Informations relatives à la protection des données

En date du : 12 octobre 2026

1. Informations générales

1.1. Responsable du traitement

Le responsable des traitements décrits dans les présentes informations relatives à la protection des données est Lunelink GmbH, Georgsplatz 1, 20099 Hamburg, Allemagne, e-mail info@lunelink.com, téléphone +49 40 29997020 (« Lunelink », « nous »).

1.2. Objet

Nous exploitons, sur lunelink.com et app.lunelink.com, une plateforme à double usage : les professionnels et cadres du secteur immobilier créent un profil de candidat, qui est d’abord présenté de manière anonymisée aux employeurs (« Candidats », section 3). Les entreprises y recherchent du personnel et utilisent, selon les fonctionnalités souscrites, d’autres outils de marketing et de vente, tels que des sites Internet, la prise de rendez-vous en ligne, la gestion des contacts, les publicités sur Meta et l’assistant IA « Lune » (« Clients », section 4). La section 2 concerne le site Internet lunelink.com, la section 5 les sites Internet de nos clients, la section 6 notre base de données d’entreprises immobilières issue de sources publiques et la section 7 nos communications avec vous.

1.3. Bases juridiques

Nous traitons les données à caractère personnel sur les bases juridiques suivantes :

Consentement (article 6, paragraphe 1, première phrase, point a du RGPD), notamment pour le pixel Meta sur lunelink.com ; pour les catégories particulières de données à caractère personnel que les candidats saisissent eux-mêmes dans leur profil ou leurs documents, article 9, paragraphe 2, point a du RGPD.
Exécution d’un contrat ou de mesures précontractuelles (article 6, paragraphe 1, première phrase, point b du RGPD), notamment pour les profils de candidats, les chats, les espaces de travail, la facturation et les demandes d’offre.
Obligations légales (art. 6, par. 1, phrase 1, point c du RGPD), notamment les obligations de conservation prévues par le droit commercial et fiscal.
Intérêts légitimes (art. 6, par. 1, phrase 1, point f du RGPD), notamment pour assurer le fonctionnement sécurisé de la plateforme, mesurer l’audience sans cookies, mesurer l’efficacité de nos publicités et contacter des entreprises en tant qu’employeurs potentiels. Nous indiquons l’intérêt concerné pour chaque traitement.

L’enregistrement d’informations sur le terminal et l’accès à ces informations (cookies) sont régis par l’article 25 de la TDDDG : les cookies strictement nécessaires conformément à l’article 25, paragraphe 2, point 2 de la TDDDG, et tous les autres uniquement avec votre consentement conformément à l’article 25, paragraphe 1 de la TDDDG.

1.4. Durée de conservation

Nous supprimons les données à caractère personnel dès que la finalité du traitement n’existe plus et qu’aucune obligation légale de conservation ne s’y oppose. Nous indiquons les durées concrètes pour chaque traitement. Nous conservons les documents soumis à des obligations de conservation en vertu du droit commercial et fiscal (factures, avoirs, données de paiement, correspondance commerciale) pendant les durées légales de six à dix ans.

1.5. Destinataires et prestataires de services

Au sein de Lunelink, seuls les collaborateurs qui en ont besoin pour leurs missions peuvent accéder aux données à caractère personnel. Nous faisons également appel aux prestataires de services suivants en tant que sous-traitants, liés contractuellement conformément à l’article 28 du RGPD :

Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irlande : hébergement de la plateforme (application, base de données, stockage de fichiers, journaux techniques) dans des centres de données situés dans l’Union européenne.
Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA : diffusion du site web lunelink.com et des sites web de nos clients, gestion des domaines et sécurité du réseau.
OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irlande : modèles d’IA pour les fonctionnalités d’IA décrites dans les présentes informations ; le traitement est effectué par OpenAI aux États-Unis. OpenAI n’utilise pas les données transmises via l’interface pour entraîner ses modèles.
ActiveCampaign, LLC (Postmark), 1 North Dearborn Street, Chicago, IL 60602, USA : envoi de nos e-mails.
Twilio Ireland Limited, 3 Dublin Landings, North Wall Quay, Dublin 1, Irlande : envoi de SMS et transfert d’appels téléphoniques ; le traitement est effectué en partie par Twilio aux États-Unis.
LiveKit Incorporated, 369 Sutter Street, San Francisco, CA 94108, USA : transmission de l’image et du son lors des rendez-vous vidéo (section 2.6).
Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlande : WhatsApp Business Platform, que nous utilisons pour communiquer avec les candidats via WhatsApp.
Pingen GmbH, Suisse (registre du commerce CHE-115.571.921) : impression et envoi de courriers postaux.
Legistry GmbH, Hunoldstraße 52, 26203 Wardenburg, Allemagne : création et envoi de nos factures et avoirs ainsi que rapprochement des paiements.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande : Google Workspace pour nos communications par e-mail, Google Maps Platform pour la recherche d’entreprises (section 6). Les autres destinataires sont les employeurs auxquels les candidats donnent accès à leur profil (section 3.6), Meta en tant que fournisseur du Meta Pixel et des comptes publicitaires de nos clients, les banques et conseillers fiscaux dans le cadre de la comptabilité, ainsi que les autorités lorsque nous y sommes légalement tenus.

