Accord de sous-traitance

1. Qui est qui

Cet accord complète les conditions générales et organise le traitement des données personnelles des candidats, conformément à l’article 28 du règlement (UE) 2016/679, dit règlement général sur la protection des données.

Le Client, l’agence abonnée à RecrutZen, est responsable du traitement : c’est lui qui décide de recruter, qui fixe ses critères et qui prend ses décisions.

BubbleTech, société par actions simplifiée unipersonnelle au capital de 1 000 €, dont le siège est au 50 avenue des Champs-Élysées, 75008 Paris, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 941 574 980, qui édite RecrutZen, est sous-traitant : elle traite ces données pour le compte du Client et selon ses instructions.

Cet accord est accepté par le Client lors de son inscription, en même temps que les conditions générales. Il s’applique tant que le Client utilise RecrutZen.

2. Ce qui est traité, et pourquoi

Objet : permettre au Client de recevoir, étudier et suivre les candidatures adressées à son agence, jusqu’à la préparation d’une embauche.

Nature des opérations : réception, lecture et classement des candidatures ; envoi de messages et appels au nom du Client ; recueil des réponses des candidats ; transcription des appels et, si le Client l’a activé, enregistrement ; estimation des temps de trajet ; organisation des entretiens ; préparation du dossier d’embauche et signature électronique ; conservation dans la CVthèque du Client ; export et suppression.

Personnes concernées : les personnes qui postulent auprès du Client, ou dont le Client importe le CV.

Catégories de données : identité et coordonnées ; contenu du CV et de la candidature ; adresse et temps de trajet ; expérience, disponibilités et souhaits exprimés ; échanges par message ; transcription des appels et, le cas échéant, enregistrement ; pièces du dossier d’embauche et contrat signé.

Durée : celle du contrat, plus les délais de suppression prévus à l’article 10.

3. Aucune donnée sensible

Le service n’est pas conçu pour traiter des données sensibles au sens de l’article 9 du règlement : origine, opinions, convictions, appartenance syndicale, santé, vie sexuelle, données génétiques ou biométriques. Le Client s’engage à ne pas en saisir dans le service et à ne pas en faire un critère.

Aucune donnée biométrique n’est traitée : ni empreinte vocale, ni analyse d’émotion, ni reconnaissance faciale. Les photographies figurant sur un CV ne sont pas analysées.

4. Les instructions du Client

BubbleTech traite les données uniquement sur instruction documentée du Client. Valent instructions : le présent accord, les conditions générales, et les réglages que le Client choisit dans son compte, notamment la durée de conservation, l’enregistrement des appels, le niveau d’automatisation et les critères de ses postes.

Toute autre instruction est adressée par écrit à rgpd@recrutzen.com.

BubbleTech informe le Client si elle estime qu’une instruction est contraire à la réglementation.

BubbleTech n’utilise jamais les données des candidats du Client pour son propre compte, ne les revend pas, ne les partage pas avec d’autres clients, et ne s’en sert pas pour entraîner des modèles d’intelligence artificielle.

5. Ce que le Client s’engage à faire

Le Client garantit qu’il a le droit de traiter les candidatures qu’il confie au service, y compris celles qu’il importe.

Il informe les personnes concernées, en s’appuyant sur la page d’information mise à sa disposition et communiquée dans les messages envoyés. Il informe lui-même, dans le mois, les personnes qui ne reçoivent pas ces messages, notamment les candidats sans numéro de téléphone et les CV qu’il importe.

Il fixe des critères objectifs, liés au poste et non discriminatoires, au sens de l’article L. 1132-1 du code du travail.

Il prend lui-même, par une personne, les décisions concernant les candidats.

Il garde ses identifiants confidentiels et informe sans délai BubbleTech s’il soupçonne un accès non autorisé à son compte.

6. Confidentialité

Les personnes autorisées à traiter les données des candidats chez BubbleTech sont tenues à une obligation de confidentialité, par contrat ou par un engagement écrit. Elles n’accèdent aux données d’un Client que lorsque c’est nécessaire à l’exploitation du service, à la sécurité, au traitement d’une demande du Client, ou lorsque la loi l’impose.

7. Sécurité

BubbleTech met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2, et les maintient à un niveau approprié au risque. Ces mesures peuvent évoluer, sans que le niveau de protection puisse être réduit.

8. Les autres prestataires

Le Client autorise BubbleTech à faire appel aux prestataires listés à l’annexe 3, qui interviennent pour l’hébergement, la téléphonie, la transcription, la synthèse vocale, l’analyse des candidatures, l’envoi des e-mails, la signature électronique et le calcul des temps de trajet.

Avant d’ajouter ou de remplacer un prestataire qui traite des données de candidats, BubbleTech en informe le Client au moins 30 jours à l’avance, par message dans le service ou par e-mail. Le Client qui s’y oppose pour un motif légitime, dans ce délai, peut résilier son abonnement sans frais ni pénalité, sans préjudice des sommes déjà dues.

