Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement est la personne identifiée à l'article 1 des mentions légales. Pour toute question relative à vos données : contact@toctoc-alternance.fr.

Compte tenu de la taille de la structure, aucun délégué à la protection des données (DPO) n'est désigné ; l'adresse ci-dessus est le point de contact unique.

2. Ce qui est traité, et pourquoi

TocToc met en œuvre six traitements distincts, avec des bases légales et des durées différentes :

3. Données de l'étudiant

3.1 Recherche gratuite

Pour lancer une recherche, trois informations sont demandées : le poste, la ville et une adresse email. L'email est gardé avec la recherche, et sert à te prévenir lorsqu'un métier que nous ne savions pas encore chercher le devient. Sans la case ci-dessous, aucun message commercial ne t'est envoyé, et l'adresse est effacée au bout de 30 jours.

L'envoi d'emails de rappels, de conseils et d'offres repose sur votre consentement, donné via une case non pré-cochée, distincte de l'action de recherche. Si tu la coches et que tu n'as pas ouvert d'essai, tu reçois au plus cinq messages sur un mois environ : le premier le lendemain, le dernier au bout de trente jours, puis plus rien. Ils s'arrêtent dès que tu ouvres ton essai gratuit, et à tout moment par le lien de désinscription présent dans chaque message, ou par email. Nous conservons la preuve de ton accord (la date, et la version du texte que tu avais sous les yeux). Une fois désinscrit, seuls ton adresse et la date de ta demande sont gardées, pour ne plus t'écrire ; ta recherche est effacée. Le retrait n'empêche pas d'utiliser le service.

Ces données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins publicitaires.

3.2 Après l'ouverture de l'essai

L'essai gratuit s'ouvre avec votre carte bancaire, saisie chez Stripe : l'empreinte de la carte permet de n'ouvrir qu'un essai par personne, et la carte sert à débiter l'abonnement à la fin de l'essai si vous ne résiliez pas. Le service reçoit de Stripe votre adresse email et l'empreinte de la carte, jamais son numéro. Vous connectez ensuite votre compte Google depuis votre espace : le service reçoit alors votre identifiant Google et votre nom (article 5).

Pour produire des candidatures personnalisées, le service traite les informations que vous fournissez : formation, compétences, disponibilité, rythme d'alternance, et les éléments extraits de votre CV lorsque vous le déposez. Vous relisez et corrigez ces éléments avant toute utilisation.

Votre CV et votre profil ne servent qu'à générer vos propres candidatures. Ils ne sont transmis à aucune entreprise autrement que par les messages que vous validez et envoyez vous-même.

Photo (facultative). Si vous faites créer votre CV par TocToc, vous pouvez y ajouter une photo ; rien ne l'exige. Elle est recadrée en carré et débarrassée de ses métadonnées (lieu, date, appareil) dès sa réception, et seule cette version est conservée. Elle figure sur le CV que vous envoyez aux entreprises, et nulle part ailleurs : elle n'est transmise à aucun prestataire d'intelligence artificielle. Vous pouvez la retirer à tout moment ; elle est aussi supprimée lorsque vous déposez votre propre CV, et avec votre compte.

Le suivi des réponses est entièrement manuel : vous indiquez vous-même dans TocToc qu'une entreprise a répondu. Le service ne consulte jamais votre boîte de réception pour détecter une réponse.

4. Données sur les entreprises

Les données d'entreprises proviennent de sources accessibles au public : informations publiées sur des plateformes en ligne et dans des registres publics, et sites publiés par les entreprises elles-mêmes. Elles sont traitées sur le fondement de l'intérêt légitime à mettre en relation des candidats à l'alternance avec des employeurs potentiels de leur zone.

La plupart de ces données ne sont pas des données personnelles : une adresse fonctionnelle de type contact@ ou recrutement@ désigne une organisation, pas une personne. Lorsqu'une donnée identifie une personne physique - nom d'un dirigeant issu d'une source publique, ou adresse email personnelle publiée par l'entreprise elle-même sur son propre site ou sur une plateforme publique - elle est traitée comme une donnée personnelle et bénéficie de l'ensemble des droits décrits à l'article 8.

