Confidentialité
Politique de confidentialité
Job-ESport collecte le strict nécessaire au fonctionnement du service. Cette politique décrit qui traite quelles données, sur quelle base légale, combien de temps, et comment exercer vos droits.
Dernière mise à jour : 2026-05-16
Responsable de traitement
Le responsable de traitement est l'association Job-ESport (loi 1901), joignable à contact@job-esport.fr.
Le référent données personnelles (DPO) est joignable à dpo@job-esport.fr. Délai de réponse aux demandes RGPD : inférieur à un mois.
Bases légales (article 6 RGPD)
| Traitement | Base légale |
|---|---|
| Inscription / authentification | Exécution du contrat (CGU) |
| Publication d'offres et candidatures | Exécution du contrat |
| Notifications transactionnelles | Intérêt légitime |
| Newsletter éditoriale | Consentement explicite |
| CVTech (visibilité du CV) | Consentement explicite (opt-in séparé) |
| Analytics Plausible | Intérêt légitime (anonymisé, sans cookies) |
| Facturation | Obligation légale (10 ans) |
Données collectées
Nous appliquons un principe strict de minimisation :
- Identité : pseudo + email + âge déclaré (≥ 15 ans), aucune date de naissance complète.
- Profil métier : compétences, jeux, niveau, ville approximative.
- Candidatures : CV (opt-in), réponses aux questions custom, messages internes.
- Activité : favoris, alertes, statuts d'offres, journaux d'audit (connexions admin, validations).
- Facturation Pro/Entreprise : raison sociale, adresse, factures Stripe.
Aucune adresse postale n'est demandée pour les comptes gratuits. Aucun profilage publicitaire n'est effectué.
Durées de conservation
| Donnée | Durée |
|---|---|
| Comptes inactifs | Warning à 24 mois, suppression à 36 mois |
| Compte supprimé (droit à l'oubli) | Soft-delete 30 jours puis suppression définitive |
| Candidatures | 2 ans après dernière interaction puis anonymisation |
| Messages | Supprimés avec la candidature |
| Factures Stripe | 10 ans (obligation fiscale, anonymisées) |
| Logs serveurs | 12 mois maximum |
| Logs sécurité | 6 mois (recommandation CNIL) |
| Audit logs admin | 5 ans |
Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants, exerçables directement depuis votre espace ou par email à dpo@job-esport.fr :
- Accès & portabilité — export JSON complet depuis votre profil.
- Rectification — modification du profil depuis l'espace utilisateur.
- Effacement — suppression du compte depuis le profil (soft-delete 30 jours puis suppression définitive).
- Limitation — option « Restreindre le traitement » sur le profil.
- Opposition — désabonnement newsletter en 1 clic, opt-out marketing.
- Décisions automatisées — le ranking des clubs est documenté et contestable par email au DPO.
- Réclamation CNIL — vous pouvez à tout moment saisir la CNIL (cnil.fr/fr/plaintes).
Anonymisation CVTech
Par défaut, un candidat inscrit à la CVthèque (opt-in) est visible des recruteurs sous pseudonyme, avec uniquement ses compétences, jeux, niveau et ville approximative. L'identité réelle, l'email et le CV ne sont dévoilés qu'après acceptation du contact par le candidat.
Sous-traitants
Un accord de traitement des données (DPA) est signé avec chaque sous-traitant. Tous les transferts hors UE sont encadrés par les Clauses Contractuelles Types (SCC) et, lorsque applicable, par le Data Privacy Framework (DPF).
| Sous-traitant | Pays | Rôle | Encadrement |
|---|---|---|---|
| MongoDB Atlas | UE (Frankfurt) | Base de données | DPA |
| Scaleway | FR | Hébergement, stockage | DPA |
| Resend | UE | Emails transactionnels | DPA |
| Stripe | US | Paiement | DPA + SCC + DPF |
| HelloAsso | FR | Donations | DPA |
| Sentry | US | Observabilité (PII filtré) | DPA + SCC + DPF |
| Plausible | UE | Analytics anonymisés | DPA |
| Cloudflare | US | WAF / CDN | DPA + SCC + DPF |
Sécurité (article 32)
- Chiffrement at rest (MongoDB Atlas + Scaleway SSE).
- Chiffrement en transit (TLS 1.3 minimum).
- Hachage des mots de passe avec Argon2id et vérification contre la base HaveIBeenPwned.
- 2FA TOTP (obligatoire pour les administrateurs).
- Audit log immuable append-only pour les actions sensibles.
- Filtrage automatique des PII dans les journaux (Pino + Sentry beforeSend).
- Scan antivirus (ClamAV) sur les fichiers uploadés (justificatifs club).
- Tests de restauration backup trimestriels.
Procédure incident
En cas de violation de données : containment immédiat, investigation, notification à la CNIL sous 72 heures si risque pour les droits et libertés, notification aux personnes concernées si risque élevé, postmortem documenté.
Protection des mineurs
Âge minimum : 15 ans. Pour les 13-15 ans, un consentement parental préalable est requis (email du parent + lien de validation). Aucun profilage et aucun marketing direct ne sont effectués vers des mineurs.
Cookies
Job-ESport n'utilise aucun cookie de tracking ni d'analytics avec identifiant. Voir le détail sur la page Cookies.