Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est Capucine DROIN EI (SwipeOra), SIRET 850 129 768 00022, 65 rue Auguste Poirson, Appartement B303, Bâtiment Défilé B, 33000 Bordeaux, France.

SwipeOra n'a pas désigné de délégué à la protection des données (DPO). L'appréciation est faite au regard de l'article 37 du RGPD : à la date des présentes, les activités de SwipeOra ne correspondent pas aux cas de désignation obligatoire (autorité publique ; suivi régulier et systématique à grande échelle ; traitement à grande échelle de données sensibles ou relatives à des condamnations pénales). Cette appréciation est réexaminée régulièrement, en particulier au moment de l'ouverture publique de l'application.

Pour toute question ou pour exercer vos droits relatifs à vos données personnelles, écrivez à contact@swipeora.fr : cette adresse est celle du responsable du traitement.

Personnes concernées : visiteurs du site, Candidats, représentants des Recruteurs et des Écoles, participants aux entretiens, personnes qui nous contactent ou effectuent un signalement.

2. Données collectées

Visite du site de présentation (consultation seule, sans compte) :

• Données techniques traitées par notre hébergeur OVH SAS et par le serveur : adresse IP du visiteur (nécessaire au routage HTTP), horodatage, URL demandée, code de réponse, type d'appareil et de navigateur ("User-Agent"). Ces éléments figurent dans les journaux techniques tenus par l'hébergeur et par le serveur, aux fins de sécurité et de diagnostic.
• Mesure d'audience Google Analytics 4 (GA4) via Google Tag Manager (GTM) : à la date des présentes, aucun identifiant GTM n'est configuré ; aucune mesure n'est donc effectuée et aucun bandeau de consentement n'est affiché. Lorsque la mesure sera activée, les données ci-après ne seront traitées qu'avec votre consentement préalable (voir § Mesure d'audience).

Utilisation de l'application SwipeOra (nécessite la création d'un compte) :

• Candidats : identité (nom, prénom, date de naissance), coordonnées (e-mail, téléphone, ville), photo facultative, parcours scolaire et école, CV, compétences, préférences de recherche (type de contrat, domaine, zone, disponibilités), swipes, matchs, messages, échanges avec Onyx, progression de gamification.
• Recruteurs et Écoles : identité et fonction de l'interlocuteur, coordonnées professionnelles, informations sur l'organisation (dénomination, SIREN, adresse), offres publiées, swipes, matchs, messages.
• Données de paiement et de facturation : montant, date, factures, identifiant de transaction. Les numéros de carte sont traités exclusivement par notre prestataire de paiement.
• Données techniques applicatives : adresse IP, journaux de connexion, type d'appareil et de navigateur, données de sécurité.
• Échanges avec nous : e-mails, signalements et demandes d'exercice de droits.

Les champs obligatoires sont signalés lors de la collecte ; sans eux, le compte ou le service demandé ne peut pas être fourni. Les autres champs sont facultatifs.

Nous ne demandons aucune donnée sensible (santé, origine, opinions, religion, orientation sexuelle). Merci de ne pas en indiquer dans votre profil, vos messages ou vos échanges avec Onyx. Les informations relatives à un handicap (RQTH) ne sont traitées que si vous choisissez de les mentionner, avec votre consentement explicite (art. 9.2.a RGPD) : elles ne sont jamais exigées, jamais visibles par défaut et vous pouvez les retirer à tout moment.

3. Mesure d'audience (Google Analytics 4 via Google Tag Manager)

Dès lors que la mesure d'audience sera activée sur le site, elle reposera sur Google Analytics 4 (GA4) déployé via Google Tag Manager (GTM), édités par Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande). Aucun autre outil publicitaire n'est utilisé : ni Google Ads, ni remarketing, ni publicité personnalisée.

Finalité : établir des statistiques agrégées de fréquentation (pages vues, parcours, provenance, événements usuels) pour améliorer le site.

Base légale : article 82 de la loi Informatique et Libertés et article 6.1.a du RGPD — votre consentement, recueilli par un bandeau avant tout dépôt de cookie ou envoi d'information à Google. Le refus est aussi simple que l'acceptation ; votre choix peut être modifié à tout moment via le lien « Gérer mes cookies » en pied de page.

