Politique de confidentialité
Dernière mise à jour : 29 octobre 2026.
Responsable de traitement et contact
Le responsable du traitement de vos données personnelles est Jean-Luc Rominger, éditeur de ReachOutTrack (voir les mentions légales). Son adresse postale est communiquée sur demande à contact@reachouttrack.org. Pour toute question relative à vos données ou pour exercer vos droits, écrivez à contact@reachouttrack.org (référent RGPD).
Finalités et bases légales
Chaque traitement de vos données répond à une finalité précise, fondée sur l'une des bases légales prévues par le RGPD. Nous ne vendons ni ne louons vos données, et n'en faisons aucun usage publicitaire.
| Finalité | Données | Base légale |
|---|---|---|
| Faire fonctionner le service : compte, candidatures, contacts, entreprises, rappels, statistiques, partages, export | Adresse e-mail et mot de passe (chiffré de façon irréversible) ; profil et préférences (pseudo, prénom, nom, visibilité, thème) ; candidatures et leurs notes ; contacts, dont dates d'anniversaire et journal des échanges ; entreprises, listes d'entreprises et leurs partages ; formations ; activités ; rappels ; disposition de la carte du réseau | Exécution du contrat (CGU) |
| Importer votre archive LinkedIn, à votre demande | Contenu de l'archive que vous fournissez : relations, messages (y compris ceux de vos correspondants), invitations, recommandations, formations. Une analyse non validée est supprimée au plus tard 24 heures après. | Exécution du contrat (CGU) |
| Sécuriser votre compte et le service : vérification anti-robot, verrou après plusieurs échecs de connexion, quotas et limites anti-abus, double authentification, journal de sécurité, journal des accès de l'éditeur aux données | Adresse IP (transitoire) ; adresse e-mail en cas de verrouillage ; identifiant de compte ; facteurs de double authentification (application d'authentification, clés d'accès, codes de récupération) | Intérêt légitime (sécurité) |
| Superviser le bon fonctionnement technique | Données techniques sans information permettant de vous identifier | Intérêt légitime |
| Mesurer l'usage des fonctionnalités pour décider de leur évolution | Identifiant de compte, type d'action, date : journal des actions ; pour les exports pour assistant IA, seulement si vous avez accepté d'être contacté(e) par l'éditeur, sans aucun contenu exporté. Un compteur journalier des exports, sans aucun identifiant, complète cette mesure. | Intérêt légitime (évaluer l'utilité des fonctionnalités) |
| Vous contacter au sujet du service, si vous l'avez accepté dans votre profil | Adresse e-mail, prénom | Consentement, retirable à tout moment depuis votre profil |
Hébergement et sous-traitants
Vos données sont stockées dans l'Union européenne (Irlande). Le tableau ci-dessous détaille nos sous-traitants. Plusieurs d'entre eux sont des sociétés non européennes (Supabase, Vercel, Sentry, Cloudflare) : même lorsque les données restent stockées dans l'Union européenne, ces sociétés peuvent être soumises à des lois étrangères. Les transferts éventuels hors de l'Union sont encadrés par les clauses contractuelles types de la Commission européenne.
| Sous-traitant | Rôle | Localisation | Base légale |
|---|---|---|---|
| Supabase | Base de données et authentification | Données stockées dans l'Union européenne (Irlande) ; société non européenne, clauses contractuelles types | Exécution du contrat |
| Vercel | Hébergement du site et des fonctions serveur | Fonctions exécutées depuis l'Union européenne (Dublin) ; société américaine, garanties de transfert par clauses contractuelles types | Exécution du contrat |
| Brevo (Sendinblue SAS) | Envoi des e-mails liés à votre compte (confirmation d'inscription, réinitialisation de mot de passe, lien de connexion, code de déblocage d'un import LinkedIn ou career-ops) ; aucune communication commerciale | Union européenne (société française) | Exécution du contrat |
| Sentry | Supervision technique : détection des erreurs et mesure des performances côté serveur — aucune information permettant de vous identifier, conservée au maximum quatre-vingt-dix jours | Union européenne ; société américaine, clauses contractuelles types | Intérêt légitime |
| Cloudflare (Turnstile) | Protection des formulaires d'authentification (connexion, inscription, lien de connexion, réinitialisation du mot de passe) contre les créations de comptes automatisées et les tentatives d'accès par force brute, et de la demande d'un code de déblocage d'un import LinkedIn ou career-ops contre les demandes automatisées ; votre adresse IP lui est transmise le temps de la vérification et n'est pas conservée à cette fin ; ne dépose pas de cookie de suivi | États-Unis ; clauses contractuelles types | Intérêt légitime |
