POLITIQUE DE
CONFIDENTIALITÉ
Conformément au Règlement Général sur la Protection des Données (RGPD) et à la Loi Organique sur la Protection des Données et Garantie des Droits Numériques (LOPDGDD)
Introduction
Chez Xeito, nous nous engageons à protéger votre vie privée et à garantir la sécurité de vos données personnelles. Cette Politique de Confidentialité explique comment nous collectons, utilisons, stockons et protégeons vos informations personnelles conformément au Règlement Général sur la Protection des Données (RGPD - UE 2016/679) et à la Loi Organique 3/2018 relative à la Protection des Données Personnelles et garantie des droits numériques (LOPDGDD).
En utilisant nos services, vous acceptez les pratiques décrites dans cette politique. Si vous n'acceptez pas nos pratiques de confidentialité, nous vous recommandons de ne pas utiliser nos services.
Cette politique s'applique à tous les utilisateurs de Xeito, quelle que soit leur localisation géographique.
Responsable du Traitement
Données que Nous Collectons
Informations Personnelles
Nom et prénom(s) complets
Adresse e-mail
Numéro de téléphone (optionnel)
Localisation géographique et préférences de lieu
CV et documents associés — nous en extrayons des données de contact et professionnelles (nom, e-mail, téléphone, localisation, poste et employeur actuels, liens LinkedIn/GitHub/portfolio, années d'expérience, compétences, parcours de formation et un bref résumé professionnel) et les enregistrons avec le fichier téléversé, afin d'analyser votre CV et de préremplir les candidatures que vous choisissez d'envoyer. Vous pouvez remplacer ou supprimer ce fichier à tout moment ; sa suppression efface à la fois le fichier et les données qui en ont été extraites. Lorsque vous utilisez l'extension de navigateur pour remplir un formulaire de candidature, celle-ci ne reçoit que des champs de votre profil Xeito — actuellement : nom, e-mail, poste actuel et années d'expérience. Vous choisissez quand l'utiliser, l'extension ne soumet pas le formulaire à votre place, et Xeito ne soumet jamais de candidature en votre nom sur un site tiers. Pour corriger ces données, voir vos droits ci-dessous (art. 16 RGPD).
Informations Professionnelles
Expérience professionnelle et parcours professionnel
Formation académique et certifications
Compétences techniques et aptitudes
Préférences professionnelles (type de travail, salaire, localisation)
Activité sur la plateforme : offres que vous enregistrez, suivez dans votre Job Tracker, signalez ou masquez de vos résultats
Informations Employeur / Entreprise
Dénomination sociale et nom commercial de l'entreprise
Numéro d'identification fiscale (NIF/CIF) — utilisé pour la vérification de l'identité de l'employeur
URL du site web de l'entreprise
Votre rôle au sein de l'entreprise (propriétaire, administrateur, membre)
Contenu des offres d'emploi publiées via le Portail Employeur
Base Juridique du Traitement
Nous traitons vos données personnelles sur les bases juridiques suivantes conformément à l'art. 6 RGPD :
| Purpose | Legal basis |
|---|---|
| Fourniture du service (recherche d'emploi, profil, alertes) | Exécution du contrat — Art. 6(1)(b) RGPD |
| Analyse du CV et préremplissage des formulaires de candidature (extraction des données de profil depuis votre CV et remplissage de formulaires tiers à votre demande) | Exécution du contrat — Art. 6(1)(b) RGPD |
| Authentification et sécurité du compte | Intérêt légitime — Art. 6(1)(f) RGPD |
| Recommandations d'emploi IA/ML | Intérêt légitime — Art. 6(1)(f) RGPD |
| Newsletter et actualités du blog | Consentement — Art. 6(1)(a) RGPD |
| E-mails d'activité de compte destinés aux utilisateurs inscrits (conseils d'activation de la première semaine, rappels de profil incomplet, alertes de crédit bas, réengagement après inactivité, demandes ponctuelles d'avis sur le produit) | Intérêt légitime — Art. 6(1)(f) RGPD — et Art. 21.2 LSSI-CE ; vous pouvez vous y opposer à tout moment via le lien de chaque e-mail ou en y répondant |
| Personnalisation Mock Interview (recommandations adaptatives, analyse des lacunes de compétences, similarité de cohorte) | Consentement — Art. 6(1)(a) RGPD |
