Politique de confidentialité et cookies

BAMBBOO SAS · Version 3 · mise à jour le 14 octobre 2026 · remplace la version 2 de novembre 2025

Préambule

BAMBBOO SAS, société par actions simplifiée au capital de 3 565 euros, immatriculée au RCS de Marseille sous le numéro 925 176 638, dont le siège est situé 6 rue du Capitaine Jean Croisa, 13009 Marseille (« Bambboo », « nous »), édite la plateforme de cooptation Bambboo et le site bambboo.com.

Cette politique explique quelles données nous traitons, pourquoi, sur quelle base, combien de temps, avec qui, et comment exercer vos droits. Elle concerne :

  • les visiteurs du site bambboo.com (partie 2) ;

  • les utilisateurs de la Plateforme : représentants de nos entreprises clientes et salariés qu'elles invitent (« Collaborateurs ») (partie 3) ;

  • les personnes dont le profil LinkedIn est analysé parce qu'elles sont en relation avec un Collaborateur (« Contacts »), y compris lorsqu'elles candidatent à une offre (partie 4).

Délégué à la protection des données. Nous avons désigné un délégué à la protection des données auprès de la CNIL (DPO-178054). Pour toute question ou demande : dpo@jobinlive.fr.

1. Qui est responsable

Site bambboo.com, comptes des utilisateurs, base de profils, liste d'exclusion, facturation de nos clients

  • Responsable : Bambboo, seule

Recherche de candidats pour les offres d'une entreprise cliente : analyse des relations de ses Collaborateurs, suggestions, messages

  • Responsable : Bambboo et l'entreprise cliente, responsables conjoints (article 26 du RGPD). Bambboo est votre interlocuteur pour toutes vos demandes

Candidature à une offre

  • Responsable : L'entreprise à laquelle vous candidatez, selon sa propre politique. Bambboo agit pour son compte pour transmettre votre candidature et informer la personne qui vous a recommandé l'offre de l'étape où elle en est

2. Visiteurs du site bambboo.com

Données de navigation : adresse IP, navigateur, pages vues, date et heure, provenance

  • Pourquoi : Faire fonctionner le site et le sécuriser

  • Base légale : Intérêt légitime

  • Durée : Selon les règles de l'hébergeur du site (Framer), dont les statistiques de fréquentation n'utilisent ni cookie ni identifiant persistant

Traceurs de mesure d'audience (Google Analytics)

  • Pourquoi : Mesurer la fréquentation du site

  • Base légale : Votre consentement, recueilli par le bandeau

  • Durée : 13 mois au plus ; votre choix est gardé 6 mois

Traceurs publicitaires (Google Ads)

  • Pourquoi : Mesurer l'efficacité de nos campagnes

  • Base légale : Votre consentement, catégorie « Publicité » du bandeau

  • Durée : 90 jours au plus ; votre choix est gardé 6 mois

Formulaire de contact : nom, e-mail, téléphone, entreprise, effectif, message

  • Pourquoi : Répondre à votre demande et vous présenter notre offre

  • Base légale : Mesures précontractuelles prises à votre demande

  • Durée : 3 ans après notre dernier échange

Prise de rendez-vous pour une démonstration : nom, e-mail, téléphone, créneau

  • Pourquoi : Organiser la démonstration

  • Base légale : Mesures précontractuelles prises à votre demande

  • Durée : 3 ans après notre dernier échange

Destinataires : Framer (hébergement du site) ; Google (mesure d'audience et publicité) ; Microsoft (prise de rendez-vous, outil Bookings du groupe Job in Live) ; Weglot (traduction du site). Ces prestataires peuvent traiter des données hors de l'Union européenne, dans le cadre des clauses contractuelles types de la Commission européenne ou d'une décision d'adéquation.

Gérer vos cookies. Le bandeau vous permet de tout accepter, de tout refuser ou de choisir par catégorie, avec la même facilité. Aucun traceur soumis à consentement n'est déposé avant votre choix : d'ici là, Google ne reçoit que des requêtes sans cookie. Vous pouvez modifier votre choix à tout moment par le lien « Gérer mes cookies » en bas de chaque page.

3. Utilisateurs de la Plateforme

Représentants des entreprises clientes : nom, prénom, e-mail, fonction ; données de facturation

  • Pourquoi : Gérer le contrat et la facturation

  • Base légale : Exécution du contrat ; obligations légales

  • Durée : Durée du contrat, puis délais légaux (10 ans pour les pièces comptables)

Collaborateurs : nom, prénom, e-mail et photo (reçus de LinkedIn si vous vous identifiez avec LinkedIn), téléphone si vous le renseignez, entreprise, rôle

  • Pourquoi : Créer et gérer votre compte, vous authentifier, vous envoyer les notifications du service, dont l'étape où en est la candidature d'une personne à qui vous avez recommandé une offre

  • Base légale : Exécution des CGUV

  • Durée : Pendant votre utilisation ; supprimées sur votre demande ou celle de votre employeur sous un mois, au plus tard 30 jours après la fin de son contrat