| OVHcloud (OVH SAS) | Hébergement de la messagerie de contact (contact@reachouttrack.org) : vos messages à l'éditeur, dont vos demandes d'exercice de droits, et les e-mails d'information qu'il vous adresse | Union européenne (société française) | Intérêt légitime (répondre à vos messages) ; obligation légale pour l'exercice de vos droits |
Accès de l'éditeur à vos données
Comme tout exploitant d'un service en ligne, l'éditeur dispose d'un accès technique à la base de données : la séparation entre comptes, qui empêche un utilisateur de voir les données d'un autre, ne s'applique pas à lui. Il ne consulte vos données que dans les quatre cas suivants, et jamais pour une autre raison (curiosité, prospection, revente, entraînement d'un modèle d'intelligence artificielle…) : 1. Support : à votre demande et avec votre accord écrit (un e-mail suffit). L'accord vaut pour cette demande seulement et pour les données utiles à la résoudre ; vous pouvez le retirer à tout moment par un nouvel e-mail. Sans accord, le support s'appuie sur ce que vous décrivez ou envoyez vous-même (captures d'écran, export de vos données). L'exercice de vos droits par e-mail relève de ce cas. 2. Incident de sécurité : pour détecter, comprendre ou corriger une violation de données ou une attaque. 3. Obligation légale : sur réquisition d'une autorité habilitée. 4. Exploitation et sécurité du service : limitée aux données techniques (quotas, verrous de connexion, journal des actions, état du service) et aux comptages agrégés (nombre de comptes, de fiches créées…), ainsi qu'à votre adresse e-mail, lue seulement pour vous envoyer une information que vous devez recevoir (modification des conditions d'utilisation ou de cette politique) ou que vous avez accepté de recevoir de l'éditeur ; jamais au contenu de vos contacts, entreprises, candidatures, notes et échanges. Vos données ne sont ni copiées ni extraites hors de l'hébergement de production (poste de l'éditeur, environnement de test, outil tiers), sauf pour vous remettre vos propres données à votre demande. Chaque accès est consigné dans un registre, sans aucune donnée permettant d'identifier une personne. La base tient en outre un journal technique des requêtes d'administration, conservé 13 mois, qui note l'heure et la nature de chaque requête sans ses valeurs : il dit quelles tables ont été consultées, pas quelles fiches. L'éditeur rapproche ce journal du registre chaque trimestre et en publie chaque année les chiffres dans un rapport de transparence. Limite assumée : l'éditeur administre lui-même ce journal, qui n'est pas contrôlé par un tiers. Un accès qui ne relèverait d'aucun de ces cas serait traité comme une violation de données, avec les notifications prévues ci-dessous. Le chiffrement de bout en bout n'est pas proposé aujourd'hui : vos données sont protégées pendant leur transport et chez l'hébergeur, mais l'éditeur peut techniquement les lire.
Cookies
ReachOutTrack n'utilise que des cookies strictement nécessaires au fonctionnement et à la sécurité du service, ou qui mémorisent des choix que vous avez faits. Aucun cookie de mesure d'audience ou publicitaire n'est déposé : conformément aux recommandations de la CNIL, aucun bandeau de consentement n'est donc nécessaire. Certaines préférences d'affichage et de confort sont également gardées dans le stockage local de votre navigateur : largeur du panneau de détail, sections repliées des formulaires, légende de la carte du réseau, choix « Rester connecté », filtres de la session en cours. Ces informations ne quittent jamais votre appareil et ne servent à aucun suivi.
| Cookie | Finalité | Durée |
|---|---|---|
| Session Supabase (sb-…) | Maintien de votre connexion | Jusqu'à votre déconnexion si « Rester connecté » est coché ; sinon jusqu'à la fermeture du navigateur |
| rot_session_persist | Mémorisation de votre choix « Rester connecté » | 1 an si « Rester connecté » est coché ; sinon jusqu'à la fermeture du navigateur |
| reachouttrack_theme | Mémorisation du thème d'affichage choisi | 1 an |
| reachouttrack_demo_mode | Activation du mode démonstration | 30 jours |
| rot_mfa_trusted_device | Mémorisation d'un appareil de confiance pour la double authentification | 10 jours si « Rester connecté » est coché ; sinon jusqu'à la fermeture du navigateur |
| rot_mfa_step_up | Vérification récente de la double authentification avant une action sensible | 5 minutes |
Durée de conservation
Vos données sont conservées pendant toute la durée de vie de votre compte. Vous pouvez exporter vos données à tout moment en libre-service depuis votre compte. Vous pouvez également, depuis votre profil, soit effacer toutes vos données en conservant votre compte, soit supprimer définitivement votre compte : dans les deux cas l'effacement est immédiat, en cascade sur l'ensemble de vos données, et sans restauration possible.