| Saisie vocale dans Mock Interview (transcription de votre réponse orale sur votre appareil ; la transcription par notre fournisseur dans l'UE est prévue, pas encore active) | Exécution du contrat — art. 6, paragraphe 1, point b), du RGPD |
| Portail employeurs et candidatures (présentation automatisée des offres des employeurs aux candidats, transmission des candidatures) | Exécution du contrat — Art. 6(1)(b) RGPD |
| Vérification de l'identité de l'employeur (validation du NIF/CIF auprès du registre public) | Intérêt légitime — Art. 6(1)(f) RGPD |
| Conformité en matière de non-discrimination dans les offres (contrôle automatisé) | Intérêt légitime — Art. 6(1)(f) RGPD (empêcher les offres d'emploi discriminatoires illicites sur notre plateforme) |
| Obligations légales (comptabilité, RGPD) | Obligation légale — Art. 6(1)(c) RGPD |
| Détection de fraude et d'abus | Intérêt légitime — Art. 6(1)(f) RGPD |
Destinataires et Sous-traitants
Nous partageons vos données personnelles avec les sous-traitants suivants, tous liés par un Accord de Traitement de Données (ATD) conforme à l'art. 28 RGPD :
| Processor | Role | Location / safeguard |
|---|---|---|
| Neon (Neon Inc.) | Base de données PostgreSQL (hébergement et sauvegarde) | Siège aux États-Unis ; données dans l'UE (Francfort) — CCT |
| Cloudflare, Inc. | CDN, Workers (API et web), sécurité, stockage de fichiers R2 pour les CV (juridiction UE) et embeddings de texte Workers AI pour la recherche et le chatbot d'assistance | États-Unis — CCT / Cadre de confidentialité UE–États-Unis |
| Fly.io, Inc. | Hébergement d'applications pour services auto-hébergés (GlitchTip surveillance des erreurs, workflows n8n, Forgejo contrôle de version), ainsi que le service d'agents IA de Xeito | Siège aux États-Unis ; données dans l'UE (Amsterdam) — CCT |
| Stripe (SPEL) | Traitement des paiements et abonnements | UE (Irlande) — SSA SPEL |
| Resend | E-mails transactionnels et newsletter | États-Unis — CCT |
| Groq, Inc. | Génération et analyse de texte par IA pour toutes les fonctionnalités IA : analyse de CV, lettres de motivation, questions d'entretien simulé, notation et bilan des réponses, conseils salariaux et de carrière, synthèses de recherche sur les entreprises et le chatbot d'assistance. En cours de remplacement par Scaleway (UE) : Groq n'est utilisé que jusqu'à la fin de cette transition, puis retiré. | États-Unis — CCT |
| Scaleway SAS | Inférence IA pour toutes les fonctionnalités IA (analyse de CV, lettres de motivation, questions d'entretien simulé, notation et bilan des réponses, conseils salariaux et de carrière, synthèses de recherche sur les entreprises et le chatbot d'assistance). Remplace Groq ; actif une fois la transition terminée. Prévu, pas encore actif : transcription de la voix en texte pour les réponses orales lorsque la transcription sur votre appareil n'est pas disponible. Aujourd'hui, les réponses orales sont transcrites uniquement sur votre appareil, et nous mettrons à jour cette politique avant tout envoi d'audio à Scaleway. | France (UE) — traitement dans l'UE (Paris) |
| fal.ai | Synthèse vocale pour GUÍA Voice (lecture à voix haute). Le texte que vous choisissez d'écouter est envoyé à fal.ai, qui génère l'audio avec le modèle de xAI (xai/tts/v1 ; xAI, États-Unis). Votre navigateur télécharge ensuite le fichier audio directement depuis fal.ai, qui voit donc aussi votre adresse IP et les informations de votre navigateur. | États-Unis — CCT (certification DPF non confirmée) |
Nous ne vendons, ne louons ni ne cédons vos données personnelles à des tiers à des fins commerciales.
Transferts Internationaux de Données
Certains sous-traitants traitent des données aux États-Unis. Ces transferts sont encadrés par :
SCC: Les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (Décision 2021/914), module 2 (responsable → sous-traitant).
DPF: Le Cadre de confidentialité des données UE–États-Unis (DPF) lorsque le sous-traitant est certifié.
Vous pouvez demander une copie des CCT applicables en écrivant à [email protected].
Décisions Automatisées et Profilage
Xeito utilise des systèmes automatisés pouvant avoir un impact significatif sur les utilisateurs :
Recommandations d'emploi IA
Notre moteur de recommandation (ML) analyse votre profil et historique pour afficher des offres pertinentes.
