Politique de confidentialité
Dernière mise à jour : 29 septembre 2026
En bref : tes données servent à écrire et envoyer tes candidatures. Elles vivent dans un espace qui n'appartient qu'à toi, ne sont jamais vendues, et tu peux les exporter ou tout supprimer depuis ton compte. Le site utilise aussi des outils de mesure d'audience (Google Analytics) et de mesure de nos publicités (Meta, TikTok), décrits au § 10.
1. Responsable du traitement
EMZA GROUP, SAS au capital de 1 000 €, 60 rue François Ier, 75008 Paris, SIREN 937 898 922 (« JobCheater »). Contact pour la protection des données : le formulaire de contact (sujet « Données personnelles »).
2. Données traitées, finalités et bases légales
| Données | Pourquoi | Base légale |
|---|---|---|
| Compte : adresse e-mail, mot de passe (stocké haché, jamais en clair), identifiant Google si tu te connectes avec Google, date de création et de dernière activité. | Te connecter, sécuriser ton compte, te joindre (réinitialisation, confirmation de paiement). | Exécution du contrat. |
| Réponses de l'onboarding et profil : contrat recherché, métiers, villes, dates, école, programme, expériences, réalisations. | Choisir les entreprises compatibles et écrire tes candidatures. | Exécution du contrat. |
| CV (PDF) que tu téléverses. | Pré-remplir ton profil (lecture automatique, voir § 4) et le joindre à tes candidatures. | Exécution du contrat. |
| Contacts professionnels : nom, fonction, entreprise, adresse e-mail professionnelle, source. | Proposer à qui adresser tes candidatures. Ces données sont collectées sur des sources publiques (sites des entreprises, registres, annuaires professionnels) ; une adresse déduite d'un format est signalée comme telle, jamais présentée comme vérifiée. | Intérêt légitime (mise en relation professionnelle ciblée), voir § 6 pour les personnes concernées. |
| Connexion à ta messagerie : adresse de la boîte ; pour Gmail, le mot de passe d'application (code de 16 lettres) que tu crées pour JobCheater ; pour Outlook, les jetons d'accès OAuth. Pour chaque candidature : identifiants techniques du message et du fil (Message-ID, identifiant de brouillon), classement des réponses (jamais leur contenu). | Envoyer tes candidatures depuis ta propre boîte (ou les déposer dans tes brouillons si tu choisis ce mode), et repérer les réponses pour arrêter les relances. Nous ne recevons jamais le mot de passe de ta messagerie. | Exécution du contrat, sur ton autorisation explicite, révocable à tout moment. |
| Candidatures : textes, destinataires, dates d'envoi, statut (envoyé, réponse, erreur). | Exécuter ta campagne, éviter les doublons, respecter les limites d'envoi, te montrer le suivi. | Exécution du contrat. |
| Paiement : offre choisie, montant, identifiants de session et de paiement Stripe, remboursements, demandes au titre de la garantie. | Encaisser, activer l'offre, traiter la garantie, tenir la comptabilité. Nous ne voyons ni ne stockons ton numéro de carte. | Exécution du contrat ; obligation légale (comptabilité). |
| Rappels par e-mail : adresse e-mail, date d'inscription, état de ta campagne, dates d'envoi des rappels ; pour « Préviens-moi quand elle ouvre », l'adresse donnée et la filière demandée. | Deux rappels au plus si tu crées ton compte sans lancer ta campagne, un rappel 3 jours avant la fin de ta campagne puis ton bilan, un seul e-mail quand la filière demandée ouvre. Chaque rappel contient un lien pour ne plus en recevoir : tu peux t'y opposer à tout moment, sans justification. | Intérêt légitime (suivi de ton inscription et de ta campagne) ; ta demande pour « Préviens-moi ». |
| Mesure d'audience (quand l'outil est activé) : identifiant du cookie Google Analytics, pages vues et étapes du parcours (inscription, CV déposé, première candidature vue, début de paiement, achat et son montant). | Compter les visites et comprendre où le parcours bloque, pour améliorer le site. | Intérêt légitime (mesurer et améliorer le site). Aucun bandeau n'est affiché : tu peux t'y opposer à tout moment (§ 10). |
