Politique de confidentialité

Dernière mise à jour : 16 avril 2026

1. Introduction et identité du responsable du traitement

La présente Politique de confidentialité explique comment Zumia (« nous », « notre » ou « nos ») collecte, utilise, stocke et protège vos données personnelles lorsque vous utilisez notre service d'optimisation de CV par IA sur zumia.app.

Zumia est exploité par un particulier basé en Suisse. Il n'existe pas d'entité juridique formelle. Aux fins du règlement général sur la protection des données (RGPD) de l'UE et de la loi fédérale suisse sur la protection des données (FADP), l'exploitant agit en qualité de responsable du traitement. Les coordonnées sont fournies à la section 12.

En utilisant Zumia, vous acceptez les pratiques décrites dans la présente politique. Veuillez également consulter nos Conditions d'utilisation.

2. Données que nous collectons

Informations sur le compte

  • Adresse e-mail - utilisée pour l'authentification, la récupération du compte et les notifications transactionnelles
  • Mot de passe - haché de manière sécurisée selon les standards du secteur (nous ne stockons jamais de mots de passe en clair)
  • Horodatages du compte - date de création de votre compte et date de votre dernière activité

Informations de demande d'accès

  • Adresse e-mail soumise pour un accès anticipé - collectée lorsque vous demandez l'accès afin que nous puissions examiner votre demande et vous contacter lorsque l'accès est accordé

Données de CV et de poste

  • Contenu du CV de base - le CV que vous importez ou collez dans le service
  • Spécifications du poste - descriptions de poste et exigences que vous fournissez
  • CV optimisés générés par l'IA - versions personnalisées créées par l'assistant IA
  • Historique des conversations - vos interactions avec l'assistant IA. Elles sont traitées avec le même soin que le contenu de votre CV et sont incluses dans toutes les exportations et suppressions de données.
  • Éléments de la bibliothèque de connaissances - faits d'expérience réutilisables que vous enregistrez pour de futures optimisations de CV

Préférences utilisateur

  • Consignes IA (instructions personnalisées pour l'assistant IA)
  • Modèle de nom de fichier
  • Marges d'impression
  • Langue préférée

Données de facturation

  • Solde de crédits et historique des transactions - gérés via Lemon Squeezy. Nous ne stockons pas directement les données de carte bancaire.

Données d'analyse (uniquement sur consentement)

  • Analyses PostHog - vues de page, utilisation des fonctionnalités et erreurs. Ces données ne sont collectées que si vous consentez aux analyses. Si vous refusez, aucune donnée de suivi n'est collectée.

3. Comment nous utilisons vos données

Nous traitons vos données personnelles aux fins suivantes, chacune reposant sur une base juridique spécifique au titre du RGPD :

Fourniture du service d'optimisation de CV

Finalité : Traitement du contenu de votre CV, des spécifications du poste et de l'historique des conversations afin de générer des suggestions personnalisées d'optimisation de CV.

Base juridique : Exécution d'un contrat (art. 6(1)(b) du RGPD) - ce traitement est nécessaire pour fournir le service auquel vous vous êtes inscrit.

Gestion du compte et notifications

Finalité : Envoi d'e-mails transactionnels (vérification du compte, réinitialisations de mot de passe) via Loops.

Base juridique : Exécution d'un contrat (art. 6(1)(b) du RGPD).

Facturation et gestion des crédits

Finalité : Gestion de votre solde de crédits et traitement des transactions via Lemon Squeezy.

Base juridique : Exécution d'un contrat (art. 6(1)(b) du RGPD).

Gestion des demandes d'accès

Finalité : Gestion des demandes d'accès et notification des utilisateurs lorsque l'accès est accordé.

Base juridique : Intérêt légitime (art. 6(1)(f) du RGPD) - nous devons contrôler l'accès à la bêta et contacter les demandeurs concernant leur statut.

Sécurité du compte

Finalité : Vérification CAPTCHA via Cloudflare Turnstile afin de prévenir les abus et les attaques automatisées.

