Responsable de traitement
L’éditeur de MY MADO détermine les finalités et les moyens des traitements décrits ci-dessous : il en est le responsable au sens du règlement général sur la protection des données. Son identification complète figurera dans les mentions légales dès que la structure juridique aura été constituée.
- Responsable de traitement
- raison sociale et siège du responsable de traitement : à compléter
- Adresse de contact
- adresse de contact pour les questions relatives aux données personnelles : à compléter
- Délégué à la protection des données
- coordonnées du délégué à la protection des données, s’il en est désigné un : à compléter
Une organisation abonnée devient à son tour responsable de traitement pour les échanges qu’elle engage avec un cadre et pour l’usage qu’elle fait, dans ses propres outils, des informations consultées. Cette répartition est écrite dans les conditions générales d’utilisation.
Données collectées
Seules sont collectées les données nécessaires au fonctionnement du service. Aucun champ ne demande d’information relevant des catégories particulières protégées par l’article 9 du règlement, et les membres sont invités à ne pas en déposer d’eux-mêmes.
- Identité et compte
- Nom, prénom, adresse électronique, mot de passe chiffré, rôle et, le cas échéant, organisation de rattachement.
- Profil professionnel
- Fonction, secteur, expérience, compétences, mobilité géographique, disponibilité, prétentions, photographie et visibilité choisie, ainsi que la liste des organisations bloquées.
- Curriculum vitæ
- Le document déposé par le cadre, conservé dans un stockage privé et délivré par des liens signés de courte durée.
- Échanges
- Demandes de contact, messages de la messagerie interne et révélations d’identité accordées, avec leur horodatage.
- Usage et journaux
- Recherches effectuées, consultations de fiches, actions sensibles et journaux techniques nécessaires à la sécurité du service.
- Facturation
- Données d’abonnement et pièces comptables associées, pour les comptes payants.
Finalités et bases légales
- Fournir le service
- Création et gestion des comptes, publication des profils selon la visibilité choisie, recherche, calcul du score de compatibilité, demandes de contact et messagerie. Base légale : l’exécution du contrat conclu avec l’utilisateur.
- Sécuriser la plateforme
- Prévention des accès frauduleux, limitation des tentatives de connexion, journalisation des actions sensibles, modération des signalements. Base légale : l’intérêt légitime de l’éditeur et des membres à disposer d’un service sûr.
- Gérer les abonnements
- Souscription, facturation, recouvrement et conservation des pièces comptables. Bases légales : l’exécution du contrat et le respect des obligations comptables et fiscales.
- Informer et relancer
- Messages liés au fonctionnement du compte, notifications d’une demande reçue, confirmation du maintien en base. Bases légales : l’exécution du contrat pour les messages de service, le consentement pour toute communication non nécessaire au service.
Destinataires
Les organisations inscrites sur MY MADO accèdent aux profils dans la seule mesure de la visibilité choisie par chaque cadre. Un profil n’est jamais visible d’une organisation qui n’est pas inscrite sur la plateforme, ni d’une organisation que le cadre a bloquée. L’adresse électronique et le numéro de téléphone d’un cadre ne sont transmis à aucune organisation, y compris après une révélation d’identité : la messagerie interne est le seul canal d’échange.
Interviennent par ailleurs des sous-traitants agissant sur instruction de l’éditeur, pour l’hébergement de l’application et de la base de données, pour le stockage des fichiers déposés et pour l’envoi des courriers électroniques transactionnels. Leur identification et les garanties contractuelles associées seront publiées ici : liste nominative des sous-traitants et garanties contractuelles : à compléter
Pour le seul cadre qui y consent, Mistral AI, établi en France, reçoit son CV afin d’en préremplir le profil, dans les conditions décrites à la section de l’import assisté.
Les données ne sont ni vendues, ni cédées, ni utilisées à des fins publicitaires. Elles peuvent être communiquées à une autorité administrative ou judiciaire lorsque la loi l’impose.
Hébergement et transferts
L’application, la base de données et les fichiers déposés sont hébergés dans l’Union européenne. La mise en production est prévue chez OVHcloud, en France. Aucune donnée de compte, de profil ou de message n’est transférée en dehors de l’Union européenne ; si un sous-traitant venait à en imposer un, il ne serait retenu qu’encadré par les garanties appropriées prévues au chapitre V du règlement, et cette page en ferait état.
Une seule exception touche la navigation, et non vos données de compte : le fond de la carte des événements (Maps MY MADO) est chargé par votre navigateur auprès du service OpenFreeMap (tiles.openfreemap.org). Ce service reçoit alors l’adresse IP de votre appareil, comme tout site dont on affiche une image, et seulement sur la page de la carte. Son infrastructure de diffusion peut être située hors de l’Union européenne. Aucune autre donnée ne lui est transmise, et les autres pages de la plateforme ne l’appellent pas.
Import assisté du CV par intelligence artificielle
Lorsqu’un cadre choisit de faire préremplir son profil à partir de son curriculum vitæ, et seulement après avoir coché la case de consentement qui lui est présentée, le document est transmis à Mistral AI, sous-traitant établi en France, qui en lit le texte et en tire une proposition de profil : intitulés, expériences datées et employeurs, compétences, secteurs, formations, langues et certifications.
