Politique de confidentialité

Le responsable du traitement au sens du Règlement (UE) 2016/679 (« RGPD ») est l'entreprise individuelle exploitant le service Myrt sous le nom commercial Big-O, dont l'établissement est situé à 71310 La Chapelle-Saint-Sauveur, France, immatriculée sous le numéro SIREN 901 563 023.

Pour toute question relative à vos données, vous pouvez écrire à contact@myrt.ai.

Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire au regard de l'article 37 du RGPD pour l'activité exercée.

2.1 Données que vous nous fournissez

Un CV peut contenir des données sensibles au sens de l'article 9 du RGPD : état de santé, handicap, appartenance syndicale, opinions politiques ou convictions religieuses, origine. Vous n'êtes jamais tenu de les mentionner. En déposant un document qui en contient, vous consentez expressément à leur traitement pour la seule finalité de produire votre analyse ; vous pouvez retirer ce consentement à tout moment en supprimant le document.

2.2 Données collectées automatiquement

• Données de connexion et journaux techniques : adresse IP, date et heure, pages consultées, type de navigateur et d'appareil.
• Données de sécurité : jeton de session, jeton anti-CSRF, tentatives d'authentification.
• Données de mesure d'audience, lorsque vous y avez consenti (voir la page cookies).
• Données d'usage du service liées à votre compte, enregistrées par nos serveurs : inscription, vérification de l'adresse, CV importés, analyses lancées et terminées, crédits consommés, achats et abonnements, raison choisie à la suppression du compte. Ce sont des événements sans contenu : ni votre CV, ni votre nom, ni votre adresse email n'y figurent.
• Données de diagnostic des erreurs techniques : type et message d'erreur, pile d'appels de notre code, page concernée (son modèle pour les erreurs de nos serveurs ; son adresse, privée de ses paramètres, pour celles de votre navigateur, avec le type de navigateur et d'appareil) et, si vous êtes connecté, votre identifiant de compte. Avant tout envoi, les messages d'erreur sont raccourcis et débarrassés des adresses email, numéros de téléphone, jetons et noms de fichier ; ils peuvent encore contenir un court extrait du texte traité au moment de l'erreur.

Aucune donnée personnelle n'est inscrite en clair dans nos journaux techniques.

2.3 Extension Chrome Myrt

L'extension Myrt pour Google Chrome vous permet d'analyser une offre d'emploi depuis la page où vous la consultez. Elle ne sert qu'à cela et traite les données suivantes :

• Contenu de la page d'offre : l'extension ne lit aucune page tant que vous ne l'avez pas autorisée. Au premier clic sur « Analyser cette page », Chrome vous demande d'autoriser l'extension à lire les sites web ; cette autorisation est facultative et se retire à tout moment dans les réglages de Chrome. Une fois accordée, l'extension repère, dans votre navigateur, si la page que vous consultez affiche une offre d'emploi, quel que soit le site, et lit alors l'offre affichée (intitulé, entreprise, logo, lieu, description) pour vous la présenter. Ce repérage se fait sur votre appareil : rien n'est transmis à nos serveurs à ce stade.
• Surlignage des mots-clés : pendant que vous consultez le rapport dans le panneau, l'extension surligne sur la page de l'offre les mots-clés de l'offre que votre CV contient et ceux qui lui manquent. Le surlignage est retiré dès que vous fermez le panneau ou changez d'onglet. Comme tout ce qui est affiché dans une page, il peut être lu par le site qui publie l'offre : vous pouvez le désactiver dans l'onglet « Mots-clés » du rapport.
• Envoi à Myrt : le texte de l'offre et l'adresse de sa page ne sont transmis à nos serveurs que lorsque vous lancez une analyse, avec le CV que vous avez choisi. Ils sont alors traités comme une offre collée sur le site (voir 2.1).
• Connexion : l'adresse email et le mot de passe saisis dans le panneau de l'extension sont envoyés directement à Myrt pour vous authentifier, comme sur le site ; le mot de passe n'est jamais conservé par l'extension. La connexion avec Google passe par notre page de connexion, qui transmet ensuite votre jeton de connexion à l'extension.
• Données conservées dans votre navigateur : jeton de connexion, nom, adresse email et solde de crédits de votre compte, CV sélectionné, vos 20 dernières analyses et vos préférences d'affichage. Elles sont effacées à la déconnexion de l'extension.

