Ce que nous faisons de vos données
Une page écrite depuis le code, pas depuis une promesse. Chaque affirmation ci-dessous correspond à un mécanisme qui existe — et nous disons aussi ce qui n'existe pas.
Messages chiffrés au repos
Le contenu des conversations est chiffré en base, par enveloppe : une clé distincte par conversation, scellée par une clé maître. Une copie de la base, une sauvegarde ou un accès direct au stockage ne rendent que du chiffré.
Une IA européenne
Le matching et le coach tournent sur Mistral, modèle français — c'est le choix par défaut du projet. Les vecteurs de compétences sont calculés chez lui dans tous les cas.
Le référentiel européen ESCO
Les compétences sont rattachées à ESCO, la taxonomie publique de la Commission européenne — environ 13 500 entrées. Pas un nuage de mots-clés maison.
Une rétention bornée
Les événements d'usage sont purgés automatiquement au-delà de 13 mois, tous les jours. C'est le plafond recommandé par la CNIL pour les traceurs, appliqué par le code et non par une promesse.
Messages chiffrés au repos
Le contenu des conversations est chiffré en base, par enveloppe : une clé distincte par conversation, scellée par une clé maître. Une copie de la base, une sauvegarde ou un accès direct au stockage ne rendent que du chiffré.
Une IA européenne
Le matching et le coach tournent sur Mistral, modèle français — c'est le choix par défaut du projet. Les vecteurs de compétences sont calculés chez lui dans tous les cas.
Le référentiel européen ESCO
Les compétences sont rattachées à ESCO, la taxonomie publique de la Commission européenne — environ 13 500 entrées. Pas un nuage de mots-clés maison.
Une rétention bornée
Les événements d'usage sont purgés automatiquement au-delà de 13 mois, tous les jours. C'est le plafond recommandé par la CNIL pour les traceurs, appliqué par le code et non par une promesse.
Vos conversations
Chaque conversation porte sa propre clé, et chaque contenu chiffré est lié à sa place — sa conversation, son message, sa colonne. Déplacer une ligne d'une conversation vers une autre ne la rend pas lisible : la vérification échoue.
Ce que ça protège
Une copie de la base, une sauvegarde, un accès administrateur direct au stockage, un bucket recopié. C'est le scénario le plus courant d'une fuite, et celui-là est couvert.
Ce que ça ne protège pas
Ce n'est pas du chiffrement de bout en bout. Le serveur détient la clé maître — c'est ce qui permet la traduction à la lecture, les aperçus de notification et la modération. Une compromission du serveur donnerait le clair.
Ce que la modération voit
Rien, tant que personne ne signale. Un signalement ouvre une fenêtre d'au plus onze messages autour de celui qui est visé — celui-là, et jusqu'à cinq de part et d'autre, tels que les voyait la personne qui signale. Il n'existe aucun écran qui parcourt une conversation.
Ce que vous gardez la main de faire
Supprimer votre compte, définitivement
Depuis vos réglages. C'est une suppression, pas une désactivation : votre profil, vos publications, vos annonces et vos candidatures sont effacés. Les messages déjà envoyés restent dans les conversations de vos interlocuteurs, et quelques traces techniques ne sont pas encore effacées automatiquement : écrivez-nous pour une suppression complète.
Refuser la mesure d'audience
La mesure d'audience — nos propres statistiques, Microsoft Clarity, Google Analytics et, sur ce site, PostHog — et la mesure publicitaire (Google, Meta) ne démarrent qu'avec votre accord, révocable à tout moment. Le retrait efface notre identifiant anonyme et les cookies Clarity de notre domaine, et arrête toute transmission aux régies.
Le consentement du tuteur, pour les mineurs
Un profil mineur déclare son tuteur et lui transmet un lien de confirmation : le tuteur n'a pas de compte à créer. Sans ce consentement, candidater reste fermé. Par ailleurs, l'enregistrement de parcours (Microsoft Clarity) n'est jamais activé pour un compte mineur, et rien n'est transmis aux régies publicitaires.
Naviguer sans laisser de trace
Le mode fantôme est réciproque, et c'est volontaire : vous cessez de signaler vos visites, et vous renoncez à voir les vôtres. Pas de miroir sans tain.
Supprimer votre compte, définitivement
Depuis vos réglages. C'est une suppression, pas une désactivation : votre profil, vos publications, vos annonces et vos candidatures sont effacés. Les messages déjà envoyés restent dans les conversations de vos interlocuteurs, et quelques traces techniques ne sont pas encore effacées automatiquement : écrivez-nous pour une suppression complète.
Refuser la mesure d'audience
La mesure d'audience — nos propres statistiques, Microsoft Clarity, Google Analytics et, sur ce site, PostHog — et la mesure publicitaire (Google, Meta) ne démarrent qu'avec votre accord, révocable à tout moment. Le retrait efface notre identifiant anonyme et les cookies Clarity de notre domaine, et arrête toute transmission aux régies.
Le consentement du tuteur, pour les mineurs
Un profil mineur déclare son tuteur et lui transmet un lien de confirmation : le tuteur n'a pas de compte à créer. Sans ce consentement, candidater reste fermé. Par ailleurs, l'enregistrement de parcours (Microsoft Clarity) n'est jamais activé pour un compte mineur, et rien n'est transmis aux régies publicitaires.
Naviguer sans laisser de trace
Le mode fantôme est réciproque, et c'est volontaire : vous cessez de signaler vos visites, et vous renoncez à voir les vôtres. Pas de miroir sans tain.
Ce que ce n'est pas
Trois limites que nous préférons écrire nous-mêmes. Elles sont vérifiables dans le code, donc les taire ne nous protégerait de rien.
Le chiffrement n'est pas de bout en bout
Le serveur peut lire vos messages. Nous l'écrivons ici plutôt que de laisser le mot « chiffré » suggérer l'inverse : ce chiffrement protège le stockage, pas l'exploitant.
La protection des mineurs ne couvre que les dates déclarées
La date de naissance est demandée à l'inscription, et réclamée aux comptes plus anciens avant de continuer. Mais elle est déclarative : personne ne la vérifie. Une date fausse désactive le consentement du tuteur et l'exclusion de Clarity et de la mesure publicitaire. C'est une limite connue, pas une garantie.
Il n'y a pas encore d'export automatisé
La suppression existe, l'export de vos données en un clic non. En attendant, écrivez-nous : votre demande d'accès sera traitée.
Le chiffrement n'est pas de bout en bout
Le serveur peut lire vos messages. Nous l'écrivons ici plutôt que de laisser le mot « chiffré » suggérer l'inverse : ce chiffrement protège le stockage, pas l'exploitant.
La protection des mineurs ne couvre que les dates déclarées
La date de naissance est demandée à l'inscription, et réclamée aux comptes plus anciens avant de continuer. Mais elle est déclarative : personne ne la vérifie. Une date fausse désactive le consentement du tuteur et l'exclusion de Clarity et de la mesure publicitaire. C'est une limite connue, pas une garantie.
Il n'y a pas encore d'export automatisé
La suppression existe, l'export de vos données en un clic non. En attendant, écrivez-nous : votre demande d'accès sera traitée.
Une question précise sur vos données ?
École, entreprise ou personne : on répond sur le mécanisme, pas par un renvoi à vingt pages de conditions.