Politique de confidentialité

Qui est responsable de vos données

Cette politique est publiée par [[TODO: legal entity name]] (« Recaster », « nous »), [[TODO: registered address]], immatriculée sous le SIREN [[TODO: SIREN]]. Recaster est responsable de traitement pour les données de compte et de facturation décrites ci-dessous, et agit en tant que sous-traitant pour les CV candidats déposés par nos clients, comme expliqué à la section suivante.

Toute question sur cette politique, ou sur les données personnelles que nous détenons, peut être adressée à [[TODO: contact email]]. Notre contact en matière de protection des données est [[TODO: DPO or privacy contact]].

Deux catégories de données, deux rôles

Recaster traite deux catégories distinctes de données personnelles, et notre rôle diffère selon le cas.

Le client : si vous détenez un compte chez nous, typiquement un recruteur, un consultant en recrutement ou une équipe talent interne, nous sommes responsables de traitement pour vos données de compte : votre adresse e-mail, vos sessions de connexion, votre solde de crédits et votre historique de transactions, vos données de facturation, ainsi que l’adresse IP et l’agent utilisateur enregistrés à chaque demande de lien de connexion, conservés pour limiter les abus. Nous décidons pourquoi et comment ces données sont traitées, et cette politique les régit directement.

Le candidat : les CV que vous déposez appartiennent aux personnes qu’ils décrivent, vos candidats. Pour ces données, Recaster agit uniquement en tant que sous-traitant, sur vos instructions documentées, au sens de l’article 28 du RGPD. Vous, notre client, le recruteur ou le cabinet, êtes responsable de traitement pour les données candidat : vous décidez quel CV déposer et pourquoi, vous êtes responsable de disposer d’une base légale pour le traiter, et vous restez le premier interlocuteur pour les demandes d’exercice de droits de ces candidats.

CV candidats : traités en mémoire, jamais stockés

Un CV candidat que vous déposez est lu en mémoire, son texte est envoyé à notre prestataire de LLM pour en extraire des champs structurés (nom, expérience, formation, etc.), les données extraites servent à remplir le modèle que vous avez choisi, et le document obtenu vous est renvoyé. À aucun moment le CV d’origine, ni les données qui en sont extraites, ne sont écrits sur disque ou enregistrés dans une base de données.

Les traitements par lots (plusieurs CV traités ensemble) sont suivis dans un registre en mémoire, de courte durée, pour vous permettre de suivre l’avancement et de télécharger les résultats ; chaque entrée est supprimée dès son téléchargement, ou automatiquement après une courte durée de vie, selon ce qui survient en premier.

Les modèles que vous rédigez, ou que nous induisons à partir d’un CV exemple, sont différents : une fois appris, un modèle est par construction dépourvu de données personnelles (un modèle induit n’est conservé que s’il passe un contrôle d’aller-retour prouvant qu’aucune valeur candidat reconnue ne subsiste en clair) et il est stocké pour que vous puissiez le réutiliser. Ce contrôle porte sur le texte reconnu : une photo intégrée, le nom d’un référent ou une ligne d’adresse que nous n’avons pas modélisés peuvent subsister, relisez un modèle induit avant de vous y fier. Les modèles sont conservés jusqu’à leur suppression.

Sous-traitants que nous utilisons

Nous faisons appel à un nombre restreint de prestataires spécialisés pour faire fonctionner le service. Chacun ne reçoit que les données nécessaires à sa tâche.

Scaleway (France) : héberge l’application et stocke vos modèles appris dans son service de stockage objet. Scaleway ne reçoit pas le contenu des CV candidats au-delà de ce qui transite par l’application en fonctionnement.

Mistral AI (France) : réalise l’extraction par LLM du contenu des CV en données structurées. Elle reçoit le texte intégral de chaque CV candidat traité, de façon transitoire, le temps de la requête. Nous sommes en cours de confirmation des conditions de non-conservation et de non-utilisation à des fins d’entraînement avec Mistral AI ; tant que cela n’est pas contractuellement confirmé, nous ne pouvons pas affirmer que le texte des CV n’est jamais conservé ni utilisé pour l’entraînement de modèles par ce prestataire, et nous mettrons à jour cette politique dès que cette confirmation sera obtenue.

Mollie (Pays-Bas) : traite les paiements des packs de crédits. Mollie reçoit les informations de facturation nécessaires pour finaliser votre achat ; Recaster ne voit ni ne conserve vos coordonnées bancaires.

