utiliser les données Google devait changer, on mettrait cette page à jour et on te préviendrait par email avantque le changement s'applique.

Des procédures de sécurité techniques et organisationnelles sont en place pour protéger la confidentialité de toutes tes données — en particulier les plus sensibles : ton CV, ton parcours et les données liées à ton compte Google.

• 🔒 Chiffrement en transit : toutes les communications entre ton appareil, Alternly et nos prestataires sont chiffrées (HTTPS/TLS).
• 🗄️ Chiffrement au repos : la base de données (hébergée en Union européenne, région Paris) est chiffrée au repos (AES-256). Ton CV est stocké dans un espace privé, inaccessible publiquement.
• 🔐 Chiffrement renforcé du jeton Gmail :le jeton d'autorisation Gmail est chiffré une seconde fois au niveau applicatif (AES-256-GCM), avec une clé conservée en dehors de la base de données : même une copie de la base ne permettrait pas de le lire.
• 🚪 Cloisonnement par compte :l'isolation est appliquée au niveau de la base de données elle-même (Row Level Security) : chaque utilisateur ne peut techniquement accéder qu'à ses propres données.
• 🖥️ Clés côté serveur uniquement :les clés d'accès aux services (base de données, IA, envoi Gmail) ne quittent jamais nos serveurs et ne sont jamais exposées dans ton navigateur.
• 👤 Aucun accès humain aux données Google :personne ne consulte les données liées à ton compte Gmail, sauf si tu le demandes explicitement (support), pour des raisons de sécurité (abus, fraude) ou si la loi l'exige.
• 🛡️ Garde-fous anti-abus : ton identité est revérifiée côté serveur à chaque requête, et les actions sensibles sont soumises à des limites de fréquence.

En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous notifions la CNIL dans les 72 heures et nous t'informons directement, conformément aux articles 33 et 34 du RGPD.