Si vous connectez votre compte LinkedIn : la session LinkedIn transmise par l'extension Bambboo, votre fuseau horaire, la liste de vos relations de premier niveau

  • Pourquoi : Récupérer la liste de vos relations et envoyer, depuis votre compte, les messages que vous validez ou, si vous l'avez accepté, les messages envoyés automatiquement

  • Base légale : Votre consentement, retirable à tout moment

  • Durée : Jusqu'à votre déconnexion ; la session est alors supprimée chez nous et chez notre prestataire

Données de connexion et journaux techniques (utilisateur, page, date, résultat)

  • Pourquoi : Sécuriser la Plateforme, corriger les erreurs

  • Base légale : Intérêt légitime

  • Durée : Durée de rétention de nos outils techniques, communiquée sur demande

Si le contrat de votre employeur le prévoit : trace des suggestions de profils qui vous ont été faites (profil, offre, date)

  • Pourquoi : Facturer nos services à votre employeur selon son contrat

  • Base légale : Intérêt légitime

  • Durée : 12 mois après la dernière suggestion d'un profil, puis supprimée

Votre session LinkedIn ne sert qu'à deux opérations : récupérer la liste de vos relations et envoyer, depuis votre compte, les messages que vous validez ou, si votre employeur le propose et que vous l'acceptez, les messages envoyés automatiquement, avec les mêmes limites de volume. Vous pouvez refuser ou retirer l'envoi automatique à tout moment, sans avoir à vous justifier et sans conséquence pour vous. Bambboo conserve les messages envoyés depuis la Plateforme ; elle ne collecte pas vos publications. Connecter votre compte est facultatif : votre employeur s'est engagé à n'en faire ni une obligation, ni un critère d'évaluation ou de rémunération. Bambboo n'est titulaire d'aucune autorisation de LinkedIn : l'usage d'un outil tiers expose votre compte à un risque de restriction par LinkedIn ; nos engagements pour le limiter figurent à l'article 3.2.5 des CGUV.

Pour retirer votre accord, supprimer votre compte ou exercer vos droits : dpo@jobinlive.fr. À compter du 31 octobre 2026, vous pouvez aussi retirer votre accord LinkedIn depuis la rubrique « Mon compte ». Nous traitons votre demande dans un délai d'un mois au plus.

Destinataires : votre employeur, pour les données de votre compte ; nos prestataires Evolix (hébergement, France), Captain Data sous la marque Edges (session LinkedIn, relations, envoi des messages), Brevo (e-mails), Sentry (suivi des erreurs) et Metabase (tableaux de bord internes). Leur liste complète, avec leurs pays et leurs garanties, figure à l'annexe 3 des CGUV.

Salariés recrutés par une entreprise cliente. Lorsque son contrat le prévoit, une entreprise cliente peut nous communiquer, à notre demande, des informations sur certains de ses recrutements (nom, poste, date d'embauche) pour vérifier l'exécution de ce contrat. Base légale : notre intérêt légitime à obtenir le paiement des prestations convenues. Les informations qui ne correspondent à aucune suggestion faite par la Plateforme sont supprimées dès la vérification faite.

4. Personnes dont le profil LinkedIn est analysé

Vous êtes en relation sur LinkedIn avec un salarié d'une entreprise qui utilise Bambboo ? Cette partie vous concerne. Elle est résumée sur la page bambboo.com/vos-donnees.

D'où viennent vos données

Un salarié d'une entreprise cliente, avec qui vous êtes en relation directe sur LinkedIn, a connecté son compte à Bambboo. Nous avons récupéré la liste de ses relations, puis les informations professionnelles de votre profil, lues par notre prestataire Edges depuis ses propres comptes, qui ne sont pas en relation avec vous : ils ne voient que ce qu'un membre de LinkedIn non relié à vous peut voir. Nous n'avons ni votre e-mail ni votre téléphone.

Quelles données

Votre nom, votre poste actuel, votre parcours (titre, résumé, expériences, formations, compétences), vos langues, votre localisation, la photo et l'adresse de votre profil, la date de votre mise en relation. Ce que nous en déduisons : années d'expérience, statut d'étudiant, ville, analyses de pertinence de l'IA et commentaires affichés à la personne qui vous connaît ; et, si elle vous écrit, son message. Jamais vos coordonnées, vos publications ni vos expériences de bénévolat. La photo sert uniquement à permettre à la personne qui vous connaît de vous reconnaître parmi des homonymes.

Pourquoi, et sur quelle base

Repérer les offres qui correspondent à votre parcours, pour que la personne qui vous connaît puisse vous les recommander. Base légale : l'intérêt légitime de Bambboo, de l'entreprise qui recrute et de la personne qui vous connaît. La mise en balance de ces intérêts avec vos droits est documentée dans notre analyse d'impact.