| Mesure de nos publicités (quand les outils sont activés) : identifiants des cookies Meta et TikTok, identifiant de clic publicitaire, étapes du parcours et montant de l'achat, et, envoyés depuis nos serveurs à Meta et TikTok : ton adresse e-mail et un identifiant technique hachés (SHA-256, jamais en clair), ton adresse IP et ton navigateur. | Savoir quelle publicité t'a amené, compter les inscriptions et les achats qu'elle génère, sans doublon entre ton navigateur et nos serveurs. Pas de revente, pas de profil publicitaire construit par JobCheater. | Intérêt légitime (mesurer l'efficacité de nos publicités). Aucun bandeau n'est affiché : tu peux t'y opposer à tout moment (§ 10). |
| Messages envoyés par la page contact : adresse e-mail indiquée, sujet, message ; si tu es connecté, identifiant de ton compte et offre (jamais de mot de passe ni de contenu de ta boîte). | Te répondre et suivre ta demande. | Intérêt légitime (répondre aux questions reçues) ; exécution du contrat pour une question sur ton compte. |
| Usage du service (mesure interne, jamais transmise à un tiers ni utilisée pour de la publicité) : provenance de ta visite (paramètres de campagne, site d'origine, page d'arrivée), type d'appareil, système et navigateur, écrans de l'onboarding vus, temps passé sur chacun et réponses données, durée de lecture de ton CV, étapes franchies (inscription, confirmation de l'adresse, paiement, connexion de ta boîte et, en cas d'échec, sa cause), réglages de campagne, usage de « Améliorer mon CV », erreurs rencontrées, temps de chargement, coût des traitements automatiques faits pour toi. Ni contenu d'e-mail, ni mot de passe, ni code, ni adresse IP dans ce journal. | Comprendre où le parcours bloque, corriger les erreurs, améliorer la lecture des CV, les campagnes et l'accompagnement ; suivre ton dossier pour t'aider (support, garantie). Ces données sont consultées par l'équipe JobCheater seulement, dans un outil interne à accès restreint et journalisé. | Intérêt légitime (amélioration et sécurité du service) ; exécution du contrat pour le suivi de ta campagne et de ta garantie. Tu peux t'y opposer (§ 8) ; si ton navigateur envoie le signal « Global Privacy Control » ou « Do Not Track », la mesure depuis le navigateur n'est pas faite. |
| Journaux techniques : adresse IP, date, requête, erreurs (sans contenu de CV ni secret). | Sécurité (limitation des tentatives de connexion, abus), diagnostic. | Intérêt légitime. |
3. Accès à ta boîte mail et envois
Les candidatures partent de ta boîte mail, sous ton nom, selon le mode que tu choisis : pilote automatique (nous les envoyons chaque matin de semaine), brouillons (nous les déposons chaque matin dans le dossier Brouillons de ta boîte, CV joint, et c'est toi qui appuies sur Envoyer) ou manuel (tu choisis chaque jour les contacts). JobCheater n'apparaît pas chez le destinataire.
Quand tu connectes ta boîte, la case « J'accepte les conditions d'utilisation » renvoie à cette section. En la cochant, tu autorises JobCheater, pour la boîte que tu connectes (Gmail ou Outlook) :
- à envoyer tes candidatures et leurs relances en ton nom depuis cette boîte, ou à les déposer dans tes brouillons si tu choisis ce mode ;
- à lire uniquement les réponses à ces candidatures (et les avis de non-remise), dans les limites décrites ci-dessous pour chaque messagerie.
Rien d'autre : pas de spam, aucun message que tu n'as pas prévu dans ta campagne. Tu peux retirer cet accès à tout moment, chez Google ou Microsoft, ou depuis JobCheater (« Déconnecter ma boîte »), ce qui met ta campagne en pause et efface le code ou les jetons de nos serveurs.