Recherche sémantique IA
Les résultats de recherche sont réordonnés par un modèle de langage. Aucune décision contraignante n'est générée.
Analyse de CV IA (ATS)
Le score de compatibilité est purement indicatif ; la décision d'embauche appartient exclusivement à l'employeur.
Filtre Anti-Discrimination des Offres
Les offres d'emploi publiées par les employeurs et les offres agrégées sont soumises à un contrôle automatisé par correspondance de motifs et à une analyse sémantique par IA pour détecter les contenus discriminatoires (sexe, âge, origine, handicap et autres catégories protégées en vertu de la Ley 15/2022). Les offres signalées par le filtre sont bloquées automatiquement ; il n'y a aucune étape de contrôle humain. Aucune donnée de candidat n'est utilisée dans ce processus.
Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant significativement (art. 22 RGPD). Pour l'exercer, contactez [email protected].
Durées de Conservation
Nous conservons vos données pendant la durée strictement nécessaire conformément à l'art. 5(1)(e) RGPD :
| Catégorie de données | Durée | Base juridique |
|---|---|---|
| Données de compte (e-mail, nom, mot de passe haché) | Durée du compte + 30 jours après suppression | Contrat |
| Sessions d'authentification | Jusqu'à la date d'expiration | Intérêt légitime (sécurité) |
| Historique de recherche | 90 jours | Intérêt légitime (UX) |
| Historique d'interactions avec les offres | 12 mois | Intérêt légitime (recommandations) |
| Journaux d'utilisation des fonctions IA | 90 jours | Intérêt légitime (facturation/abus) |
| Conversations avec l'assistant IA (lettres de motivation et coaching salarial) | 90 jours après votre dernière activité dans la conversation | Intérêt légitime (continuité du service) |
| Documents de CV (fichier téléversé et son contenu analysé) | Durée du compte — effacé lors de la suppression de votre compte. Les versions remplacées par un téléversement plus récent sont supprimées par une purge planifiée quelques jours après le remplacement. | Contrat |
| Enregistrements d'abonnements et d'achats | 6 ans | Obligation légale (comptabilité) |
| Historique des mouvements de crédits (dépensés, remboursés et accordés) | 6 ans, votre identité étant supprimée lors de la suppression de votre compte | Obligation légale (comptabilité) |
| Demandes de rétractation et d'annulation | 6 ans | Obligation légale (droit des consommateurs) |
| Données d'entreprise/employeur (nom, NIF, adhésion, offres publiées) | Durée du compte + 30 jours après suppression de l'entreprise | Contrat |
| Activité sur la plateforme (offres enregistrées, suivies et masquées ; candidatures aux offres d'employeurs ; signalements) | Offres enregistrées, suivies et masquées, ainsi que vos candidatures aux offres d'employeurs : durée du compte — effacées lors de la suppression de votre compte. Signalements : conservés pendant 24 mois après la résolution du signalement, à des fins de modération et de tenue de registre notice-and-action (DSA) ; lors de la suppression de votre compte, le lien avec votre compte est supprimé, mais les détails ou l'e-mail de contact que vous avez saisis sont conservés. | Contrat (offres) ; intérêt légitime — RGPD art. 6(1)(f) (signalements) |
Lorsque vous supprimez votre compte, nous effaçons immédiatement toutes les données de profil, les fichiers de CV, les sessions, les interactions et les préférences, y compris les entrées du Job Tracker ainsi que les offres enregistrées et masquées. Les registres comptables et les demandes de rétractation sont conservés 6 ans comme l'exige la loi. Les signalements sont conservés 24 mois après leur résolution, le lien avec votre compte étant supprimé.
Sécurité des Données
Nous appliquons des mesures techniques et organisationnelles appropriées conformément à l'art. 32 RGPD :
Chiffrement en transit (TLS 1.2+) et au repos pour toutes les données sensibles
Authentification multi-facteur (MFA) pour l'accès des employés aux systèmes internes
Principe du moindre privilège : seul le personnel autorisé accède aux données des utilisateurs
Tous les sous-traitants sont liés par des ATD avec des obligations de sécurité équivalentes
Surveillance des erreurs et détection des anomalies via GlitchTip auto-hébergé (Fly EU)
Audits de sécurité réguliers et gestion des vulnérabilités
Vie Privée des Mineurs
Conformément à l'art. 7 LOPDGDD, l'âge minimum pour utiliser Xeito est de 16 ans. Nous ne collectons pas sciemment de données de personnes de moins de 16 ans. Si nous détectons un utilisateur mineur, nous supprimerons son compte sans délai. Si vous êtes parent ou tuteur et pensez que votre enfant a créé un compte, contactez-nous à [email protected].