L'extension ne lit aucun autre contenu que les offres d'emploi décrites ci-dessus, ne collecte pas votre historique de navigation, n'intègre aucun outil de mesure d'audience ni de publicité, et ne transmet aucune donnée à des tiers. Son usage des données reçues des API de Chrome respecte les règles d'usage limité (« Limited Use ») du Chrome Web Store.

• Fournir le service (analyse, rapport, reformulations, CV et lettres générés, exports) — exécution du contrat — pendant l'utilisation de votre compte, puis suppression définitive à la suppression du compte. Seules subsistent des statistiques anonymes sur vos CV et analyses, sans lien avec vous ni contenu de vos documents.
• Vous montrer le résultat d'un test de CV sans compte — mesures précontractuelles prises à votre demande — 7 jours. Passé ce délai, le fichier, l'offre et l'analyse sont supprimés si vous n'avez pas créé de compte ; si vous en créez un, ils rejoignent votre espace et suivent ses durées.
• Gérer votre compte — exécution du contrat — jusqu'à sa suppression. À la suppression, votre compte est anonymisé : votre nom, votre adresse email et votre photo sont effacés. Un compte sans connexion depuis 2 ans est anonymisé de la même façon, après un email d'avertissement envoyé 30 jours avant.
• Gérer les achats, abonnements et factures — exécution du contrat et obligation légale — 10 ans pour les pièces comptables (art. L123-22 du code de commerce). Votre abonnement est résilié à la suppression de votre compte.
• Répondre à vos demandes de contact ou de support — intérêt légitime — 3 ans à compter du dernier échange.
• Comprendre pourquoi un compte est supprimé (raison facultative et, si vous le souhaitez, quelques mots libres) — intérêt légitime — 3 ans au plus, conservée séparément de votre compte. La raison choisie (jamais les mots libres) est aussi enregistrée, rattachée à votre compte, parmi les données d'usage du service ci-dessous, pendant 12 mois.
• Assurer la sécurité du service et prévenir les abus — intérêt légitime — 12 mois maximum.
• Empêcher la réobtention des crédits offerts — intérêt légitime — 12 mois après la suppression du compte, sous la forme d'une empreinte non réversible de votre adresse email.
• Mesurer l'audience du site — consentement — les traceurs expirent avec votre consentement (183 jours), les données sont conservées 12 mois (PostHog) ou 14 mois (Google Analytics).
• Mesurer l'usage du service depuis nos serveurs, sans contenu ni donnée d'identité directe — intérêt légitime, auquel vous pouvez vous opposer (section 7) — 12 mois.
• Diagnostiquer les erreurs techniques du service — intérêt légitime pour les erreurs survenues sur nos serveurs, auquel vous pouvez vous opposer (section 7) ; pour celles de votre navigateur, uniquement si vous avez accepté la mesure d'audience — 12 mois (PostHog, hébergé dans l'Union européenne).
• Vous envoyer les emails du service — exécution du contrat — durée de la relation contractuelle.