Une intelligence artificielle (Gemini, sur Google Cloud, dans l'Union européenne) compare votre parcours aux offres. Elle reçoit votre parcours, sans votre prénom ni votre nom (remplacés par un identifiant interne), jamais votre photo ni l'adresse de votre profil. Elle ne décide rien : c'est la personne qui vous connaît qui choisit de vous écrire. Elle valide chaque message ou, si son entreprise le propose et qu'elle l'a accepté, laisse partir les messages automatiquement, avec les mêmes limites. Une même personne ne peut recevoir plus de N messages des salariés d'une même entreprise sur trente jours glissants : l'entreprise fixe N entre un et dix, quatre par défaut. Ni Bambboo ni ses prestataires n'utilisent vos données pour entraîner des modèles d'intelligence artificielle.

Si l'entreprise a souscrit un contrat qui le prévoit, nous conservons aussi une trace indiquant que votre profil a été suggéré (date, offre, personne à qui il a été suggéré), pour facturer nos services à cette entreprise. Base légale : notre intérêt légitime à obtenir le paiement des prestations convenues.

Qui voit vos données

La personne dont vous êtes la relation. Jusqu'au 30 octobre 2026, les recruteurs de l'entreprise voient les profils identifiés comme pertinents pour ses offres, jamais vos coordonnées. À compter du 31 octobre 2026, l'entreprise ne voit que des totaux, sans aucune donnée qui permette de vous identifier ; elle n'accède à vos données que si vous candidatez. Nos prestataires, pour notre compte : Evolix (hébergement, France) ; Captain Data, sous la marque Edges (lecture des profils ; données stockées dans l'Union européenne, accès possible depuis l'extérieur de l'Union encadré par les clauses contractuelles types) ; Google Cloud (analyse ; données traitées dans l'Union européenne) ; Metabase (tableaux de bord internes ; données stockées dans l'Union européenne). Nous ne vendons aucune donnée.

Si vous candidatez

Si vous candidatez à une offre depuis Bambboo, votre candidature est transmise à l'entreprise, qui en devient seule responsable. Elle reçoit avec votre candidature le nom de la personne qui vous a recommandé l'offre et une synthèse qui explique pourquoi votre profil lui a été suggéré ; la décision de recrutement appartient à l'entreprise. Votre CV est supprimé de Bambboo dès sa transmission. La personne qui vous a recommandé l'offre est informée de l'étape où en est votre candidature (reçue, en cours d'examen, entretien, recrutement, non retenue), jamais des motifs ni des appréciations du recruteur. Vous en êtes informé au moment de candidater.

Combien de temps

Pendant la durée du contrat de l'entreprise, tant qu'un de ses salariés est en relation avec vous. Vos données sont supprimées dès que plus aucun salarié d'une entreprise cliente n'est en relation avec vous. Les copies conservées par notre prestataire Edges sont supprimées au plus tard trois mois après leur lecture. La trace de suggestion, lorsqu'elle existe, est conservée douze mois après la dernière suggestion de votre profil, puis supprimée. Si vous vous opposez ou demandez l'effacement, vos données sont supprimées sous un mois au plus et votre demande est inscrite sur une liste d'exclusion.

Comment vous êtes informé

Par cette page et par la page bambboo.com/vos-donnees. Si un salarié vous écrit, son message renvoie vers la page de l'offre, qui explique pourquoi vous la recevez et vous permet de demander à ne plus être sollicité.

Vos droits

Accès, rectification, effacement, limitation, et opposition à tout moment, sans avoir à vous justifier : écrivez à dpo@jobinlive.fr en indiquant l'adresse de votre profil LinkedIn, ou utilisez le lien de la page de l'offre que vous avez reçue. Vous pouvez aussi vous adresser à l'entreprise dont le salarié vous a écrit : elle nous transmet votre demande. Réponse sous un mois au plus.

5. Transferts hors de l'Union européenne

Nos serveurs sont hébergés en France, et la plupart de nos prestataires stockent nos données dans l'Union européenne. Certains peuvent traiter des données hors de l'Espace économique européen, ou y accéder depuis l'extérieur : Google Cloud (accès possible pour le support), Captain Data (Edges), Brevo, Sentry, Metabase, ainsi que les outils du site (partie 2). Nous veillons à ce qu'ils soient encadrés par une décision d'adéquation de la Commission européenne ou par ses clauses contractuelles types. La liste complète figure à l'annexe 3 des CGUV. Les outils bureautiques de notre équipe, dont Notion et l'assistant Claude d'Anthropic, ne sont pas connectés à la base de données de la plateforme et n'en reçoivent aucune donnée.

6. Sécurité

Hébergement en France chez Evolix ; échanges chiffrés (HTTPS) ; accès cloisonnés par entreprise et par rôle ; journalisation des requêtes ; transmission à l'IA qui analyse les profils du seul parcours professionnel, le prénom et le nom étant remplacés par un identifiant interne, jamais la photo ni l'adresse du profil ; plafond de messages par personne. Le détail figure à l'article 7.7 des CGUV.

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité pour les données que vous nous avez fournies, d'opposition au traitement fondé sur l'intérêt légitime, et de retrait de votre consentement lorsque le traitement repose sur celui-ci. Écrivez à dpo@jobinlive.fr ; nous répondons dans un délai d'un mois au plus. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

8. Modifications

Nous mettons cette politique à jour quand nos traitements changent. Chaque version porte son numéro et sa date ; les versions antérieures sont communiquées sur demande.