1.6. Traitement des données dans des pays tiers

Certains de nos prestataires traitent des données à caractère personnel en dehors de l’UE et de l’EEE. Pour les États-Unis, nous fondons les transferts sur la décision d’adéquation de la Commission européenne relative à l’EU-US Data Privacy Framework, dans la mesure où le destinataire est certifié (Meta Platforms, Inc., Google LLC, Cloudflare, Inc., ActiveCampaign, LLC, Twilio Inc., LiveKit Incorporated), et, dans les autres cas, sur les clauses contractuelles types de l’UE conformément à l’art. 46, paragraphe 2, point c) du RGPD (notamment OpenAI). Pour la Suisse (Pingen), une décision d’adéquation de la Commission européenne s’applique. Vous trouverez une copie des clauses contractuelles types de l’UE à l’adresse https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32021D0914.

1.7. Vos droits

Vous disposez des droits suivants à notre égard :

Droit d’accès aux données à caractère personnel que nous traitons (art. 15 du RGPD), notamment aux fins du traitement, aux catégories de données, aux destinataires, à la durée de conservation et à l’origine des données.
Rectification des données inexactes ou complément des données incomplètes (art. 16 du RGPD).
Effacement des données (art. 17 du RGPD), dans la mesure où le traitement n’est pas nécessaire au respect d’une obligation légale ou à la constatation, à l’exercice ou à la défense de droits en justice.
Limitation du traitement (art. 18 du RGPD).
Droit à la portabilité des données (art. 20 du RGPD) : réception des données que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine.
Révocation d’un consentement donné, avec effet pour l’avenir (art. 7, paragraphe 3, du RGPD).
Réclamation auprès d’une autorité de contrôle de la protection des données (art. 77 du RGPD). L’autorité compétente pour nous est le délégué hambourgeois à la protection des données et à la liberté de l’information, Ludwig-Erhard-Straße 22, 20459 Hamburg.

Droit d’opposition : Dans la mesure où nous traitons des données sur la base d’intérêts légitimes (art. 6, paragraphe 1, première phrase, point f, du RGPD), vous pouvez vous opposer à tout moment au traitement pour des raisons tenant à votre situation particulière (art. 21, paragraphe 1, du RGPD). Vous pouvez vous opposer au traitement à des fins de prospection directe — y compris à la prise de contact avec des entreprises conformément à la section 6 — sans avoir à justifier votre opposition (art. 21, paragraphe 2, du RGPD). Adressez votre opposition à info@lunelink.com.

1.8. Aucune décision automatisée au cas par cas

Les décisions produisant des effets juridiques ou ayant une incidence significative similaire — notamment l’activation d’un profil de candidat, le refus d’une inscription, le blocage ou la suppression d’un compte — sont prises par nos collaborateurs. Les fonctions d’IA ne font que préparer ces décisions (l’art. 22 du RGPD ne s’applique pas).

1.9. Sécurité des données

La transmission entre votre navigateur et nos systèmes est chiffrée au moyen du protocole TLS ; la base de données et le stockage de fichiers sont chiffrés au repos. Nous enregistrons les mots de passe exclusivement sous forme de condensat. L’accès aux données est limité en fonction des rôles et des espaces de travail ; nos collaborateurs sont tenus à la confidentialité.

2. Site web lunelink.com

2.1. Mise à disposition et journaux

Lorsque vous consultez lunelink.com, nous traitons les données transmises par votre navigateur : adresse IP, date et heure, URL consultée, référent, type et version du navigateur, système d’exploitation ainsi que pays déduit de l’adresse IP. Les pages sont diffusées via Cloudflare et générées par notre application hébergée sur Google Cloud. Nous supprimons au plus tard après 30 jours les journaux techniques de notre application, qui peuvent contenir des adresses IP. La base juridique est l’art. 6, par. 1, phrase 1, point f du RGPD ; notre intérêt légitime est la mise à disposition, la sécurité et l’analyse des erreurs du site web.

Si une erreur survient dans votre navigateur sur notre site web ou notre plateforme, la page nous transmet un message d’erreur contenant des informations techniques (texte de l’erreur, page concernée, type de navigateur et, pour les utilisateurs connectés, identifiant utilisateur), afin que nous puissions corriger l’erreur. Nous conservons ces messages pendant 30 jours.

2.2. Cookies

Sur lunelink.com, nous utilisons les cookies strictement nécessaires suivants (§ 25, al. 2, n° 2 TDDDG, art. 6, par. 1, phrase 1, point f du RGPD) :

i18n_redirected (Lunelink, 1 an) : langue sélectionnée.
country_setting (Lunelink, 360 jours) : pays sélectionné.
cookie_consent_given (Lunelink, 270 jours, complété par l’identifiant du site web) : indique si le choix relatif aux cookies a été effectué.
meta_pixel_enabled (Lunelink, 360 jours, complété par l’identifiant du site web) : indique si le consentement au Meta-Pixel a été donné.

Les cookies du Meta-Pixel ne sont installés qu’avec votre consentement (§ 25, al. 1 TDDDG, art. 6, par. 1, phrase 1, point a du RGPD) : _fbp et _fbc (Meta Platforms, 3 mois chacun). Vous pouvez modifier votre choix à tout moment via le lien « Cookies » situé dans le pied de page du site web. Après vous être connecté à la plateforme (app.lunelink.com), nous installons le cookie de connexion user_tkn, qui maintient votre session jusqu’à la fin du jour calendaire ; il est strictement nécessaire à la connexion.

