Responsable du traitement
REX est un outil de recherche d'emploi assistée, gratuit, en version bêta et sur invitation. Le responsable du traitement de tes données est Allan Duval, particulier, qui développe et administre REX à titre personnel, sans but commercial (l'administrateur). Il se joint à l'adresse de contact en bas de cette page.
Il n'y a ni publicité, ni revente, ni exploitation commerciale de tes données, ni mesure d'audience.
Connexion avec Google
Si tu choisis « Continuer avec Google », REX demande uniquement les autorisations « openid email profile » : ton adresse e-mail, ton nom et l'identifiant de ton compte Google. Ils servent seulement à te reconnaître et à ouvrir ta session. Cette connexion ne donne accès ni à Gmail, ni à Drive, ni à tes contacts, ni à ton agenda.
L'usage et le transfert vers toute autre application des informations reçues des API Google respectent le Règlement sur les données utilisateur dans les services d'API Google, y compris les exigences d'usage limité. Ces informations ne sont ni vendues, ni utilisées pour de la publicité, ni partagées, ni utilisées pour entraîner un modèle d'IA.
Règlement sur les données utilisateur dans les services d'API Google
Ce que REX enregistre
Seule ton adresse e-mail est indispensable : sans elle, pas de compte ni de connexion. Tout le reste est facultatif et vient de toi ou de ce que tu fais dans REX.
- Ton compte : adresse e-mail, nom, identifiant Google si tu l'utilises, rôle, dates de création, de dernière connexion et d'acceptation des conditions.
- Le contenu de ta recherche : profil (identité, expériences, compétences, langues, recherche), CV et gabarits, offres suivies et leur historique, dossiers et lettres préparés, réponses types, réglages.
- Les contacts que tu ajoutes : ce sont des données de tiers, que tu es seul à voir.
- Tes clés d'IA et de Jev, chiffrées et jamais réaffichées, même partiellement ; ta phrase de validation, dont seule une empreinte à sens unique est gardée.
- Tes accords : acceptation des conditions (date et version), envoi à ton fournisseur d'IA, consultation de ton REX par l'administrateur.
- Un journal d'activité (actions, erreurs, appels d'IA avec un extrait de ce qui a été envoyé et reçu) et ta présence : en ligne ou non, et le nom de l'écran ouvert, jamais son contenu ni ce que tu tapes.
- Pour la sécurité de la connexion : les codes reçus par e-mail (seulement leur empreinte), tes sessions (dates, jamais le cookie lui-même) et, contre les abus, des empreintes à sens unique de ton adresse et de ton adresse IP, jamais l'adresse IP en clair.
- Un journal des e-mails que REX envoie (type, date, envoyé ou non) : jamais l'adresse, le contenu, le code ni le lien.
- Si tu connectes Google Drive (facultatif) : l'accès que tu accordes chez Google, pour enregistrer tes CV et une sauvegarde de ta recherche dans ton Drive et lire un dossier de modèles de CV.
- Une éventuelle note de l'administrateur sur ton compte : un pense-bête pour organiser la bêta, qui t'est communiqué sur simple demande.
Pourquoi, et sur quelle base légale
- Fournir le service que tu demandes (créer et protéger ton compte, te connecter, garder et traiter ta recherche, collecter et noter des offres, préparer tes dossiers, t'envoyer les e-mails liés à ton compte) : exécution du contrat, c'est-à-dire des conditions d'utilisation que tu acceptes (article 6.1.b du RGPD).
- Sécuriser REX et prévenir les abus (limites de connexion, phrase de validation, sessions, journal d'activité, journaux techniques) : intérêt légitime de l'administrateur à protéger le service et ses membres (article 6.1.f du RGPD).
- Administrer la bêta (ce que voit l'administrateur, son journal des actions sur les comptes, sa note, l'avis qu'il reçoit quand un compte est supprimé, l'e-mail avant la suppression d'un compte inactif) : intérêt légitime à faire fonctionner une bêta sur invitation (article 6.1.f du RGPD). Tu peux t'y opposer (voir « Tes droits »).
- Envoyer ton profil ou ton CV à ton fournisseur d'IA, et laisser l'administrateur voir ton REX : ton consentement (article 6.1.a du RGPD), demandé au moment voulu, que tu peux retirer à tout moment sans que cela remette en cause ce qui a été fait avant.
Envoi à ton fournisseur d'IA
REX n'appelle l'IA pour toi qu'avec ton accord, demandé une seule fois, avant le premier envoi. Pour analyser une offre, adapter ton CV, écrire une lettre ou te répondre dans le chat, il envoie le texte nécessaire : l'annonce et des extraits de ton profil ou de ton CV. Jamais ta phrase de validation ni tes clés.
