Talent Master — Accord de sous-traitance de données personnelles (DPA)

Le présent accord de sous-traitance (le « DPA ») est conclu entre :

• la société titulaire d'un espace Talent Master qui l'accepte en ligne par l'intermédiaire d'un utilisateur habilité à l'engager (le « Client »), agissant en qualité de responsable de traitement ;
• GETPRO SAS, société par actions simplifiée immatriculée au registre du commerce et des sociétés de Paris sous le numéro 812 105 138, dont le siège social est situé 117 rue de Charenton, 75012 Paris, qui édite et exploite Talent Master (« GETPRO »), agissant en qualité de sous-traitant.

Il fait partie intégrante des conditions dans lesquelles le Client utilise Talent Master (le « Contrat »). En cas de contradiction entre le présent DPA et le Contrat sur la protection des données personnelles, le DPA prévaut.

« RGPD » désigne le règlement (UE) 2016/679. Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données personnelles » et « autorité de contrôle » ont le sens que leur donne le RGPD. Les « Données du Client » désignent les données personnelles que GETPRO traite pour le compte du Client au moyen de Talent Master, décrites à l'annexe 1. Un « Sous-traitant ultérieur » désigne un sous-traitant auquel GETPRO recourt pour traiter des Données du Client. L'« Espace » désigne le compte du Client dans Talent Master et les données qu'il contient.

2.1. Pour les Données du Client, le Client est responsable de traitement et GETPRO sous-traitant. Le Client décide des postes pour lesquels il recrute, des candidats qu'il recherche, retient, écarte et contacte, et de ce qui leur est envoyé. GETPRO ne traite les Données du Client que pour fournir Talent Master au Client.

2.2. GETPRO agit en qualité de responsable de traitement, et non de sous-traitant, pour les données des utilisateurs du Client nécessaires à la gestion de leurs comptes, à l'authentification, à la sécurité et à la facturation. Ce traitement est décrit dans la politique de confidentialité de GETPRO et n'entre pas dans le champ du présent DPA.

2.3. L'annexe 1 précise l'objet, la nature et la finalité du traitement, les catégories de données et de personnes concernées, ainsi que sa durée.

3.1. Le Client répond de la licéité des traitements qu'il ordonne, notamment de leur base légale, de l'information des personnes concernées et du contenu des messages envoyés en son nom.

3.2. Talent Master ajoute au premier e-mail que reçoit chaque candidat une mention indiquant qui écrit et pourquoi, où le profil a été trouvé, le recours à l'intelligence artificielle pour le présélectionner, les droits du candidat et un lien lui permettant de s'opposer à tout contact ou de faire effacer ses données. Le Client ne peut pas supprimer cette mention. Il reste responsable de l'information qu'il doit au-delà de celle-ci, notamment de sa propre politique de confidentialité.

3.3. Le Client s'interdit d'utiliser Talent Master pour traiter des catégories particulières de données personnelles ou des données relatives aux condamnations pénales, ainsi que de fixer des critères de recherche ou de sélection fondés sur une caractéristique protégée ou sur un indicateur de celle-ci, tel que l'âge, l'année d'obtention d'un diplôme, le nom, la photographie ou l'adresse. Une exigence que le poste requiert objectivement, telle que le lieu de travail ou une langue utilisée dans l'emploi, ne constitue pas une caractéristique protégée lorsque la loi l'admet (article L. 1133-1 du Code du travail). Talent Master refuse ces critères lorsqu'il les détecte.

3.4. Le Client examine chaque candidat retenu par la présélection avant de le contacter et approuve chaque séquence avant son envoi. Talent Master n'envoie aucun message à un candidat au nom du Client sans cette approbation. Les messages déclenchés par une action du candidat lui-même, tels que la confirmation d'une demande d'effacement, ne sont pas soumis à cette approbation.

4.1. Instructions. GETPRO ne traite les Données du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts hors de l'Espace économique européen, à moins d'y être tenu par le droit de l'Union ou d'un État membre ; dans ce cas, GETPRO informe le Client de cette obligation juridique avant le traitement, sauf si la loi l'interdit. Le Contrat, le présent DPA ainsi que l'utilisation et le paramétrage de Talent Master par le Client constituent ses instructions documentées. GETPRO informe immédiatement le Client si, selon lui, une instruction constitue une violation de la réglementation sur la protection des données.

4.2. Confidentialité. GETPRO veille à ce que les personnes autorisées à traiter les Données du Client soient soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à leurs fonctions.

4.3. Sécurité. GETPRO met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, qui tiennent compte de l'état des connaissances, des coûts de mise en œuvre et des risques du traitement, conformément à l'article 32 du RGPD. GETPRO peut faire évoluer ces mesures à condition de ne pas réduire le niveau global de sécurité.