2.3. Mesure d’audience sans cookies

Nous mesurons l’utilisation de lunelink.com sans cookies et sans enregistrer les adresses IP. À partir de l’adresse IP, de l’identifiant du navigateur, de la date et de l’identifiant du site, nous générons une valeur de hachage au moyen d’une clé secrète. Cette valeur change chaque jour et ne peut plus être associée à une personne après la fin de la journée. Pour chaque visite, nous enregistrons cette valeur de hachage, les pages consultées, les pages d’entrée et de sortie, la provenance (domaine référent, paramètres UTM), le pays, le type d’appareil ainsi que la catégorie de navigateur et de système d’exploitation, et également des événements tels que l’envoi d’un formulaire ou la réservation d’un rendez-vous. La base juridique est l’art. 6, par. 1, phrase 1, point f du RGPD ; notre intérêt légitime réside dans l’analyse et l’amélioration de notre site web. Aucun cookie n’étant installé, aucun consentement n’est requis au titre de l’art. 25, par. 2, point 2 de la TDDDG.

2.4. Meta Pixel et Conversions API

Avec votre consentement, nous utilisons sur lunelink.com le Meta Pixel de Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlande (« Meta »). À cette occasion, les pages consultées, les objectifs atteints (par ex. une demande d’offre), l’adresse IP, les données du navigateur ainsi que les cookies du pixel _fbp et _fbc sont transmis à Meta. Nous transmettons également des événements côté serveur via la Conversions API de Meta lorsque vous demandez une offre ou réservez un rendez-vous sur lunelink.com ; nous envoyons alors l’adresse e-mail et le numéro de téléphone exclusivement sous forme hachée, ainsi que le pays, l’adresse IP, l’identifiant du navigateur et les cookies du pixel. La finalité est de mesurer et d’optimiser nos campagnes publicitaires sur Facebook et Instagram ainsi que de recibler les visiteurs avec de la publicité. Nous sommes conjointement responsables avec Meta de la collecte et de la transmission des données à Meta (art. 26 du RGPD) ; vous trouverez l’accord à l’adresse https://www.facebook.com/legal/controller_addendum. Meta peut traiter des données aux États-Unis ; Meta Platforms, Inc. est certifiée dans le cadre du EU-US Data Privacy Framework. La base juridique est votre consentement (§ 25, al. 1 TDDDG, art. 6, al. 1, phrase 1, point a du RGPD), que vous pouvez révoquer à tout moment via le lien « Cookies » dans le pied de page. Informations sur la protection des données chez Meta : https://www.facebook.com/privacy/policy.

2.5. Demande d’offre et formulaires de contact

Les entreprises peuvent demander une offre via le formulaire de demande sur lunelink.com. Nous traitons les réponses aux questions du formulaire, le nom, le numéro de téléphone et l’adresse e-mail, la langue, le fuseau horaire et le pays, la page à l’origine de la demande, ainsi que l’adresse IP et l’identifiant du navigateur. La demande est enregistrée comme contact et dossier dans notre gestion des contacts et transmise à notre équipe par e-mail ; nous vous contactons afin de clarifier le nom de l’entreprise, l’interlocuteur, l’adresse de facturation et les conditions, puis nous configurons le workspace (section 4.1). La base juridique est l’art. 6, al. 1, phrase 1, point b du RGPD. Si aucun contrat n’est conclu, nous supprimons la demande dès que le dossier est clôturé.

2.6. Prise de rendez-vous en ligne sur lunelink.com

Vous pouvez réserver un entretien avec nous via le calendrier de rendez-vous sur lunelink.com. Nous traitons votre nom, votre numéro de téléphone, votre adresse e-mail, votre message, votre langue, votre fuseau horaire et votre pays, ainsi que le rendez-vous choisi. Le rendez-vous est enregistré sur notre plateforme et communiqué par e-mail aux collaborateurs compétents. Nous vous envoyons par e-mail une confirmation avec une invitation de calendrier en pièce jointe, indiquant le nom et l’adresse e-mail des participants au rendez-vous, ainsi qu’un lien personnel permettant de déplacer ou d’annuler le rendez-vous, et des rappels 24 heures, une heure et dix minutes avant le rendez-vous. Pour un rendez-vous téléphonique, nous vous appelons. La base juridique est l’art. 6, al. 1, phrase 1, point b du RGPD. Nous conservons les données de réservation aussi longtemps qu’elles sont nécessaires à la relation client. Un rendez-vous vidéo se déroule dans une salle de réunion de notre plateforme, à l’adresse app.lunelink.com, que vous ouvrez dans votre navigateur via le lien figurant dans la confirmation ; aucun compte n’est nécessaire. Toute personne connaissant le lien peut participer sous le nom de son choix ; ne le communiquez donc qu’aux personnes censées participer. Pour la transmission de l’image et du son, nous utilisons LiveKit (section 1.5). À cette fin, le nom que vous avez indiqué, votre adresse IP ainsi que les données relatives à votre appareil et à votre connexion sont traités, et l’image, le son et le contenu de l’écran partagé sont transmis aux autres participants. Avant même de rejoindre le rendez-vous, la page vous affiche un aperçu de votre caméra et le niveau sonore de votre microphone dès que vous autorisez l’accès dans votre navigateur ; cet aperçu ne quitte pas votre navigateur. L’image et le son ne sont transmis qu’à partir du moment où vous rejoignez le rendez-vous. Vous pouvez désactiver le microphone et la caméra à tout moment avant et pendant le rendez-vous ; vous ne partagez votre écran que si vous le souhaitez. La transmission entre votre navigateur et les serveurs de LiveKit est chiffrée. Les rendez-vous vidéo ne sont pas enregistrés ; l’image et le son ne sont pas conservés après leur transmission. LiveKit conserve les données techniques de journalisation et d’utilisation de la session pendant douze mois au maximum. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD ; pour les autres participants, l’art. 6, par. 1, phrase 1, point f du RGPD (notre intérêt légitime à organiser le rendez-vous).