Le destinataire est le fournisseur dont tu as enregistré la clé (Anthropic, OpenAI, Google (Gemini), Mistral, OpenRouter ou OpenCode), ou celui de la clé que l'administrateur t'a partagée, sur son compte. Il traite ces textes selon ses propres conditions, souvent hors de l'Union européenne.
Tu retires ton accord d'un clic dans « Mon compte » : REX cesse aussitôt d'appeler l'IA pour toi ; tout le reste fonctionne. La notation des offres ne dépend jamais de l'IA.
Ce que voit l'administrateur
Pendant la bêta, l'administrateur voit pour chaque compte : la présence et le nom de l'écran ouvert, la dernière connexion et la dernière activité, le journal d'activité et l'usage de l'IA, et si une clé est enregistrée (oui ou non, jamais la clé). Il peut exporter les données d'un compte, par exemple avant de le supprimer ; chaque export et chaque consultation d'activité sont inscrits à son journal. Il ne voit jamais tes clés, ta phrase de validation ni tes codes de connexion.
Seulement si tu l'autorises (page « Mon compte », avec ta phrase de validation), pour la durée que tu choisis (24 heures au plus), l'administrateur peut voir ton REX comme toi, en lecture seule : il ne peut rien modifier ni rien lancer en ton nom, ni utiliser ton IA. Chaque écran consulté est inscrit dans ton journal, et tu retires l'accès d'un clic : il prend fin aussitôt.
Pas de décision automatisée sur toi
REX note et trie les offres d'emploi selon leur adéquation à ton profil, par des règles fixes que tu peux régler. Cette note porte sur les offres, pas sur toi : elle ne produit aucun effet juridique te concernant et ne décide rien à ta place. Rien ne part à un recruteur sans ta validation.
Destinataires et sous-traitants
- Cloudflare, Inc. (États-Unis), hébergeur : REX, sa base de données (située en Europe de l'Ouest), la conversion des documents en PDF et les journaux techniques. Le code de REX s'exécute dans le réseau mondial de Cloudflare, en général au plus près de toi.
- Resend (Plus Five Five, Inc., États-Unis) : envoi des codes de connexion et des avis liés à ton compte, depuis sa région Union européenne ; l'entreprise traite aussi des données aux États-Unis. REX ne crée chez Resend aucune liste de contacts : seulement l'envoi de chaque e-mail.
- Google (Google Ireland Limited pour l'Espace économique européen) : seulement si tu te connectes avec Google ou connectes Google Drive.
- Le fournisseur d'IA que tu choisis (Anthropic, OpenAI, Google (Gemini), Mistral, OpenRouter ou OpenCode) : seulement avec ton accord (voir « Envoi à ton fournisseur d'IA »).
- Jev, l'assistant de second avis, si tu l'actives avec ta clé (TypeSafe, ou OpenRouter, Inc., États-Unis) : il reçoit les offres à relire et tes critères de recherche (métiers, lieux, contrats), jamais ton nom, ton adresse ni ton CV.
- Ton propre agent, si tu le connectes avec un jeton d'accès : il lit et écrit ce que ce jeton autorise, depuis ton ordinateur.
- Les sites d'offres d'emploi publics (Business France, France Travail, Adzuna, et les pages carrières des entreprises) : REX leur demande des offres avec des mots-clés de recherche et un lieu, depuis ses propres serveurs ; il ne leur envoie jamais ton nom, ton adresse ni ton CV.
- Les recruteurs : seulement ce que tu valides toi-même dans un dossier de candidature.
Transferts hors de l'Union européenne
Cloudflare, Resend et Google sont certifiés au cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework), reconnu adéquat par la Commission européenne, et s'appuient aussi sur les clauses contractuelles types de la Commission. OpenRouter s'appuie sur ces clauses contractuelles types.
Pour le fournisseur d'IA que tu choisis, ce sont ses conditions, que tu acceptes auprès de lui, qui encadrent le transfert (en général les mêmes clauses contractuelles types ou le même cadre de protection des données).
Combien de temps
- Ton compte et le contenu de ta recherche : tant que ton compte existe, et tu peux le supprimer à tout moment.
- Compte inactif : sans aucune connexion ni activité pendant 2 ans, tu es prévenu par e-mail ; sans connexion dans les 30 jours qui suivent, ton compte et toutes ses données sont supprimés.
- Demande d'accès refusée ou restée sans réponse : 6 mois, puis effacée.
- Code de connexion : valable 10 minutes, effacé dès qu'il sert, et au plus tard dans la journée.
- Session : fermée après 30 jours sans visite, au plus tard 90 jours après la connexion ; sa trace est effacée 7 jours après sa fin.
- Empreintes contre les abus à la connexion : un jour.
- Journal d'activité et traces des appels d'IA : 3 jours et 2 500 lignes au plus par compte.
- Journal des e-mails envoyés et des synchronisations planifiées : 30 jours par défaut, puis effacé au fil de l'eau. Jamais plus de 365 jours.
