Politique de confidentialité

Cette page explique quelles données personnelles Spot Santé traite, pourquoi, avec qui elles sont partagées et combien de temps elles sont gardées. Elle s'applique au site spot-sante.fr et aux e-mails qu'il envoie. Elle suit le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés.

1. Qui est responsable de vos données

Le responsable de traitement est :

Pour les offres signées « Centre partenaire », le cabinet de recrutement Astram SAS est responsable des données qu'il reçoit (voir l'article 6).

2. Les données que nous traitons

Si vous êtes candidat

• Identité et coordonnées : prénom, nom, adresse e-mail, numéro de téléphone.
• Profil professionnel : métier, spécialité, années d'expérience, ville et région, contrat recherché, rémunération souhaitée, disponibilité, mode d'exercice, présentation libre, et, si vous les ajoutez, votre CV, votre lien LinkedIn et votre photo.
• Numéro RPPS, si vous choisissez de le renseigner (voir l'article 4).
• Votre activité sur le service : candidatures, demandes de mise en relation, messages, offres enregistrées, recherches et alertes.

Une candidature express, envoyée depuis une offre sans compte, crée un compte candidat avec les informations du formulaire.

Si vous êtes employeur ou annonceur

• Votre structure : raison sociale, numéro SIRET, adresse, site internet.
• Votre interlocuteur : nom, fonction, adresse e-mail, téléphone.
• Vos offres et annonces, vos demandes de devis et vos paiements (formule, montant, date). Les données de carte bancaire sont saisies chez Stripe : ELIR ne les voit jamais.

Profils ajoutés par le cabinet Alpha Santé

Le cabinet de recrutement Alpha Santé (Astram SAS) peut enregistrer sur Spot Santé, dans un espace privé, des profils issus de son propre fichier de candidats, pour ses recrutements. Seuls ce cabinet et l'équipe Spot Santé les voient. Ils n'apparaissent dans la CVthèque qu'avec l'accord de la personne, dont la date est enregistrée.

Données techniques

• À chaque connexion à un compte : adresse e-mail, adresse IP, navigateur et mode de connexion.
• Si vous êtes connecté : les pages et offres consultées, vos recherches et vos candidatures, enregistrées dans notre propre base. Sans compte, ces informations ne sont enregistrées qu'après un clic sur « Tout accepter ».
• En cas d'erreur technique : le message d'erreur, la page concernée, le navigateur et, si vous êtes connecté, l'identifiant technique de votre compte.
• Si vous vous connectez avec Google ou LinkedIn : le service choisi nous transmet votre nom, votre adresse e-mail et, le cas échéant, votre photo de profil.

3. Pourquoi nous les traitons

Chaque usage repose sur une base prévue par l'article 6 du RGPD :

• Faire fonctionner le service : créer votre compte, publier votre profil ou vos offres, transmettre vos candidatures et vos demandes de mise en relation. Base : l'exécution du contrat formé par nos conditions d'utilisation (article 6.1.b).
• Vous envoyer les alertes sur les offres qui correspondent à votre profil et la lettre hebdomadaire des offres. Base : l'exécution du même contrat. Chaque e-mail contient un lien de désinscription, utilisable sans vous connecter.
• Montrer votre profil dans la CVthèque. Base : votre consentement (article 6.1.a), que vous pouvez retirer à tout moment (voir l'article 5).
• Vérifier votre numéro RPPS. Base : notre intérêt légitime (article 6.1.f), voir l'article 4.
• Protéger le site, prévenir les abus et corriger les erreurs (journal des connexions, suivi des erreurs). Base : notre intérêt légitime.
• Améliorer le service à partir de l'usage des comptes connectés. Base : notre intérêt légitime.
• Mesurer l'audience et nos publicités (Plausible, pixel Meta, Google Tag Manager et Google Ads). Base : votre consentement, donné par « Tout accepter » (voir l'article 8).
• Établir et conserver les factures. Base : nos obligations comptables et fiscales (article 6.1.c).

Nous ne vendons aucune donnée et ne transmettons aucun fichier de candidats à une régie publicitaire.

4. Le numéro RPPS

Le numéro RPPS identifie un professionnel de santé dans le Répertoire partagé des professionnels de santé, un annuaire public. Il indique votre profession. Il ne dit rien de votre santé : ce n'est pas une donnée de santé.

Le renseigner est facultatif. Si vous le faites, l'équipe peut le comparer à l'annuaire public pour confirmer que le compte appartient bien à un professionnel de santé. Cette vérification repose sur notre intérêt légitime à présenter aux établissements des profils réels. Le numéro n'est pas affiché sur les pages publiques du site.

5. La CVthèque

La CVthèque permet aux recruteurs inscrits de chercher des profils. Votre profil n'y apparaît que si vous cochez la case « Rendre mon profil visible des recruteurs dans la CVthèque ». Elle n'est jamais cochée d'avance.

