Politique de confidentialité (RGPD)

Le responsable du traitement est TACL GROUP, éditeur de Sourcing.sh, société par actions simplifiée unipersonnelle (SASU) au capital de 1,00 €, immatriculée au RCS de Paris sous le numéro 982 948 978, dont le siège est situé au 58 rue de Monceau, CS 48756, 75008 Paris, France, représentée par son président, Titouan Albouy.

Contact vie privée : privacy@sourcing.sh. Cette adresse est le point de contact pour les questions relatives aux données personnelles et l’exercice des droits.

Cette politique couvre deux situations distinctes :

• Les utilisateurs inscrits : vous avez créé un compte ou demandé un accès. Nous traitons vos données dans le cadre du contrat qui nous lie (sections 3 et 4).
• Les personnes figurant dans l'index sans avoir de compte : vos données professionnelles publiquement accessibles ont été agrégées dans notre index. Vous n'avez aucune relation contractuelle avec nous ; la section 5 vous est dédiée, ainsi que la page /your-data pour exercer vos droits.

Les simples visiteurs du site sont également concernés par les sections relatives aux cookies et à la mesure d'audience.

Pour la constitution de son propre index, TACL GROUP détermine les finalités et les moyens du traitement. Pour les données d’un CRM ou d’un ATS confiées uniquement afin d’exécuter les instructions d’un client, les responsabilités et instructions doivent être fixées dans un accord de sous-traitance avant leur prise en charge. La connexion d’un outil ne vaut pas autorisation de réutiliser ses données pour enrichir l’Index.

• Utilisateurs inscrits : identité, email professionnel, entreprise et fonction, identifiants de connexion, logs d'utilisation de l'API et du serveur MCP, données de facturation.
• Personnes indexées : données strictement professionnelles : nom, poste, employeur actuel et parcours, compétences déclarées publiquement, coordonnées professionnelles publiques, URL de profils publics. Le service n’a pas pour finalité de collecter des données sensibles (art. 9 RGPD), des informations sur la vie privée ou des données de mineurs. Toute présence indue peut être signalée pour examen et retrait.
• Visiteurs : données de navigation (voir section « Cookies »).

Le site public n'expose que des agrégats anonymes : la donnée nominative de l'index n'est accessible qu'aux utilisateurs authentifiés, sous contrat et dans les limites des CGU.

Chaque traitement repose sur l'une des bases prévues à l'article 6 du RGPD, résumées ci-dessous :

Conformément à l'article 14 du RGPD, qui s'applique lorsque des données ne sont pas collectées directement auprès de la personne concernée, voici l'information due aux personnes figurant dans notre index :

• Sources des données : profils professionnels publics (LinkedIn et réseaux équivalents), sites d'offres d'emploi et plateformes carrière, sites web et pages équipe d'entreprises, portfolios et sites personnels professionnels, registres publics et fournisseurs de données professionnelles et d’enrichissement. La source disponible d’un enregistrement, y compris le fournisseur concerné, peut être demandée dans le cadre du droit d’accès. La présente liste décrit les catégories de sources ; elle ne signifie pas que chaque site est interrogé pour chaque personne.
• Base légale : l'intérêt légitime (art. 6.1.f) : fournir aux professionnels du recrutement et du go-to-market un index fiable de données déjà rendues publiques dans un contexte professionnel.
• Limites de la réutilisation : le caractère public d’une donnée ne suffit pas à autoriser sa collecte ou sa commercialisation. Le recours à l’intérêt légitime suppose une finalité déterminée, un traitement nécessaire et un examen des droits, des attentes raisonnables et des oppositions des personnes. Les restrictions des sources et les droits des tiers doivent également être respectés. Vous pouvez demander des précisions sur le traitement de vos données à privacy@sourcing.sh.
• Information des personnes : la présente section, la page /your-data précisent vos droits. Lorsque l’article 14 s’applique, une information individuelle doit être fournie dans un délai raisonnable, au plus tard dans le mois suivant l’obtention des données, ou plus tôt lors de la première communication ou transmission à un destinataire. La seule publication de cette page ne remplace pas cette obligation. Toute exception doit répondre aux conditions du RGPD et être documentée.

