Dernière mise à jour : 16 octobre 2026 (référence CGU version 2026-07-26)
AgoraHop SAS, SIREN 107 571 721, dont le siège social est situé 60 rue Principale, 62120 Aire-sur-la-Lys, France (ci-après AgoraHop) est responsable du traitement de vos données personnelles au sens du Règlement (UE) 2016/679 (RGPD).
Délégué à la protection des données (DPO) : dpo@agorahop.com
Nous collectons uniquement les données nécessaires aux finalités décrites ci-dessous, conformément à l'article 6 du RGPD.
Sauf durée plus courte indiquée dans le tableau, vos données sont conservées pendant la durée de votre compte et effacées immédiatement et définitivement lorsque vous le supprimez - données en base comme fichiers (CV, photos, lettres). Nous n'appliquons aucun délai de conservation intermédiaire après la fermeture du compte. Seules les durées assorties d'une purge automatique réellement en service sont annoncées ici ; les pièces comptables (factures, justificatifs de paiement) font l'objet d'une conservation légale de 10 ans, indépendante du compte.
| Finalité | Données | Base légale | Durée |
|---|---|---|---|
| Création et gestion de compte | Nom, prénom, email, mot de passe (hashé), rôle, langue d'interface | Exécution du contrat (art. 6.1.b) | Durée du compte. La suppression du compte (Paramètres) efface immédiatement et définitivement vos données et vos fichiers - aucun délai de conservation intermédiaire |
| Mise en relation candidat / recruteur | Profil, CV, expériences, compétences, localisation, et les éléments que vous choisissez d'ajouter : centres d'intérêt, favoris, anecdotes, devise, genre, liens LinkedIn/portfolio, et le résultat du test de personnalité (Big Five) si vous le passez. Nous en dérivons des représentations numériques (vecteurs) utilisées pour la recherche et le matching - elles ne sont jamais publiées | Exécution du contrat (art. 6.1.b) | Durée du compte, effacé avec lui. Le CV d'un compte dont l'email n'a pas été vérifié est supprimé automatiquement au bout de 14 jours |
| Assistance IA (CV, lettre, bilan) | Données de profil transmises à Mistral AI (voir §4) | Intérêt légitime / consentement (art. 6.1.f / 6.1.a) | Non conservé par Mistral (traitement à la volée). La suggestion de profil préparée à partir de votre CV est gardée au plus 72 heures sur nos serveurs, puis effacée |
| Candidature reçue via le logiciel de recrutement d'un recruteur (compte invité) | Nom, prénom, email, téléphone, lettre de motivation et lien vers le CV, tels que transmis par le recruteur auquel vous avez candidaté | Intérêt légitime (art. 6.1.f) - suivi de la candidature que vous avez adressée au recruteur | Compte invité supprimé automatiquement 90 jours après sa création s'il n'est pas activé, candidature comprise ; sinon, durée du compte |
| Vérification des comptes recruteurs | SIREN/SIRET, extrait Kbis, site web, page LinkedIn de l'entreprise, numéro de téléphone professionnel (code de vérification reçu par SMS) | Intérêt légitime - lutte contre les faux comptes recruteurs (art. 6.1.f) | Durée du compte, effacé avec lui |
| Gestion des abonnements et paiements | Données de facturation, référence client Stripe | Exécution du contrat + obligation légale (art. 6.1.b / 6.1.c) | Factures et justificatifs de paiement : 10 ans (obligation comptable), y compris après la suppression du compte |
| Boutique de goodies (points fidélité) | Nom, adresse de livraison, email, article commandé - uniquement si vous passez commande | Exécution du contrat (art. 6.1.b) | Durée du compte, effacé avec lui. L'adresse de livraison est transmise à Printful pour la fabrication et l'expédition (voir §4). Justificatifs comptables : 10 ans |
| Messagerie interne | Contenu des échanges entre utilisateurs | Exécution du contrat (art. 6.1.b) | Durée du compte : les messages sont effacés dès que l'un des deux interlocuteurs supprime son compte. Aucune purge intermédiaire |
| Géolocalisation temps réel (Check-in carte) | Position approximative, activée à votre initiative (autorisation explicite demandée par le navigateur ou le système, selon la plateforme) - jamais en arrière-plan | Consentement (art. 6.1.a) | 24 heures maximum (expiration automatique), ou suppression manuelle immédiate depuis l'application |