- Finalité
- Épargner au cadre la recopie de ce qui figure déjà dans son CV. Rien n’entre dans le profil avant qu’il ait relu, corrigé ou écarté chaque bloc proposé, et le téléphone n’est ni extrait ni demandé.
- Base légale
- Le consentement du cadre, recueilli par une case explicite et versionnée avant le premier import, et retirable à tout moment depuis son compte ; le retrait efface les propositions en cours.
- Données transmises
- Le document entier, coordonnées comprises : l’adresse électronique, le téléphone et l’adresse postale qui y figurent partent avec lui, même s’ils ne sont pas extraits et ne sont recopiés nulle part.
- Conservation chez le sous-traitant
- Mistral AI conserve le document et sa réponse trente jours glissants pour la surveillance des abus, sauf si la conservation nulle est activée sur le compte de l'éditeur, et ne s’en sert pas pour entraîner ses modèles.
- Conservation par MY MADO
- La proposition est effacée dès que le cadre l’a validée ou écartée, et au plus tard au bout de 30 jours ; le CV lui-même suit les durées de la section suivante.
- Droit de refus
- L’import assisté est facultatif. Un cadre qui ne coche pas la case dépose son CV et remplit son profil à la main, sans aucune différence de traitement sur la plateforme.
Cette extraction est un système d’intelligence artificielle au sens du règlement européen sur l’intelligence artificielle ; elle ne prend aucune décision et ne note personne. Le score de compatibilité reste un calcul à règles, décrit plus bas.
Durées de conservation
Les durées ci-dessous suivent le référentiel de la CNIL relatif à la gestion des ressources humaines. Chaque compte porte la date de son dernier contact avec la plateforme, et ces échéances se calculent à partir de cette date.
- Compte et profil actifs
- Conservés tant que le compte est utilisé.
- 22 mois sans activité
- Un courrier électronique demande au titulaire s’il souhaite rester dans la base.
- 24 mois sans confirmation
- Le compte sort de la base active : le profil, le curriculum vitæ, les révélations d’identité et les favoris sont supprimés.
- Archive intermédiaire, cinq ans
- Seules les données nécessaires à un éventuel contentieux, identité et journaux d’accès, sont conservées, accessibles aux seuls administrateurs habilités, puis purgées.
- Pièces comptables
- Conservées dix ans, conformément aux obligations du code de commerce.
- Journaux techniques et de sécurité
- durée de conservation des journaux techniques et de sécurité : à compléter
La suppression d’un compte à l’initiative de son titulaire produit immédiatement les mêmes effets que la sortie de la base active. Les messages qu’il a envoyés restent visibles de leurs destinataires, sous un auteur anonymisé.
Vos droits
Toute personne dont les données sont traitées dispose des droits suivants, qu’elle exerce auprès du responsable de traitement.
- Accès : obtenir la confirmation qu’un traitement existe et en recevoir une copie.
- Rectification : corriger une donnée inexacte ou compléter une donnée incomplète, ce que l’espace personnel permet de faire directement.
- Effacement : demander la suppression des données, dans les limites des obligations légales de conservation.
- Opposition : s’opposer à un traitement fondé sur l’intérêt légitime, pour des raisons tenant à sa situation particulière.
- Portabilité : recevoir les données fournies dans un format structuré et lisible par machine, ou en demander la transmission à un autre responsable.
- Limitation : demander le gel d’un traitement pendant la vérification d’une contestation.
La demande s’adresse au contact indiqué en tête de cette page. Il peut être demandé un justificatif d’identité lorsqu’un doute raisonnable existe sur l’identité du demandeur. La réponse intervient dans un délai d’un mois, prolongeable de deux mois si la demande est complexe, auquel cas le demandeur en est informé.
Toute personne peut également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, dont les modalités de saisine sont publiées sur son site, cnil.fr.
Décision individuelle automatisée
Aucune décision produisant un effet juridique ou affectant une personne de manière significative n’est prise sur le seul fondement d’un traitement automatisé. Le score de compatibilité affiché aux organisations est indicatif : il ordonne une liste de profils selon des critères explicites et pondérés, il n’écarte aucun profil, et la décision de contacter une personne appartient à l’organisation, qui lit la fiche avant d’engager l’échange.
Les critères, leurs poids et le traitement des informations manquantes sont publiés sur la page comment fonctionne le matching. Un cadre peut demander l’explication du score obtenu sur un besoin précis et contester ce résultat auprès de l’éditeur, qui réexamine la situation et corrige le cas échéant.
Sécurité
Mesures mises en œuvre
- Chiffrement des échanges, mots de passe hachés et sessions révoquées lors d’un changement de mot de passe.
- Cloisonnement des accès par rôle, vérification des droits à chaque action et journalisation des opérations sensibles.
- Fichiers déposés conservés dans un stockage privé, délivrés par des liens signés de courte durée, avec un journal des consultations.
- Limitation du nombre de tentatives de connexion et validation systématique des données reçues.
En cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes, la CNIL est informée dans les soixante-douze heures et les personnes concernées le sont sans délai lorsque le risque est élevé.
Modification de la politique
Cette politique peut être modifiée pour tenir compte d’une évolution du service ou de la réglementation. Chaque version porte sa date de mise à jour, et les utilisateurs sont informés avant l’entrée en vigueur d’un changement substantiel.