Sourcing.sh commercialise un accès à des données professionnelles et des services de recherche, de mise à jour et d’enrichissement. Des données personnelles peuvent donc être communiquées à des clients professionnels contre rémunération. Elles ne sont pas publiées en libre accès sur le site. Les destinataires sont :

• Sous-traitants techniques : Lovable pour la publication du site, Cloudflare pour sa distribution et sa sécurité, et Supabase pour la base de données et l’authentification. L’envoi du rapport de simulation par email utilise Resend lorsqu’il est activé ; le téléchargement local du rapport ne nécessite pas cet envoi. Le site ne collecte pas de numéro de carte bancaire. Les prestataires ne doivent recevoir que les données nécessaires à leur mission.
• Clients du service, y compris via agents IA et serveur MCP : les utilisateurs authentifiés (humains ou agents IA agissant pour leur compte) accèdent aux données de l'index dans le cadre des CGU, qui leur interdisent notamment tout réentraînement de modèle sur le corpus et toute republication. Ils deviennent responsables de leurs propres traitements en aval.
• Autorités : sur réquisition légale uniquement.

Certains prestataires techniques sont établis hors de l’Union européenne, notamment aux États-Unis. La localisation d’un fournisseur ne permet pas, à elle seule, de déterminer celle de toutes les données ni les accès de support. Tout transfert soumis au chapitre V du RGPD doit être encadré par un mécanisme applicable : décision d’adéquation ou garanties appropriées, notamment clauses contractuelles types, avec les évaluations et mesures complémentaires nécessaires. Vous pouvez demander les informations sur les destinations et une copie des garanties applicables à votre traitement à privacy@sourcing.sh.

Conformément aux articles 15 à 21 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, dans les conditions prévues pour chacun de ces droits, ainsi que du droit de retirer votre consentement à tout moment pour les traitements qui en dépendent.

Pour les exercer : le formulaire /your-data (recommandé pour les personnes indexées) ou privacy@sourcing.sh. Nous répondons sans retard injustifié, en principe sous un mois. Ce délai peut être prolongé de deux mois en raison de la complexité ou du nombre de demandes ; vous en êtes informé avec les motifs dans le premier mois. En cas de doute raisonnable sur l’identité, seules les informations nécessaires à sa vérification sont demandées. L’opposition à la prospection commerciale n’a pas à être justifiée. Pour les autres traitements fondés sur l’intérêt légitime, votre situation particulière est examinée. Une conservation légalement nécessaire ou destinée à empêcher une réintégration après opposition est limitée aux données et à la durée nécessaires.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (Commission nationale de l'informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr/fr/plaintes.

Le site utilise des mécanismes de session et de sécurité et mémorise votre choix de thème clair ou sombre dans le stockage local du navigateur. Cloudflare peut déposer un cookie de protection contre les robots. L’espace connecté conserve les éléments nécessaires à l’authentification ; la déconnexion met fin à la session côté navigateur. Ces usages techniques ne servent pas à la publicité ciblée.

Aucun outil publicitaire n’est intégré au code du site. Des statistiques de fréquentation peuvent être fournies par la plateforme de publication. Les traceurs non strictement nécessaires qui ne bénéficient pas d’une exemption doivent rester désactivés tant qu’un mécanisme de consentement permettant aussi de refuser et de retirer son choix n’est pas disponible. Vous pouvez effacer les données locales depuis votre navigateur ; cela peut vous déconnecter et réinitialiser vos préférences.

La protection du service repose notamment sur HTTPS, l’authentification, des droits d’administration et des restrictions d’accès en base. L’accès aux demandes reçues par le site est réservé aux personnes habilitées. Les mesures de sécurité doivent être adaptées aux données traitées et ne constituent pas une garantie d’absence d’incident. Pour signaler une vulnérabilité ou un incident, écrivez à contact@sourcing.sh, sans joindre de mot de passe, clé d’API ni copie massive de données personnelles.

Cette politique peut évoluer avec le service. Toute modification substantielle est signalée sur cette page (date de mise à jour en tête) et, pour les utilisateurs inscrits, par email. Version en vigueur : 7 septembre 2026.