Politique de confidentialité

Chez beBee, nous prenons très au sérieux la protection de vos données personnelles. La présente Politique de confidentialité explique de manière transparente quelles données nous collectons, pourquoi nous les collectons, comment nous les utilisons, avec qui nous les partageons et quels sont vos droits.

Cette Politique s'applique à l'utilisation de bebee.com et de toutes ses applications, fonctionnalités et services associés (les « Services »).

beBee est constituée en Espagne (UE) et se conforme au Règlement général sur la protection des données (RGPD) et à la législation applicable de l'Union européenne et de l'Espagne comme cadre juridique principal. Par souci de bonnes pratiques et de respect envers nos utilisateurs dans le monde entier, nous décrivons également dans cette Politique les droits en matière de protection des données reconnus par les lois d'autres pays où résident nos utilisateurs, afin que vous puissiez comprendre et exercer vos droits quel que soit votre lieu de résidence.

Le responsable du traitement de vos données personnelles est :

beBee PLATFORM S.L.
Calle de la Virgen de los Peligros 11, 3e étage
28013 Madrid, Espagne
N° d'identification fiscale : ESB84471838
E-mail : privacy@bebeecorp.com

Délégué à la protection des données (DPO) : beBee dispose d'un Délégué à la protection des données, joignable à privacy@bebeecorp.com. Le DPO sert également de point de contact pour les demandes relatives à la protection des données des utilisateurs de tous les pays, y compris celles requises en vertu de la LGPD brésilienne (encarregado).

3.1 Données que vous fournissez

• Inscription et compte : nom, e-mail, mot de passe (chiffré), langue.
• Profil professionnel : titre, biographie, expérience, formation, compétences, localisation, photo, téléphone (facultatif), réseaux sociaux.
• Activité professionnelle : candidatures, alertes, demandes de services, propositions, messages, avis, articles.
• Données de paiement : traitées directement par Stripe. beBee ne stocke que l'identifiant client Stripe et l'historique des transactions.

3.2 Données de tiers

• Google/LinkedIn (OAuth) : nom, e-mail, photo de profil.
• Sources d'emploi externes : données d'offres d'emploi (pas de données personnelles des utilisateurs).

3.3 Données générées automatiquement

• Données techniques : adresse IP, type de navigateur, système d'exploitation, type d'appareil.
• Données d'utilisation : pages visitées, actions effectuées, recherches réalisées.
• Données e-mail : ouvertures, clics, rebonds (pour les communications de service).
• Données push : point de terminaison chiffré, clés, préférences de notification.
• Données dérivées : classification professionnelle (IA), scores de compatibilité, niveau de tarification PPA.

3.4 Données sensibles
Nous ne collectons pas délibérément de données personnelles sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses, données de santé, orientation sexuelle). Si de telles données sont involontairement incluses dans du contenu généré par l'utilisateur (par exemple un CV), nous les traitons uniquement pour fournir le Service et les supprimons sur demande.

4.1 Fourniture du service (exécution du contrat) : gestion du compte, profil, fonctionnalités d'emploi, marketplace, messagerie, paiements, support client.

4.2 Personnalisation et amélioration (intérêt légitime) : recommandations, optimisation de la recherche, amélioration des algorithmes, analyse statistique.

4.3 Communications (intérêt légitime/consentement) : communications de service, alertes emploi, notifications push, marketing (uniquement avec consentement).

4.4 Sécurité (intérêt légitime) : détection de fraude, vérification d'identité, modération du contenu, prévention des abus.

4.5 Conformité légale (obligation légale) : obligations fiscales, exigences réglementaires, requêtes judiciaires.

4.6 Analyse de marché (intérêt légitime) : statistiques agrégées, rapports anonymisés, amélioration de l'IA.

4.7 Analyses (consentement) : lorsque vous acceptez les cookies analytiques, nous utilisons Google Analytics (GA4) via Google Tag Manager pour comprendre comment les utilisateurs interagissent avec la Plateforme. Ces données servent à améliorer l'expérience utilisateur. Aucune donnée analytique n'est collectée sans votre consentement.

5.1 En vertu du RGPD (UE/EEE/Royaume-Uni)
Nous traitons vos données en vertu de l'article 6 du RGPD sur les bases suivantes : exécution du contrat (compte, services, paiements), intérêt légitime (personnalisation, sécurité, analyse, modération), consentement (marketing, cookies analytiques, notifications push) et obligation légale (conformité réglementaire).

Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment. Lorsqu'il est fondé sur l'intérêt légitime, nous avons effectué des évaluations de proportionnalité.

5.2 En vertu de la LGPD (Brésil)
Pour les utilisateurs brésiliens, nous traitons les données personnelles en vertu de l'art. 7 de la LGPD sur les bases suivantes : consentement (art. 7-I), exécution du contrat (art. 7-V), intérêt légitime (art. 7-IX) et obligation légale (art. 7-II). Vous avez le droit de demander la confirmation du traitement, l'accès, la rectification, l'anonymisation, la portabilité, la suppression et des informations sur les données partagées (art. 18 LGPD).

5.3 Pour les utilisateurs hors UE
Bien que beBee soit principalement régie par le droit de l'UE, nous reconnaissons les droits de protection des données établis par d'autres juridictions par souci de bonnes pratiques :

• Californie (CCPA/CPRA) : beBee ne vend pas vos informations personnelles et ne les partage pas à des fins de publicité comportementale intercontextuelle.
• Brésil (LGPD) : Nous reconnaissons les droits établis par l'art. 18 de la LGPD (voir Section 11).
• Canada, Afrique du Sud, Thaïlande, Singapour et autres juridictions : Nous appliquons les mêmes normes de protection des données que celles que nous suivons en vertu du RGPD, qui répondent généralement aux exigences locales ou les dépassent.

6.1 Avec d'autres utilisateurs : profil public selon vos paramètres ; coordonnées uniquement avec relation préalable et abonnement Premium.

6.2 Avec des prestataires de services : AWS (infrastructure, région UE), Stripe (paiements, conforme PCI), Google (OAuth, Analytics — uniquement avec consentement), LinkedIn (OAuth), Anthropic (IA, données anonymisées uniquement), Sentry (surveillance des erreurs). Tous les prestataires opèrent dans le cadre d'accords de traitement des données (DPA) et de clauses contractuelles types (CCT) lorsque cela est requis.

6.3 Offres externes : nous ne partageons pas vos données lorsque nous vous redirigeons vers des sites d'emploi externes. Vous quittez la Plateforme et êtes soumis aux conditions de ce site.

6.4 Avec les autorités : lorsque la loi, une décision de justice ou la protection de la sécurité des utilisateurs l'exige.

6.5 Opérations sociétaires : en cas de fusion, acquisition ou vente d'actifs, vous serez informé à l'avance et vos données resteront soumises à la présente Politique de confidentialité.

6.6 Ce que nous ne faisons PAS :

• Nous ne vendons jamais vos données personnelles.
• Nous ne partageons jamais vos données à des fins de marketing tiers sans votre consentement explicite.
• Nous ne partageons jamais vos coordonnées sauf si les conditions de visibilité sont remplies (relation préalable + Premium).
• Nous n'utilisons jamais vos données pour entraîner des modèles d'IA.

Vos données sont principalement stockées dans l'UE (AWS eu-west-1, Irlande). Lorsque des transferts en dehors de l'EEE ont lieu, nous veillons à ce que des garanties adéquates existent :

• Décisions d'adéquation de la Commission européenne.
• Clauses contractuelles types (CCT) approuvées par la Commission européenne.
• Mesures supplémentaires (chiffrement en transit et au repos, pseudonymisation, contrôles d'accès).

Pour les utilisateurs brésiliens : les transferts internationaux sont conformes à l'art. 33 de la LGPD, en utilisant des CCT et en veillant à ce que le pays destinataire offre un niveau adéquat de protection des données.

Pour tous les utilisateurs : vous pouvez demander des informations sur les garanties spécifiques appliquées aux transferts impliquant vos données en contactant privacy@bebeecorp.com.

8.1 Cookies strictement nécessaires (aucun consentement requis) :

• next-auth.session-token : authentification (30 jours).
• next-auth.csrf-token : protection CSRF (session).
• next-auth.callback-url : redirections (session).
• bebee_cookie_consent : stocke vos préférences de cookies (persistant).

8.2 Cookies analytiques (consentement requis) :

• _ga, _ga_* : Google Analytics 4 (2 ans). Activés uniquement avec votre consentement.
• _auid: cookie propriétaire d'attribution pour identifier la source du trafic (365 jours)

8.3 Cookies marketing (consentement requis) :

• Pixels publicitaires et de mesure tiers. Activés uniquement avec votre consentement explicite.