Gmail : mot de passe d'application
- Tu crées toi-même, sur ton compte Google, un « mot de passe d'application » réservé à JobCheater (Google l'exige avec la validation en deux étapes). Ce code n'est pas ton mot de passe Google.
- Avec ce code, JobCheater se connecte à ta boîte par les protocoles standard SMTP (envoi) et IMAP (lecture), sur des connexions chiffrées. Avant d'enregistrer le code, nous vérifions qu'il permet bien l'envoi et la lecture.
- Envoi : uniquement tes candidatures et leurs relances. En mode brouillons, nous déposons ces messages dans ton dossier Brouillons au lieu de les envoyer.
- Lecture : limitée aux messages liés à tes candidatures. Nos recherches portent sur les identifiants de tes candidatures, l'adresse ou le domaine des entreprises contactées et les avis de non-remise ; nous ne lisons que les en-têtes des messages trouvés, et le contenu seulement d'un message rattaché à une candidature, pour le classer (réponse, entretien, absence, adresse invalide). Rien n'est marqué comme lu, déplacé ni supprimé. En mode brouillons, nous vérifions aussi dans tes dossiers Brouillons et Envoyés si nos brouillons sont partis.
- Le code est chiffré avant d'être enregistré (clé propre au service, dérivée pour chaque espace utilisateur). Il n'est jamais affiché, renvoyé par nos serveurs ni écrit dans nos journaux.
- Tu peux supprimer ce code à tout moment depuis ton compte Google (myaccount.google.com/apppasswords), ce qui coupe immédiatement notre accès, et depuis JobCheater (« Déconnecter ma boîte »), ce qui efface le code de nos serveurs. Un changement de ton mot de passe Google le révoque aussi.
Gmail : autorisation Google (quand ce mode de connexion est proposé)
Tu te connectes sur la page de Google, qui te montre les autorisations demandées : envoyer des e-mails en ton nom (« gmail.send ») et lire tes messages pour repérer les réponses (« gmail.readonly », ou « gmail.metadata » pour les en-têtes seuls, selon le réglage du service). Si tu décoches la lecture, les envois partent mais une réponse n'arrête plus les relances. Le mode brouillons n'est pas disponible avec ce mode de connexion. Les jetons OAuth sont chiffrés avant d'être enregistrés. Tu peux retirer l'accès depuis ton compte Google (myaccount.google.com/permissions) ou depuis JobCheater (« Déconnecter ma boîte »), qui efface nos jetons et les révoque chez Google.
Outlook : autorisation Microsoft
Tu te connectes sur la page de Microsoft, qui te montre les autorisations demandées : envoyer des e-mails en ton nom et lire tes messages pour repérer les réponses (« Mail.Send », « Mail.Read » ou « Mail.ReadBasic » selon le réglage du service, « User.Read » et « offline_access »). En mode brouillons seulement, Microsoft te demande en plus l'autorisation « Mail.ReadWrite », nécessaire pour créer des brouillons ; nous ne l'utilisons que pour déposer tes candidatures et vérifier si tu les as envoyées. Les jetons OAuth sont chiffrés avant d'être enregistrés. Tu peux retirer l'accès depuis ton compte Microsoft ou déconnecter ta boîte depuis JobCheater.
4. Lecture automatique du CV
Si la fonction est activée, le texte de ton CV est transmis à un modèle de langage (Claude, d'Anthropic) pour en extraire ton profil. Le résultat est seulement proposé : rien n'est enregistré sans ta validation, et chaque réalisation extraite est vérifiée automatiquement contre le texte du CV (ce qui n'y figure pas est écarté). Sans cette fonction, la lecture se fait par des règles locales. Selon ses conditions commerciales, Anthropic n'utilise pas les données transmises par API pour entraîner ses modèles et ne les conserve que pour une durée limitée.
