Politique de confidentialité de BreakATS

Dernière mise à jour : 28 octobre 2026

Un CV contient beaucoup d'informations sur vous : votre parcours, vos coordonnées, parfois votre photo. Cette politique explique, en langage clair, quelles données nous collectons, pourquoi, combien de temps nous les gardons et comment vous gardez la main dessus.

L'essentiel en 6 points

1. Vos données sont hébergées dans l'Union européenne (Contabo, datacenter de Lauterbourg, France). Certains prestataires sont établis aux États-Unis et l'éditeur accède aux données depuis le Maroc : voir section 7.
2. Vos CV ne servent jamais à entraîner un modèle d'intelligence artificielle, ni chez nous ni chez notre fournisseur d'IA. À VÉRIFIER — engagement contractuel de Groq de non-utilisation des données pour l'entraînement et durée de conservation côté Groq
3. Le fichier CV que vous importez est supprimé automatiquement après 30 jours. Nous gardons seulement ce qui est nécessaire pour vous rendre le service (votre profil, le thème visuel extrait et, pour un fichier Word, un gabarit vidé de son contenu personnel).
4. Vous pouvez exporter vos données et supprimer votre compte vous-même, en un clic, depuis les Paramètres.
5. Nous ne produisons aujourd'hui aucune statistique à partir de vos données. Si nous le faisons un jour, ce sera uniquement avec votre accord (case non cochée par défaut), retirable à tout moment.
6. Nous ne vendons pas vos données et nous n'affichons pas de publicité.

---

1. Qui est responsable de vos données ?

Le responsable du traitement est :

• Éditeur : Oussama BOUNASSEH, personne physique (sans société ni statut d'auto-entrepreneur), domicilié à Salé, Maroc
• Contact données personnelles : À COMPLÉTER — e-mail de contact

Délégué à la protection des données (DPO) : aucun DPO n'est désigné, cette désignation n'étant pas obligatoire pour notre activité. Pour toute question sur vos données, écrivez à À COMPLÉTER — e-mail de contact.

Représentant dans l'UE (article 27 RGPD) : l'éditeur étant établi hors de l'Union européenne et proposant ses services à des personnes situées dans l'UE, il doit en principe désigner un représentant établi dans l'UE. À DÉCIDER — représentant UE art. 27 RGPD

Textes applicables : le Règlement général sur la protection des données (RGPD, règlement UE 2016/679), applicable en vertu de son article 3.2, et la loi marocaine n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, sous le contrôle de la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel).

2. Quelles données collectons-nous ?

Données sensibles. Un CV n'a pas à contenir de données dites « sensibles » (santé ou handicap, opinions politiques ou religieuses, appartenance syndicale, origine ethnique, orientation sexuelle…). Nous ne les demandons pas et ne les utilisons pour aucune finalité propre. Si vous choisissez de les faire figurer dans votre CV (par exemple une mention de reconnaissance de handicap), elles seront traitées uniquement pour produire le CV que vous nous demandez, sur la base de votre consentement explicite recueilli au moment de l'import. Nous vous conseillons de ne pas les inclure si elles ne sont pas utiles à votre candidature. À VÉRIFIER : base juridique article 9 RGPD — le texte de la case de consentement à l'import doit viser explicitement les éventuelles données sensibles ; pour la loi 09-08, vérifier le régime des données sensibles (art. 21).

Données de tiers. Votre CV peut mentionner des personnes (références, managers) et une offre d'emploi peut contenir le nom d'un recruteur. Vous vous engagez à n'y faire figurer que des informations que vous êtes en droit de partager. Nous ne les exploitons pas à d'autres fins.

Âge minimum. Le service est réservé aux personnes âgées d'au moins À DÉCIDER — âge minimum : 16 ans proposé.

3. Pourquoi utilisons-nous vos données et sur quelle base légale ?

Pas de décision automatisée vous concernant. Le score de correspondance est un indicateur destiné à vous aider ; il ne produit aucun effet juridique à votre égard et ne vous affecte pas de manière significative au sens de l'article 22 du RGPD. Ce sont les recruteurs, et non BreakATS, qui décident de la suite donnée à vos candidatures.