Les recruteurs y voient vos initiales, votre métier, votre spécialité, votre expérience, votre zone, votre disponibilité, vos souhaits de contrat et de rémunération, et votre présentation. Ils ne voient pas vos coordonnées. L'équipe Spot Santé peut aussi afficher votre nom, à un recruteur précis ou à toute la CVthèque ; la date et l'auteur de chaque levée de l'anonymat sont enregistrés. Un recruteur qui veut vous joindre vous envoie une demande de contact, et l'équipe Spot Santé en est prévenue. Si vous l'acceptez, une conversation s'ouvre entre vous dans la messagerie du site.

Vous pouvez retirer votre profil à tout moment depuis votre espace candidat. Si votre profil était déjà visible avant cette règle, mise en place en octobre 2026, il le reste tant que vous ne le retirez pas.

6. Qui reçoit vos données

• L'équipe Spot Santé, pour les besoins du service.
• Les établissements et recruteurs, seulement quand vous répondez à leur offre, quand vous demandez une mise en relation, ou quand vous acceptez la demande de contact d'un recruteur de la CVthèque (voir l'article 5). Vos demandes de mise en relation sont relues par l'équipe avant d'être transmises. L'établissement reçoit alors votre nom, votre métier, vos coordonnées et votre message, et, pour une candidature, votre profil et votre CV.
• Astram SAS, dans les cas décrits ci-dessous.
• Nos prestataires, listés à l'article 7.
• Les autorités, sur réquisition judiciaire ou administrative.

7. Nos prestataires et les transferts hors de l'Union européenne

Ces prestataires traitent des données pour faire fonctionner le site. Ceux qui agissent pour notre compte sont tenus par un contrat de sous-traitance (article 28 du RGPD).

• Supabase : base de données, comptes et fichiers, dont les CV. Les serveurs sont ceux d'Amazon Web Services, en région de Paris.
• Netlify : hébergement du site. Netlify, Inc. est établie aux États-Unis. Chaque visite passe par ses serveurs, qui reçoivent votre adresse IP.
• Resend : envoi des e-mails du site. Resend, Inc. est établie aux États-Unis ; les e-mails partent de ses serveurs situés en Irlande.
• Stripe : paiement en ligne des annonces déposées depuis la page Publier une annonce. Stripe reçoit les données de paiement et l'adresse e-mail de facturation.
• Sentry : suivi des erreurs techniques et mesure du temps de chargement d'environ une page sur dix, sans enregistrement de session. Les données sont hébergées en Allemagne par Functional Software, Inc., société établie aux États-Unis. Sentry ne reçoit ni votre nom ni votre adresse e-mail.
• Anthropic : rédaction et extraction de textes par intelligence artificielle. Anthropic PBC est établie aux États-Unis. Elle reçoit seulement :
  • la fiche de poste qu'un employeur dépose pour pré-remplir son offre (texte, PDF ou image) ;
  • les informations d'une fiche établissement et de ses offres, quand l'équipe rédige la présentation d'un poste ;
  • le contenu public du site internet d'un établissement, quand l'équipe crée sa fiche ;
  • pour présenter un profil du cabinet à un établissement : métier, spécialité, années d'expérience, ville, disponibilité et notes de l'équipe, sans nom ni coordonnées.
• OpenAI : si vous tapez une recherche en texte libre sur la page d'accueil, notre serveur envoie ce texte à OpenAI, établie aux États-Unis, pour en tirer des filtres (spécialité, région, contrat). Ni votre nom, ni votre adresse IP, ni votre compte ne lui sont transmis.
• Unipile : messagerie de l'équipe. Quand l'équipe échange avec vous par WhatsApp, e-mail ou LinkedIn, les messages passent par Unipile.
• Google : Google Tag Manager et Google Ads, chargés seulement après « Tout accepter » (article 8). Nous signalons aussi à Google, par son service d'indexation, l'adresse des pages d'offres publiées : aucune donnée personnelle n'y figure. Enfin, si vous calculez votre temps de trajet sur une page d'offre, l'adresse de départ que vous tapez est envoyée à Google Maps par notre serveur, sans votre adresse IP.
• Meta : pixel Meta, chargé seulement après « Tout accepter » (article 8).
• Plausible : mesure d'audience sans cookie, chargée seulement après « Tout accepter ». Les données sont hébergées dans l'Union européenne.
• Adobe Fonts : fournit la police Parisine du site. Sa licence interdit de l'héberger nous-mêmes. Elle se charge donc sur chaque page, avant tout choix sur les cookies, et Adobe reçoit l'adresse IP de votre navigateur pour l'envoyer.
• OpenFreeMap, Pexels et la Base Adresse Nationale : OpenFreeMap fournit les fonds de carte des pages qui en affichent une, Pexels les photos de certains articles, et le service public api-adresse.data.gouv.fr complète l'adresse tapée dans le scanner d'implantation. Chacun reçoit l'adresse IP de votre navigateur, et le dernier l'adresse tapée.

Si vous vous connectez avec Google ou LinkedIn, ces services traitent vos données selon leurs propres règles.

