Sécurité et données
Un dossier d'entretien contient un CV, un enregistrement de conversation et des appréciations sur une personne. Voici où ces données vivent, qui peut les lire et combien de temps elles restent.
Hébergement
L'application, la base de données et les fichiers déposés (CV, enregistrements, transcriptions) sont hébergés sur un serveur dédié de Scaleway SAS, situé dans un centre de données à Paris (France), au sein de l'Union européenne, dont les disques sont chiffrés. Nos données restent stockées sur ce serveur ; des contenus d'un entretien (texte transcrit, notes, résumés, réponses au quiz) peuvent en revanche être transmis à un sous-traitant d'IA : données stockées aux États-Unis, traitement possible hors de l'Union européenne (voir « Traitement par l'IA »).
Les données restent stockées sur notre serveur, mais le trafic transite par un prestataire de proxy : Cloudflare, Inc., qui ne publie pas de durée de conservation pour l'offre utilisée et conserve les données le temps nécessaire au service ou pour des raisons commerciales ou légales, d'après sa politique de confidentialité. Il relaie les échanges entre votre navigateur et notre serveur, y termine la connexion chiffrée puis la rétablit vers notre serveur. Le contenu de ces échanges (identifiants de connexion, fichiers déposés) passe donc par ses systèmes le temps du relais ; ce trafic peut être traité hors de l'Union européenne. Il figure parmi nos sous-traitants dans la politique de confidentialité.
Une copie chiffrée de la base de données et des fichiers est faite chaque nuit, puis envoyée par un tunnel chiffré vers un second équipement situé en France, qui appartient à l'éditeur. Ces copies sont conservées 30 jours, puis supprimées : une donnée supprimée de la production disparaît donc aussi des sauvegardes au plus tard 30 jours plus tard. Elles ne servent qu'à la reprise après un incident.
Tout changement d'hébergeur ou de sous-traitant ultérieur est annoncé aux organisations clientes au moins 30 jours à l'avance, et reste dans l'Union européenne.
Accès et authentification
La double authentification est obligatoire pour tous les comptes du portail : un compte qui ne l'a pas encore activée doit l'activer à la connexion, avant toute ouverture de session, et un administrateur peut la réinitialiser pour un membre qui perd son appareil (le membre la réactive alors à sa connexion suivante). Chaque phase d'un parcours d'entretien a ses propres droits de lecture et d'écriture : un rôle ne voit ni le contenu, ni les notes, ni les documents d'une phase qu'il ne peut pas lire. Dans le parcours par défaut, la phase RH est réservée au profil RH et la phase Technique au profil Technique (un profil RH et Technique lit les deux) ; l'administrateur reste toujours autorisé. Les résultats du quiz ne sont pas lisibles par un profil RH seul.
La double authentification repose sur un code temporaire généré par votre application d'authentification, avec des codes de secours remis à l'activation en cas de perte d'appareil. Les droits sont vérifiés côté serveur à chaque requête, pas seulement à l'affichage de l'écran.
Le candidat n'a jamais de compte. Il reçoit un lien de quiz, valable 7 jours, qui se rouvre tant que le quiz n'est pas terminé et expire dès la soumission ou la clôture du quiz à son échéance.
Isolation entre organisations
Les données de votre organisation (postes, candidats, entretiens, grilles) ne sont jamais visibles par une autre organisation cliente. Toute tentative d'accès à une ressource qui ne vous appartient pas est traitée comme une ressource inexistante, sans confirmer ni infirmer son existence.
Chiffrement des échanges et des mots de passe
Chiffrement en transit par TLS pour tous les échanges. Les mots de passe sont hachés avec un algorithme lent et salé (BCrypt) : ils ne sont ni stockés en clair, ni chiffrés, ni récupérables — même par nous. Une demande de réinitialisation est le seul moyen de retrouver l'accès.
Traitement par l'IA
La génération de questions et de résumés passe par un fournisseur de modèles tiers, appelé par notre serveur : selon les conditions d'Anthropic, les contenus transmis ne sont pas utilisés par défaut pour entraîner ses modèles et sont supprimés de ses systèmes dans un délai annoncé de 30 jours, sous réserve d'exceptions prévues par ces conditions (par exemple contenus signalés comme contraires à sa politique d'usage, obligation légale) ; Candidia n'entraîne aucun modèle. Les contenus transmis sont stockés aux États-Unis et leur traitement peut avoir lieu hors de l'Union européenne : Anthropic ne propose pas d'option européenne pour son API. La transcription des enregistrements est effectuée sur notre propre infrastructure (Whisper, auto-hébergé) : l'enregistrement audio ou vidéo n'est jamais transmis à un tiers. Le texte transcrit fait en revanche partie des contenus transmis au fournisseur lorsque vous demandez une proposition de résumé de phase ou la préparation de la grille finale ; les notes saisies par le recruteur pour la phase le sont dans les mêmes cas, ainsi que lorsque vous demandez des questions à poser pendant une phase suivante (résumés et notes des phases précédentes déjà fermées, sans le texte transcrit) : toutes les notes de la phase, quel qu'en soit l'auteur, sont transmises, sans le nom de leur auteur. Pour cette même demande, si le quiz a été soumis avant la phase et que votre profil en lit les résultats, les réponses du candidat aux questions à choix multiples et le nombre de cas de test réussis par son code sont aussi transmis, jamais le code lui-même ni les cas de test. Avant l'envoi, le nom et le prénom du candidat, ainsi que les adresses e-mail et numéros de téléphone repérés dans ces contenus, sont remplacés par des mentions génériques ; d'autres éléments identifiants (employeur, ville, nom mal orthographié, propos sur des tiers) peuvent subsister, et les notes comme le texte transcrit peuvent contenir tout ce que le recruteur ou l'interlocuteur y a dit ou écrit.