4. Comment l'intelligence artificielle traite vos données

• Pour analyser votre CV et les offres, puis rédiger les CV adaptés, nous envoyons les contenus nécessaires (contenu de votre CV et de votre profil, texte ou capture de l'offre, consignes de rédaction) à notre fournisseur de modèles de langage : Groq, Inc. (États-Unis), qui exécute des modèles « open-weight » sur sa propre infrastructure, y compris un modèle capable de lire les captures d'écran d'offres. Nous n'utilisons aucun autre fournisseur d'IA en production ; nous vous informerons avant d'en activer un autre.
• Groq agit comme sous-traitant : il traite les données uniquement pour nous renvoyer une réponse. À VÉRIFIER — contrat de traitement des données (DPA) conclu avec Groq
• Aucun entraînement : vos données ne doivent pas être utilisées pour entraîner ou améliorer des modèles. À VÉRIFIER — engagement contractuel de Groq de non-utilisation des données pour l'entraînement et durée de conservation côté Groq
• Rétention minimale : lorsque le fournisseur le propose, nous activons une rétention nulle ou minimale. À défaut, le fournisseur peut conserver les requêtes pendant une durée limitée, uniquement pour la sécurité et la détection d'abus : À COMPLÉTER — durée de conservation des requêtes chez Groq, selon le contrat.
• Minimisation : nous n'envoyons que les éléments nécessaires à chaque étape (par exemple, pour la génération, seulement les expériences retenues pour l'offre). Votre CV n'apparaît pas dans nos journaux applicatifs, et nos traces techniques utilisent des identifiants pseudonymes.
• Fiabilité : chaque phrase d'un CV généré est reliée à un élément de votre profil et contrôlée automatiquement. Les contenus restent toutefois produits par une IA : relisez-les avant de les envoyer (voir nos CGU).

5. Statistiques anonymisées : votre accord, votre choix

Pour améliorer le service et publier des informations utiles sur le marché de l'emploi (par exemple « les 10 compétences les plus demandées pour un développeur backend à Casablanca »), nous pourrions produire à l'avenir des statistiques agrégées et anonymisées. Ce traitement n'est pas mis en œuvre aujourd'hui. S'il l'est, il respectera les règles suivantes :

• Uniquement avec votre accord explicite, donné par une case non cochée par défaut dans À COMPLÉTER — emplacement de la case de consentement : onboarding ou Paramètres. Refuser n'aura aucune conséquence sur votre accès au service.
• Jamais de CV individuel réutilisé : aucun CV, profil ou phrase vous appartenant ne sera réutilisé, publié ou partagé. Seuls des comptages et des tendances portant sur un nombre suffisant de personnes seront produits. À COMPLÉTER — seuil minimal d'agrégation, par exemple aucune statistique publiée sur un groupe de moins de 20 personnes
• Retrait à tout moment dans les Paramètres. Le retrait vaudra pour l'avenir : vos données ne seront plus intégrées dans les calculs suivants. Les statistiques déjà produites, étant anonymes, ne permettent plus de vous identifier et ne peuvent donc pas être « retirées ».
• Les données réellement anonymisées ne sont plus des données personnelles ; l'opération d'anonymisation, elle, est un traitement couvert par votre consentement.

6. Qui a accès à vos données ?

• L'éditeur, seul, uniquement lorsque c'est nécessaire (support à votre demande, sécurité, incident).

• Nos sous-traitants techniques, qui agissent sur nos instructions et sous contrat :

  • hébergement du service (application, base de données PostgreSQL, file de traitements Redis) : Contabo GmbH (Munich, Allemagne), serveur situé dans le datacenter de son sous-traitant ultérieur Contabo France SAS à Lauterbourg (France) ;
  • stockage des fichiers (CV importés, gabarits, exports) : À COMPLÉTER — stockage des fichiers : MinIO sur le VPS Contabo ou OVHcloud Object Storage (Gravelines, France) ;
  • stockage des sauvegardes chiffrées : À COMPLÉTER — fournisseur du stockage des sauvegardes (OVHcloud ou Backblaze B2, région UE) ;
  • intelligence artificielle : Groq, Inc. (États-Unis) ;
  • envoi des e-mails transactionnels (lien de connexion, notifications) : Brevo (Sendinblue SAS, France) ;
  • réception des e-mails adressés à À COMPLÉTER — e-mail de contact : redirection par Spaceship, Inc. (États-Unis, gestionnaire de notre nom de domaine) vers une boîte Gmail (Google) ;
  • suivi des erreurs (Sentry), suivi technique des appels à l'IA (Langfuse) et mesure d'audience (PostHog, région UE), lorsqu'ils sont activés À VÉRIFIER — activation en production de Sentry, Langfuse et PostHog.