2.7. Inscription en tant que candidat

Toute personne qui s’inscrit en tant que candidat via lunelink.com est redirigée vers la plateforme app.lunelink.com ; l’inscription est régie par la section 3.

3. Candidats (profils de candidature)

3.1. Inscription et confirmation via WhatsApp

Lors de l’inscription, nous traitons les informations que vous fournissez concernant votre recherche d’emploi (secteur, code postal, rayon de recherche, connaissances en allemand, disponibilité, postes recherchés avec niveau d’expérience, prétentions salariales) ainsi que votre numéro de téléphone portable. À partir du code postal, nous déduisons des coordonnées pour la recherche dans un rayon donné. Nous enregistrons également l’adresse IP, l’identifiant du navigateur et — si vous avez consenti au Meta-Pixel sur lunelink.com — les cookies du pixel _fbp et _fbc au moment de l’inscription, afin de pouvoir mesurer ultérieurement l’efficacité de nos publicités (section 3.9).

Pour confirmer votre inscription, nous vous envoyons un message via la WhatsApp Business Platform de Meta vous invitant à confirmer l’inscription. Dès réception de votre réponse, le numéro de téléphone portable est considéré comme confirmé et vous êtes connecté. La confirmation entraîne la conclusion du contrat relatif à l’utilisation gratuite de la plateforme ; la base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD. Nous traitons les inscriptions non confirmées comme des profils en cours de vérification et les supprimons si aucun contact n’est établi (section 3.12).

3.2. Données du profil

Vous complétez votre profil sur la plateforme. Nous traitons les informations que vous y fournissez : civilité, titre, prénom et nom, date de naissance, lieu de naissance, état civil, nationalités, adresse, adresse e-mail, numéro de téléphone, langue, fuseau horaire, parcours professionnel (expériences avec employeur, fonction, période et description), compétences, compétences linguistiques, postes recherchés avec niveau d’expérience, prétentions salariales, disponibilité, rayon de recherche, photo de profil, éventuellement une vidéo de présentation et un enregistrement audio, ainsi que les documents téléversés (CV, certificats). À partir de la photo de profil, nous créons une version réduite et une version anonymisée ; à partir de la vidéo et de l’audio, nous créons des versions lisibles. Vous décidez vous-même des informations que vous fournissez ; les informations obligatoires sont signalées sur la plateforme. Si vos documents ou vos informations contiennent des catégories particulières de données à caractère personnel (p. ex. appartenance religieuse, données de santé, handicap lourd), nous ne les traitons que parce que vous les avez vous-même fournies (art. 9, paragraphe 2, point a) du RGPD) ; vous pouvez les supprimer à tout moment de votre profil. Pour le reste, la base juridique est l’art. 6, paragraphe 1, première phrase, point b) du RGPD.

3.3. Analyse des dossiers de candidature par l’IA

À votre demande, nous analysons les documents téléchargés à l’aide de l’IA et vous en proposons des informations pour votre profil (p. ex. parcours professionnel, compétences, langues, coordonnées). À cette fin, nous transmettons les fichiers à OpenAI (section 1.5). Si les documents contiennent une photo, le modèle en détermine la position afin que nous puissions vous proposer un extrait comme photo de profil ; l’extrait est généré sur nos systèmes. Vous vérifiez toutes les propositions et décidez lesquelles intégrer à votre profil. Notre équipe peut lancer l’analyse en concertation avec vous (section 3.5). La base juridique est l’art. 6, paragraphe 1, première phrase, point b) du RGPD.

3.4. Anonymisation et résumé du profil

Afin que les employeurs puissent consulter votre profil sans vous identifier, nous créons à l’aide de l’IA une version anonymisée de votre parcours professionnel et de vos compétences, dans laquelle les noms et les informations permettant de vous identifier sont supprimés ou généralisés, ainsi qu’un bref résumé de votre parcours professionnel destiné aux courriers adressés aux employeurs (section 3.8). À cette fin, nous transmettons les informations correspondantes de votre profil à OpenAI. Ces versions sont recréées lorsque vous modifiez votre profil. La base juridique est l’art. 6, paragraphe 1, première phrase, point b) du RGPD.