Le code écrit par le candidat pendant un quiz est exécuté sur notre serveur, dans un environnement isolé et sans accès réseau ; il n'est transmis à aucun tiers pour cette exécution.
Aucune décision d'embauche n'est produite automatiquement. L'IA transcrit, résume, suggère et signale ; le recruteur note et décide. Le score de quiz est informatif et n'est ni transmis au candidat ni converti en note de grille. Chaque case reste modifiable et la grille finale n'est enregistrée qu'après validation humaine.
Cette règle est structurelle, pas un réglage, et elle figure dans les conditions d'utilisation : le service est conçu pour ne pas prendre de décision de recrutement ; il ne préjuge pas de sa qualification au regard du règlement sur l'IA.
Durée de conservation
| Type de donnée | Durée | Point de départ |
|---|---|---|
| Enregistrements d'entretien (audio, vidéo et transcription) | 6 mois | Date de réalisation de la phase indiquée par le recruteur, à défaut la date de fermeture de la phase, à défaut la date de dépôt du document |
| Dossier d'un candidat (entretiens, grilles, quiz, CV et lettre) | 2 ans | Après la décision finale ; en l'absence de décision, après le dernier contact |
| Candidat sans entretien (jamais ouvert, ou tous supprimés) | 6 mois | Création du candidat ou suppression de son dernier entretien, CV et lettre inclus |
| Comptes des utilisateurs d'une organisation résiliée ou dont l'essai n'a pas été converti | 30 jours, puis anonymisation | Fin de l'abonnement (fin de la période payée après résiliation) ou fin de l'essai gratuit sans souscription |
Détail
| Dossier d'un candidat non retenu | 2 ans après la décision |
| Dossier d'un candidat retenu | 2 ans après la décision |
| Dossier d'un candidat dont l'entretien n'a pas donné lieu à une décision | 2 ans après le dernier contact |
| Candidat sans entretien (jamais ouvert, ou tous supprimés) | 6 mois après sa création ou la suppression de son dernier entretien, CV et lettre inclus |
| Enregistrement audio ou vidéo d'un entretien et sa transcription | 6 mois à partir de la date de réalisation de la phase indiquée par le recruteur, à défaut de la date de fermeture de la phase, à défaut de la date de dépôt du document, puis suppression |
| Grilles et modèles de votre organisation | tant que le compte existe |
| Comptes des utilisateurs d'une organisation résiliée ou dont l'essai gratuit n'a pas été converti | 30 jours, puis anonymisation |
| Organisation cliente | anonymisée (son nom est remplacé) 10 ans après la fin de la relation, comptée à partir du 31 décembre de l'année concernée ; l'accueil des candidats retenus est effacé et les invitations restantes sont supprimées à ce moment |
| Abonnement et pièces comptables | conservés, sans le nom de l'organisation, pour respecter l'obligation de conservation des pièces comptables, puis anonymisés en même temps que l'organisation : identifiants de paiement Stripe (pseudonymes) effacés |
| Invitation à rejoindre une organisation | 30 jours après son expiration |
| Sauvegardes chiffrées de la base et des fichiers | 30 jours : une donnée supprimée ou anonymisée disparaît des sauvegardes au plus tard 30 jours après |
Un candidat embauché suit la même règle qu'un candidat non retenu : il n'existe pas de durée légale spécifique au recrutement pour une personne recrutée, ses données basculant normalement dans le dossier du personnel, qui reste hors du périmètre de Candidia. Nous appliquons donc volontairement les deux ans. Exportez ce que vous souhaitez conserver vers votre propre système RH avant la suppression. L'Admin de votre organisation exporte depuis Paramètres les grilles et l'ensemble des dossiers d'entretien, y compris quand l'espace est en lecture seule, tant que les comptes de l'organisation ne sont pas anonymisés (30 jours après la fin de l'abonnement (fin de la période payée après résiliation) ou la fin de l'essai gratuit sans souscription) ; l'archive est supprimée dès son téléchargement, ou 24 heures après sa préparation (une copie peut subsister dans les sauvegardes chiffrées jusqu'à 30 jours). Cet export est refusé à l'éditeur, y compris lorsqu'il accède temporairement à votre espace en mode « connecté en tant qu'admin ».
Droits des candidats
Vous restez responsable du traitement, Candidia est sous-traitant. Un candidat qui demande l'accès, la rectification ou la suppression de ses données s'adresse à votre organisation ; l'export et la suppression d'un dossier se font depuis la fiche candidat, pour les rôles RH, RH + Technique et Admin. La suppression est définitive et demande une confirmation ; elle atteint les sauvegardes chiffrées au plus tard 30 jours après. L'export est refusé à l'éditeur, y compris en mode « connecté en tant qu'admin ».
L'enregistrement d'un entretien suppose le consentement explicite du candidat, recueilli par vous avant la conversation. Le portail vous demande de le confirmer au moment du dépôt du fichier.