Contrat de sous-traitance des données personnelles

1. Parties

Le responsable de traitement : l'organisation cliente identifiée lors de la création de son espace Candidia et représentée par la personne qui l'a créé (ci-après « le client »).

Le sous-traitant : Robin Doise, entrepreneur individuel, exerçant sous le nom commercial Candidia, dont l'adresse figure dans les mentions légales du site (ci-après « Candidia » ou « le sous-traitant »). Contact : [email protected].

2. Objet, durée, nature et finalité, données et personnes concernées (art. 28.3, alinéa introductif)

Objet. Le présent contrat définit les conditions dans lesquelles Candidia traite, pour le compte du client, les données à caractère personnel nécessaires à la fourniture du service Candidia, conformément au règlement (UE) 2016/679 (« RGPD »). Il complète les conditions générales d'utilisation (clause 11).

Durée. Il court à compter de la confirmation de l'inscription, pendant l'essai gratuit puis l'abonnement, et jusqu'à la suppression ou la restitution des données (clause 9).

Nature et finalité du traitement. Aide au recrutement technique : grilles d'évaluation, questions techniques, quiz de présélection, suivi d'entretiens (phases, notes, documents), transcription automatique des enregistrements, propositions de l'IA (grilles, résumés, questions) que le recruteur du client valide : l'IA ne note ni ne décide jamais à la place du recruteur. Opérations : collecte par saisie ou dépôt par les utilisateurs du client, enregistrement, stockage, consultation, transcription, transmission à l'IA de contenus pseudonymisés, export, suppression.

Types de données. Pour les candidats : identité et coordonnées, CV et lettre de motivation, enregistrements audio ou vidéo des entretiens et leur transcription, notes et résumés saisis par le recruteur, grilles d'évaluation, réponses et code soumis au quiz, décision. Pour les utilisateurs du client : nom, prénom et rôle, lorsqu'ils figurent dans les données d'entretien (auteur d'une note, recruteur d'une phase). Les données de compte des utilisateurs (identité, adresse e-mail, connexion, facturation) relèvent de Candidia en tant que responsable de traitement, comme l'indique la politique de confidentialité.

Catégories de personnes concernées. Les candidats du client ; les utilisateurs (recruteurs, responsables techniques, administrateurs) du client.

3. Instructions documentées du client (art. 28.3.a)

Candidia ne traite les données que sur instruction documentée du client, c'est-à-dire : le présent contrat, les CGU, et les actions réalisées par les utilisateurs du client dans l'outil. Toute instruction supplémentaire est donnée par écrit à [email protected].

Candidia ne traite pas les données d'entretien pour ses propres finalités. Les traitements dont elle est elle-même responsable, décrits dans la politique de confidentialité, sont distincts.

Transferts hors Union européenne. Les transferts hors de l'Union européenne et le recours à des sous-traitants ultérieurs qui y procèdent sont décrits à la clause 6 ; en les acceptant, le client donne instruction de les réaliser. Si Candidia est tenue de procéder à un transfert en vertu du droit de l'Union ou du droit de l'État membre auquel elle est soumise, elle en informe le client avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

Alerte. Candidia informe immédiatement le client si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou des États membres relatives à la protection des données.

4. Confidentialité (art. 28.3.b)

Candidia est exploitée par une seule personne, qui s'engage à respecter la confidentialité des données. Elle veille à ce que toute personne qu'elle autoriserait à les traiter s'engage à la respecter ou soit soumise à une obligation légale appropriée de confidentialité. L'accès du Super Admin de Candidia aux organisations clientes est limité à des cas déterminés (support en lecture seule journalisée, mode « connecté en tant qu'admin » tracé), décrits dans la documentation du service.

5. Mesures de sécurité (art. 28.3.c, art. 32)

Candidia met en œuvre les mesures techniques et organisationnelles décrites sur la page publique « Sécurité » du site et dans la documentation remise sur demande à [email protected] (analyse d'impact, dossier d'aide à l'analyse d'impact, audit de minimisation), sans que ce contrat en promette davantage que ce que ces documents énoncent. Le contrat renvoie à cette documentation plutôt que de la recopier, afin qu'elle ne diverge pas. [Répartition des responsabilités de sécurité entre le client (gestion des comptes et des droits de ses utilisateurs, confidentialité de ses mots de passe) et Candidia (infrastructure et application) : à préciser avec un juriste.]