  La liste à jour, avec leur localisation, figure sur notre page Sous-traitants.

• Polar, notre revendeur (Merchant of Record) : Polar Software Inc. (États-Unis) À COMPLÉTER — adresse légale de Polar Software Inc. vend l'abonnement ou le Pass en son nom, encaisse le paiement (traité par Stripe pour le compte de Polar), collecte la TVA et les taxes, émet votre facture et gère remboursements et contestations. Pour ces opérations, Polar agit en tant que responsable de traitement distinct et applique sa propre politique de confidentialité : À COMPLÉTER — lien vers la politique de confidentialité de Polar. Nous recevons de sa part uniquement les informations nécessaires pour activer votre plan : identifiant client, e-mail, statut de la commande ou de l'abonnement, montant, pays.

• Google, si vous choisissez de vous connecter avec Google, pour vous authentifier (responsable de traitement distinct).

• Les autorités, uniquement si la loi nous y oblige.

Nous ne vendons ni ne louons vos données. Nous ne partageons jamais votre CV avec des recruteurs ou des employeurs : c'est vous qui l'envoyez.

7. Où sont stockées vos données ? Transferts hors UE

Hébergement dans l'UE. Nos bases de données sont hébergées dans l'Union européenne, sur un serveur Contabo situé à Lauterbourg (France). Les fichiers sont conservés dans un stockage situé lui aussi dans l'UE, chiffré au repos (AES-256) et accessible uniquement par des liens sécurisés à durée de vie courte. Les échanges sont chiffrés en transit (TLS) et les sauvegardes de la base sont chiffrées avant d'être envoyées vers un stockage distinct situé dans l'UE.

Accès depuis le Maroc. L'éditeur, responsable du traitement, est établi au Maroc et administre le service depuis le Maroc. Le Maroc ne fait pas l'objet d'une décision d'adéquation de la Commission européenne. Vos données restent néanmoins protégées par le RGPD, qui s'applique directement à ce traitement (article 3.2), ainsi que par la loi n° 09-08. À VÉRIFIER : qualification de cet accès au regard du chapitre V RGPD (lignes directrices 05/2021 du CEPD) et garanties à documenter

Prestataires établis aux États-Unis. Certains prestataires sont des sociétés établies aux États-Unis : Groq (IA), Spaceship (redirection des e-mails), Google (boîte de réception des e-mails, connexion Google), Polar (paiements, en tant que responsable distinct) et, selon leur configuration, Sentry et Langfuse. Lorsque des données leur sont transférées ou sont accessibles depuis les États-Unis, ces transferts reposent sur les clauses contractuelles types de la Commission européenne et/ou sur l'adhésion du destinataire au Data Privacy Framework UE–États-Unis lorsqu'elle existe, complétées si nécessaire par des mesures supplémentaires (chiffrement, pseudonymisation, minimisation) :

• À VÉRIFIER — mécanisme de transfert retenu par Groq (CCT/DPF)
• À VÉRIFIER — mécanisme de transfert retenu par Spaceship (CCT/DPF)
• À VÉRIFIER — mécanisme de transfert retenu par Google pour Gmail (CCT/DPF)
• À VÉRIFIER — mécanisme de transfert retenu par Polar (CCT/DPF)
• À VÉRIFIER — région d'hébergement et mécanisme de transfert retenus par Sentry et Langfuse (CCT/DPF)

Lorsque c'est possible, nous choisissons la région européenne du prestataire (PostHog UE ; région UE prévue pour Sentry).