5. Destinataires et sous-traitants
- Railway (hébergement de l'application et des données) : serveurs aux États-Unis (Virginie) ;
- Cloudflare (réseau, protection) ;
- Stripe (paiement) ;
- Anthropic (lecture du CV et aide à la rédaction, si activées) ;
- Google et Microsoft (connexion et envoi depuis ta messagerie, à ta demande) ;
- Resend (e-mails transactionnels : confirmations, notifications) ;
- quand ces outils sont activés : Google (Google Analytics, mesure d'audience), Meta Platforms (Facebook, Instagram) et TikTok (mesure de nos publicités), voir § 10. Pour l'Europe, ces outils sont fournis par Google Ireland Limited, Meta Platforms Ireland Limited et TikTok Technology Limited (Irlande).
Certains de ces prestataires sont situés hors de l'Union européenne (notamment aux États-Unis). Les transferts s'appuient sur le cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d'adéquation de la Commission européenne du 10 juillet 2023) pour les prestataires certifiés, dont Railway, Cloudflare, Stripe, Google, Microsoft et Meta, et à défaut sur les clauses contractuelles types adoptées par la Commission européenne. Aucune donnée n'est vendue ni louée.
6. Personnes contactées (recruteurs, dirigeants)
Si tu reçois une candidature envoyée avec JobCheater, c'est l'étudiant ou l'étudiante qui te l'adresse depuis sa propre boîte. Tes coordonnées professionnelles proviennent d'une source publique indiquée dans le service. Tu peux t'opposer à tout moment à ce traitement et demander la suppression de tes coordonnées : par le formulaire de contact (sujet « Données personnelles »). Nous te retirons alors du catalogue et des espaces où nous pouvons agir, sous 30 jours au plus.
7. Durées de conservation
| Données | Durée |
|---|---|
| Espace d'un visiteur qui ne crée pas de compte (réponses, CV téléversé) | Supprimé automatiquement après 30 jours sans activité (réglable : GUEST_RETENTION_DAYS). |
| Contacts jamais sollicités | Supprimés automatiquement après 180 jours sans utilisation (réglable : DATA_RETENTION_DAYS). Une purge tourne chaque jour. |
| Compte, profil, CV, candidatures | Tant que le compte existe ; supprimés dès que tu supprimes ton compte, et au plus tard 3 ans après ta dernière activité, après un e-mail de prévenance. |
| Jetons de messagerie | Jusqu'à la déconnexion de ta messagerie ou la suppression du compte. |
| Pièces comptables (paiements, remboursements) | 10 ans (obligation légale), rattachées à un identifiant technique ; le texte de tes demandes est effacé à la suppression du compte. |
| Identifiants publicitaires et de mesure gardés sur ton compte (cookies Meta, TikTok, Google, adresse IP, navigateur) | Tant que le compte existe ; effacés à la suppression du compte. |
| Journal des envois à Meta, TikTok et Google (plateforme, événement, statut, date) | Détaché de ton compte à sa suppression. |
| Messages envoyés par la page contact | 12 mois après réception (réglable : CONTACT_RETENTION_DAYS), puis supprimés automatiquement ; supprimés avec ton compte s'ils y sont rattachés. Une copie est aussi reçue dans la boîte e-mail du support. |
| Journal d'usage du service (§ 2) | 13 mois après chaque événement (réglable : USAGE_RETENTION_DAYS), puis supprimé ; visites jamais rattachées à un compte : 30 jours. À la suppression du compte, les événements sont anonymisés (identifiants et textes saisis effacés) et ne servent plus qu'à des statistiques globales. |
| Journal des accès à l'outil interne (qui a consulté quel dossier, quand) | 400 jours ; l'identifiant d'un compte supprimé en est retiré. |
| Journaux techniques | 12 mois au plus |
8. Tes droits
Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Directement depuis ton compte :
- Exporter toutes tes données (fichier JSON et CV) ;
- Supprimer ton compte : ton espace (profil, CV, entreprises, contacts, messages, jetons de messagerie) est effacé immédiatement, et ton journal d'usage (§ 2) est anonymisé au même moment ;
- modifier ton adresse e-mail ou ton mot de passe ;
- t'opposer aux rappels par e-mail : le lien en bas de chaque rappel suffit, sans te connecter.