3.5. Vérification préalable, activation et visibilité

Avant l’activation, notre équipe vérifie votre profil, généralement en échangeant avec vous via WhatsApp (section 3.11). Une vérification préalable assistée par IA peut analyser vos informations de profil, vos documents et les échanges précédents afin d’aider nos collaborateurs ; la décision d’activer le profil est prise par un collaborateur. Après l’activation, nous vous informons par e-mail, WhatsApp ou SMS. Vous contrôlez ensuite si votre profil n’est pas affiché aux employeurs, s’il leur est présenté sous forme anonymisée ou s’il est rendu public. Nous enregistrons pour votre profil son état de traitement (ouvert, en attente, fermé, activé), la date de votre dernière connexion ainsi que des notes internes. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

3.6. Présentation aux employeurs et chats

Après l’activation, nous proposons votre profil aux employeurs dont les sites se trouvent dans votre rayon de recherche et qui correspondent aux postes recherchés. Les employeurs ne voient alors que la version anonymisée : civilité, tranche d’âge, pays, Land et deux premiers chiffres du code postal, distance approximative par rapport à leur site, postes recherchés avec niveau d’expérience, disponibilité, prétentions salariales, connaissances en allemand, parcours anonymisé et compétences anonymisées, photo de profil rendue non identifiable, ainsi que l’information indiquant si une vidéo, un fichier audio, une adresse e-mail, un numéro de téléphone, un lieu de naissance, un état civil et des nationalités sont enregistrés (et non leur contenu). Les employeurs peuvent entamer une conversation avec vous ; nous générons pour l’employeur une ébauche du premier message à l’aide de l’IA, sur la base de la version anonymisée. Nous enregistrons les messages de la conversation pour les deux parties. Ce n’est que lorsque vous autorisez l’accès à votre profil pour une conversation ou que vous rendez votre profil « public » que l’employeur reçoit les informations complètes, notamment votre nom, votre âge, votre lieu de naissance, votre situation familiale, vos nationalités, votre adresse e-mail, votre numéro de téléphone, votre photo de profil, votre CV au format PDF, votre vidéo et votre audio. À partir de ce moment, l’employeur est lui-même responsable du traitement ultérieur de ces données ; nous obligeons contractuellement les employeurs à utiliser les données uniquement pour pourvoir leurs propres postes et à les traiter de manière confidentielle. À votre demande, nous enregistrons les employeurs (par ex. votre employeur actuel) auxquels votre profil ne doit pas être présenté. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

3.7. Agent de recherche d’emploi

L’Agent de recherche d’emploi vous présente les employeurs et les sites situés dans votre rayon de recherche qui correspondent aux postes que vous recherchez : les profils d’employeurs de nos clients ainsi que les entreprises immobilières de notre base de données (section 6). Aucune donnée vous concernant n’est transmise à ces entreprises. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

3.8. Présentation aux employeurs par courrier postal

Nous présentons également les profils activés aux entreprises immobilières situées dans le rayon de recherche qui n’ont pas encore de compte chez nous, notamment par courrier. La lettre contient exclusivement la version anonymisée : la photo de profil rendue méconnaissable, la civilité, la tranche d’âge, la région du code postal et le Land, la distance approximative par rapport au site, jusqu’à six postes recherchés avec le niveau d’expérience, le résumé du parcours professionnel généré par l’IA, les prétentions salariales, les disponibilités par catégories et les connaissances en allemand — mais ni nom ni coordonnées. L’impression et l’envoi sont assurés par Pingen GmbH (Suisse), à laquelle nous transmettons la lettre au format PDF. Les destinataires sont des entreprises de notre base de données (section 6) dont les sites se trouvent dans votre rayon de recherche et qui correspondent aux postes que vous recherchez ; les entreprises que vous avez bloquées ne reçoivent aucun courrier. Si vous définissez votre profil comme « non visible », vous ne serez présenté dans aucun courrier. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

3.9. Mesure de l’efficacité de nos publicités

Lorsque votre profil est activé, nous transmettons un événement à l’API Conversions de Meta afin de mesurer quelles publicités diffusées sur Facebook et Instagram génèrent des inscriptions. Nous envoyons à cette fin l’adresse e-mail, le numéro de téléphone et le pays exclusivement sous forme de valeurs hachées, ainsi que l’adresse IP, l’identifiant du navigateur et les cookies du pixel _fbp et _fbc enregistrés lors de l’inscription. Meta compare les valeurs hachées avec ses comptes utilisateurs ; le contenu de votre profil n’est pas transmis. La base juridique est l’art. 6, par. 1, phrase 1, point f du RGPD ; notre intérêt légitime est de mesurer l’efficacité et d’assurer la gestion économique de nos publicités. Vous pouvez vous opposer à ce traitement à tout moment (section 1.7). Le traitement par Meta est régi par la section 2.4.

3.10. Notifications et liens de connexion

Nous vous informons des nouveaux chats et des messages non lus par e-mail (Postmark), par WhatsApp (Meta) et – si ces deux moyens ne sont pas disponibles – par SMS (Twilio). En cas de messages non lus, vous recevez une première notification peu après le message, puis au maximum trois rappels après un, trois et sept jours ; les rappels cessent dès que vous ouvrez le chat et sont suspendus si vous n’avez pas été actif sur la plateforme pendant plus de 60 jours. Les notifications contiennent un lien de connexion personnel qui vous permet d’accéder directement à votre profil sans mot de passe ; ne transmettez pas ce lien. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

3.11. Communication via WhatsApp

Notre équipe communique avec vous via la plateforme WhatsApp Business de Meta. Nous enregistrons les messages que vous nous envoyez et que nous vous envoyons, y compris les pièces jointes, le nom de votre profil WhatsApp ainsi que le statut de livraison. En dehors de la fenêtre de 24 heures définie par WhatsApp après votre dernier message, nous pouvons uniquement vous envoyer des modèles approuvés par Meta, notamment la demande de confirmation, la notification de l’activation, les notifications concernant les messages non lus, les demandes de précisions sur le profil et la notification d’une suppression. La transmission est régie par la politique de confidentialité de WhatsApp : https://www.whatsapp.com/legal/privacy-policy-eea. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

3.12. Durée de conservation et suppression

Nous conservons votre profil aussi longtemps que vous utilisez la plateforme. Vous pouvez demander sa suppression à tout moment via WhatsApp ou par e-mail à info@lunelink.com. Nous supprimons également un profil de notre propre initiative si vous ne réagissez pas à nos messages pendant une période prolongée ou si vous ne disposez pas de l’expérience professionnelle recherchée par les employeurs ; nous vous en informons via WhatsApp. Lors de la suppression, nous supprimons le profil, les documents, les images, la vidéo, l’audio, les chats et l’historique WhatsApp. Les journaux techniques sont supprimés après 30 jours. Les données qu’un employeur a déjà reçues après une autorisation sont placées sous la responsabilité de cet employeur.

