RGPD : le dossier que votre DPO va demander

Aucune pour démarrer : vous diffusez un lien, chaque étudiant crée son compte (ou se connecte avec son compte école) et consent lui-même. Aucun CV ne transite jamais par l'établissement — il n'existe aucun chemin, dans le produit, pour en téléverser. Si vous choisissez d'éviter la ressaisie, un export de votre logiciel de scolarité (adresses, formations, dates de rentrée, état des contrats) peut être importé : c'est facultatif, journalisé, et nous le traitons alors comme votre sous-traitant. Sans cet import, rien de nominatif ne vient de vous.

Sur les données de votre promotion affichées dans votre portail, votre établissement est responsable de traitement et CV Mastery agit comme sous-traitant, encadré par un accord au sens de l'article 28 du RGPD. Sur le compte personnel de l'étudiant et son usage du produit, CV Mastery est responsable de traitement : le compte lui appartient et lui survit à votre contrat.

La base de données, les fichiers (CV, lettres) et le serveur applicatif sont hébergés par Google Cloud aux États-Unis, région us-central1 (Iowa), encadrés par les clauses contractuelles types et le cadre EU-US Data Privacy Framework. Une partie des sous-traitants est dans l'Union européenne. Si une localisation européenne est une condition pour votre établissement, dites-le avant le premier compte étudiant : c'est une migration, elle se décide au départ.

Non. Le mode nominatif exige l'abonnement de l'établissement ET le consentement explicite de l'étudiant, arbitrés côté serveur — un paramètre envoyé par le navigateur est une demande, jamais une décision. Les consultations nominatives sont journalisées séparément des actions : consulter n'est pas modifier, et c'est « qui a vu qui » que demande un DPO.

Les actions sensibles de votre établissement : invitations, exports, consultations nominatives, changements de réglage, suspension des envois, retraits de consentement. Il est en ajout seul et lisible par le personnel de votre établissement. Le contenu des notes de suivi pédagogique n'y figure jamais : le journal enregistre qu'une note existe, pas ce qu'elle dit.

Votre établissement exporte à tout moment, lui-même, l'intégralité de ce que la plateforme détient pour lui. À l'échéance, l'accès du portail se ferme. Les comptes étudiants, eux, appartiennent aux étudiants : ils continuent d'exister s'ils le souhaitent, hors de votre périmètre.

Non. Les documents sont analysés par un modèle tiers appelé à la demande, et ni nous ni nos sous-traitants ne les réutilisons pour entraîner un modèle.