Confidentialité et cookies
Dernière mise à jour : 8 octobre 2026
Cette page explique quelles données CandidaTrack traite, pourquoi, combien de temps, et comment exercer vos droits, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Responsable du traitement
Le responsable du traitement est l'éditeur du site, un particulier. Son identité est communiquée sur simple demande à l'adresse de contact. Contact : contact@candidatrack.fr.
2. Données traitées
- Compte : nom, adresse e-mail, mot de passe (jamais stocké en clair : seule une empreinte scrypt est conservée), secret de double authentification chiffré si vous l'activez.
- Contenu que vous saisissez : candidatures (entreprise, poste, salaire, statut, dates), notes, échanges, documents déposés (CV, lettres de motivation…), coordonnées des recruteurs.
- Adresse de votre domicile (facultative), pour calculer les temps de trajet.
- Données techniques : adresse IP et navigateur de chaque session (affichés dans « Mon compte » pour repérer une connexion suspecte).
Données sensibles : n'indiquez pas d'informations de santé (par exemple une reconnaissance de travailleur handicapé), d'opinions ou d'origine dans vos notes ou documents si ce n'est pas nécessaire. Si vous le faites, c'est de votre propre initiative et pour votre seul usage.
Données de tiers : les coordonnées de recruteurs que vous enregistrez le sont pour votre recherche d'emploi personnelle. Ne conservez que ce qui vous est utile et supprimez les fiches dont vous n'avez plus besoin.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Créer et gérer votre compte, fournir le service (suivi, rappels, calendrier, carte, export) | Exécution des conditions d'utilisation du service (6.1.b) |
| E-mails de service : confirmation d'adresse, mot de passe oublié, avertissement avant suppression | Exécution du service (6.1.b) |
| Sécurité : limitation des tentatives de connexion, sessions, journaux, sauvegardes | Intérêt légitime à protéger le service et vos données (6.1.f) |
Aucune donnée n'est vendue, utilisée à des fins publicitaires ni soumise à une décision automatisée.
4. Durées de conservation
| Données | Durée |
|---|---|
| Compte et contenu | Tant que le compte est utilisé. Sans aucune connexion pendant 2 ans, le compte est supprimé automatiquement, après un e-mail d'avertissement 30 jours avant. |
| Inscription dont l'adresse n'a jamais été confirmée | Supprimée après 7 jours |
| Compte désactivé | Supprimé définitivement 45 jours après la désactivation |
| Compte supprimé par vous | Effacement immédiat de la base et des fichiers |
| Candidatures placées dans la corbeille | 30 jours |
| Sessions (IP, navigateur) | 30 jours maximum après la dernière activité |
| Journaux techniques du serveur (erreurs) | Rotation automatique, volume plafonné ; aucun journal des visites n'est tenu |
| Sauvegardes | 14 jours glissants sur le serveur ; copies hors site chiffrées : 4 semaines au plus |
5. Destinataires et services tiers
Vos données ne sont accessibles qu'à vous. Les prestataires techniques suivants interviennent :
- OVH SAS (hébergement du serveur et des sauvegardes, France) : sous-traitant au sens de l'article 28 du RGPD.
- Brevo (Sendinblue SAS) (envoi des e-mails de service, France) : sous-traitant ; reçoit votre adresse e-mail, votre nom et le contenu de l'e-mail.
- Base Adresse Nationale (api-adresse.data.gouv.fr, État français) : reçoit les adresses saisies pour les compléter et les géolocaliser ; en cas d'échec, Nominatim (OpenStreetMap Foundation, Royaume-Uni).
- Calcul d'itinéraire : le serveur public OSRM (FOSSGIS e.V., Allemagne). Il reçoit les coordonnées de votre domicile, arrondies à une centaine de mètres, et celles de l'entreprise.
- Fonds de carte OpenStreetMap (tile.openstreetmap.org, OpenStreetMap Foundation, Royaume-Uni) : votre navigateur télécharge les images de la carte, ce qui transmet votre adresse IP.
- Have I Been Pwned : à la création ou au changement d'un mot de passe, seuls les 5 premiers caractères de son empreinte SHA-1 sont envoyés pour vérifier qu'il n'a pas fuité ; le mot de passe lui-même ne quitte jamais le serveur.
- Logos d'entreprises : le serveur interroge le site de l'entreprise ou le service d'icônes de Google avec le seul nom de domaine de l'entreprise, sans aucune donnée vous concernant.
- Le lien « Itinéraire » ouvre Google Maps avec votre adresse de départ : rien n'est transmis tant que vous ne cliquez pas.
Le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne : aucun autre transfert hors de l'Union européenne n'a lieu.
6. Cookies et stockage local
CandidaTrack n'utilise aucun cookie publicitaire ni de mesure d'audience. Les cookies ci-dessous sont strictement nécessaires au service ou mémorisent des réglages que vous avez choisis : ils sont exemptés de consentement (article 82 de la loi Informatique et Libertés, lignes directrices de la CNIL), d'où l'absence de bandeau.
| Nom | Rôle | Durée |
|---|---|---|
| __Secure-better-auth.session_token | Maintenir votre connexion | 30 jours (ou fin de la session sans « Rester connecté ») |
| __Secure-better-auth.session_data | Cache de la session | 5 minutes |
| __Secure-better-auth.two_factor, __Secure-better-auth.trust_device | Double authentification : étape de vérification, appareil de confiance | 10 minutes ; 30 jours |
| ct-accent, ct-contrast, ct-note-spacing | Couleur, contraste et interligne choisis | 1 an |
| sidebar_state | Barre latérale ouverte ou fermée | 7 jours |
| Stockage local : theme, vue des candidatures, cache des logos | Thème clair/sombre, dernière vue utilisée, affichage plus rapide | Jusqu'à effacement par le navigateur |
7. Sécurité
Connexion chiffrée (HTTPS/TLS, HSTS), mots de passe hachés, double authentification disponible, vérification de l'adresse e-mail, limitation des tentatives de connexion, politique de sécurité du contenu (CSP), fichiers stockés hors de l'espace public et servis uniquement à leur propriétaire, serveur en France mis à jour automatiquement, sauvegardes quotidiennes. En cas de violation de données présentant un risque, la CNIL est notifiée sous 72 heures et vous êtes prévenu si le risque est élevé.
8. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. La plupart s'exercent directement dans l'application :
- Accès et portabilité : Paramètres → Sauvegarde (export complet au format JSON) et export Excel/CSV/PDF des candidatures.
- Rectification : modification de chaque fiche, et de votre profil dans « Mon compte ».
- Effacement : Paramètres → Compte → Supprimer le compte (effacement immédiat et définitif).
Pour toute autre demande : contact@candidatrack.fr. Une réponse vous est apportée dans un délai d'un mois. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr/plaintes).
Voir aussi les mentions légales.