Mise en œuvre technique : Google Consent Mode v2 en mode Basic. Tant que vous n'avez pas consenti à la mesure d'audience, aucun script Google n'est chargé et aucune requête n'est envoyée à Google ; seuls un tableau JavaScript interne (`dataLayer`) et les consentements par défaut (refusés) sont préparés localement.

Données traitées lorsque vous consentez : identifiants client/session générés par GA4 (stockés dans les cookies `_ga` et `_ga_<CONTAINER>`), URL de la page, référent, type d'appareil et de navigateur, adresse IP (utilisée transitoirement par Google pour dériver une localisation approximative et pour la sécurité du service ; GA4 n'enregistre ni ne stocke l'adresse IP dans ses rapports), horodatages, événements standards (clics, scrolls, etc.).

Durée de conservation : les données au niveau utilisateur et évènement sont, dans GA4, conservées pour une durée paramétrable (par défaut : 2 mois, pouvant être étendue à 14 mois). Cette durée sera publiée ici et dans la Politique cookies lors de l'activation effective, avec la valeur exacte retenue.

Transferts internationaux : Google Ireland est le responsable pour l'UE, mais des transferts vers les États-Unis peuvent intervenir au sein du groupe Google. Ces transferts sont encadrés par la décision d'adéquation EU-US Data Privacy Framework à laquelle Google a adhéré, et par les clauses contractuelles types de la Commission européenne.

Vos droits : vous pouvez refuser la mesure d'audience à tout moment (bandeau initial, lien « Gérer mes cookies », ou directement depuis les réglages de votre navigateur). Le refus n'a aucune conséquence sur votre accès au site.

4. Finalités et bases légales

• Créer et gérer votre compte, proposer le swipe, le matching, la messagerie et les candidatures : exécution du contrat (CGU) — art. 6.1.b.
• Assistant Onyx et analyses par l'IA : exécution du contrat — art. 6.1.b.
• Vente des services payants, facturation et comptabilité : exécution du contrat et obligation légale — art. 6.1.b et 6.1.c.
• Sécurité, prévention de la fraude, modération et traitement des signalements : intérêt légitime à protéger la Plateforme et ses Utilisateurs, et obligations issues du DSA — art. 6.1.f et 6.1.c.
• Conservation des journaux de connexion : obligation légale (art. L. 34-1 du Code des postes et des communications électroniques).
• Statistiques internes et amélioration du service (données agrégées) : intérêt légitime — art. 6.1.f.
• Envoi d'actualités SwipeOra par e-mail : votre consentement (Candidats) ou notre intérêt légitime pour des services analogues (professionnels), avec opposition possible à tout moment par le lien de désinscription — art. 6.1.a / 6.1.f.

Le matching propose des mises en relation mais ne prend aucune décision produisant des effets juridiques à votre égard de manière entièrement automatisée (art. 22 RGPD) : le choix de contacter ou de recruter appartient toujours à une personne.

5. Destinataires de vos données

Vos données ne sont jamais vendues. Elles sont accessibles :

• aux autres Utilisateurs, dans la mesure nécessaire au service : un Recruteur ou une École voit d'abord votre profil partiellement masqué, puis vos coordonnées complètes uniquement après un Match et un Déblocage ;
• à nos sous-traitants, liés par un contrat conforme à l'article 28 du RGPD : OVH SAS (hébergement, données stockées en France) ; Stripe Payments Europe, Ltd. (Dublin, Irlande) (paiement) ; Google Ireland Ltd. (Google Calendar et Google Meet, pour la planification et la tenue des entretiens) ; Google Ireland Ltd., si et uniquement si la mesure d'audience Google Analytics 4 est activée et si vous y avez consenti (voir § Mesure d'audience) ; OVH SAS (envoi d'e-mails par le service Zimbra d'OVHcloud, en France) ; Anthropic PBC (San Francisco, États-Unis), uniquement lorsque l'assistant Onyx fait appel à son modèle d'intelligence artificielle Claude ;
• aux autorités administratives ou judiciaires, sur réquisition légale.

Le Recruteur ou l'École qui débloque vos coordonnées devient responsable de son propre traitement et ne peut les utiliser que pour le recrutement ou l'admission concerné.