8.4 Google Tag Manager et Consent Mode v2
beBee utilise Google Tag Manager (GTM) pour gérer les balises analytiques et marketing. Nous implémentons Google Consent Mode v2, ce qui signifie :

• Si vous acceptez les cookies analytiques : GA4 fonctionne normalement avec des cookies pour une mesure complète.
• Si vous refusez les cookies analytiques : aucun cookie n'est déposé. GTM peut envoyer des pings anonymisés et sans cookies uniquement à des fins de modélisation statistique agrégée (aucune donnée personnelle n'est collectée).
• Les balises marketing ne sont déclenchées que si vous consentez explicitement aux cookies marketing.

8.5 Gestion des cookies
Vous pouvez gérer vos préférences de cookies à tout moment via :

• La bannière de cookies (affichée lors de la première visite).
• Le lien « Paramètres des cookies » dans le pied de page de chaque page.
• Les paramètres de votre navigateur.

Refuser les cookies non essentiels n'affecte aucune fonctionnalité de la Plateforme.

8.6 Suivi des e-mails
Nous utilisons des pixels de suivi dans les communications de service pour mesurer les ouvertures et les clics. Vous pouvez désactiver le chargement des images dans votre client de messagerie pour empêcher ce suivi.

Si vous activez les notifications push, nous stockons votre point de terminaison d'abonnement (chiffré), les clés du navigateur et vos préférences. Elles sont envoyées exclusivement avec votre consentement préalable, que vous pouvez révoquer à tout moment depuis vos paramètres de notification. Toutes les notifications sont chiffrées avec AES-128-GCM (RFC 8188).

• Données de compte et de profil : tant que le compte est actif.
• Données de paiement et de facturation : 5 ans (obligation fiscale en vertu du droit espagnol).
• Données d'utilisation et d'analyse : 26 mois (valeur par défaut GA4) ; données internes anonymisées : indéfiniment.
• Événements e-mail : 180 jours.
• Journaux de sécurité : 12 mois.
• Données de compte supprimé : supprimées ou anonymisées dans un délai maximum de 30 jours.
• Préférences de consentement aux cookies : jusqu'à ce que vous les modifiiez ou effaciez les données de votre navigateur.

Après la période de conservation applicable, les données sont définitivement supprimées ou irréversiblement anonymisées.

11.1 Droits pour tous les utilisateurs
Quel que soit votre lieu de résidence, vous pouvez :

• Accéder à vos données (export depuis les paramètres de votre compte).
• Rectifier vos données (modifier votre profil).
• Supprimer votre compte et vos données (« droit à l'oubli » — votre profil est anonymisé immédiatement).
• Exporter vos données dans un format lisible par machine (JSON).
• Retirer votre consentement à tout moment pour les traitements facultatifs (marketing, analyses, push).
• Vous opposer au traitement fondé sur l'intérêt légitime.
• Demander un examen humain de toute décision automatisée.

11.2 Droits supplémentaires en vertu du RGPD (UE/EEE/Royaume-Uni)
Vous avez le droit à : la limitation du traitement, la portabilité des données, et le droit de déposer une réclamation auprès de l'Agence espagnole de protection des données (AEPD) : www.aepd.es. Si vous résidez dans un autre État membre de l'EEE, vous pouvez contacter votre autorité locale de protection des données.

11.3 Droits supplémentaires en vertu de la LGPD (Brésil)
Les utilisateurs brésiliens ont le droit à : la confirmation du traitement, l'accès, la rectification, l'anonymisation des données non nécessaires, la portabilité, la suppression, les informations sur les données partagées, les informations sur le refus de consentement et ses conséquences, et la révocation du consentement. Vous pouvez également déposer des plaintes auprès de l'Autoridade Nacional de Proteção de Dados (ANPD) : www.gov.br/anpd.

11.4 Droits supplémentaires en vertu du CCPA/CPRA (Californie, États-Unis)
Les résidents de Californie ont le droit de :

• Savoir quelles informations personnelles nous collectons, utilisons, divulguons et vendons.
• Supprimer vos informations personnelles.
• Refuser la vente ou le partage d'informations personnelles. beBee ne vend ni ne partage vos informations personnelles.
• Non-discrimination : nous ne vous discriminerons pas pour l'exercice de vos droits CCPA.
• Corriger des informations personnelles inexactes.
• Limiter l'utilisation d'informations personnelles sensibles.