Vos Droits selon le RGPD
Conformément au RGPD et à la LOPDGDD, vous disposez des droits suivants:
Droit d'Accès (Art. 15 RGPD)
Vous pouvez demander une copie de toutes les données personnelles que nous détenons sur vous
Droit de Rectification (Art. 16 RGPD)
Vous pouvez demander la correction de données inexactes ou incomplètes
Droit à l'Oubli (Art. 17 RGPD)
Vous pouvez demander la suppression de vos données personnelles sous certaines conditions
Droit à la Limitation du Traitement (Art. 18 RGPD)
Vous pouvez demander que nous limitions le traitement de vos données
Droit à la Portabilité (Art. 20 RGPD)
Vous pouvez demander à recevoir vos données dans un format structuré et couramment utilisé
Droit d'Opposition (Art. 21 RGPD)
Vous pouvez vous opposer au traitement de vos données personnelles
Droit de Réclamation auprès de l'AEPD
Si vous estimez que le traitement de vos données enfreint le RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :
Agence espagnole de protection des données (AEPD)
C/ Jorge Juan, 6 — 28001 Madrid, Espagne
Vous pouvez également nous contacter d'abord à [email protected] pour résoudre toute question avant de déposer une réclamation formelle.
Publicité et Google AdSense
Xeito finance ses services gratuits en affichant des publicités sur les pages publiques du blog et du marketing via Google AdSense. Les publicités s'affichent toujours sur les pages gratuites — seuls les abonnés Premium ne les voient jamais.
Ce que Google collecte
Par défaut, nous diffusons des publicités non personnalisées (NPA) : aucun cookie publicitaire n'est défini et Google n'utilise pas vos données de navigation pour choisir quelle publicité vous afficher. Ce n'est que lorsque vous donnez votre consentement aux publicités personnalisées via la bannière de cookies que Google utilise des cookies publicitaires (NID, IDE, doubleclick.net) et des signaux tels que l'adresse IP et l'historique de navigation pour adapter les publicités à vos centres d'intérêt.
Votre consentement
Les publicités s'affichent indépendamment du consentement — c'est ainsi que nous gardons le service gratuit. La bannière de cookies contrôle uniquement la personnalisation : acceptez pour autoriser des publicités adaptées, refusez pour ne voir que des publicités non personnalisées. Vous pouvez changer votre choix à tout moment via le lien « Paramètres des cookies » en pied de page. Pour ne plus voir aucune publicité, abonnez-vous à Premium.
Comment désactiver la publicité personnalisée
Vous pouvez retirer votre consentement à la personnalisation à tout moment depuis la bannière de cookies — les publicités basculeront en non personnalisées dès votre prochaine page. Vous pouvez également gérer vos préférences publicitaires directement avec Google sur myadcenter.google.com, ou désactiver la publicité personnalisée dans votre compte Google sur adssettings.google.com. Pour vous désinscrire des cookies publicitaires tiers sur tous les sites participants, visitez youronlinechoices.eu (EEE) ou aboutads.info/choices (USA).
En savoir plus
Google publie des informations détaillées sur la façon dont il utilise les données publicitaires sur policies.google.com/technologies/ads et policies.google.com/privacy.
Personnalisation de Mock Interview (adhésion explicite)
Lorsque vous activez la personnalisation Mock Interview dans les paramètres de votre tableau de bord, nous conservons vos sessions d'entretien, les questions posées, le texte de vos réponses et des signaux d'interaction comportementale (quelles questions vous avez pratiquées, réessayées ou passées, et vos plages de score) pour entraîner des recommandations adaptatives de questions, des analyses de lacunes de compétences et un ajustement de difficulté personnalisés à votre bénéfice de coaching. La conservation est entièrement optionnelle (Art. 6(1)(a) RGPD) — lorsque l'interrupteur est éteint, rien n'est stocké : votre session Mock Interview existe uniquement dans votre navigateur, exactement comme avant le lancement de cette fonctionnalité.