- Lien d'invitation expiré ou révoqué : effacé 30 jours après ; un lien utilisé reste lié à ton compte, comme trace de ton arrivée.
- Journal de l'administrateur (ses actions sur les comptes) : 2 ans ; après la suppression d'un compte, il ne garde plus son identité.
- Historique de restauration de la base chez Cloudflare : 30 jours au plus (voir « Ce que REX ne peut pas effacer lui-même »).
- Journaux techniques du service chez Cloudflare (requêtes reçues, erreurs) : 7 jours au plus.
Suppression de ton compte
Un membre supprime lui-même son compte depuis la page « Mon compte », après avoir téléchargé ses données s'il le souhaite. Tout ce qui est lié au compte est effacé de la base de REX, sans attendre : profil, CV, offres, dossiers, contacts, réglages, journaux, sessions, clés, jetons et accords.
Le journal de l'administrateur garde seulement la trace de ce qui a été fait, avec « compte supprimé » à la place de ton identité. L'administrateur est prévenu par e-mail (ton adresse seulement), et l'accès éventuellement donné à Google Drive est révoqué chez Google.
Tu peux aussi retirer à tout moment l'accès de REX à ton compte Google depuis les réglages de sécurité de Google.
Ce que REX ne peut pas effacer lui-même
- Les sauvegardes de la base : l'historique de restauration de Cloudflare garde l'état de la base 30 jours au plus. Une donnée effacée peut y subsister jusqu'à 30 jours, puis disparaît ; il ne sert qu'à réparer la base après un incident, et une restauration n'est jamais faite pour rendre une donnée effacée.
- Ce qui a déjà été envoyé à ton fournisseur d'IA : il le garde selon ses propres conditions (souvent quelques semaines, pour la sécurité). Vois avec lui, depuis ton compte chez lui.
- Les e-mails que tu as déjà reçus, dans ta boîte, et ce que tu as envoyé à un recruteur.
- Ce que ton propre agent ou ton Google Drive ont enregistré de leur côté : cela reste chez toi.
Sécurité
- Connexion chiffrée (HTTPS) uniquement ; cookie de session réservé au domaine de REX et inaccessible aux scripts.
- Pas de mot de passe à retenir : connexion par Google ou par un code à usage unique envoyé par e-mail.
- Clés chiffrées ; codes, phrases et jetons gardés seulement sous forme d'empreinte.
- Les requêtes envoyées par la page d'un autre site sont refusées.
- Les actions qui engagent ton nom (valider un dossier, créer un jeton d'accès…) demandent ta phrase de validation.
- En cas de violation de données présentant un risque pour toi, la CNIL est prévenue dans les 72 heures et tu es informé sans tarder.
Tes droits
Tu disposes des droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition, et du droit de retirer ton consentement à tout moment (articles 7 et 15 à 21 du RGPD). Voici où les exercer dans REX :
Accès et portabilité : « Mon compte » › Export de mes données : un fichier JSON lisible avec toutes tes données, sans aucun secret. La note de l'administrateur sur ton compte, s'il en a écrit une, t'est communiquée sur demande.
Rectification : Ton nom dans « Mon compte » ; ton profil (identité, expériences, compétences, langues, recherche, fichier maître) dans Admin › Mon profil ; tes offres, contacts, réponses types, gabarits et réglages là où tu les vois. Ton adresse e-mail sert d'identifiant : pour la changer, écris à l'administrateur.
Effacement : « Mon compte » › Supprimer mon compte : tout est effacé de la base, sans attendre. Une offre, un contact, une clé ou un jeton se retirent aussi un par un, là où tu les vois.
Retrait d'un accord : « Mon compte » : l'envoi à ton fournisseur d'IA et la consultation de ton REX par l'administrateur se retirent d'un clic. Google Drive se déconnecte dans Admin, et chez Google à tout moment.
Opposition et limitation : Écris à l'adresse de contact. Tu peux aussi, toi-même, couper l'IA (retire ton accord ou ta clé), déconnecter Google Drive et révoquer le jeton de ton bot.
Pour tout le reste, écris à l'adresse de contact en bas de cette page. Tu peux aussi définir des directives sur le sort de tes données après ton décès (directives post-mortem, article 85 de la loi Informatique et Libertés).
Une réponse t'est donnée dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (article 12 du RGPD) ; une preuve d'identité peut être demandée en cas de doute raisonnable sur ton identité.
Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (Commission nationale de l'informatique et des libertés).
Public
REX est réservé aux personnes de 18 ans et plus en recherche d'emploi. Il ne collecte pas sciemment de données de personnes plus jeunes ; si c'est le cas, écris à l'adresse de contact et le compte sera supprimé.
Changements
La date de dernière mise à jour figure en haut de cette page. Quand les conditions changent, REX te demande de les accepter à nouveau à ta prochaine ouverture.
Contact
Pour toute question ou demande sur tes données : rex@allanduval.com.