Base juridique : Intérêt légitime (art. 6(1)(f) du RGPD) - protéger le service et ses utilisateurs contre la fraude et les abus.

Analyses et amélioration du service

Finalité : Comprendre comment le service est utilisé afin d'en améliorer la qualité et de corriger les problèmes, via les analyses PostHog.

Base juridique : Consentement (art. 6(1)(a) du RGPD) - les analyses ne sont collectées que si vous y consentez explicitement.

Nous ne vendons, ne louons ni ne partageons vos données personnelles avec des tiers à des fins publicitaires ou marketing.

La fourniture de vos données est-elle obligatoire ? Fournir votre e-mail pour demander l'accès, puis votre adresse e-mail et le contenu de votre CV pour utiliser le service, constitue une étape nécessaire à chaque phase. Sans ces informations, nous ne pouvons pas traiter votre demande ni fournir le service. Les données analytiques sont entièrement facultatives.

4. Traitement par l'IA et services tiers

OpenAI - traitement par l'IA

Zumia utilise l'API d'OpenAI pour alimenter son assistant IA. OpenAI est basé aux États-Unis. Nous utilisons les modèles de langage actuels d'OpenAI pour les interactions de chat, l'analyse de CV, l'extraction de contenu et les embeddings sémantiques.

Données envoyées à OpenAI :

  • Contenu de votre CV
  • Spécifications du poste
  • Historique des conversations
  • Éléments de la bibliothèque de connaissances
  • Consignes IA que vous avez configurées

Garanties importantes :

  • Le mode de rétention nulle est activé - OpenAI ne conserve aucune donnée de requête ni de réponse après le traitement de votre demande.
  • Aucun entraînement des modèles - conformément aux conditions de l'API d'OpenAI, les données soumises via l'API ne sont pas utilisées pour entraîner ou améliorer les modèles d'OpenAI.
  • Aucune décision autonome - l'IA vous aide à optimiser votre CV en générant des suggestions. Elle ne prend pas de décisions autonomes produisant des effets juridiques ou d'importance similaire à votre égard. Vous conservez un contrôle total pour accepter, modifier ou rejeter toute suggestion générée par l'IA.

Autres services tiers

  • Supabase - hébergement de base de données et authentification (hébergé dans l'UE, Francfort)
  • Digital Ocean - infrastructure serveur (hébergée dans l'UE, Francfort)
  • Lemon Squeezy - facturation et traitement des paiements (États-Unis)
  • Loops - envoi d'e-mails transactionnels (États-Unis)
  • Cloudflare Turnstile - vérification CAPTCHA pour la sécurité du compte (États-Unis)
  • PostHog - analyses (sur consentement uniquement, hébergé dans l'UE)

Nous avons conclu des accords de traitement des données avec tous les sous-traitants tiers.

5. Stockage et sécurité des données

Nous prenons la sécurité de vos données au sérieux et mettons en œuvre les mesures suivantes :

  • Base de données : - Vos données sont stockées dans Supabase avec des contrôles d'accès stricts garantissant que chaque utilisateur ne peut accéder qu'à ses propres données.
  • Chiffrement en transit : - Toutes les données transmises entre votre navigateur, nos serveurs et les services tiers sont chiffrées.
  • Chiffrement au repos : - Les données stockées dans la base de données sont chiffrées au repos.
  • Sécurité des mots de passe : - Les mots de passe sont hachés selon les standards du secteur via Supabase Auth. Nous ne stockons jamais de mots de passe en clair et n'y avons pas accès.
  • Infrastructure serveur : - L'application est déployée sur Digital Ocean avec des paramètres sécurisés par défaut.