4. Clients (employeurs et annonceurs)

4.1. Espace de travail, membres et intégration

Après une demande d’offre, nous clarifions avec l’entreprise l’interlocuteur, l’adresse de facturation et les conditions, puis nous configurons un espace de travail. Nous traitons les données de l’entreprise (nom, adresse, numéro d’identification à la TVA, site web), les données des membres de l’espace de travail (civilité, titre, prénom et nom, adresse e-mail, numéro de téléphone, langue, fuseau horaire, pays, rôle dans l’espace de travail, disponibilités pour la prise de rendez-vous) ainsi que les données contractuelles (formules d’accès souscrites, crédits, destinataire des factures, destinataires des notifications). Les nouveaux membres reçoivent leurs identifiants par e-mail. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD ; pour les employés du client qui ne sont pas eux-mêmes parties au contrat, l’art. 6, par. 1, phrase 1, point f du RGPD (notre intérêt légitime à fournir la plateforme au client).

4.2. Connexion et sécurité

La connexion s’effectue avec une adresse e-mail ou un numéro de téléphone portable et un mot de passe, ou avec un code à usage unique que nous envoyons par e-mail ou SMS. Nous enregistrons les mots de passe sous forme de hachage. Pour l’interface de programmation, chaque utilisateur reçoit une clé API personnelle. Nous enregistrons la date et l’heure de la dernière activité et définissons le cookie de connexion user_tkn (section 2.2). La base juridique est l’art. 6, par. 1, phrase 1, points b et f du RGPD (sécurité des comptes).

4.3. Facturation

Nous établissons les factures et les avoirs par l’intermédiaire de Legistry GmbH. À cette fin, nous transmettons le nom du destinataire, son adresse, son numéro d’identification à la TVA, son site web, son adresse e-mail et son numéro de téléphone, ainsi que les postes de la facture ; Legistry envoie la facture par e-mail et nous informe des paiements reçus. Les factures sont accessibles sur la plateforme. La base juridique est l’art. 6, par. 1, phrase 1, points b et c du RGPD ; nous conservons les données de facturation pendant les durées légales (section 1.4).

4.4. Profils d’employeurs et données des candidats

Nous présentons aux candidats les profils d’employeurs (nom, description, logo, sites avec adresse, domaines d’activité, postes recherchés) dans le Job-Agent et dans les chats. Les candidats sont d’abord proposés au client sous forme anonymisée ; celui-ci ne reçoit les données complètes qu’après validation par le candidat (section 3.6). Nous enregistrons dans le workspace les messages de chat, les demandes de validation ainsi que les candidats masqués et archivés. Le brouillon du premier message de chat est généré avec l’aide de l’IA à partir du profil anonymisé et des messages précédents du workspace (OpenAI). Le client est lui-même responsable du traitement des données de candidats validées en dehors de la plateforme. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

4.5. Sites web, formulaires, prise de rendez-vous et CRM

Lorsque le client crée des sites web avec le créateur de sites, recueille des formulaires, des prises de rendez-vous et des contacts ou gère des opportunités commerciales, nous traitons les données des visiteurs, prospects et contacts du client pour le compte de celui-ci en tant que sous-traitant (art. 28 du RGPD), sur la base de l’accord de sous-traitance prévu dans nos CGV. La section 5 s’applique aux visiteurs des sites web des clients. Nous connectons les propres domaines du client via Cloudflare.

4.6. Calendriers, abonnements à des calendriers et rendez-vous vidéo

Chaque membre d’un workspace dispose de son propre calendrier sur la plateforme, à partir duquel nous calculons les créneaux disponibles pour la prise de rendez-vous en ligne. Il contient les rendez-vous réservés auprès du membre via la prise de rendez-vous, les disponibilités enregistrées ainsi que les périodes bloquées que le membre saisit lui-même (période et, facultativement, un intitulé). Pour que les rendez-vous figurant dans d’autres calendriers soient également pris en compte, le membre peut s’abonner à jusqu’à cinq calendriers externes (p. ex. Google Agenda, Outlook ou iCloud). Il renseigne à cet effet l’adresse d’abonnement au format iCalendar fournie par le prestataire du calendrier concerné. Nous récupérons le calendrier auprès du prestataire via cette adresse environ toutes les cinq minutes ; cela n’implique aucun accès au compte concerné et nous n’écrivons rien dans le calendrier externe. La récupération porte sur le contenu du calendrier tel que le prestataire le met à disposition à cette adresse. Nous enregistrons uniquement le début et la fin des périodes occupées, de la veille à un an à l’avance, ainsi que le nom du calendrier — ni les objets, ni les participants, ni les lieux, ni les descriptions ; nous supprimons immédiatement tout le reste après analyse. L’adresse d’abonnement permet de consulter le calendrier ; nous la conservons dans notre base de données chiffrée au repos et ne l’affichons plus après son enregistrement. Si le membre supprime un abonnement, nous supprimons l’adresse ainsi que les périodes reprises à partir de celui-ci ; il en va de même en cas de suppression du compte.