Nous ne vendons pas, ne louons pas et n'échangeons pas vos données personnelles. Elles ne sont transmises qu'aux prestataires strictement nécessaires au fonctionnement du service, qui agissent sur nos instructions en qualité de sous-traitants au sens de l'article 28 du RGPD, et uniquement pour les finalités décrites ci-dessus :

• hébergement de l'application, de la base de données et des fichiers que vous déposez (France) ;
• fournisseurs d'intelligence artificielle : extraction et structuration du CV et de l'offre, génération des analyses, reformulations et lettres (États-Unis) ;
• paiement, gestion des abonnements et facturation : Stripe (Union européenne et États-Unis) ;
• envoi des emails du service (envoi depuis l'Union européenne) ;
• exécution technique des traitements en arrière-plan, sans contenu (États-Unis) ;
• connexion avec un compte Google, si vous choisissez ce mode de connexion ;
• protection contre les robots du test de CV sans compte, chargée uniquement lorsque vous l'utilisez (États-Unis) ;
• diagnostic des erreurs techniques (Union européenne) ;
• mesure d'audience, uniquement avec votre consentement (Union européenne et États-Unis).

La liste nominative de nos prestataires vous est communiquée sur simple demande à contact@myrt.ai. Vos données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi nous y oblige.

Transferts hors Union européenne

Votre compte, vos analyses et les fichiers que vous déposez sont stockés en France. Certains traitements, en particulier l'analyse par intelligence artificielle, sont en revanche réalisés aux États-Unis.

Ces transferts reposent soit sur la décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023 (« EU-US Data Privacy Framework »), pour les prestataires certifiés, soit sur les clauses contractuelles types adoptées par la Commission européenne (article 46 du RGPD), intégrées à l'accord de sous-traitance de chaque prestataire. Vous pouvez en obtenir une copie en écrivant à contact@myrt.ai.

• Nous ne vendons ni ne louons vos données à des tiers.
• Nous ne transmettons pas votre CV à des recruteurs, à des employeurs ou à des cabinets de recrutement.
• Nous ne publions rien en votre nom et n'avons aucune présence publique liée à votre compte : votre recherche reste privée.
• Nous n'utilisons pas vos documents pour entraîner des modèles d'intelligence artificielle, et nos fournisseurs d'IA s'engagent contractuellement à ne pas les utiliser pour entraîner les leurs.
• Nous ne prenons aucune décision produisant des effets juridiques à votre égard sur le seul fondement d'un traitement automatisé : le score est une aide à la décision, vous restez seul décisionnaire.

• Vos fichiers sont stockés chiffrés et ne sont accessibles que par un lien signé de durée limitée.
• Les échanges avec le service sont chiffrés en transit (HTTPS).
• Les mots de passe ne sont jamais stockés en clair.
• Les opérations sensibles sont protégées contre la falsification de requête (jeton anti-CSRF) et l'accès aux espaces privés est contrôlé à chaque requête.
• Aucune donnée personnelle n'apparaît en clair dans nos journaux techniques.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les conditions prévues à l'article 34 du RGPD.

Conformément aux articles 15 à 22 du RGPD et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez des droits suivants :

• Accès — obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Rectification — faire corriger des données inexactes ou incomplètes.
• Effacement — obtenir la suppression de vos données. Vous pouvez déjà supprimer un document précis ou la totalité de votre compte depuis votre espace ; la suppression est définitive. Certaines données restent conservées pour les durées indiquées en section 3, notamment vos pièces comptables (10 ans).
• Limitation — demander le gel temporaire du traitement.
• Opposition — vous opposer à un traitement fondé sur notre intérêt légitime.
• Portabilité — recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine.
• Retrait du consentement — à tout moment, sans que cela remette en cause la licéité du traitement effectué auparavant.
• Directives post-mortem — définir le sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).

Pour exercer ces droits, écrivez à contact@myrt.ai. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une preuve d'identité peut vous être demandée en cas de doute raisonnable.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Les traceurs déposés sur votre terminal, leur finalité et les moyens de les refuser sont détaillés dans notre page dédiée aux cookies.

Le service n'est pas destiné aux personnes de moins de 15 ans. Si vous constatez qu'un compte a été créé par un mineur de moins de 15 ans sans l'autorisation du titulaire de l'autorité parentale, écrivez-nous : le compte et les données associées seront supprimés.

Cette politique peut être modifiée pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, vous en serez informé par email ou par une notification dans votre espace.