Accord de sous-traitance des données
Les conditions dans lesquelles WiJob traite, pour le compte de l'entreprise cliente, les données personnelles de ses candidats et de ses utilisateurs.
Cet accord de sous-traitance, conforme à l'article 28 du RGPD, définit comment WiJob traite les données des candidats et des utilisateurs pour le compte de l'entreprise cliente : finalités limitées au recrutement, confidentialité et sécurité, liste des sous-traitants ultérieurs avec leur pays et leurs garanties (Google Cloud en UE, Anthropic aux États-Unis sous clauses contractuelles types, Stripe, OVH), notification de violation sous 72 heures, assistance aux demandes de droits, suppression des données en fin de contrat et droit d'audit.
Cet accord complète la convention de service (CGU) et la politique de confidentialité. Il est conclu au titre de l'article 28 du Règlement général sur la protection des données (RGPD) entre l'entreprise cliente, responsable de traitement, et KONNEKT SAS éditrice de WiJob, sous-traitant. [À valider par un juriste]
1. Objet et durée
Le présent accord a pour objet d'encadrer le traitement, par WiJob, des données personnelles confiées par le responsable de traitement dans le cadre de l'utilisation du service. Il s'applique pendant toute la durée de l'abonnement et prend fin avec lui, sous réserve des obligations de restitution et de suppression décrites à l'article 8.
2. Nature et finalités du traitement
WiJob traite les données pour les seules finalités d'exécution du service de recrutement : réception et lecture des candidatures, constitution et interrogation du vivier, pré-entretien écrit, prise de rendez-vous, suivi du pipeline, génération de documents, envoi de courriels au nom de l'entreprise, conservation et purge. WiJob n'agit que sur instruction documentée du responsable de traitement, dont les présentes conditions et le paramétrage du compte constituent l'expression. WiJob n'utilise pas ces données à ses propres fins, ni pour entraîner un quelconque modèle.
3. Catégories de données et de personnes concernées
- Candidats : identité, coordonnées, CV et pièces jointes, compétences extraites, ville et position approximative, réponses au pré-entretien et sa synthèse, rendez-vous, étapes et décisions, consentement horodaté.
- Utilisateurs du compte (recruteurs) : identité, fonction, coordonnées professionnelles, journal des actions.
Aucune catégorie particulière de données (article 9 RGPD) n'est requise par le service ; il appartient au responsable de traitement de ne pas en solliciter via les questions qu'il configure.
4. Obligations du sous-traitant
- Ne traiter les données que sur instruction documentée du responsable de traitement.
- Garantir la confidentialité : seules les personnes habilitées, tenues à une obligation de confidentialité, accèdent aux données.
- Mettre en œuvre les mesures techniques et organisationnelles appropriées : chiffrement en transit et au repos, condensats de mots de passe (bcrypt), cloisonnement des accès, sauvegardes.
- Assister le responsable de traitement pour la sécurité, les analyses d'impact et les relations avec l'autorité de contrôle.
- Mettre à sa disposition les informations nécessaires pour démontrer le respect de l'article 28.
5. Sous-traitants ultérieurs
Le responsable de traitement autorise WiJob à recourir aux sous-traitants ultérieurs suivants. WiJob l'informe de tout projet d'ajout ou de remplacement, lui permettant de s'y opposer.
| Sous-traitant | Rôle | Pays | Garanties |
|---|---|---|---|
| Google Cloud (Google Cloud EMEA Ltd) | Hébergement de l'application et des données | Union européenne (région europe-west1) | Traitement dans l'UE ; DPA Google Cloud |
| Anthropic | Modèle de langage : lecture des CV, pré-entretien, aide à la rédaction des offres | États-Unis | Clauses contractuelles types (CCT/SCC) ; aucune utilisation des données pour l'entraînement |
| Stripe (Stripe Payments Europe Ltd) | Paiement et facturation | Union européenne (Irlande) | DPA Stripe ; WiJob ne conserve aucune donnée de carte |
| OVH (OVH SAS) | Nom de domaine et messagerie | France (Union européenne) | Traitement dans l'UE |
[À valider par un juriste] : la liste ci-dessus doit être tenue à jour et chaque contrat de sous-traitance ultérieure vérifié (notamment la version en vigueur des CCT pour le transfert vers les États-Unis).
6. Notification de violation
En cas de violation de données à caractère personnel, WiJob en informe le responsable de traitement dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.
7. Assistance aux demandes de droits
WiJob met à la disposition du responsable de traitement les fonctions permettant de répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité) : export et suppression complète d'une fiche candidat, CV et échanges compris. Lorsqu'une demande lui parvient directement, WiJob la transmet sans traiter lui-même la réponse, sauf instruction contraire.
8. Sort des données en fin de contrat
Au terme de la prestation, le responsable de traitement peut exporter l'ensemble de ses données dans un format réutilisable. Passé un délai de restitution de trente jours, WiJob supprime les données de ses systèmes actifs, les sauvegardes étant ensuite écrasées selon leur cycle de rotation, sauf obligation légale de conservation (par exemple les factures).
9. Audits
WiJob met à disposition du responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et se soumet à des audits, y compris des inspections, réalisés par le responsable de traitement ou un auditeur qu'il mandate, dans des conditions raisonnables de préavis, de fréquence et de confidentialité. [À valider par un juriste]