Cloudflare : héberge le site vitrine recaster.eu que vous consultez actuellement. Il ne reçoit aucun contenu de CV candidat, qui n’atteint jamais le site vitrine.

Durées de conservation

CV candidats et données qui en sont extraites : non conservés. Traités en mémoire et supprimés dès que votre document est renvoyé ou que le traitement se termine.

Résultats des traitements par lots : conservés dans un registre éphémère en mémoire, supprimés au téléchargement ou après une courte durée de vie, selon ce qui survient en premier.

Modèles appris : conservés jusqu’à ce que vous les supprimiez de votre compte, car ils constituent l’actif réutilisable au cœur du produit et ne contiennent aucune donnée personnelle.

Données de compte et de facturation : conservées tant que votre compte est actif, puis aussi longtemps que le droit comptable français nous impose de conserver les documents de facturation et les enregistrements de transactions.

Enregistrements de demande de lien de connexion (y compris l’adresse IP et l’agent utilisateur) : supprimés à l’expiration ou à l’utilisation du lien, puis purgés périodiquement.

Pourquoi nous sommes autorisés à traiter ces données

Données de compte (e-mail, sessions, crédits, facturation) : traitées pour l’exécution du contrat qui vous lie à Recaster, à savoir la fourniture du service auquel vous avez souscrit.

Données de prévention des abus (limites de fréquence sur l’apprentissage de modèles, contrôles antifraude sur les paiements) : traitées au titre de notre intérêt légitime à maintenir le service utilisable et sûr pour tous.

Factures et enregistrements de transactions : traités pour respecter nos obligations légales au titre du droit comptable et fiscal français.

CV candidats : traités sur la base légale que vous, notre client, avez établie en tant que responsable de traitement de ces données ; voir la section précédente sur vos responsabilités à ce titre.

Vos droits

En vertu des articles 15 à 22 du RGPD, vous pouvez nous demander de confirmer quelles données personnelles nous détenons sur vous, en obtenir une copie, les faire rectifier, les faire effacer, en limiter le traitement ou vous y opposer, et les recevoir dans un format portable. Pour exercer l’un de ces droits sur vos propres données de compte, écrivez à [[TODO: contact email]].

Si vous êtes un candidat dont le CV a été traité via Recaster pour le compte d’un recruteur, ce recruteur est responsable de traitement de vos données et le premier interlocuteur pour une demande d’exercice de droits, puisque nous ne conservons aucune copie de votre CV une fois le traitement terminé. Si vous ne parvenez pas à le joindre, vous pouvez tout de même nous écrire à [[TODO: contact email]] et nous vous assisterons dans la limite de ce que nos enregistrements permettent.

Vous disposez également du droit d’introduire une réclamation auprès d’une autorité de contrôle, en France la Commission Nationale de l’Informatique et des Libertés (CNIL).

Où vos données sont traitées

Le traitement des données candidat se fait intégralement dans l’Union européenne : hébergement chez Scaleway (France), extraction par LLM via Mistral AI (France), paiements via Mollie (Pays-Bas). Le contenu des CV candidats n’est transféré hors de l’UE à aucune étape. Une seule exception, hors de ce traitement : ce site vitrine est servi par Cloudflare, Inc. (États-Unis), qui ne voit que les données de connexion des visiteurs de recaster.eu et ne reçoit jamais de CV candidat, de données de compte ni de données de paiement.

Sécurité

Les données en transit sont chiffrées (HTTPS). L’accès aux systèmes de production et aux modèles stockés est restreint à ce qui est nécessaire au fonctionnement du service. Les CV candidats étant traités en mémoire et jamais écrits sur disque ni en base de données, la fenêtre d’exposition de ces données se limite au temps de traitement de votre requête.

Cookies

L’application dépose un unique cookie strictement nécessaire pour vous garder connecté : il contient un identifiant de session opaque, est HttpOnly et SameSite=Lax, et expire après une période d’inactivité. Ce site vitrine ne dépose aucun cookie analytique ni publicitaire.

Modifications de cette politique

Nous pouvons mettre à jour cette politique à mesure que le service évolue, par exemple une fois les conditions de sous-traitance avec notre prestataire de LLM finalisées. La date « Dernière mise à jour » en haut de page reflète la dernière révision ; les changements substantiels seront signalés sur cette page.