| Historique des rencontres (onglet Historique) | Trace des personnes croisées pendant un check-in : identifiant de l'autre utilisateur, position approximative et libellé du lieu, date. Enregistrée uniquement si vous étiez tous les deux en check-in au même moment, à moins de 100 m | Consentement (art. 6.1.a) - découle du check-in, que vous activez vous-même | L'historique consultable est limité aux 90 derniers jours. Les traces sont supprimées avec votre compte, et masquées immédiatement si vous bloquez la personne |
| Photo de profil | Accès à l'appareil photo et à la photothèque, à votre initiative, pour choisir ou mettre à jour votre photo de profil | Exécution du contrat (art. 6.1.b) | Durée du compte, remplacée/supprimée à votre demande |
| Notifications (application mobile) | Identifiant technique de notification push de l'appareil (aucune donnée de localisation ni de contacts) | Consentement (art. 6.1.a) | Jusqu'à désactivation des notifications ou suppression du compte |
| Profil public partageable (opt-in) | Nom, photo, poste, bio, compétences, personnalité - jamais email, téléphone ni CV. Indexable par les moteurs de recherche (Google, IA) | Consentement (art. 6.1.a) | Jusqu'au retrait (bascule « Connectés » dans Partager mon profil) |
| Sécurité du compte | Historique de connexion (adresse IP, navigateur, méthode de connexion), jetons de session, codes de connexion et de réinitialisation (hashés) | Intérêt légitime - sécurité (art. 6.1.f) | Historique de connexion : 180 jours (purge automatique). Jetons de session : 30 jours. Codes de réinitialisation : 3 heures. Tous supprimés automatiquement à expiration |
| Statistiques de clics sur les offres | Offre cliquée, date, identifiant de compte si connecté, empreinte tronquée de l'adresse IP | Intérêt légitime - mesure de la performance des offres (art. 6.1.f) | 90 jours en détail, puis agrégation quotidienne sans identifiant (purge automatique) |
| Origine de votre inscription (campagnes) | Si vous arrivez par une publicité ou un lien de campagne : la source, le support, le nom de la campagne et le visuel (par exemple « facebook », « paid_social »), enregistrés une seule fois, à la création de votre compte. Cette mesure ne dépose aucun cookie ni traceur sur votre appareil et ne conserve aucun identifiant publicitaire. Elle ne sert qu'à des statistiques agrégées (par exemple, combien de personnes arrivées par une campagne ont confirmé leur adresse, utilisé le service ou sont revenues), jamais à vous cibler ni à suivre votre activité individuellement | Intérêt légitime - mesurer l'efficacité de nos actions de communication (art. 6.1.f). Vous pouvez vous y opposer à tout moment (art. 21) en nous écrivant | Durée du compte, effacé avec lui. Incluse dans l'export de vos données |
| Mesure d'audience (Matomo) | Pages visitées, durée de session, IP anonymisée - aucun identifiant utilisateur, aucun cookie | Intérêt légitime - analytics anonymisées (art. 6.1.f) | 13 mois |
| Surveillance des erreurs (Sentry) | Traces techniques d'erreur, URL, navigateur - l'envoi des données personnelles est désactivé dans le SDK, aucun identifiant de compte n'est attaché aux événements | Intérêt légitime - qualité du service (art. 6.1.f) | 90 jours (rétention Sentry) |
AgoraHop fait appel aux sous-traitants suivants, qui traitent vos données pour notre compte et sur nos instructions, dans le cadre d'un accord de traitement (art. 28 RGPD) :
| Fournisseur | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement de l'ensemble de la plateforme : serveurs, bases de données, fichiers (CV, photos), cache et outils internes (Matomo, Photon, Valkey) | France (UE) |
| Brevo (ex-Sendinblue) | Envoi des emails transactionnels et des SMS de vérification des comptes recruteurs | France (UE) |
| Mistral AI | Traitement IA (CV, lettres, bilan carrière, matching) | France (UE) |
| Stripe Payments Europe Ltd | Traitement des paiements et facturation | Irlande (UE) - des transferts vers Stripe, Inc. (États-Unis) peuvent intervenir, encadrés par les Clauses Contractuelles Types (DPA Stripe) |
| Sentry (Functional Software, Inc.) | Surveillance des erreurs applicatives | Union européenne (région UE de Sentry, Francfort). L'éditeur est américain : son DPA inclut les Clauses Contractuelles Types pour tout accès résiduel depuis les États-Unis |
