Accord de sous-traitance (DPA)
Version en vigueur au
Le présent accord, conclu en application de l'article 28 du RGPD, encadre les traitements de données personnelles réalisés par [Raison sociale] (le « Sous-traitant ») pour le compte du client du service Tamis (le « Responsable de traitement »). Il fait partie intégrante des conditions générales et s'applique dès la création du compte.
1. Description du traitement
- Objet : collecte, stockage, pré-analyse par IA et gestion des candidatures reçues par le Responsable de traitement.
- Durée : durée d'utilisation du service, puis suppression selon l'article 9.
- Nature des opérations : hébergement, extraction du texte des CV, analyse automatisée au regard des critères du Responsable de traitement, envoi d'e-mails, export, suppression.
- Personnes concernées : candidats ; utilisateurs du Responsable de traitement.
- Catégories de données : identité, coordonnées, parcours professionnel et formation, contenu du CV et de la lettre de motivation, évaluations et notes. Aucune donnée sensible ne doit être demandée ; le Responsable de traitement s'interdit de définir des critères fondés sur de telles données.
2. Instructions documentées
Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, constituée par les présentes, le paramétrage du service (critères, durée de conservation, modèles d'e-mails) et les actions réalisées dans l'application. Il informe immédiatement le Responsable de traitement si une instruction lui paraît contraire à la réglementation.
3. Confidentialité
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et ne consultent les données des clients qu'en cas de nécessité (support à la demande du client, incident).
4. Sécurité
- hébergement en France dans des centres de données certifiés ISO 27001 ;
- chiffrement des flux (TLS) et des secrets au repos (AES-256-GCM) ;
- accès aux CV restreint au compte propriétaire, après authentification ;
- mots de passe hachés, protection CSRF, limitation de débit, journal d'audit ;
- sauvegardes chiffrées et procédures de restauration testées.
5. Sous-traitants ultérieurs
Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants. Toute modification est notifiée au moins 30 jours à l'avance ; le Responsable de traitement peut s'y opposer et, à défaut d'accord, résilier le contrat.
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| OVH SAS (OVHcloud) | Hébergement de l'application, des bases de données et des fichiers (CV) | France (Union européenne) |
| OVH SAS — AI Endpoints | Modèle de langage utilisé pour la pré-analyse des CV | France (Union européenne) |
| [Prestataire d'e-mails transactionnels] | Envoi des e-mails de la plateforme (vérification, réinitialisation, notifications) | [Pays] |
Lorsque le Responsable de traitement connecte sa propre boîte de réception ou son propre serveur d'envoi, ce prestataire relève de son choix et de sa responsabilité.
6. Transferts hors UE
Aucune donnée n'est transférée hors de l'Union européenne. Les données ne sont jamais utilisées pour entraîner ou améliorer un modèle d'IA.
7. Droits des personnes
Le Sous-traitant fournit les outils permettant au Responsable de traitement de répondre aux demandes d'exercice de droits (consultation, rectification, export, suppression d'une candidature). S'il reçoit directement une demande, il la transmet sans délai au Responsable de traitement.
8. Violations de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL et, le cas échéant, aux personnes concernées.
9. Sort des données
Les candidatures sont supprimées automatiquement à l'expiration de la durée de conservation choisie par le Responsable de traitement. À la fin du contrat (suppression du compte), toutes les données sont supprimées, sauvegardes comprises dans un délai de 30 jours ; le Responsable de traitement peut les exporter au préalable.
10. Audit et assistance
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations, aide le Responsable de traitement à réaliser une analyse d'impact (AIPD) le cas échéant, et permet la réalisation d'audits, sur demande raisonnable et avec un préavis de 30 jours.
11. Contact
Délégué à la protection des données / contact RGPD : [dpo@votre-domaine.fr] — [Raison sociale], [Adresse du siège social].