Ce que nous faisons de vos données
Une page écrite depuis le code, pas depuis une promesse. Chaque affirmation ci-dessous correspond à un mécanisme qui existe — et nous disons aussi ce qui n'existe pas.
Messages chiffrés au repos
Le contenu des conversations est chiffré en base, par enveloppe : une clé distincte par conversation, scellée par une clé maître. Une copie de la base, une sauvegarde ou un accès direct au stockage ne rendent que du chiffré.
Une IA européenne
Le matching et le coach tournent sur Mistral, modèle français — c'est le choix par défaut du projet. Les vecteurs de compétences sont calculés chez lui dans tous les cas.
Le référentiel européen ESCO
Les compétences sont rattachées à ESCO, la taxonomie publique de la Commission européenne — environ 13 500 entrées, réimportées à chaque version. Pas un nuage de mots-clés maison.
Une rétention bornée
Les événements d'usage sont purgés automatiquement au-delà de 13 mois, tous les jours. C'est le plafond recommandé par la CNIL pour les traceurs, appliqué par le code et non par une promesse.
Vos conversations
Chaque conversation porte sa propre clé, et chaque contenu chiffré est lié à sa place — sa conversation, son message, sa colonne. Déplacer une ligne d'une conversation vers une autre ne la rend pas lisible : la vérification échoue.
- Ce que ça protège
- Une copie de la base, une sauvegarde, un accès administrateur direct au stockage, un bucket recopié. C'est le scénario le plus courant d'une fuite, et celui-là est couvert.
- Ce que ça ne protège pas
- Ce n'est pas du chiffrement de bout en bout. Le serveur détient la clé maître — c'est ce qui permet la traduction à la lecture, les aperçus de notification et la modération. Une compromission du serveur donnerait le clair.
- Ce que la modération voit
- Rien, tant que personne ne signale. Un signalement ouvre une fenêtre de onze messages autour de celui qui est visé — celui-là, et cinq de part et d'autre. Il n'existe aucun écran qui parcourt une conversation.
Ce que vous gardez la main de faire
Supprimer votre compte, définitivement
Depuis vos réglages. Le profil et tout son contenu partent dans la même transaction — ce n'est pas une désactivation, et rien n'est conservé « au cas où ».
Refuser la mesure d'audience
Les statistiques d'usage sont internes, derrière un consentement explicite, révocable à tout moment. Le retrait purge ce qui avait été posé sur le navigateur.
Le consentement du tuteur, pour les mineurs
Un profil mineur déclare son tuteur, qui confirme par un lien — sans compte à créer. Sans ce consentement, candidater reste fermé, et aucun traceur ne démarre sur la session.
Naviguer sans laisser de trace
Le mode fantôme est réciproque, et c'est volontaire : vous cessez de signaler vos visites, et vous renoncez à voir les vôtres. Pas de miroir sans tain.
Ce que ce n'est pas
Trois limites que nous préférons écrire nous-mêmes. Elles sont vérifiables dans le code, donc les taire ne nous protégerait de rien.
Le chiffrement n'est pas de bout en bout
Le serveur peut lire vos messages. Nous l'écrivons ici plutôt que de laisser le mot « chiffré » suggérer l'inverse : ce chiffrement protège le stockage, pas l'exploitant.
La protection des mineurs ne couvre que les dates déclarées
La date de naissance n'est demandée nulle part à l'inscription. Sans elle, ni le consentement du tuteur ni le blocage des traceurs ne se déclenchent. C'est une limite connue, pas une garantie.
Il n'y a pas encore d'export automatisé
La suppression existe, l'export de vos données en un clic non. En attendant, écrivez-nous : votre demande d'accès sera traitée.
Une question précise sur vos données ?
École, entreprise ou personne : on répond sur le mécanisme, pas par un renvoi à vingt pages de conditions.