Un second interrupteur indépendant d'adhésion — contribution de cohorte — contrôle si vos signaux anonymisés alimentent le modèle de similarité inter-candidats sur lequel s'appuient les recommandations des autres utilisateurs. Ni votre identité ni le texte de vos réponses ne sont jamais partagés avec d'autres utilisateurs. Les deux interrupteurs sont désactivés par défaut et révocables séparément à tout moment dans les paramètres du tableau de bord. Désactiver l'un des deux arrête les nouvelles écritures pour les sessions futures ; pour supprimer les lignes existantes, utilisez Supprimer le compte (ou l'action de suppression ciblée lorsqu'elle sera disponible). Toutes les données sont supprimées en cascade lors de la suppression du compte conformément à l'Art. 17 RGPD — voir la section Droits ci-dessus.
L'analyse de conformité complète est disponible dans notre document-cadre sur le Règlement IA de l'UE (§ 4.10). Rétention : les lignes Mock Interview existent aussi longtemps que votre compte ; il n'y a pas de fenêtre de rétention séparée.
Saisie vocale dans Mock Interview
Mock Interview peut vous proposer la saisie vocale comme alternative à la saisie de vos réponses au clavier. Si votre navigateur prend en charge la reconnaissance vocale sur l'appareil (actuellement les versions récentes de Chrome et Edge, pour certaines langues), votre voix est transcrite sur votre appareil et ne le quitte jamais : nous ne recevons, n'enregistrons ni ne conservons aucun audio. La première fois, votre navigateur peut télécharger un pack de langue auprès de son propre éditeur (par exemple Google, pour Chrome) ; ce téléchargement est géré par votre navigateur et ne contient pas votre voix.
Lorsque la transcription sur l'appareil n'est pas possible, nous prévoyons de proposer une transcription par notre fournisseur d'IA Scaleway dans l'UE (Paris, France) : votre navigateur enregistrerait votre réponse (jusqu'à 3 minutes) et l'enverrait à Scaleway uniquement pour qu'elle soit transcrite, sans que nous conservions l'enregistrement. Cette transcription côté serveur n'est pas encore active. Aujourd'hui, si votre navigateur ne peut pas transcrire sur votre appareil, le bouton vocal est affiché comme indisponible et vous saisissez votre réponse au clavier. Avant tout envoi d'un enregistrement à Scaleway, nous mettrons à jour la présente politique pour le décrire, y compris la durée pendant laquelle Scaleway peut conserver une requête.
Quelle que soit la façon dont votre réponse est transcrite, le texte obtenu apparaît dans la zone de réponse, où vous pouvez le relire et le modifier. Lorsque vous l'envoyez, il est traité exactement comme une réponse saisie au clavier, comme décrit dans la présente politique. Base juridique de la transcription : l'exécution du service que vous demandez (art. 6, paragraphe 1, point b), du RGPD). Nous n'utilisons pas votre voix pour vous identifier.
Portail Employeurs et candidatures
Les employeurs publient des offres via notre Portail Employeurs, et les candidats y postulent par l'intermédiaire de Xeito. Cette section explique comment vos données sont traitées lorsque vous postulez à une offre. Xeito ne détient pas, et ne revendique pas, d'autorisation d'agencia de colocación ; la gestion des offres et la transmission des candidatures sont entièrement automatisées.
Lorsqu'un candidat postule à une offre publiée par un employeur, les données de candidature (nom, coordonnées, CV et toute information complémentaire que vous fournissez) sont partagées avec l'employeur ayant publié l'offre. Les employeurs ne peuvent consulter que les candidatures relatives à leurs propres offres, et ils doivent accepter nos Conditions Employeur (incluant leur rôle de responsable du traitement indépendant pour ses propres finalités de recrutement) avant d'accéder à toute donnée de candidat. Nous ne partageons jamais les données des candidats avec les employeurs au-delà du périmètre d'une candidature spécifique. Lorsque vous supprimez votre compte, vos dossiers de candidature sont supprimés de Xeito et l'employeur ne peut plus les consulter via le Portail Employeur. Toute copie conservée par l'employeur reste sous sa responsabilité en tant que responsable de traitement indépendant, conformément à sa propre politique de confidentialité et de conservation.
Postuler à des offres via Xeito est gratuit pour les candidats. Nous nous engageons à l'égalité de traitement et à la non-discrimination dans la gestion des offres. Les offres sont contrôlées automatiquement afin de détecter tout contenu discriminatoire avant publication — voir la section Décisions automatisées ci-dessus.
Contact
Si vous avez des questions concernant cette Politique de Confidentialité ou si vous souhaitez exercer vos droits, vous pouvez nous contacter:
Adresse e-mail: [email protected]
Délégué à la Protection des Données: [email protected]