6. Sous-traitants ultérieurs (art. 28.2, 28.3.d et 28.4)

Autorisation. Le client autorise de façon générale Candidia à recourir aux sous-traitants ultérieurs ci-dessous, tels que décrits à la date du présent contrat dans la page « Politique de confidentialité » du site. Candidia impose à chacun, par contrat, les mêmes obligations de protection des données que celles du présent contrat, notamment des garanties suffisantes quant aux mesures techniques et organisationnelles ; elle reste pleinement responsable devant le client de l'exécution de ces obligations (art. 28.4).

L'hébergement de Candidia est assuré par l'éditeur lui-même (voir les mentions légales) : ce n'est pas un sous-traitant ultérieur tiers. La transcription des enregistrements est réalisée par un outil hébergé par Candidia, sans sous-traitant ultérieur.

Changements. La liste ci-dessus est tenue à jour dans la politique de confidentialité publiée. Candidia informe par e-mail les administrateurs de l'organisation de tout ajout ou remplacement d'un sous-traitant ultérieur, au moins 30 jours avant son entrée en service. Le client dispose de 30 jours à compter de cet e-mail pour émettre par écrit une objection motivée (art. 28.2). En cas d'objection, les parties cherchent de bonne foi une solution ; à défaut, le client peut résilier sans frais l'abonnement concerné, avec effet à la fin de la période déjà payée. [À valider.]

7. Assistance pour les droits des personnes concernées (art. 28.3.e)

1. Rôles. Le client, responsable de traitement, est seul tenu de répondre aux personnes concernées dans le délai d'un mois à compter de la réception de leur demande (article 12 du RGPD, prolongeable de deux mois pour une demande complexe, la personne en étant informée dans le premier mois).
2. Transmission. Lorsqu'une personne exerce ses droits sur ses données de candidat auprès de Candidia (canal [email protected]), Candidia ne répond pas à la place du client : elle lui transmet la demande reçue dans les meilleurs délais et au plus tard 5 jours ouvrés après identification de l'organisation concernée, par e-mail aux administrateurs actifs de l'organisation (ou au contact désigné au contrat), avec un lien vers une fiche de la demande accessible après connexion. Le message de transmission ne contient ni l'identité, ni les coordonnées, ni le résumé du demandeur : ils sont dans la fiche. L'identification de l'organisation se fait à partir des informations fournies par le demandeur et de la liste des organisations clientes ; Candidia ne cherche jamais parmi les données du client.
3. Trace. Candidia tient un registre de suivi des demandes reçues (dates de réception et de transmission, résultat de l'envoi, clôture), conservé pour prouver cette assistance, dont elle est responsable de traitement. Les coordonnées du demandeur, le résumé de la demande et la note de l'organisation y sont effacés à la clôture ; la demande est supprimée 3 ans après la clôture, au plus tard 3 ans après la réception si la demande n'a pas été clôturée, ou à l'anonymisation de l'organisation.
4. Outils du client. Le client dispose d'outils libres sur la fiche d'un candidat (export du dossier, suppression du dossier, fichiers compris) pour répondre lui-même à un droit d'accès, de portabilité ou d'effacement. Candidia n'extrait pas ni ne supprime elle-même un dossier de candidat.
5. Organisation sans administrateur actif. Si l'organisation n'a aucun administrateur actif, Candidia tente de joindre un autre contact connu du client (adresse de facturation ou signataire du contrat). Si le client reste injoignable et que le contrat est terminé, la clause de sort des données (clause 9) s'applique. Aucun autre délai n'est promis.
6. Candidia n'est pas en mesure, à la date de ce modèle, d'engager un délai pour effacer ou limiter les copies de transcriptions détenues par un sous-traitant ultérieur au-delà de ses conditions (documentation remise sur demande à [email protected]). [À qualifier avant envoi.]

7 bis. Obligations du client (art. 28.3, alinéa introductif : droits et obligations du responsable de traitement)

Le client, responsable de traitement :

1. fournit les données nécessaires au service (ou les fait saisir ou déposer par ses utilisateurs) et garantit qu'il est en droit de le faire ;
2. documente ses instructions à Candidia (clause 3) et les donne par écrit pour toute instruction qui dépasse l'usage normal de l'outil ;
3. veille au respect du RGPD pour les traitements qu'il réalise avec l'outil : base légale, minimisation, durées de conservation, sécurité de ses comptes, droits de ses utilisateurs, décision de recrutement toujours prise par une personne ;
4. informe les candidats conformément aux articles 13 et 14 du RGPD (finalités, base légale, destinataires dont Candidia et ses sous-traitants ultérieurs, durées, droits, y compris l'usage d'un outil d'IA qui assiste le recruteur) et répond lui-même à leurs demandes (clause 7).

