Politique de confidentialité

Données collectées

• Compte : nom, prénom, adresse électronique et identifiant, transmis par Clerk lors de votre inscription.
• Portfolio : tout ce que vous y saisissez, dont votre biographie, votre localisation, votre numéro de téléphone, vos expériences, vos formations, vos projets et vos liens sociaux.
• Fichiers : photo de profil, visuels de projets et pièces jointes que vous téléversez.
• Abonnement : identifiants Stripe, état et dates de votre abonnement.
• Consultations : pour chaque visite d'un portfolio public, une empreinte de l'adresse IP, le pays, le type d'appareil et la page d'origine.
• Mesure d'audience du site : voir la politique de cookies.

Nous ne voyons ni votre mot de passe ni vos moyens de paiement : ils sont détenus par Clerk et par Stripe, et ne transitent pas par nos serveurs.

Finalités et bases légales

• Créer et tenir votre compte, publier votre portfolio, gérer votre abonnement : exécution du contrat.
• Assurer la sécurité du service, prévenir les abus et répondre au support : intérêt légitime.
• Mesurer l'audience avec Umami, qui n'écrit rien sur votre appareil : intérêt légitime.
• Compter les consultations de votre portfolio pour vous en rendre compte : exécution du contrat.
• Analyser un portfolio ou rédiger une description à votre demande : exécution du contrat.

Fichiers téléversés

Les images et documents que vous ajoutez sont écrits sur le disque du serveur qui héberge le site, et servis à une adresse commençant par /storage/. Ils ne servent qu'à afficher votre portfolio.

Point à connaître avant de téléverser : cette adresse n'est protégée par aucun contrôle de visibilité. Un fichier reste accessible à qui en connaît l'adresse même après que le portfolio est repassé en privé, et tant qu'il n'a pas été effacé du disque. Ne déposez donc rien que vous ne seriez pas prêt à rendre public.

Mesure d'audience et publicité

Le site ne charge plus qu'Umami, hébergé par nos soins sur stats.saro.app. Umami ne dépose aucun cookie et n'écrit rien sur votre appareil : une visite est rattachée à une session par une empreinte calculée sur le serveur, dont le sel change chaque jour. Google Analytics et Google Ads ont été retirés le 22 août 2026 : plus aucune balise Google n'est chargée.

Consultations des portfolios

Chaque visite d'un portfolio public est comptée pour son propriétaire. L'adresse IP du visiteur n'est pas conservée : elle sert à calculer une empreinte, propre à chaque portfolio, qui évite de compter deux fois la même personne dans la journée. Ces empreintes sont effacées au bout de sept jours. Restent ensuite des totaux par jour, par pays, par type d'appareil et par page d'origine, qui n'identifient personne.

Fonctions d'intelligence artificielle

Quand vous demandez une analyse de votre portfolio ou la rédaction d'une description, le contenu concerné est transmis à OpenAI pour être traité. Selon la fonction appelée, cela comprend votre nom, votre biographie, votre localisation, vos employeurs, vos clients, vos projets et vos formations. Ces appels ne partent que sur votre action, et les analyses produites sont conservées dans votre portfolio.

Prospection sur X (Twitter)

Un module réservé à l'éditeur recherche sur X des messages publics annonçant une recherche d'emploi, de stage ou d'alternance, et enregistre le texte du message, son adresse, sa date, ainsi que le nom et l'identifiant public de son auteur, afin d'y répondre. Les personnes concernées n'ont pas de compte chez nous et disposent pourtant de tous les droits décrits plus bas : écrivez à contact@saro.app pour obtenir la suppression de ce qui vous concerne.

Destinataires et sous-traitants

Nous ne vendons aucune donnée. Les prestataires suivants en traitent pour notre compte :

• OVHcloud (OVH SAS, France) : hébergement du site, de la base de données et des fichiers.
• Clerk (Clerk.com, États-Unis) : inscription, connexion et gestion des comptes.
• Svix (États-Unis) : signature et acheminement des notifications envoyées par Clerk à notre serveur.
• Stripe (Stripe Payments Europe et Stripe Inc.) : paiement et gestion des abonnements.
• Resend (États-Unis) : envoi du message qui nous prévient d'une nouvelle inscription.
• OpenAI (OpenAI, États-Unis) : analyses et rédactions demandées depuis l'éditeur de portfolio.
• X (Twitter) : recherche des messages publics utilisés par le module de prospection.

À déclarer sans détour : chaque inscription déclenche l'envoi d'un message vers une boîte Gmail personnelle de l'éditeur. Ce message contient le nom, l'adresse électronique et l'identifiant du nouvel inscrit. Google est donc aussi destinataire de cette information.

Transferts hors de l'Union européenne

Clerk, Svix, Resend, OpenAI, X et une partie de Stripe sont établis aux États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y a adhéré, sur le cadre de protection des données entre l'Union européenne et les États-Unis.

Les versions précédentes de cette page invoquaient le Privacy Shield. Il a été invalidé en 2020 et ne fonde plus aucun transfert.

Durées de conservation

• Mesure d'audience du site (Umami) : 25 mois, plafond recommandé par la CNIL.
• Empreintes servant à dédoublonner les visites d'un portfolio : 7 jours, purge exécutée à chaque visite enregistrée.
• Statistiques de consultation agrégées par jour : À COMPLÉTER
• Compte, portfolio et fichiers téléversés : À COMPLÉTER
• Abonnement et pièces comptables : À COMPLÉTER
• Analyses et descriptions produites par l'intelligence artificielle : À COMPLÉTER
• Messages publics collectés sur X : À COMPLÉTER
• Notifications d'inscription reçues par courrier électronique : À COMPLÉTER

Une durée annoncée ne vaut que si un mécanisme l'applique. Celle de sept jours fonctionne déjà, celle de 25 mois est en cours de mise en place, les autres restent à fixer.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre mort. Pour les exercer, écrivez à contact@saro.app. Ces droits valent aussi pour les personnes dont nous détenons des données sans qu'elles aient de compte, notamment les auteurs des messages publics collectés sur X.

Il n'existe pas encore de bouton de suppression de compte dans l'application : une demande adressée à contact@saro.app est traitée à la main.

Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, 75334 Paris Cedex 07, www.cnil.fr.

Sécurité

Les échanges avec le site sont chiffrés par TLS. Les mots de passe sont détenus par Clerk et ne transitent jamais par nos serveurs. Les données de carte sont traitées par Stripe, certifié PCI-DSS. Le serveur, la base de données et les fichiers sont administrés par l'éditeur, en France.