6. Transferts hors de l'Union européenne

Nous privilégions des prestataires hébergeant les données dans l'Union européenne. Certains prestataires (Stripe, Google) appartiennent à des groupes américains et peuvent transférer des données aux États-Unis : ces transferts sont encadrés par la décision d'adéquation « EU-US Data Privacy Framework », à laquelle ces sociétés ont adhéré, et par les clauses contractuelles types de la Commission européenne.

7. Durées de conservation

• Compte actif : pendant toute la durée d'utilisation.
• Compte inactif : suppression ou anonymisation après 2 ans sans connexion, après un e-mail de rappel (référentiel CNIL recrutement).
• Fermeture du compte : la suppression du compte depuis les paramètres ou sur simple demande entraîne sa clôture — le compte ne peut plus être utilisé. La fermeture du compte n'emporte pas, à elle seule, effacement automatique des données associées.
• Effacement des données (droit à l'effacement, art. 17 RGPD) : il doit être demandé expressément à contact@swipeora.fr, en précisant la demande. Cette demande, distincte de la simple fermeture du compte, est traitée dans un délai d'un mois conformément à l'article 12 du RGPD, prolongeable de deux mois en cas de complexité ou de nombre de demandes, le demandeur en étant informé. À la date des présentes, l'effacement automatisé des données candidat (profil, CV, préférences, messages) n'est pas encore outillé dans l'application : son déploiement est un préalable à l'ouverture publique de l'application et conditionne les délais de traitement opérationnels.
• Factures et pièces comptables : 10 ans (art. L. 123-22 du Code de commerce). Cette conservation relève d'une obligation légale et ne peut faire l'objet d'un effacement anticipé.
• Journaux de connexion : 1 an.
• Signalements et décisions de modération : 1 an après la clôture, ou plus en cas de contentieux.
• Demandes d'exercice de droits : 3 ans (preuve).
• Sauvegardes : 3 copies locales et 14 copies hors site (environ 14 jours), écrasées selon un cycle quotidien. Une donnée supprimée peut subsister dans ces sauvegardes jusqu'à leur expiration.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition, de retrait de votre consentement à tout moment, et du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à contact@swipeora.fr ou utilisez les paramètres de votre compte. Nous répondons dans un délai d'un mois. Une pièce d'identité ne peut être demandée qu'en cas de doute raisonnable sur votre identité.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), mots de passe chiffrés, accès restreints, journalisation, sauvegardes régulières. En cas de violation de données présentant un risque pour vous, la CNIL et, si nécessaire, les personnes concernées sont informées dans les délais légaux.

10. Utilisateurs mineurs

Le site de présentation SwipeOra est librement accessible au public, y compris aux mineurs. Sa consultation donne lieu uniquement aux traitements techniques indispensables au fonctionnement d'un site internet (routage HTTP par l'hébergeur, journaux techniques de sécurité, voir § Données collectées) ; aucun compte n'est créé et, à la date des présentes, aucune mesure d'audience n'est active.

L'application SwipeOra, elle, suppose la création d'un compte. L'inscription et les achats de services payants sont, à la date des présentes, réservés aux personnes majeures (18 ans révolus). Un contrôle technique d'âge à l'inscription (déclaration de date de naissance vérifiée côté serveur) est en cours de préparation et doit précéder l'ouverture publique de l'application. Jusqu'à ce que ce contrôle soit en place, la restriction demeure contractuelle : si des données d'un Candidat mineur étaient néanmoins déclarées, elles seraient traitées conformément à la présente politique et effacées sur simple demande.

Cette politique sera mise à jour si une ouverture aux mineurs est ultérieurement envisagée, dans le respect de l'article 45 de la loi Informatique et Libertés (consentement possible à partir de 15 ans pour les services en ligne) et avec des mesures de protection adaptées.

11. Cookies

L'usage des cookies et autres traceurs est détaillé dans notre Politique cookies (lien « Cookies » en pied de page). En résumé : le site vitrine n'en dépose aucun et l'application n'utilise que des cookies strictement nécessaires.

12. Modification de cette politique

Cette politique peut évoluer. La date de mise à jour figure en haut de la page ; en cas de changement important, vous en serez informé par e-mail ou dans l'application.