La présente politique décrit la manière dont Staff SXM, service édité par la société CODEKODE, collecte et traite les données personnelles des Utilisateurs. Elle est rédigée conformément au Règlement (UE) 2016/679 dit « RGPD » et à la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».
1. Responsable du traitement
Le responsable du traitement est CODEKODE, SASU, SIREN 988 709 234, dont le siège social est situé 98 Rue du Cap, Villa 4 – Parc de la Baie Orientale, 97150 Saint-Martin.
Contact référent données personnelles : hello@staffsxm.com.
2. Données collectées
2.1 Candidats
- Identifiants de compte : email, mot de passe (haché) ;
- Identité : prénom, nom (optionnel), photo, sexe, date de naissance (optionnel), nationalité ;
- Contact : numéro WhatsApp ;
- Profil professionnel : biographie, expériences, langues, statut de logement, autorisation de travail, CV ;
- Localisation générale ;
- Historique des candidatures, favoris, avis employeurs déposés ;
- Métadonnées techniques : logs de connexion (IP, user-agent, dates).
2.2 Employeurs
- Identifiants de compte : email, mot de passe (haché) ;
- Informations sur l'établissement : nom, description, adresse, photos, réseaux sociaux, numéro WhatsApp public ;
- Informations sur les offres publiées ;
- Historique des candidatures reçues, statuts, notes internes.
2.3 Fiches d'établissements pré-créées
Certaines fiches sont créées à partir de sources publiques (Google Places, sites officiels des établissements, réseaux sociaux publics), avant toute revendication par le propriétaire. Ces fiches comportent uniquement des données à caractère public :
- Nom commercial de l'établissement, catégorie, adresse, localisation ;
- Liens vers site web, page Instagram / Facebook publique, numéro WhatsApp public ;
- Photo de couverture issue de sources ouvertes (Open Graph, réseaux publics).
Nous n'exposons pas publiquement les emails et numéros de téléphone collectés au moment de l'import ; ces informations restent internes tant que la fiche n'est pas revendiquée.
2.4 Visiteurs non connectés
Les visiteurs non connectés font l'objet de collectes techniques minimales (logs serveur), et de cookies fonctionnels strictement nécessaires. Voir la section Cookies.
3. Finalités et bases légales
| Finalité | Base légale RGPD |
|---|---|
| Fourniture du Service (compte, profil, candidatures, offres) | Exécution du contrat — art. 6.1.b |
| Envoi d'emails transactionnels (bienvenue, statuts de candidature) | Exécution du contrat — art. 6.1.b |
| Création de fiches pré-créées à partir de sources publiques | Intérêt légitime — art. 6.1.f (accélérer l'adoption locale du Service) |
| Modération, prévention des abus | Intérêt légitime — art. 6.1.f |
| Statistiques d'usage anonymisées | Intérêt légitime — art. 6.1.f |
| Respect d'obligations légales (comptabilité, réquisitions judiciaires) | Obligation légale — art. 6.1.c |
Concernant les fiches pré-créées : les données publiques utilisées ont un caractère informationnel évident (permettre à un candidat de découvrir l'écosystème local, permettre à un vrai propriétaire de reprendre la main). Toute personne peut exercer son droit d'opposition à tout moment via le bouton « Signaler cette fiche » sur la page publique concernée.
4. Destinataires et sous-traitants
Les données peuvent être communiquées à :
- Le personnel de CODEKODE en charge du Service ;
- Les autres Utilisateurs, dans la stricte limite du fonctionnement du Service (un candidat qui postule expose son profil à l'employeur ; un employeur qui publie une offre expose sa fiche aux candidats) ;
- Les sous-traitants techniques listés ci-dessous.
Sous-traitants principaux
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase Inc. | Hébergement base de données, authentification, stockage médias | Singapour / États-Unis |
| Vercel Inc. | Hébergement front-end et fonctions serveur | États-Unis |
| Resend, Inc. | Envoi d'emails transactionnels | États-Unis |
| Google LLC | Fournisseur d'authentification OAuth (facultatif), enrichissement de fiches | États-Unis |
| Meta Platforms, Inc. | Fournisseur d'authentification OAuth (facultatif) | États-Unis |
| Functional Software, Inc. (Sentry) | Supervision des erreurs applicatives (metadata techniques : stack traces, breadcrumbs). Données personnelles minimisées (pas d'IP ni de request body). | États-Unis |
| PostHog Inc. (EU Cloud) | Statistiques d'usage anonymisées, session replay avec masquage automatique des inputs, funnels d'onboarding. Hébergement européen (Allemagne). | Union européenne |
Les transferts hors Union européenne sont encadrés par les Clauses Contractuelles Types approuvées par la Commission européenne (décision 2021/914) et, le cas échéant, par des mesures supplémentaires (chiffrement au repos et en transit, contrôles d'accès).
5. Durée de conservation
| Catégorie | Durée |
|---|---|
| Compte actif (candidat ou employeur) | Le temps de la relation contractuelle, puis 3 ans après le dernier événement significatif |
| Candidatures | 3 ans à compter de la fin du recrutement |
| Logs de connexion | 12 mois |
| Fiches pré-créées non revendiquées | Jusqu'à demande de retrait ou décision interne de suppression |
| Données de facturation | 10 ans (obligation comptable) |
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, chaque personne dispose :
- Droit d'accès à ses données ;
- Droit de rectification ;
- Droit à l'effacement (« droit à l'oubli ») ;
- Droit à la limitation du traitement ;
- Droit d'opposition, notamment pour les traitements fondés sur l'intérêt légitime (fiches pré-créées) ;
- Droit à la portabilité ;
- Droit de définir des directives post-mortem (loi française).
Ces droits s'exercent :
- directement depuis votre espace personnel pour les modifications simples et la suppression de compte ;
- via le bouton « Signaler cette fiche » pour les fiches pré-créées non revendiquées ;
- ou par email à hello@staffsxm.com pour les demandes complexes.
En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
7. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles conformes à l'état de l'art : chiffrement TLS en transit, chiffrement au repos par nos sous-traitants, contrôles d'accès Row-Level Security côté base, mots de passe hachés (bcrypt / argon2 via Supabase Auth), authentification à deux facteurs pour les comptes admin, journalisation des accès sensibles.
8. Cookies et traceurs
Staff SXM utilise uniquement des cookies fonctionnels strictement nécessaires au fonctionnement du Service (session d'authentification, préférences d'affichage). Ces cookies sont dispensés de consentement au titre de l'article 82 de la loi Informatique et Libertés.
Nous n'utilisons aucun traceur publicitaire ni de mesure d'audience soumise à consentement à la date des présentes. Si des outils de mesure d'audience étaient déployés à l'avenir (PostHog, Plausible, etc.), un bandeau de consentement conforme aux recommandations de la CNIL serait mis en place.
9. Mineurs
Le Service est ouvert aux personnes âgées d'au moins 16 ans. Aucune collecte intentionnelle de données concernant des mineurs de moins de 16 ans n'est effectuée. Si vous constatez qu'un tel compte a été créé, merci de nous le signaler à hello@staffsxm.com.
10. Modifications
La présente politique peut être mise à jour. Toute modification substantielle sera notifiée aux Utilisateurs inscrits par email et fera l'objet d'une mention en tête de cette page.
Dernière mise à jour : 2026-09-23