Catégories d'informations personnelles collectées (conformément au CCPA § 1798.100) : identifiants, informations professionnelles, activité Internet, géolocalisation (approximative) et informations commerciales (historique de paiement). Nous ne collectons pas de données biométriques.

11.5 Droits supplémentaires en vertu de la POPIA (Afrique du Sud)
Les utilisateurs sud-africains ont le droit à : l'accès, la rectification, la suppression, l'opposition au traitement, et le droit de déposer une plainte auprès du Régulateur de l'information : inforegulator.org.za.

11.6 Droits supplémentaires en vertu de la PIPEDA (Canada)
Les utilisateurs canadiens ont le droit à : l'accès, la rectification, le retrait du consentement, et le droit de déposer des plaintes auprès du Commissariat à la protection de la vie privée du Canada : www.priv.gc.ca.

11.7 Comment exercer vos droits
Vous pouvez exercer vos droits depuis les paramètres de votre compte ou en contactant privacy@bebeecorp.com. Nous répondons dans :

• RGPD : 1 mois maximum.
• LGPD : 15 jours maximum.
• CCPA : 45 jours maximum.
• Autres juridictions : dans le délai légal applicable.

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles : chiffrement en transit (HTTPS/TLS), chiffrement au repos (AWS S3), mots de passe hachés avec bcrypt, notifications push chiffrées (AES-128-GCM), jetons JWT signés. Accès limité selon le principe du moindre privilège, formation du personnel, procédures de réponse aux incidents.

En cas de violation de sécurité, nous notifierons l'autorité compétente dans les 72 heures (RGPD) et, en cas de risque élevé, vous en informerons directement. Pour les utilisateurs brésiliens, nous notifierons également l'ANPD conformément à la LGPD.

beBee ne s'adresse pas aux personnes de moins de 18 ans et nous ne collectons pas délibérément de données de mineurs. Si nous découvrons les données d'un mineur, nous supprimerons immédiatement son compte. Contactez privacy@bebeecorp.com si vous savez qu'un mineur a utilisé nos Services.

Pour les utilisateurs aux États-Unis : beBee se conforme à la loi sur la protection de la vie privée des enfants en ligne (COPPA). Nous ne collectons pas sciemment d'informations personnelles d'enfants de moins de 13 ans.

beBee utilise des modèles d'IA (Claude par Anthropic) pour la modération de contenu, la classification professionnelle, les recommandations d'emploi, les suggestions de taux du marché et la génération de contenu informatif.

• Les données envoyées aux modèles d'IA sont anonymisées ou pseudonymisées au préalable.
• Seuls les fragments minimaux nécessaires à la tâche sont envoyés.
• Nous n'utilisons pas vos données pour entraîner des modèles d'IA.
• Vous pouvez demander un examen humain de toute décision automatisée.
• Le contenu généré par l'IA est clairement identifié le cas échéant.

Conformément à la loi européenne sur l'IA (Règlement 2024/1689), les systèmes d'IA de beBee sont classés comme à risque limité et nous assurons la transparence quant à leur utilisation.

beBee respecte le signal Global Privacy Control (GPC). Si votre navigateur envoie un signal GPC, nous le traitons comme une demande valide de refus de vente ou de partage d'informations personnelles (pertinent pour la conformité CCPA/CPRA).

beBee respecte également le signal « Do Not Track » (DNT) du navigateur. Lorsqu'il est détecté, aucun cookie analytique ou marketing n'est activé, indépendamment de tout consentement préalable.

Nous pouvons mettre à jour cette Politique périodiquement. Les modifications substantielles seront notifiées au moins 30 jours à l'avance par e-mail et par un avis sur la Plateforme. La date de dernière mise à jour est toujours indiquée en haut du document.

Si vous n'êtes pas d'accord avec la Politique mise à jour, vous pouvez supprimer votre compte avant l'entrée en vigueur des modifications.

Pour toute question relative à cette Politique de confidentialité ou pour exercer vos droits en matière de protection des données :

• Demandes de confidentialité : privacy@bebeecorp.com
• Support général : support@bebeecorp.com
• Adresse : beBee PLATFORM S.L., Calle de la Virgen de los Peligros 11, 3e étage, 28013 Madrid, Espagne.
• N° d'identification fiscale : ESB84471838

Autorités de contrôle :

• Espagne (AEPD) : www.aepd.es
• Brésil (ANPD) : www.gov.br/anpd
• Afrique du Sud (Régulateur de l'information) : inforegulator.org.za
• Canada (CPVP) : www.priv.gc.ca