4.4. Droits des personnes concernées. GETPRO aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées. Talent Master fournit au candidat un lien pour s'opposer à tout contact et demander l'effacement de ses données. Un effacement demandé au moyen de Talent Master s'applique à l'Espace du Client qui détient les données du candidat, et à celui d'aucun autre client. GETPRO transmet au Client, dans les meilleurs délais, toute demande qu'il reçoit directement et qui concerne des Données du Client, et n'y répond pas sans instruction du Client. Le contact de GETPRO pour la protection des données est [email protected].

4.5. Assistance. Compte tenu de la nature du traitement et des informations dont il dispose, GETPRO aide le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD, notamment pour les analyses d'impact relatives à la protection des données et la consultation préalable de l'autorité de contrôle.

4.6. Violations de données personnelles. GETPRO notifie au Client toute violation de données personnelles touchant des Données du Client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit, dans la mesure où GETPRO les connaît, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées. GETPRO complète ces informations à mesure qu'elles deviennent disponibles.

4.7. Registre. GETPRO tient le registre des traitements qu'il effectue pour le compte de ses clients, comme l'exige l'article 30, paragraphe 2, du RGPD.

4.8. Utilisation des données. GETPRO ne vend pas les Données du Client et ne les utilise pas pour ses propres finalités. En particulier, GETPRO n'utilise pas les Données du Client, y compris les décisions du Client sur les candidats, pour entraîner ou améliorer des modèles d'intelligence artificielle au bénéfice d'autres clients ou pour son propre compte, sauf autorisation écrite et spécifique du Client à cette fin, distincte du présent DPA.

5.1. Talent Master utilise des modèles d'intelligence artificielle pour rechercher des profils, les présélectionner au regard des critères du Client en motivant chaque résultat, et aider à rédiger les messages. Leur résultat est une recommandation : le Client décide des candidats qu'il retient, écarte et contacte.

5.2. Talent Master conserve les motifs de la présélection et les décisions du Client, afin que le Client puisse les revoir et repêcher un candidat écarté par la présélection.

5.3. Lorsque le règlement (UE) 2024/1689 (règlement sur l'intelligence artificielle) s'applique à Talent Master en tant que système d'IA à haut risque utilisé pour le recrutement, GETPRO en est le fournisseur et le Client le déployeur. GETPRO remettra au Client la notice d'utilisation et les informations dont il a besoin pour remplir ses propres obligations de déployeur avant que celles-ci ne s'appliquent.

6.1. Le Client autorise de manière générale GETPRO à recourir à des sous-traitants ultérieurs. Ceux qui interviennent à la date de la présente version figurent à l'annexe 3.

6.2. GETPRO informe le Client de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur au moins 30 jours à l'avance, en mettant la liste à jour et par e-mail aux administrateurs de l'Espace. Le Client peut s'y opposer pendant ce délai pour un motif raisonnable lié à la protection des données. Si GETPRO ne peut pas y donner suite, le Client peut résilier le Contrat avant que le changement ne prenne effet.

6.3. GETPRO recourt à chaque sous-traitant ultérieur dans le cadre de conditions contractuelles couvrant le traitement qu'il effectue, et demeure responsable envers le Client de l'exécution de leurs obligations par ses sous-traitants ultérieurs.

Les Données du Client sont hébergées dans l'Union européenne. Certains sous-traitants ultérieurs les traitent hors de l'Espace économique européen, comme l'indique l'annexe 3. Pour ces transferts, GETPRO s'appuie sur les garanties qu'offre chaque sous-traitant ultérieur, telles que sa certification au titre du cadre de protection des données UE–États-Unis ou les clauses contractuelles types adoptées par la Commission européenne dans la décision (UE) 2021/914.

GETPRO met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Le Client peut réaliser à ses frais un audit par an, ou après une violation de données personnelles touchant ses données, moyennant un préavis écrit de 30 jours, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, sans perturber le service ni révéler les données d'autres clients. GETPRO peut d'abord répondre à une demande d'audit par des réponses écrites et de la documentation.

9.1. Le présent DPA s'applique tant que GETPRO traite des Données du Client.

9.2. À la fin du Contrat, ou plus tôt à la demande du Client, GETPRO supprime les Données du Client contenues dans l'Espace dans un délai de 30 jours. Auparavant, le Client peut demander à GETPRO un export de ses fiches candidats dans un format courant et lisible par machine. Les copies contenues dans les sauvegardes sont supprimées à l'expiration de ces sauvegardes et ne sont pas restaurées dans l'intervalle, sauf pour rétablir le service. GETPRO ne conserve ensuite aucune Donnée du Client, sauf obligation imposée par le droit de l'Union ou d'un État membre.

10.1. La responsabilité de chaque partie au titre du présent DPA est régie par le Contrat, sans préjudice de l'article 82 du RGPD.

10.2. GETPRO peut modifier le présent DPA, notamment pour tenir compte d'une évolution de la loi ou de ses sous-traitants ultérieurs. Chaque version est datée. Le Client est invité à accepter une nouvelle version avant le lancement de sa prochaine recherche de candidats ou séquence ; d'ici là, la dernière version qu'il a acceptée continue de s'appliquer.

10.3. Le présent DPA est régi par le droit français. Tout litige s'y rapportant relève de la compétence exclusive des tribunaux de Paris.