| Printful, Inc. | Fabrication et expédition des goodies commandés sur la boutique (nom, adresse de livraison, email) - uniquement si vous commandez | États-Unis et Lettonie (UE) selon le centre de production - Clauses Contractuelles Types (DPA Printful) |
| Overpass API (FOSSGIS e.V.) | Lieux à proximité au moment d'un check-in (coordonnées envoyées depuis nos serveurs, sans identifiant ni adresse IP de l'utilisateur) | Allemagne (UE) |
Certaines fonctionnalités chargent des ressources depuis des services tiers directement depuis votre navigateur ou votre téléphone. Ces services reçoivent alors l'adresse IP de votre appareil et les éléments indiqués ci-dessous ; nous ne leur transmettons ni votre identité ni votre compte :
| Fournisseur | Rôle | Localisation |
|---|---|---|
| OpenStreetMap Foundation | Fonds de carte (tuiles) des cartes affichées ; nom du quartier des points d'intérêt (hotspots) ; dans l'application mobile, nom de votre ville déduit de votre position lorsque vous activez la détection automatique | Royaume-Uni et Pays-Bas (serveurs de la fondation ; le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne) |
| Komoot GmbH (Photon) | Autocomplétion des villes dans les champs de recherche et de profil (le texte que vous saisissez) | Allemagne (UE) |
| DuckDuckGo, Inc. | Logo des entreprises affiché dans les offres et le profil (icône du site de l'entreprise), lorsque nous n'hébergeons pas ce logo nous-mêmes - ou Logo.dev (États-Unis) lorsque ce service est activé | États-Unis |
Si vous choisissez de vous connecter avec un compte tiers, le fournisseur d'identité concerné agit comme responsable de traitement pour son propre service : nous recevons de lui votre nom, votre email et un identifiant technique, rien de plus, et seulement sur votre action :
| Fournisseur | Rôle | Localisation |
|---|---|---|
| Google LLC | Connexion « avec Google » | États-Unis (Data Privacy Framework) |
| Apple Inc. | Connexion « avec Apple » | États-Unis (Data Privacy Framework) |
| LinkedIn Ireland Unlimited Company | Connexion « avec LinkedIn » | Irlande (UE) |
La mesure d'audience (Matomo), le cache et les sessions (Valkey), le géocodage côté serveur (Photon) et la géolocalisation approximative par adresse IP (base GeoLite2 lue localement, sans appel sortant) sont opérés sur nos propres serveurs chez OVH : aucun tiers n'y accède. Aucune donnée n'est revendue ni cédée. Les transferts hors Union européenne listés ci-dessus s'effectuent sous Clauses Contractuelles Types approuvées par la Commission européenne ou vers un pays bénéficiant d'une décision d'adéquation.
Certaines fonctionnalités d'AgoraHop utilisent des modèles d'intelligence artificielle fournis par Mistral AI (société française, serveurs en Europe) pour :
Ces traitements impliquent la transmission de données de votre profil à Mistral AI. Mistral AI n'utilise pas ces données pour entraîner ses modèles (traitement à la demande uniquement). Vous pouvez ne pas utiliser ces fonctionnalités et remplir votre profil manuellement - toutes les informations saisies manuellement sont gratuites.
AgoraHop met en œuvre des mesures techniques et organisationnelles adaptées au risque : chiffrement des communications (TLS 1.2+), hachage des mots de passe (bcrypt), accès restreints aux données personnelles, journalisation des accès et audits de sécurité réguliers.
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
Deux de ces droits s'exercent directement depuis l'application, sans nous écrire ni justifier votre identité : dans Paramètres, vous pouvez télécharger l'intégralité de vos données dans un fichier structuré (droits d'accès et de portabilité) et supprimer définitivement votre compte (droit à l'effacement). C'est immédiat.
Pour les autres droits, ou si vous préférez passer par nous, contactez notre DPO : dpo@agorahop.com. Nous répondons dans un délai d'un mois (prolongeable à 3 mois pour les demandes complexes). Une copie d'une pièce d'identité ne vous sera demandée que si un doute raisonnable subsiste sur votre identité.
Vous avez également le droit d'introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.
Cette politique peut être mise à jour pour refléter l'évolution de nos services ou des obligations légales. La date de dernière mise à jour figure en haut de cette page. En cas de modification substantielle, nous vous en informerons par email.
Pour toute question relative à cette politique : dpo@agorahop.com