Lors d’une réservation, d’un déplacement ou d’une annulation, nous envoyons à la personne ayant effectué la réservation et aux membres concernés un e-mail contenant en pièce jointe un événement de calendrier indiquant le nom et l’adresse e-mail des participants au rendez-vous. Les rendez-vous vidéo se déroulent dans la salle de réunion décrite à la section 2.6 ; lorsque des prospects et des contacts du client y participent, nous traitons leurs données pour le compte du client (section 4.5). La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD ; pour les employés du client qui ne sont pas eux-mêmes parties au contrat, l’art. 6, par. 1, phrase 1, point f du RGPD (section 4.1).

4.7. Comptes publicitaires Meta

Si le client connecte son compte professionnel Meta, nous enregistrons le jeton d’accès ainsi que l’identifiant et le nom du portefeuille professionnel, et synchronisons dans la plateforme les comptes publicitaires, campagnes, groupes d’annonces et annonces du client, y compris les champs fournis par Meta. Lors du traitement des audiences, des pages Facebook, des comptes Instagram et des pixels, nous récupérons les listes en temps réel auprès de Meta. Nous transmettons les créations publicitaires, textes d’annonces et URL cibles au compte publicitaire du client sur ses instructions. Nous envoyons les événements de conversion des sites web du client (formulaires, prises de rendez-vous) à son pixel Meta sur ses instructions (section 5). Le client peut interrompre la connexion à tout moment ; nous révoquons alors l’autorisation auprès de Meta et supprimons le jeton. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD. Le traitement dans le compte publicitaire est régi par la politique de confidentialité de Meta.

4.8. Créations publicitaires et assistant IA Lune

Nous créons des créations publicitaires visuelles à partir des éléments fournis par le client (texte, logos, images, couleurs) à l’aide des modèles d’image d’OpenAI. Pour les créations publicitaires vidéo téléversées, nous transmettons à OpenAI la piste audio et certaines images de la vidéo afin de générer une transcription et des textes d’annonce ; nous transmettons la vidéo elle-même au compte publicitaire Meta du client sur ses instructions.

L’assistant IA Lune exécute des tâches dans la plateforme sur instruction de l’utilisateur. À cette fin, nous transmettons à OpenAI les instructions et l’historique des échanges, les informations du profil utilisateur (civilité, nom, adresse e-mail, numéro de téléphone, langue, fuseau horaire, pays), les informations relatives aux espaces de travail de l’utilisateur ainsi que les données que Lune lit dans la plateforme ou charge depuis des sites web qu’il consulte sur instruction. Nous enregistrons les historiques des échanges et les résultats dans le compte de l’utilisateur et les supprimons à sa demande. Si l’utilisateur connecte Lune à Legistry d’un simple clic, nous transmettons son identifiant utilisateur et son adresse e-mail signés à Legistry GmbH, qui crée ou associe ainsi un compte ; Lune peut ensuite travailler dans Legistry pour le compte de l’utilisateur. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

4.9. Notifications

Nous envoyons aux membres par e-mail leurs identifiants d’accès et leurs codes à usage unique, des notifications concernant les nouveaux prospects et les chats non lus (après un délai de quelques minutes, puis au maximum trois rappels après un, trois et sept jours), des confirmations et rappels de rendez-vous, des notifications concernant les opérations dans la gestion des contacts, ainsi que des notifications sept, trois et un jour avant l’expiration de l’accès et lors de son expiration. Le client détermine quels membres reçoivent les notifications concernant les prospects et les chats. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD.

4.10. Durée de conservation

Nous conservons les données du Workspace pendant toute la durée du contrat d’utilisation. À la demande du client, nous supprimons le Workspace avec l’ensemble de son contenu ; nous conservons les factures, avoirs et données de paiement pendant les durées légales.

4.11. Applications d’IA connectées

L’utilisateur peut connecter à la plateforme des applications d’IA de fournisseurs tiers — telles que Claude (Anthropic) ou ChatGPT (OpenAI) — au moyen d’une interface standardisée (Model Context Protocol). L’utilisateur configure lui-même la connexion et la confirme sur une page de consentement ; il choisit alors l’application qu’il connecte. Une application connectée accède ensuite, pour le compte de l’utilisateur, aux données de son compte et de ses Workspaces via l’interface de programmation, dans la limite de ses propres droits ; les identifiants de connexion, la clé API et les communications WhatsApp restent exclus. Nous conservons les accès uniquement sous forme de hachage et séparément pour chaque appareil ; l’utilisateur peut déconnecter une application à tout moment sous « Compte → Applications d’IA », ce qui entraîne l’expiration immédiate de tous les accès de l’application. Les données que l’application connectée transmet à son fournisseur et la manière dont celui-ci les traite relèvent de la responsabilité propre du fournisseur concerné, conformément à ses conditions et à ses informations relatives à la protection des données ; l’utilisateur choisit l’application et assume la responsabilité de l’application à laquelle il accorde l’accès. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD (mise à disposition de l’interface demandée par l’utilisateur).