BubbleTech impose à chacun de ces prestataires des obligations de protection des données au moins équivalentes à celles du présent accord, et reste responsable envers le Client de leur exécution.

9. Transferts hors de l’Union européenne

Les données sont hébergées dans l’Union européenne. Certains prestataires listés à l’annexe 3 sont situés hors de l’Union, notamment aux États-Unis, pour la téléphonie, la transcription, la synthèse vocale, l’analyse des candidatures et l’envoi des e-mails.

Ces transferts sont encadrés par des garanties appropriées au sens du chapitre V du règlement : clauses contractuelles types de la Commission européenne, ou cadre de protection des données entre l’Union européenne et les États-Unis, selon le prestataire. BubbleTech tient à la disposition du Client, sur demande écrite, le détail de ces garanties.

10. Durées, export et suppression

Les données des candidats sont conservées pendant la durée choisie par le Client dans son compte, soit 12, 24 ou 36 mois à compter du dernier échange avec la personne, puis supprimées. Le Client est averti avant chaque suppression automatique.

Un candidat peut demander la suppression de ses données à tout moment ; la demande est traitée selon l’article 11.

Le Client peut exporter les données de son compte à tout moment, y compris pendant une suspension pour impayé et entre la résiliation et la suppression.

À la fin du contrat, les données sont supprimées 90 jours après la résiliation, sauf obligation légale de conservation. Les enregistrements, les transcriptions et les pièces d’embauche sont supprimés avec les profils correspondants. Les jetons d’accès à l’agenda et les intervalles enregistrés sont supprimés dès la résiliation.

11. Les demandes des candidats

Le Client répond lui-même aux demandes d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité, ainsi qu’aux demandes de réexamen humain d’une candidature.

Le service met à la disposition du Client les fonctions nécessaires : consultation, correction, export et suppression d’un profil.

Si un candidat s’adresse directement à BubbleTech, celle-ci ne répond pas à sa place : elle transmet la demande au Client sans délai et l’en informe.

12. Aide à la conformité

BubbleTech aide le Client, dans la limite des informations dont elle dispose, à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact relative à la protection des données et de consultation préalable de l’autorité de contrôle.

13. Violation de données

En cas de violation de données à caractère personnel concernant les données du Client, BubbleTech l’en informe sans délai injustifié après en avoir pris connaissance, et au plus tard dans les 48 heures.

L’information précise, autant que possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un contact pour obtenir davantage d’informations. Si ces éléments ne peuvent être communiqués en une fois, ils le sont par étapes, sans délai injustifié.

La notification à l’autorité de contrôle et, le cas échéant, l’information des personnes concernées, incombent au Client, responsable du traitement.

14. Documentation et vérifications

BubbleTech met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord.

Le Client peut, une fois par an, demander par écrit des éléments de vérification : réponse à un questionnaire de sécurité, documentation, ou audit sur rendez-vous pris au moins 30 jours à l’avance, conduit par lui ou par un tiers indépendant soumis à confidentialité. L’audit se déroule pendant les heures ouvrées, sans perturber le service, et ne porte jamais sur les données d’autres clients. Les frais sont à la charge du Client, sauf si l’audit révèle un manquement grave de BubbleTech.

15. Fin de l’accord

Le présent accord prend fin avec le contrat. Les obligations de confidentialité et de sécurité survivent jusqu’à la suppression complète des données.

16. Ce qui prime en cas de contradiction

En cas de contradiction entre le présent accord et les conditions générales sur le traitement des données personnelles des candidats, le présent accord prime. Pour tout le reste, les conditions générales s’appliquent.

17. Modification

Toute modification substantielle du présent accord est annoncée au Client au moins 30 jours à l’avance. Le Client qui la refuse peut résilier son abonnement sans frais avant son entrée en vigueur.

18. Droit applicable

Le présent accord est soumis au droit français. Les litiges suivent l’article correspondant des conditions générales.

Annexe 1 — Récapitulatif du traitement

Annexe 2 — Mesures de sécurité

• Communications chiffrées entre les navigateurs, le service et ses prestataires.
• Données chiffrées au repos, et chiffrement individuel des pièces du dossier d’embauche.
• Séparation stricte des données de chaque Client, imposée au niveau de la base de données.
• Accès au compte par lien à usage unique envoyé à l’adresse professionnelle du recruteur, sans mot de passe stocké ; nouvelle vérification depuis un appareil inconnu.
• Journal des accès et des actions sensibles.
• Accès du personnel de BubbleTech limité au strict nécessaire et tracé.
• Sauvegardes régulières et restauration testée.
• Suppression automatique à l’échéance des durées de conservation.
• Développement, tests automatisés et revue des modifications avant mise en production.

Annexe 3 — Prestataires

La liste à jour des prestataires, leur rôle et leur localisation figurent dans notre politique de confidentialité, à la section consacrée aux candidats.

Cette liste fait partie du présent accord. Toute évolution suit la procédure de l’article 8.