Plusieurs de ces prestataires sont établis aux États-Unis ou appartiennent à des groupes américains. Ces transferts sont encadrés par le cadre de protection des données entre l'Union européenne et les États-Unis (Data Privacy Framework) pour les sociétés qui y adhèrent, ou par les clauses contractuelles types de la Commission européenne.

8. Cookies et traceurs

Toujours actifs, car nécessaires au service :

• le cookie de session Supabase, qui vous garde connecté ;
• dans le stockage de votre navigateur : votre choix sur les cookies, des réglages pratiques (offres mises de côté, brouillon d'annonce en cours, fenêtre d'information déjà fermée, demande d'accès à un module déjà envoyée, accord CVthèque coché à l'inscription avec l'adresse e-mail associée, gardés sept jours au plus le temps de confirmer le compte) et, si vous êtes connecté ou après « Tout accepter », un identifiant de session aléatoire utilisé par nos statistiques internes.

Seulement après un clic sur « Tout accepter » dans le bandeau :

• Plausible : statistiques de fréquentation agrégées, sans cookie ni identifiant publicitaire.
• Pixel Meta (Facebook, Instagram) : mesure de nos campagnes et diffusion de nos annonces. Il dépose des cookies et transmet à Meta Platforms Ireland Limited les pages consultées, votre adresse IP et un identifiant de navigateur.
• Google Tag Manager, qui charge la balise Google Ads de conversion et de remarketing : mesure de nos campagnes et diffusion de nos annonces. Ces balises déposent des cookies et transmettent à Google Ireland Limited les pages consultées, votre adresse IP et un identifiant de navigateur.

Tant que vous n'avez pas fait votre choix, ou si vous cliquez sur « Essentiels uniquement », aucun de ces outils n'est chargé et aucune requête ne part vers Plausible, Meta ou Google.

Pour changer d'avis, utilisez le lien « Modifier mes préférences cookies » en pied de page. Votre choix est effacé et la page se recharge : aucun de ces outils ne se charge plus sur les pages suivantes. Les cookies déjà déposés par Meta ou Google restent dans votre navigateur jusqu'à leur expiration. Vous pouvez les supprimer dans les réglages de votre navigateur.

Votre choix est gardé six mois. Passé ce délai, le bandeau vous le redemande. La police Parisine n'est pas un traceur, mais elle se charge avant tout choix : voir Adobe Fonts à l'article 7.

9. Combien de temps nous gardons vos données

• Votre compte et ce qui s'y rattache (profil, CV, candidatures, messages, alertes, journal des connexions) : tant que le compte existe. Quand vous le supprimez, ces données sont effacées.
• Vos demandes de mise en relation gardent une copie de vos coordonnées et de votre message après la suppression du compte. Écrivez-nous pour qu'elles soient effacées aussi. Les données déjà transmises à un établissement ou à Astram sont conservées par eux selon leurs propres règles.
• Les comptes inactifs : nous avons retenu une durée de trois ans sans connexion, au-delà de laquelle un compte doit être supprimé. Un contrôle mensuel repère ces comptes, mais leur suppression automatique n'est pas encore activée. Pour l'instant, un compte inactif est donc conservé tant que vous n'en demandez pas la suppression.
• Les factures et pièces comptables : dix ans, comme l'impose le Code de commerce.
• Votre choix sur les cookies : six mois.

10. Vos droits

Les articles 15 à 22 du RGPD vous donnent les droits suivants sur vos données :

• accès : savoir si nous traitons vos données et en recevoir une copie ;
• rectification : corriger une donnée inexacte ou incomplète ;
• effacement : demander la suppression de vos données ;
• portabilité : recevoir vos données dans un format structuré et lisible par une machine ;
• opposition : vous opposer à un traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation ;
• limitation : geler un traitement dans certains cas ;
• retrait du consentement, à tout moment, sans effet sur ce qui a été fait avant ;
• directives sur le sort de vos données après votre décès.

Vous pouvez aussi agir vous-même : supprimer votre compte depuis la page Paramètres de votre espace, retirer votre profil de la CVthèque depuis votre espace candidat, ou vous désinscrire des alertes par le lien présent dans chaque e-mail.

Pour exercer vos droits, écrivez à contact@spot-sante.fr en précisant votre identité. Nous répondons dans un délai d'un mois. Ce délai peut être prolongé de deux mois si la demande est complexe ; nous vous le dirons alors.

11. Délégué à la protection des données

ELIR n'a pas désigné de délégué à la protection des données. Toute question sur vos données peut être envoyée à contact@spot-sante.fr.

12. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir écrit, que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l'informatique et des libertés :

13. Sécurité

Le site n'est accessible qu'en HTTPS. La base de données et les fichiers sont chiffrés au repos par notre hébergeur. Les droits d'accès sont définis dans la base pour chaque type de compte. Les coordonnées des candidats ne sont jamais lisibles par les visiteurs du site. Les CV sont rangés dans un espace privé et ne s'ouvrent que par des liens temporaires.

14. Modifications

Nous mettons cette page à jour quand le service change. En cas de changement important, nous vous prévenons par e-mail ou sur le site avant qu'il s'applique.