6. Transferts internationaux de données

Comme Zumia est exploité depuis la Suisse et utilise des prestataires internationaux, vos données peuvent être transférées hors de la Suisse et de l'Espace économique européen (EEE). Nous veillons à ce que des garanties appropriées soient en place pour tous les transferts :

  • OpenAI (États-Unis) - Le contenu du CV et les données de conversation sont envoyés aux serveurs d'OpenAI aux États-Unis pour le traitement par l'IA. OpenAI est certifié au titre du cadre UE-États-Unis de protection des données. En outre, le mode de rétention nulle signifie que vos données ne sont pas conservées par OpenAI après le traitement.
  • PostHog (Union européenne) - les données d'analyse sont hébergées dans l'UE et ne sont collectées que si vous y consentez.
  • Supabase (hébergé dans l'UE, Francfort) - hébergement de base de données et services d'authentification. Aucun transfert hors de l'EEE.
  • Digital Ocean (hébergé dans l'UE, Francfort) - infrastructure serveur. Aucun transfert hors de l'EEE.
  • Lemon Squeezy (États-Unis) - traitement de la facturation et des données de paiement.
  • Loops (États-Unis) - envoi d'e-mails transactionnels.
  • Cloudflare (États-Unis) - vérification CAPTCHA (Turnstile).

La Suisse est reconnue par la Commission européenne comme assurant un niveau de protection des données adéquat. Pour les transferts vers les États-Unis, nous nous appuyons, le cas échéant, sur le cadre UE-États-Unis de protection des données, sur les clauses contractuelles types (CCT) approuvées par la Commission européenne ou sur d'autres garanties appropriées conformément à la loi.

7. Conservation des données

  • Demandes d'accès en attente - les adresses e-mail soumises via la liste d'attente de demande d'accès sont conservées pendant une durée maximale de 12 mois tant que la demande est en attente, puis supprimées automatiquement.
  • Données de compte actives - le contenu de votre CV, les spécifications du poste, l'historique des conversations, la bibliothèque de connaissances, les préférences et les autres données de compte sont conservés tant que votre compte est actif.
  • Comptes inactifs - si votre compte n'enregistre aucune activité significative pendant 365 jours, nous envoyons des e-mails d'avertissement 30 jours et 7 jours avant de purger vos contextes de poste enregistrés, les éléments de la bibliothèque de connaissances, les versions de CV, les notifications, le CV de base et les consignes IA. Votre compte, vos identifiants d'authentification, vos soldes de crédits, votre historique de crédits, votre langue préférée, votre modèle de nom de fichier et vos marges d'impression restent disponibles pour vous permettre de repartir sur de nouvelles bases.
  • Données de traitement par l'IA - le mode de rétention nulle est activé. OpenAI ne conserve aucune donnée de requête ni de réponse après le traitement.
  • Données d'analyse - soumises aux politiques de conservation de PostHog. Les analyses sont uniquement sur consentement.
  • Transactions de crédits - l'historique des transactions est conservé pour les dossiers de facturation tant que votre compte existe et est supprimé lorsque votre compte est supprimé.
  • Activité significative - la création ou la mise à jour d'un contexte de poste, la création ou la mise à jour d'un élément de la bibliothèque de connaissances, la génération ou le téléchargement d'un CV, ou la mise à jour de vos paramètres réinitialise le compteur d'inactivité. Le simple fait de vous connecter ou de rafraîchir votre session ne le fait pas.

8. Vos droits

En vertu du RGPD et de la loi fédérale suisse sur la protection des données (FADP), vous disposez des droits suivants concernant vos données personnelles :

