Confiance et sécurité

Contrôles de sécurité

• Chaque requête sur les recherches, brouillons de contact et jetons API est limitée côté serveur au compte connecté. Un recruteur ne voit que ses propres recherches.
• Les mots de passe sont stockés sous forme d'empreintes bcrypt (coût 12). Connexion, inscription et réinitialisation sont limitées en fréquence, et changer de mot de passe déconnecte toutes les autres sessions.
• Les jetons API du serveur MCP sont stockés sous forme d'empreintes SHA-256 ; le jeton complet n'est affiché qu'une fois.
• Les crédits et l'état de l'abonnement ne changent que côté serveur, via les webhooks Stripe et des contrôles serveur, jamais depuis le navigateur.
• Secrets et clés API restent dans les variables d'environnement du serveur et n'atteignent jamais le navigateur. Tout le trafic est en HTTPS, derrière Cloudflare.

Authentification

Connexion par email et mot de passe, lien envoyé par email, Google ou GitHub. Les sessions sont des cookies signés et httpOnly. L'espace d'administration est limité à une liste d'adresses vérifiées configurée sur le serveur.

Hébergement et sous-traitants

• Hébergement et base de données : un fournisseur VPS dans l'Union européenne.
• Réseau et protection : Cloudflare.
• Inférence IA : Anthropic ou OpenAI, selon leurs conditions API (pas d'entraînement sur nos données).
• Données sources : profils GitHub publics via l'API GitHub.
• Paiements : Stripe (PCI-DSS niveau 1).
• Email : Resend.
• Mesure d'audience : Google Analytics, uniquement avec consentement aux cookies.
• Suivi des erreurs : Sentry, s'il est activé, sans identifiants personnels.

Ce que nous collectons

Recruteurs : email, nom, empreinte du mot de passe (ou identifiant Google/GitHub), recherches, événements d'usage, identifiants de facturation.

Développeurs : données publiques du profil GitHub (nom d'utilisateur, bio, dépôts publics et leurs statistiques, README public du profil). Les moyens de contact se limitent à ce que le développeur a publié lui-même (liens du profil et email des commits publics), consultés quand un recruteur le demande. Aucune donnée privée, aucun autre site. Tout développeur peut s'opposer définitivement, voir le contact ci-dessous.

Confidentialité, RGPD et AI Act

ViewSkill est responsable du traitement pour les comptes recruteurs et pour les données de développeurs lues sur GitHub. Bases légales : contrat pour les comptes, intérêt légitime pour les données professionnelles publiques, consentement pour les cookies de mesure d'audience et la newsletter. L'information complète, avec les durées de conservation et les transferts, figure dans la Politique de confidentialité.

Les titulaires d'un compte peuvent télécharger leurs données et supprimer leur compte eux-mêmes depuis la page compte. Les autres demandes, y compris l'opposition d'un développeur, reçoivent une réponse sous 30 jours.

ViewSkill est un outil d'aide à la décision. Scores, classements et évaluations générés par l'IA sont des points de départ pour votre recrutement ; la décision finale d'embauche reste de la responsabilité du recruteur. Voir les Conditions d'utilisation.

Contact

Demandes liées à la vie privée et opposition des développeurs : [email protected]. Sécurité et signalement de vulnérabilités : [email protected]

Nous répondons à chaque message sous un jour ouvré. Demandes des personnes concernées et signalements de sécurité sous 30 jours, en général bien plus vite.

Cette page décrit les contrôles mis en place par ViewSkill. Ce n'est ni une certification indépendante ni une attestation d'un tiers.