8. Assistance pour les obligations des articles 32 à 36 (art. 28.3.f)

• Violation de données. Candidia notifie au client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard [72] heures après en avoir pris connaissance (à valider), par e-mail à l'adresse de contact du client, avec la documentation utile permettant au client, si nécessaire, de notifier la violation à l'autorité de contrôle (72 heures, article 33.1) : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, point de contact, conséquences probables, mesures prises ou proposées (art. 33.3). Si toutes les informations ne peuvent être fournies en même temps, elles le sont de manière échelonnée sans retard indu. Le client reste seul tenu de notifier l'autorité de contrôle et, si nécessaire, les personnes concernées : Candidia ne le fait pas en son nom.
• Analyse d'impact et consultation préalable. Candidia aide le client à réaliser une analyse d'impact et, le cas échéant, une consultation préalable de l'autorité de contrôle, en lui remettant sur demande son analyse d'impact et son dossier d'aide (la documentation remise sur demande à [email protected]) et les informations dont elle dispose, compte tenu de la nature du traitement.

9. Sort des données en fin de contrat (art. 28.3.g)

Au terme de la prestation :

• restitution : le client exporte lui-même ses données depuis Paramètres (grilles, postes, journal d'activité, dossiers d'entretien) tant que les comptes de son organisation ne sont pas anonymisés ;
• suppression : le client supprime lui-même, candidat par candidat, les dossiers qu'il ne souhaite pas voir conservés (fichiers compris), par l'outil de la fiche candidat, avant l'anonymisation des comptes (30 jours après la fin de l'abonnement, ci-dessous). Il n'existe pas de suppression globale en un clic de l'organisation. Sur demande écrite à [email protected], Candidia supprime manuellement les dossiers restants dans un délai de [30 jours] à compter de la demande [à valider]. Faute de demande, les durées de conservation ci-dessous s'appliquent.

Dans tous les cas : les comptes des utilisateurs sont anonymisés 30 jours après la fin de l'abonnement (fin de la période payée après résiliation, ou fin de l'essai gratuit sans souscription) ; plus aucun administrateur ne peut alors se connecter pour exporter. Les données des candidats sont supprimées selon les durées de conservation en vigueur à la date du présent modèle, relues contre le code et les pages légales : enregistrements d'entretien (audio, vidéo, transcription) 6 mois après la date de la phase ; dossier d'un candidat 2 ans après la décision finale ou, à défaut, le dernier contact ; candidat sans entretien (jamais ouvert, ou tous supprimés) 6 mois après sa création ou la suppression de son dernier entretien ; demandes de droits 3 ans après la clôture de leur suivi ; l'organisation est anonymisée (nom remplacé, jamais supprimée) à partir du 1er janvier qui suit le 31 décembre de l'année de fin de la relation, augmentée de 10 ans. Les pièces comptables (abonnement, livre de recettes) sont conservées pendant la durée légale : la loi l'exige (art. 28.3.g, « à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation »). Les copies existantes sont détruites, hors sauvegardes du disque de production et copies chez les sous-traitants ultérieurs soumises à leurs propres durées (la documentation remise sur demande à [email protected]). Candidia justifie par écrit de la destruction, sur demande. Clause de sort : si le client ne choisit pas et reste injoignable, les durées ci-dessus s'appliquent sans autre formalité. Ces durées sont celles du code à la date de ce modèle : le présent contrat ne les raccourcit jamais par une promesse.

10. Information et audits (art. 28.3.h)

Candidia met à la disposition du client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 et pour permettre la réalisation d'audits, y compris des inspections, par le client ou un auditeur qu'il mandate, et contribue à ces audits. [Modalités à valider : préavis, fréquence, périmètre, confidentialité de l'auditeur, prise en charge des coûts.]

11. Articulation avec les CGU, forme et entrée en vigueur

Le présent contrat complète les CGU. [En cas de contradiction en matière de données personnelles, le présent contrat prévaut : à valider.] Il se présente sous forme écrite, y compris électronique (art. 28.9).

[Acceptation, à valider : le présent document est, à ce jour, un document d'information en cours de finalisation ; il n'est pas accepté lors de la création de l'espace. Le client l'acceptera par voie électronique sur la version relue et finalisée, qui lui sera soumise pour acceptation avant tout usage du service avec de vraies données de candidats. Candidia conservera la trace de cette acceptation (version du contrat, date) pour en justifier.]

Correspondance avec l'article 28.3 du RGPD