Aucune adresse n'est devinée à partir d'un modèle prénom.nom, achetée à un courtier en données, ni extraite d'un réseau social ou d'un espace authentifié.

Toute entreprise ou personne peut demander le retrait de ses données à contact@toctoc-alternance.fr. Le retrait est effectué sans condition et sans délai injustifié.

5. Connexion Google et Gmail

TocToc utilise deux autorisations Google distinctes, demandées au moment où elles sont utiles :

• Connexion à votre espace. Les autorisations openid, email et profile permettent de recevoir votre identifiant Google stable, votre adresse email et votre nom. L'identifiant et le nom sont conservés avec votre compte pour vous reconnaître lors de vos prochaines connexions. Le jeton d'accès utilisé pour cette connexion n'est pas conservé et TocToc ne reçoit jamais votre mot de passe Google.
• Envoi depuis Gmail. L'autorisation sensible https://www.googleapis.com/auth/gmail.send permet uniquement d'envoyer, via l'API Gmail, les candidatures que vous avez préparées et validées dans TocToc. C'est la permission Gmail la plus limitée qui permette cet envoi.

Pour l'envoi, TocToc conserve l'adresse Gmail connectée, les jetons OAuth d'accès et de renouvellement sous forme chiffrée, ainsi que les identifiants techniques renvoyés par Gmail pour confirmer et suivre les messages envoyés. Ces données servent exclusivement à fournir la fonction d'envoi visible dans votre espace. Le service ne peut ni lire, ni lister, ni modifier, ni supprimer vos emails, et n'accède ni à votre boîte de réception, ni à vos contacts, ni à vos brouillons. Le contenu des réponses n'est ni lu, ni stocké, ni analysé.

Les données Google ne sont ni vendues, ni utilisées à des fins publicitaires, de profilage ou d'évaluation de solvabilité, ni utilisées pour entraîner des modèles d'intelligence artificielle. Aucun humain ne peut consulter le contenu de votre boîte Gmail via TocToc. Les informations techniques de connexion ne sont consultées par l'éditeur qu'en cas de demande d'assistance de votre part, de nécessité de sécurité ou d'obligation légale. Elles ne sont transmises que dans la mesure nécessaire au service demandé : à Google pour authentifier le compte et acheminer les messages, à l'hébergeur agissant pour TocToc, et au destinataire choisi, qui voit naturellement l'identité et l'adresse de l'expéditeur.

Les jetons Gmail restent chiffrés après la fermeture d'un accès afin que l'abonnement Illimité puisse reprendre les envois sans nouvelle connexion. Ils sont supprimés dès que vous déconnectez Gmail dans votre espace, révoquez l'autorisation chez Google ou demandez la suppression de votre compte. Vous pouvez révoquer l'autorisation à tout moment depuis myaccount.google.com/permissions, sans passer par TocToc.

L'utilisation des informations reçues des API Google et leur transfert à toute autre application respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use).

6. Prestataires et transferts

Aucune donnée n'est vendue. Elle est partagée uniquement avec les prestataires nécessaires au fonctionnement du service, chacun lié par un contrat de sous-traitance :

• Stripe Payments Europe, Ltd. (Irlande) - paiement et facturation.
• Brevo (France) - envoi des emails du service, et des emails de rappels, conseils et offres si tu as coché la case.
• Google Ireland Ltd. - envoi des candidatures depuis votre compte Gmail, si vous l'avez connecté.
• WEBRAIN OÜ (is*hosting, Estonie ; serveurs à Dublin, Irlande) - hébergement du site et de la base.
• Scaleway SAS (France) - lecture de votre CV et rédaction des messages de candidature. Le traitement a lieu en France.
• Scaleway SAS (France, stockage à Paris) - conservation d'une copie de sauvegarde, chiffrée avant l'envoi : Scaleway ne détient pas la clé et ne peut pas la lire (voir l'article 7).

Les transferts hors Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne. Les données des utilisateurs sont hébergées dans l'Union européenne.