  • Droit d'accès (art. 15 du RGPD) - vous pouvez demander une copie de vos données personnelles. Zumia fournit une fonction intégrée d'export des données dans les paramètres de votre compte.
  • Droit de rectification (art. 16 du RGPD) - vous pouvez corriger les données inexactes. Toutes vos données (contenu du CV, bibliothèque de connaissances, préférences, etc.) peuvent être modifiées directement dans l'application.
  • Droit à l'effacement (art. 17 du RGPD) - vous pouvez supprimer votre compte et toutes les données associées à tout moment via la fonction de suppression de compte dans vos paramètres. Cette action est irréversible et comprend la suppression de votre compte et de vos identifiants d'authentification, du contenu de votre CV et des spécifications du poste, des CV optimisés générés par l'IA, de l'historique des conversations, des éléments de la bibliothèque de connaissances, des préférences et paramètres utilisateur, ainsi que du solde de crédits et de l'historique des transactions.
  • Droit à la portabilité des données (art. 20 du RGPD) - vous pouvez exporter toutes vos données dans un fichier structuré et lisible par machine via la fonction d'export dans les paramètres de votre compte. Cela inclut le contenu de votre CV, les spécifications du poste, l'historique des conversations, les éléments de la bibliothèque de connaissances et vos préférences, ce qui vous permet de transférer vos données vers un autre service si vous le souhaitez.
  • Droit à la limitation du traitement (art. 18 du RGPD) - vous pouvez demander que nous limitions la manière dont vos données sont traitées. Contactez-nous à privacy@zumia.app.
  • Droit d'opposition (art. 21 du RGPD) - vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime. Contactez-nous à privacy@zumia.app.
  • Droits liés à la prise de décision automatisée (art. 22 du RGPD) - L'assistant IA de Zumia fournit uniquement des suggestions et des recommandations. Il ne prend pas de décisions autonomes produisant des effets juridiques ou d'importance similaire à votre égard. Vous conservez toujours un contrôle total sur l'acceptation, la modification ou le rejet des suggestions de l'IA.

Pour exercer l'un de ces droits, vous pouvez utiliser les fonctionnalités intégrées à l'application ou nous contacter à privacy@zumia.app. Nous répondrons à votre demande dans un délai de 30 jours.

9. Cookies et technologies de suivi

Stockage essentiel

Nous utilisons le stockage local de votre navigateur (et non des cookies) pour les fonctionnalités essentielles :

  • Session d'authentification Supabase - vous maintient connecté
  • Préférence de langue - mémorise votre langue choisie

Ces éléments sont strictement nécessaires au fonctionnement du service et ne requièrent pas de consentement.

Analyses (uniquement sur consentement)

Si vous consentez aux analyses, PostHog collecte des données d'utilisation (vues de page, utilisation des fonctionnalités, erreurs) pour nous aider à améliorer le service. Si vous refusez les analyses, aucun cookie ni identifiant de suivi n'est défini.

Ce que nous n'utilisons pas

  • Aucun cookie publicitaire
  • Aucun traceur marketing tiers
  • Aucun pixel de suivi des réseaux sociaux

Vous pouvez modifier votre consentement aux analyses à tout moment via les paramètres de cookies dans l'application, ou en effaçant le stockage local de votre navigateur.

10. Protection de la vie privée des enfants

Zumia n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 16 ans. Si vous pensez qu'un enfant de moins de 16 ans nous a fourni des données personnelles, veuillez nous contacter à privacy@zumia.app et nous prendrons des mesures pour supprimer ces informations.

11. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre afin de refléter les changements apportés à nos pratiques, à notre technologie ou aux exigences légales. Si nous apportons des modifications importantes, nous vous en informerons par e-mail ou au moyen d'un avis visible dans l'application avant qu'elles ne prennent effet.

Nous vous encourageons à consulter cette page régulièrement. La date « Dernière mise à jour » en haut de page indique quand la politique a été révisée pour la dernière fois.

12. Contact et autorité de contrôle

Si vous avez des questions, des préoccupations ou des demandes concernant la présente Politique de confidentialité ou le traitement de vos données personnelles, veuillez nous contacter :

Si vous estimez que vos droits en matière de protection des données ont été violés, vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle :

  • Pour les utilisateurs suisses : Le Préposé fédéral à la protection des données et à la transparence (PFPDT) - www.edoeb.admin.ch
  • Pour les utilisateurs de l'UE : Votre autorité locale de protection des données (APD) dans l'État membre de l'UE où vous résidez, travaillez ou où l'infraction présumée s'est produite.