Objet et finalité. Conduire les recrutements du Client au moyen de Talent Master : recueillir le cahier des charges d'un poste, rechercher et présélectionner des candidats, trouver leurs coordonnées à la demande du Client, les contacter depuis la propre messagerie du Client, traiter leurs réponses, planifier les entretiens dans l'agenda du Client et, si le Client l'active, enregistrer et transcrire ces entretiens.

Nature du traitement. Collecte auprès de sources professionnelles publiques et des prestataires listés à l'annexe 3, conservation, structuration, analyse par intelligence artificielle, enrichissement des coordonnées, envoi d'e-mails depuis la messagerie du Client grâce à l'accès accordé par son utilisateur, synchronisation des réponses et des événements d'agenda, planification, enregistrement, effacement.

Personnes concernées. Les candidats et candidats potentiels aux postes du Client ; les personnes qui échangent avec le Client au sujet de ces postes par sa messagerie connectée.

Catégories de données personnelles.

• Identité : prénom et nom.
• Profil professionnel : intitulés de poste, employeurs, parcours, formation, compétences, langues, localisation (ville et pays), liens vers des profils publics tels que LinkedIn et GitHub, et activité professionnelle publique telle que les contributions open source.
• Coordonnées : adresse e-mail et, si le Client le demande, numéro de téléphone.
• Données de recrutement : motifs de la présélection, décisions et notes du Client, étape de chaque candidature.
• Échanges : e-mails envoyés aux candidats et leurs réponses.
• Entretiens : rendez-vous réservés et, si le Client active l'enregistrement, l'enregistrement et sa transcription.
• Droits : l'opposition du candidat à être contacté et ses demandes d'effacement.

Catégories particulières. Aucune n'est prévue. Voir l'article 3.3.

Sources. Profils et pages professionnels publics sur le web, y compris les réseaux professionnels et GitHub, consultés au moyen des prestataires de recherche listés à l'annexe 3 ; coordonnées trouvées par le prestataire d'enrichissement ; ce que les candidats transmettent au Client.

Localisation. Les Données du Client sont conservées sur Google Cloud dans l'Union européenne, la base de données dans la région de Paris (europe-west9), en France. Les sous-traitants ultérieurs de l'annexe 3 traitent les données qu'ils reçoivent là où cette annexe l'indique.

Durée. Pendant la durée du Contrat, dans la limite des durées de conservation appliquées par le Client, puis selon l'article 9.

• Hébergement. Les serveurs applicatifs et la base de données fonctionnent sur Google Cloud dans la région de Paris (europe-west9), et les fichiers sont stockés sur Google Cloud dans l'Union européenne. Les données sont chiffrées au repos par l'hébergeur.
• Chiffrement en transit. Tous les échanges entre les utilisateurs, les candidats et Talent Master passent par TLS.
• Cloisonnement entre clients. Les données de chaque Espace sont isolées de celles des autres clients par une sécurité au niveau des lignes (row-level security) dans la base de données, appliquée à chaque requête.
• Contrôle d'accès. Les utilisateurs se connectent avec leur compte Google ou Microsoft. L'accès au sein d'un Espace est régi par des permissions propres à chaque utilisateur. L'accès aux systèmes de production est réservé au personnel de GETPRO qui en a besoin pour exploiter le service. Agir dans l'Espace d'un client depuis la console d'administration de l'application exige une habilitation explicite et est consigné.
• Accès à la messagerie et à l'agenda. Talent Master n'accède à la messagerie et à l'agenda d'un utilisateur qu'au moyen de l'autorisation OAuth que cet utilisateur accorde, et qu'il peut révoquer à tout moment depuis son compte Google ou Microsoft.
• Minimisation dans les traitements d'IA. Le nom des candidats est retiré des profils que lit le modèle de présélection. Aucune caractéristique protégée n'est donnée comme critère à la présélection.
• Effacement. Les coordonnées et identifiants de profil d'un candidat effacé ne sont conservés que sous forme d'empreintes irréversibles, dans la liste d'exclusion du Client, afin que ce Client ne le recherche ni ne le contacte à nouveau.
• Supervision. Les journaux, métriques et traces de l'application sont collectés et conservés dans l'infrastructure propre de GETPRO sur Google Cloud.
• Prévention des abus. Les requêtes sont limitées en volume par utilisateur, par Espace et par adresse IP.
• Personnel. Le personnel ayant accès aux Données du Client est tenu à la confidentialité et n'y accède que dans la mesure nécessaire à ses fonctions.

Les e-mails aux candidats partent de la propre messagerie Gmail ou Outlook du Client. Google et Microsoft y interviennent dans le cadre du contrat que le Client a conclu avec eux, et non comme sous-traitants ultérieurs de GETPRO. De même, les données que Talent Master renvoie dans la conversation de l'assistant IA du Client sont traitées par le fournisseur de cet assistant dans le cadre du contrat que le Client a conclu avec lui, et non comme sous-traitant ultérieur de GETPRO.