7. Durées de conservation

• Recherche gratuite, sans case cochée : 30 jours, puis suppression. Une demande de métier non couvert est gardée jusqu'à ce que tu sois prévenu, puis effacée sous 30 jours.
• Adresse avec la case cochée, ou désinscrite : jusqu'à trois ans après le dernier contact, puis suppression. C'est la durée que la CNIL admet pour la prospection ; elle sert à prouver ton accord, et à ne plus t'écrire une fois désinscrit.
• Mesure d'audience : des compteurs sans donnée personnelle, conservés 25 mois.
• Profil et CV (photo comprise) : durée de l'accès puis 12 mois, pour permettre la reprise d'une recherche. Suppression immédiate sur demande (les copies de sauvegarde suivent, voir plus bas).
• Historique d'envois et réponses indiquées manuellement : même durée que le profil.
• Jetons Gmail : supprimés à la déconnexion de la boîte, à la révocation chez Google ou à la suppression du compte.
• Accès fermé (après les 24 heures de l'essai gratuit, ou les 7 jours d'un ancien pack, sans abonnement) : liste, messages et relances sont conservés, non consultables, pour être rouverts par un abonnement ; supprimés avec le compte, sur demande.
• Factures et livre des recettes : 10 ans (obligation comptable ; cette durée ne peut pas être raccourcie sur demande).
• Données d'entreprises : actualisées périodiquement, purgées lorsqu'elles deviennent obsolètes ou sur demande de retrait.
• Sauvegardes : le serveur garde des copies de sauvegarde de la base et des CV, à accès restreint, deux mois au plus. Une copie par jour est aussi envoyée, chiffrée avant de quitter le serveur, chez notre prestataire de stockage (article 6) et supprimée automatiquement au bout de soixante jours. Elles ne sont jamais consultées, sauf pour remettre le service en marche après une panne. Une donnée effacée disparaît de la base tout de suite, et des sauvegardes au plus tard deux mois après, le temps que les copies qui la contiennent soient remplacées. Si une sauvegarde est restaurée, les effacements et les désinscriptions faits depuis sa date sont rejoués avant la remise en service : une personne effacée ne revient pas.

8. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment.

Ces droits s'exercent par simple email à contact@toctoc-alternance.fr. Une réponse est apportée dans un délai d'un mois. Aucun justificatif d'identité n'est demandé au-delà de ce qui est nécessaire pour vérifier que la demande émane bien de la personne concernée.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

9. Cookies

Le site n'utilise aucun cookie publicitaire, aucun traceur tiers et aucun outil de mesure d'audience nécessitant un consentement. C'est pourquoi aucune bannière de cookies n'est affichée.

Mesure d'audience. Le site compte ce qui s'y passe (une page vue, une recherche lancée, un prix affiché) sous forme de simples compteurs par jour, avec quelques informations grossières : la page, la provenance (par exemple « tiktok »), le type d'appareil (téléphone ou ordinateur), le métier et la ville choisis, et le code promo du lien s'il y en a un. Aucun identifiant, aucune adresse IP conservée, aucun cookie : rien ne permet de retrouver une personne, et aucune fiche de visiteur n'existe. Cette mesure respecte le signal « Do Not Track » et le « Global Privacy Control » de votre navigateur : si vous l'avez activé, rien n'est compté.

Ce qui est gardé dans votre navigateur, et seulement pour faire fonctionner le service que vous utilisez : la recherche en cours ; le code promo ou de parrainage du lien par lequel vous êtes arrivé, 30 jours, pour savoir d'où vous venez au moment d'ouvrir votre essai ou de vous abonner ; la provenance de votre visite (un mot, par exemple « tiktok »), le temps de l'onglet. Ces stockages sont exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés.

10. Sécurité

• Site servi intégralement en HTTPS, avec HSTS et une politique de sécurité de contenu stricte.
• Les polices de caractères sont servies par le site lui-même : afficher une page n'envoie aucune requête à Google ni à un autre tiers (hors Stripe, sur sa page de paiement de l'abonnement).
• Les données de carte bancaire ne transitent jamais par les serveurs du service : elles sont saisies directement chez Stripe.
• Les jetons d'accès à la messagerie sont chiffrés au repos.
• Accès aux données limité à l'éditeur, sur une base de moindre privilège.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, la CNIL est notifiée sous 72 heures et vous êtes informé lorsque le risque est élevé.

11. Modifications

Cette politique peut être modifiée pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page. Toute modification substantielle concernant un traitement fondé sur le consentement fait l'objet d'une information préalable.