Politique de confidentialité
Dernière mise à jour : 21 octobre 2026
Cette page décrit, sans jargon inutile, ce que Quia fait de tes données. Elle correspond à ce que fait réellement le code du service à la date ci-dessus ; quand une pratique n'est pas encore automatisée, elle le dit.
1. Qui est responsable de tes données
Pour ton compte Quia (ton CV, tes candidatures, ta préparation d'entretien), le responsable de traitement est Paul Blanchard, éditeur de quia.app — 3 cour des Anges, 49170 Savennières, France, [email protected]. Il n'y a pas de délégué à la protection des données désigné : écris à cette adresse pour toute question.
Si tu rejoins la promo de ton école sur Quia, ton écoleest responsable du suivi qu'elle fait de sa promo, et Quia agit pour son compte (sous-traitant). Le détail : rôles RGPD avec les écoles.
2. Les données collectées
Ton compte
- Ce que Google nous transmet à la connexion : adresse e-mail, nom, photo de profil.
- La date de création du compte, la date de ta dernière activité, et un compteur de générations par l'IA.
Ton CV et ta recherche
- Le fichier PDF de ton CV, son texte, et ce qui en est tiré : titre, résumé, compétences, expériences.
- Tes critères de recherche (mots-clés, lieu, type de contrat) et tes « voies » de recherche.
Tes offres et candidatures
- Les offres que tu enregistres : intitulé, entreprise, description, lien, lieu.
- Ce que Quia en calcule (adéquation avec ton profil, compétences présentes ou manquantes) et les lettres de motivation.
- Le contact de l'offre, l'objet et le texte de tes e-mails de candidature, les dates d'envoi et de relance, le statut.
Ta préparation aux entretiens
- Les postes et dates d'entretien, les compétences travaillées, les questions, tes réponses, leurs évaluations et ton score de préparation.
L'envoi depuis Gmail (si tu l'actives)
- Un jeton d'autorisation qui permet seulement d'envoyerdes e-mails depuis ta boîte (Quia ne lit pas tes e-mails). Il est chiffré (AES-256-GCM) avant d'être enregistré. Cette fonction est aujourd'hui désactivée.
Ton suivi par ton école (si tu rejoins une promo)
- La promo, la date et la version de ton accord, le statut de recherche que tu déclares, et la date à laquelle tu arrêtes le partage.
- Ton école voit : ton nom et ton adresse e-mail ; le nombre d'offres sur lesquelles tu travailles et de candidatures envoyées ; ta progression de préparation aux entretiens (score de préparation) ; la date de ta dernière activité sur Quia ; le statut de recherche que tu déclares (en recherche, entretiens en cours, contrat signé).
- Ton école ne voit jamais : ton CV ; tes lettres de motivation et tes e-mails ; le nom des entreprises et le contenu de tes candidatures ; tes réponses d'entraînement.
Tes paiements
- Tes identifiants client et d'abonnement chez Stripe, et l'historique de tes pass (montant, durée, date). Ta carte bancaire est saisie chez Stripe : Quia ne la voit jamais.
Les demandes de démo (écoles et CFA)
- Nom de l'établissement, nom et fonction de la personne, e-mail professionnel, nombre d'alternants, message, et une empreinte non réversible de l'adresse IP (pour limiter les envois abusifs).
Les données techniques
- L'adresse IP et les pages demandées, dans les journaux du serveur et de Cloudflare.
- Des cookies strictement nécessaires : ta session de connexion (30 jours), la protection contre la falsification de requêtes, et un cookie de 10 minutes pendant l'autorisation Gmail. Aucun cookie publicitaire ni de mesure d'audience : il n'y a donc pas de bandeau de consentement.
3. Pourquoi, et sur quelle base
| Finalité | Base légale |
|---|---|
| Fournir le service : compte, CV, offres, candidatures, lettres, préparation d'entretien par l'IA | Exécution du contrat (art. 6.1.b du RGPD) |
| Partager ton avancement avec ton école | Ton consentement (art. 6.1.a), retirable à tout moment |
| Encaisser les paiements, tenir la comptabilité | Exécution du contrat et obligation légale (art. 6.1.b et 6.1.c) |
| Sécuriser le service, limiter les abus (journaux, limites d'envoi) | Intérêt légitime (art. 6.1.f) |
| Répondre aux demandes de démo des écoles et les recontacter | Intérêt légitime (art. 6.1.f) |
Pas de publicité, pas de revente de données, pas de profilage marketing. Les scores calculés par l'IA (adéquation, préparation) sont des aides pour toi : aucune décision n'est prise automatiquement à ton sujet.
Le partage avec l'école repose sur ton accord : tu peux le donner seul à partir de 15 ans (article 45 de la loi Informatique et Libertés).