Loi marocaine n° 09-08. L'éditeur étant établi au Maroc, les traitements sont également soumis à la loi n° 09-08 et ont fait l'objet d'une déclaration auprès de la CNDP : À COMPLÉTER — numéro de récépissé de la déclaration CNDP. Les transferts de données depuis le Maroc vers l'hébergement situé dans l'UE et vers les prestataires établis aux États-Unis sont réalisés conformément aux articles 43 et 44 de la loi n° 09-08. À VÉRIFIER — autorisation de la CNDP requise pour les transferts vers l'UE et les États-Unis (art. 43 et 44 loi 09-08)

8. Combien de temps gardons-nous vos données ?

9. Cookies et mesure d'audience

• Cookies strictement nécessaires (session, sécurité, mémorisation de votre choix sur les cookies, langue) : déposés sans consentement car indispensables au service.
• Mesure d'audience — PostHog, hébergement UE : uniquement si vous l'acceptez dans le bandeau cookies. Elle nous aide à comprendre quelles fonctionnalités sont utilisées. L'enregistrement des sessions et la capture automatique des clics sont désactivés, les textes affichés sont masqués, les paramètres des adresses de pages sont retirés et votre adresse IP n'est pas conservée. Si vous retirez votre accord, les cookies de mesure d'audience sont supprimés.
• Paiement : la page de paiement de Polar peut déposer ses propres cookies, nécessaires au paiement et à la lutte contre la fraude.
• Aucun cookie publicitaire et aucun traceur de réseau social.
• Vous pouvez modifier votre choix à tout moment via le lien « Gérer les cookies » en bas de chaque page. Refuser est aussi simple qu'accepter.

10. Vos droits

Vous disposez des droits suivants sur vos données (RGPD et loi n° 09-08) :

• Accès et portabilité : depuis les Paramètres, téléchargez en un clic l'ensemble de votre compte, de votre profil, de vos thèmes, de vos offres, de vos CV générés et de votre suivi de candidatures dans un format structuré et lisible par machine (JSON). Les CV au format PDF ou DOCX s'exportent un par un depuis l'éditeur.
• Rectification : modifiez directement votre profil dans l'application.
• Effacement : depuis les Paramètres, supprimez en un clic votre compte et toutes vos données, fichiers inclus (un abonnement Pro en cours est alors résilié auprès de Polar). Vous pouvez aussi supprimer à tout moment une offre ou un CV généré. Les données effacées disparaissent de nos sauvegardes au plus tard à l'expiration de leur rotation, soit environ 6 mois ; d'ici là, elles ne sont ni consultées ni utilisées, sauf restauration après incident, auquel cas nous ré-appliquons votre suppression. Les traces techniques pseudonymisées (erreurs, appels à l'IA, mesure d'audience) sont supprimées à l'expiration de leur durée de conservation (section 8).
• Retrait du consentement (statistiques anonymisées, mesure d'audience, e-mails d'information) : à tout moment, sans effet sur la licéité des traitements antérieurs.
• Opposition aux traitements fondés sur notre intérêt légitime, pour des raisons tenant à votre situation particulière.
• Limitation du traitement dans les cas prévus par la loi.
• Directives post-mortem (utilisateurs résidant en France) : vous pouvez définir le sort de vos données après votre décès.

Pour toute demande qui ne peut pas être faite dans l'application : À COMPLÉTER — e-mail de contact. Nous répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes). Nous pourrons vous demander de justifier de votre identité en cas de doute raisonnable.

Réclamation. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir :

• la CNDP (Maroc, www.cndp.ma), autorité de contrôle du pays de l'éditeur ;
• si vous résidez dans l'Union européenne, l'autorité de protection des données de votre pays de résidence ou de travail (par exemple la CNIL en France, www.cnil.fr).

11. Sécurité

Chiffrement en transit et chiffrement au repos des fichiers ; accès aux fichiers par liens temporaires ; accès d'administration limité à l'éditeur ; aucun contenu de CV dans les journaux applicatifs ; pseudonymisation des traces techniques ; sauvegardes chiffrées conservées hors du serveur principal ; limitation de débit contre les abus ; revue de sécurité avant lancement. En cas de violation de données présentant un risque pour vous, nous notifierons l'autorité compétente dans les 72 heures et vous informerons si le risque est élevé.

12. Modifications

Nous pourrons faire évoluer cette politique (nouveau sous-traitant, nouvelle fonctionnalité). En cas de changement important, nous vous préviendrons par e-mail ou dans l'application avant son entrée en vigueur. La date de dernière mise à jour figure en haut de la page ; les versions précédentes sont disponibles sur demande.

13. Nous contacter

À COMPLÉTER — e-mail de contact