5. Sites web de nos clients

Les clients publient leurs propres sites web avec notre éditeur de sites, sous lunelink.com ou sous leurs propres domaines. Le client concerné est responsable de la protection des données sur ces sites ; vous trouverez les informations relatives à l’exploitant dans les mentions légales du site concerné. Nous exploitons les sites pour le compte du client. À cette fin, nous traitons techniquement les données d’accès mentionnées à la section 2.1, la mesure de l’audience sans cookies conformément à la section 2.3, les cookies de consentement du gestionnaire de consentement conformément à la section 2.2, les données saisies dans les formulaires, les réservations de rendez-vous et les fichiers téléversés pour le client ainsi que – si le client a intégré son propre Meta-Pixel et que vous y consentez – le Meta-Pixel et l’API Conversions avec le pixel du client conformément à la section 2.4. Si le client intègre des vidéos YouTube, celles-ci sont chargées via youtube-nocookie.com ; lors de la lecture, Google traite vos données. Lors d’une réservation de rendez-vous, nous vous envoyons, pour le compte du client, la confirmation avec une entrée de calendrier ainsi que les rappels par e-mail ; les rendez-vous vidéo se déroulent dans la salle de réunion décrite à la section 2.6, pour laquelle nous utilisons LiveKit afin de transmettre l’image et le son.

6. Base de données d’entreprises immobilières provenant de sources publiques

Afin de pouvoir présenter aux candidats des employeurs appropriés et contacter des entreprises en tant qu’employeurs potentiels, nous tenons une base de données d’entreprises immobilières en Allemagne. Nous identifions les entreprises à l’aide de Google Maps Platform (Places API), en fonction du lieu et du domaine d’activité, puis analysons leur site web accessible au public à l’aide de l’IA (OpenAI). Nous enregistrons à cette fin les données des entreprises (raison sociale, marque, description, domaines d’activité, sites avec adresse, entité juridique avec les informations du registre, logo, indications relatives aux postes vacants) ainsi que les données à caractère personnel des personnes de contact mentionnées sur le site web : nom, fonction et coordonnées professionnelles (adresse e-mail, numéro de téléphone), y compris les adresses déduites du modèle des adresses e-mail professionnelles. Nous pouvons également intégrer des données provenant du registre du commerce, y compris les personnes habilitées à représenter l’entreprise qui y sont publiées. Les finalités sont de présenter les entreprises aux candidats comme employeurs potentiels (sans indiquer les coordonnées des personnes de contact), de contacter les entreprises par courrier avec des profils de candidats anonymisés (section 3.8), ainsi que de les contacter par e-mail ou par téléphone. La base juridique est l’art. 6, par. 1, phrase 1, point f du RGPD ; notre intérêt légitime consiste à contacter directement les entreprises dans le cadre de leur activité professionnelle en leur proposant une offre répondant à leurs besoins en personnel. Nous utilisons uniquement les données que les entreprises ont elles-mêmes publiées à des fins professionnelles. Compte tenu du nombre important d’entreprises, informer individuellement les personnes de contact entraînerait des efforts disproportionnés ; nous les informons donc par le biais des présentes informations relatives à la protection des données (art. 14, par. 5, point b du RGPD). Nous conservons les données aussi longtemps que l’entreprise peut être considérée comme un employeur potentiel pour les candidats. Vous pouvez vous opposer à tout moment au traitement (section 1.7) ; nous bloquerons alors l’entreprise pour sa présentation et sa prospection.

7. Communication avec nous

Lorsque vous nous contactez par e-mail, téléphone, WhatsApp ou via la plateforme, nous traitons les données que vous nous communiquez exclusivement afin de traiter votre demande et, le cas échéant, de répondre à d’éventuelles questions complémentaires. Si la communication vise la conclusion d’un contrat, la base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD ; dans les autres cas, il s’agit de l’art. 6, par. 1, phrase 1, point f du RGPD (notre intérêt légitime à répondre à votre demande). Nous supprimons les données dès que votre demande est traitée et qu’aucune obligation de conservation ne s’y oppose. Nous gérons nos boîtes de réception e-mail avec Google Workspace (Google Ireland Limited). Les appels vers notre numéro sont transférés à nos collaborateurs via Twilio ; Twilio traite à cette occasion votre numéro de téléphone et les données de connexion. Pour WhatsApp, la section 3.11 s’applique ; vous trouverez la politique de confidentialité de WhatsApp à l’adresse https://www.whatsapp.com/legal/privacy-policy-eea.

8. Partenaires contractuels et fournisseurs

Avec nos partenaires contractuels, fournisseurs et prestataires de services, nous traitons les données nécessaires à la relation contractuelle : noms et coordonnées des interlocuteurs, données relatives aux commandes, à la facturation et aux paiements, ainsi que la correspondance. La base juridique est l’art. 6, par. 1, phrase 1, point b du RGPD ; pour la gestion des contacts et des contrats ainsi que l’exploitation de nos systèmes informatiques, l’art. 6, par. 1, phrase 1, point f du RGPD ; et pour les obligations commerciales et fiscales, l’art. 6, par. 1, phrase 1, point c du RGPD. Nous supprimons les données à la fin de la relation contractuelle, dans la mesure où aucune obligation de conservation ne s’y oppose.

9. Modifications des présentes informations relatives à la protection des données

Nous adaptons les présentes informations relatives à la protection des données lorsque nos traitements ou les exigences légales évoluent. La version publiée au moment considéré sur lunelink.com fait foi ; la date de mise à jour figure au début de cette page.