4. Chez qui vont tes données
Quia ne vend ni ne loue aucune donnée. Elles passent seulement par les prestataires nécessaires au service :
| Prestataire | Pour quoi faire | Données | Où |
|---|---|---|---|
| Hostinger International Ltd. (Hostinger) | Hébergement du serveur et de la base de données | Toutes les données du service | France (centre de données de Paris) Entreprise établie dans l'Union européenne (Chypre) |
| Cloudflare, Inc. | Réseau et sécurité : le trafic du site passe par Cloudflare (chiffrement HTTPS, protection contre les attaques) avant d'atteindre le serveur | Adresse IP, requêtes et pages échangées avec le site | États-Unis et réseau mondial Data Privacy Framework UE–États-Unis et clauses contractuelles types de la Commission européenne |
| OpenAI, L.L.C. (API) | Intelligence artificielle du coaching : analyse du CV et des offres, lettres de motivation, questions et évaluation des réponses d'entraînement | Texte du CV (qui contient en général tes nom et coordonnées), des offres, des réponses d'entraînement et des lettres | États-Unis Clauses contractuelles types ; selon les engagements d'OpenAI pour son API, les données ne servent pas à entraîner ses modèles et sont conservées au plus 30 jours pour la détection d'abus |
| Stripe Payments Europe, Ltd. | Paiement du Pass alternance et des abonnements (la carte bancaire est saisie chez Stripe, jamais chez Quia) | E-mail, nom, identifiants de paiement, montants et dates | Irlande, avec transferts vers Stripe, Inc. (États-Unis) Data Privacy Framework UE–États-Unis et clauses contractuelles types |
| Google (Google Ireland Limited) | Connexion avec un compte Google ; envoi des candidatures depuis Gmail si tu l'actives (fonction aujourd'hui désactivée) | Adresse e-mail, nom, photo de profil ; pour Gmail, un jeton d'autorisation d'envoi, chiffré chez Quia | Union européenne et États-Unis Data Privacy Framework UE–États-Unis et clauses contractuelles types |
Les offres d'alternance sont cherchées auprès de l'API de France Travail avec tes mots-clés, ton département et le type de contrat : rien qui permette de t'identifier n'y est envoyé.
Ton école ne reçoit que ce qui est listé plus haut, et seulement si tu as accepté le partage. Personne d'autre n'a accès à ton compte, sauf obligation légale (réquisition d'une autorité).
5. Combien de temps
- Ton compte et tout son contenu : tant que ton compte existe. Tu peux le supprimer à tout moment depuis Mon compte : tout est effacé immédiatement, et tu quittes ta promo.
- Comptes inactifs: aucune suppression automatique n'est en place aujourd'hui. La règle que nous appliquons est la suppression des comptes sans aucune connexion depuis 2 ans ; tant qu'elle n'est pas automatisée, elle est faite à la main.
- Le partage avec ton écoles'arrête dès que tu le décides ; la trace de ton accord (date et version) est gardée avec ton compte, comme preuve, sans que l'école la voie.
- Paiements : les factures et paiements sont conservés par Stripe, et par nous si nécessaire, 10 ans au titre des obligations comptables (article L123-22 du Code de commerce).
- Demandes de démo: aucune suppression automatique aujourd'hui ; la règle appliquée est 3 ans après le dernier échange, puis suppression à la main.
- Journaux techniques: effacés automatiquement par rotation — quelques jours pour les journaux de l'application (30 Mo au plus), 7 jours pour le journal du serveur.
- Chez OpenAI : 30 jours au plus, selon ses engagements pour l'API.
6. Tes droits
Tu peux, à tout moment :
- accéder à tes données et en recevoir une copie dans un format lisible (portabilité) ;
- les corriger, ou les supprimer — la suppression du compte se fait toi-même, depuis Mon compte ;
- retirer ton accord au partage avec ton école, depuis ton espace (« Arrêter le partage ») ;
- t'opposer à un traitement fondé sur l'intérêt légitime, ou en demander la limitation ;
- définir des directives sur le sort de tes données après ton décès.
Écris à [email protected]depuis l'adresse de ton compte ; la réponse arrive sous un mois au plus. La copie de tes données se fait sur demande par e-mail : il n'y a pas encore de bouton d'export.
Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL : cnil.fr/fr/plaintes, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
7. Sécurité
- Connexions chiffrées (HTTPS) ; le serveur n'est joignable que par le tunnel chiffré de Cloudflare.
- La base de données n'est pas exposée sur Internet : seul le serveur de l'application y accède.
- Connexion par Google : Quia ne stocke aucun mot de passe.
- Le jeton Gmail est chiffré ; le fichier de ton CV n'est jamais envoyé à ton école.
En cas de violation de données à risque pour toi, tu seras prévenu, ainsi que la CNIL, dans les délais du RGPD.
8. Modifications
Si cette politique change sur un point important (nouveau prestataire, nouvelle donnée), la date en haut de page change. Rien ne s'ajoutera à ce que voit ton école sans un nouvel accord de ta part.