- t'opposer à la mesure d'usage (§ 2) : active « Global Privacy Control » ou « Do Not Track » dans ton navigateur, ou écris-nous (formulaire de contact) pour que ton journal soit effacé. L'export de tes données contient ce journal.
Pour toute autre demande : le formulaire de contact. Tu peux aussi saisir la CNIL (cnil.fr).
9. Sécurité
Mots de passe hachés (scrypt), jetons de session et de réinitialisation stockés hachés, lien de réinitialisation valable une heure et une seule fois, limitation des tentatives de connexion, cookies de session sécurisés, un espace de données séparé par utilisateur, jetons de messagerie chiffrés, aucun secret dans les journaux.
10. Cookies et traceurs
Quand ils sont activés, les outils ci-dessous se chargent dès ton arrivée sur le site, sans bandeau ni demande d'accord préalable : ton navigateur contacte alors Google, Meta et TikTok, qui déposent leurs cookies. Aucun de ces outils n'est chargé sur l'écran de mot de passe du site en préversion.
| Traceur | Finalité | Durée |
|---|---|---|
sf_session (JobCheater) | Te garder connecté, relier tes réponses d'onboarding à ton espace (strictement nécessaire). | 30 jours |
jc_gate, sf_oauth_state (JobCheater) | Mot de passe du site en préversion ; protection de la connexion Google contre la falsification (strictement nécessaires). | 30 jours ; 10 minutes |
| jc_vid, jc_vseen (JobCheater, stockage de session du navigateur, pas un cookie) | Relier ton arrivée sur le site (provenance, appareil) et ton parcours d'onboarding à ton espace, pour la mesure interne du § 2. Rien n'est transmis à un tiers. | Effacé à la fermeture de l'onglet. |
| Stockage local du navigateur (JobCheater) | Reprendre ton onboarding où tu en étais ; éviter de compter deux fois le même événement de mesure. | Jusqu'à la fin de l'onboarding ; jusqu'à ce que tu vides les données du site pour le reste. |
Google Analytics 4 : _ga, _ga_… | Mesure d'audience : visites, étapes du parcours, achats. Aucun signal publicitaire Google n'est activé. | 13 mois au plus |
Meta Pixel : _fbp, _fbc | Publicité : savoir si tu viens d'une pub Facebook ou Instagram, mesurer les inscriptions et les achats qu'elle génère. | 90 jours |
TikTok Pixel : _ttp, jc_ttclid (identifiant de clic TikTok gardé par JobCheater) | Publicité : savoir si tu viens d'une pub TikTok, mesurer les inscriptions et les achats qu'elle génère. | 13 mois ; jc_ttclid : 30 jours |
Envois depuis nos serveurs. Nous signalons aussi directement à Meta (API Conversions) et à TikTok (Events API) ton inscription et ton achat, avec ton adresse e-mail et un identifiant technique hachés (SHA-256), ton adresse IP, ton navigateur et les identifiants de leurs cookies, pour que ces événements soient comptés même si un bloqueur empêche le pixel. Nous signalons ton inscription et ton achat à Google Analytics (sans adresse e-mail). Chaque événement n'est envoyé qu'une fois. Ces plateformes sont situées en partie hors de l'Union européenne (États-Unis). Ces transferts s'appuient sur le Data Privacy Framework UE–États-Unis (Google, Meta) et sur les clauses contractuelles types de la Commission européenne (TikTok).
Limiter ces traceurs. Tu peux bloquer ou effacer ces cookies depuis les réglages de ton navigateur ou avec un bloqueur de publicités ; le site continue de fonctionner. Tu peux aussi demander l'effacement des identifiants gardés sur ton compte (à l'adresse du § 1), ou supprimer ton compte, ce qui les efface. Les données déjà transmises restent chez la plateforme selon ses propres règles, que tu peux faire valoir auprès d'elle.