Politique de confidentialité

DD TECH CONSULT (NextSeed-AI), —. Contact pour vos données : contact@nextseed-ai.org.

• Compte : adresse e-mail, langue préférée, dates de création et de connexion, version des conditions acceptées. Pas de mot de passe : la connexion se fait par lien à usage unique.
• Mémoire de carrière : expériences (poste, dates, niveau, employeur décrit par son secteur et sa taille, jamais par son nom), réalisations, compétences, pièces justificatives (chiffrées sur nos serveurs) et garde-fous (salaire, lieux, télétravail, contrats, secteurs et entreprises exclus, ces derniers chiffrés).
• Coffre d’identité : votre nom, vos coordonnées, les noms réels de vos employeurs et votre CV d’origine sont chiffrés dans votre navigateur avec une clé issue de votre phrase secrète. Le serveur ne stocke que des données chiffrées qu’il ne peut pas lire ; ni la phrase secrète ni la clé ne lui sont jamais envoyées.
• Imports : le CV, l’export LinkedIn ou le profil GitHub public que vous importez sont analysés pour vous proposer un brouillon de mémoire de carrière, que vous relisez et validez avant tout enregistrement.
• Coach IA : vos conversations avec le coach et les suggestions qu’il vous fait.
• Opportunités et alertes : les offres retenues pour vous, leur score et leur explication, vos réactions ; les alertes par e-mail ne sont envoyées que si vous les activez, et chaque e-mail contient un lien de désabonnement.
• Carte anonyme, prises de contact et négociation : votre carte anonyme, les messages envoyés aux entreprises après votre approbation, l’adresse de l’interlocuteur que vous indiquez, les réponses reçues et votre mandat de négociation (chiffré).
• Levée d’anonymat : uniquement les champs que vous choisissez de révéler à une entreprise, accessibles par un lien révocable qui expire après 30 jours.
• Abonnement : offre souscrite, état et échéance de l’abonnement, identifiants du prestataire de paiement. Nous ne voyons ni ne stockons jamais votre numéro de carte.
• Comptes entreprise : adresse e-mail professionnelle du membre, nom, site, secteur, taille et pays de l’organisation, offres publiées et paiements associés.
• Journaux techniques : identifiants techniques, compteurs et erreurs, sans contenu personnel (ni e-mail, ni nom, ni texte saisi).

• Exécution du contrat (article 6.1.b du RGPD) : compte, mémoire de carrière, coffre, imports, coach, opportunités, prises de contact et levées d’anonymat que vous demandez, abonnement, espace entreprise.
• Consentement (article 6.1.a) : alertes par e-mail, retirable à tout moment depuis les paramètres ou le lien de désabonnement.
• Intérêt légitime (article 6.1.f) : sécurité du service, prévention des abus, modération des offres et des organisations, journaux techniques.
• Obligation légale (article 6.1.c) : conservation des pièces comptables liées aux paiements.

• Données du compte, de la mémoire de carrière, du coffre et du coach : tant que le compte existe. La suppression du compte efface immédiatement toutes ces données et tous vos fichiers ; les copies de sauvegarde disparaissent au plus tard 30 jours après.
• Lien de connexion : 15 minutes, à usage unique. Session de connexion : 30 jours, révoquée à la déconnexion.
• Liens de carte anonyme : 30 jours. Données révélées lors d’une levée d’anonymat : 30 jours, puis purge automatique.
• Offres d’entreprise : publiées 30 jours puis fermées ; conservées tant que l’organisation existe.
• Pièces comptables liées aux paiements : 10 ans (article L123-22 du Code de commerce).

Vos données ne sont jamais vendues ni louées. Une entreprise ne reçoit que ce que vous avez approuvé : un message, votre carte anonyme, ou les champs que vous choisissez de révéler. Nos sous-traitants agissent uniquement sur nos instructions :

• Mistral AI (France, hébergement dans l’Union européenne) : modèle de langage utilisé pour les imports, le coach, les explications d’opportunités et les brouillons de messages. Nous n’entraînons aucun modèle avec vos données.
• Envoi d’e-mails (—) : liens de connexion, alertes et messages aux entreprises.
• Hébergement (Hostinger International Ltd) : serveur privé virtuel situé dans l’Union européenne, qui héberge l’application et la base de données.
• Paiement : les paiements sont simulés pendant la phase de test : aucune donnée de paiement n’est collectée. À l’ouverture des paiements, Stripe Payments Europe (Irlande) les traitera.
• Géocodage : les noms de villes (jamais votre identité) sont envoyés à la Géoplateforme de l’IGN (France) et à OpenStreetMap Nominatim pour calculer les distances.
• GitHub : uniquement si vous importez un profil GitHub, pour lire ses informations publiques.

Les données sont hébergées et traitées dans l’Union européenne. Nous ne transférons pas vos données hors de l’Union européenne ; si un prestataire devait le faire, ce serait uniquement avec les garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne).

Connexion sans mot de passe, sessions révocables, chiffrement AES-256 des champs sensibles et des pièces justificatives, coffre d’identité chiffré de bout en bout dans votre navigateur, accès aux données limité à votre compte, journaux sans donnée personnelle.

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, du droit de retirer votre consentement, et du droit de définir des directives sur le sort de vos données après votre décès.

• Exporter toutes vos données (fichier JSON) depuis les paramètres de votre compte.
• Supprimer votre compte et toutes ses données, à tout moment, depuis les paramètres.
• Corriger vos informations directement dans votre espace (mémoire de carrière, garde-fous, identité).
• Pour toute autre demande : contact@nextseed-ai.org. Nous répondons dans un délai d’un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l’informatique et des libertés).

Nous ne déposons que des cookies strictement nécessaires au fonctionnement du service : ils sont dispensés de consentement, c’est pourquoi aucun bandeau ne s’affiche. Aucun cookie de mesure d’audience, de publicité ni de suivi, aucun outil tiers de suivi.

• authjs.session-token : maintient votre connexion (30 jours, supprimé à la déconnexion).
• authjs.csrf-token : protège les formulaires de connexion contre la falsification de requêtes (session du navigateur).
• authjs.callback-url : page où revenir après la connexion (session du navigateur).
• NEXT_LOCALE : langue d’affichage choisie (session du navigateur).

Votre navigateur conserve aussi, en stockage local, la durée de verrouillage automatique du coffre d’identité que vous avez choisie : aucune donnée personnelle.

Cette politique peut évoluer avec le service. La date de mise à jour figure en haut de la page ; en cas de changement important, nous vous en informerons à votre prochaine connexion.