| Données | Durée de conservation |
|---|---|
| Compte, profil, candidatures, contacts, entreprises, listes d'entreprises, formations, activités, rappels, carte du réseau, facteurs de double authentification | Durée de vie du compte ; suppression immédiate en cascade en cas d'effacement |
| Preuve d'acceptation des CGU et de la politique de confidentialité (date et version acceptées) | Durée de vie du compte ; supprimée avec le compte, sans archivage ultérieur |
| Analyse d'une archive LinkedIn non validée | 24 heures au plus |
| Journal des actions (sécurité et statistiques d'usage) : échecs de connexion, actions sensibles ; peut contenir votre adresse e-mail en cas de verrouillage de connexion | 90 jours au plus |
| Verrou de connexion après plusieurs échecs (adresse e-mail) | 24 heures au plus après la dernière tentative ; supprimé immédiatement avec le compte |
| Vérification anti-robot (Turnstile) | Non conservée par ReachOutTrack (vérification transitoire) |
| Compteurs anti-abus (quotas par compte, limites de requêtes) ; demandes de déblocage d'un import LinkedIn ou career-ops (dates de la demande et de l'import, volumes prévus et importés) | Compteurs : 1 heure au plus ; journal des dépassements et demandes de déblocage : 90 jours au plus ; code de déblocage : le temps de sa validité (20 minutes) |
| Supervision technique (Sentry) | 90 jours au plus |
| Événements d'usage des exports pour assistant IA (type d'export et date, sans contenu), si vous avez accepté d'être contacté(e) par l'éditeur | 90 jours au plus ; effacés dès que vous retirez votre accord d'être contacté(e), et avec le compte |
| Journal technique des accès de l'éditeur à la base (heure et nature des requêtes, sans leurs valeurs ni identifiant de compte) | 13 mois |
Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition sur vos données personnelles, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés). Vous pouvez exercer ces droits en écrivant à contact@reachouttrack.org ; nous nous engageons à vous répondre dans un délai d'un mois, conformément à l'article 12 du RGPD. L'export et la suppression de vos données sont également disponibles en libre-service depuis votre compte. Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous disposez également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).
Suppression de vos données et de votre compte
Depuis votre profil, deux actions sont possibles. « Effacer toutes mes données » supprime vos candidatures, contacts, entreprises, formations, activités et listes, mais conserve votre compte, votre profil et vos préférences. « Supprimer définitivement mon compte » supprime en plus votre compte et libère votre adresse e-mail. Les deux prennent effet immédiatement et sont irréversibles. Après une suppression définitive, nous ne conservons aucune copie de vos données, y compris la trace de votre acceptation des CGU et de la présente politique. Seuls subsistent temporairement le journal des actions (sécurité et statistiques d'usage ; 90 jours au plus, pouvant contenir votre adresse e-mail en cas de verrouillage de connexion) et les compteurs anti-abus (1 heure au plus ; journal des dépassements 90 jours au plus, sans lien exploitable avec votre identité). Le motif et le commentaire facultatifs que vous indiquez sont conservés sans aucun identifiant, avec la seule date du jour, sur la base de notre intérêt légitime à améliorer le service. Les données que d'autres utilisateurs ont créées à votre sujet (par exemple une fiche contact vous concernant dans leur carnet) restent leur propriété : le rattachement à votre compte est simplement rompu et toute certification de lien est annulée. Les listes d'entreprises partagées cessent d'être accessibles.
Contacts que vous enregistrez
Les fiches contacts que vous créez ou importez (par exemple des recruteurs ou des relations professionnelles) contiennent des données personnelles de tiers, saisies par vous et non collectées directement auprès de ces personnes. C'est aussi le cas des messages importés depuis votre archive LinkedIn, qui contiennent les propos de vos correspondants. Vous êtes responsable de l'exactitude de ces informations et de leur usage conforme à leur finalité de suivi de votre recherche.
Violation de données
En cas de violation de données personnelles vous concernant susceptible d'engendrer un risque pour vos droits et libertés, nous vous en informerons dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD, et nous notifierons la CNIL sous 72 heures lorsque la réglementation l'exige.
Mises à jour de cette politique
Nous pouvons faire évoluer cette politique, notamment pour refléter des changements dans nos pratiques ou des évolutions réglementaires. Toute modification substantielle vous est signalée par e-mail au moins 15 jours avant son entrée en vigueur ; par exception, une modification imposée par la loi, ou qui renforce la protection de vos données, s'applique dès sa publication. Les corrections de forme s'appliquent dès leur publication. La date de dernière mise à jour figure en haut de cette page.