Accord de sous-traitance des données
Dernière mise à jour : 6 novembre 2026
Annexe aux CGV, conclue en application de l'article 28 du RGPD entre chaque entreprise cliente et HireFlex. Elle s'applique aussi aux entreprises bénéficiant d'un accès offert.
Article 1 – Parties et rôles
Le Client (l'entreprise) est responsable du traitement des données de ses candidats et des personnes qu'il ajoute en sourcing. HireFlex (Mme Nehy Emmanuella LOROUGNON AKA, entrepreneur individuel (EI), SIREN 848 799 565) est son sous-traitant.
Article 2 – Description du traitement
| Élément | Contenu |
|---|---|
| Objet et finalité | Fournir la plateforme de recrutement : publication d'offres, réception et suivi des candidatures, analyse IA sur demande, entretiens vocaux, prise de rendez-vous, sourcing |
| Durée | Durée du contrat, puis 30 jours pour l'export des données |
| Personnes concernées | Candidats, personnes sourcées, utilisateurs recruteurs du Client |
| Données | Identité, coordonnées, CV, parcours, compétences, réponses aux questions, enregistrements audio et transcriptions, notes et évaluations, rendez-vous |
| Données sensibles | Aucune attendue. Le Client s'engage à ne pas en demander ; si un candidat en transmet spontanément, le Client les supprime |
| Opérations | Collecte, hébergement, consultation, analyse automatisée à la demande, transmission par e-mail, effacement |
Article 3 – Obligations de HireFlex
HireFlex s'engage à :
- traiter les données uniquement sur instruction documentée du Client (les paramètres et actions réalisés dans HireFlex valent instructions) et l'informer si une instruction lui paraît contraire au RGPD ;
- garantir la confidentialité : seule l'éditrice accède aux données, pour le support et la maintenance, et elle est tenue au secret ;
- mettre en œuvre les mesures de sécurité décrites à l'annexe A (article 32 du RGPD) ;
- ne recourir qu'aux sous-traitants ultérieurs listés à l'annexe B, liés par des obligations équivalentes ; prévenir le Client par e-mail 30 jours avant tout ajout ou remplacement, le Client pouvant s'y opposer et résilier sans frais ;
- n'effectuer de transfert hors de l'Union européenne que vers un pays bénéficiant d'une décision d'adéquation ou avec des garanties appropriées (chapitre V du RGPD) ;
- aider le Client à répondre aux demandes d'exercice des droits et à réaliser une analyse d'impact si elle est nécessaire, et lui transmettre sous 5 jours ouvrés toute demande reçue directement d'un candidat ;
- notifier toute violation de données au Client au plus tard 48 heures après en avoir eu connaissance, avec les informations prévues à l'article 33.3 du RGPD ;
- au terme du contrat, restituer les données (export) puis les supprimer sous 30 jours, sauf obligation légale ;
- mettre à disposition les informations nécessaires pour démontrer sa conformité et permettre des audits, sur préavis de 30 jours, une fois par an, aux frais du Client ;
- ne pas utiliser les données pour ses propres fins, ni pour entraîner des modèles d'IA.
Article 4 – Obligations du Client
Le Client fournit les données de façon licite, informe les candidats et les personnes sourcées (articles 13 et 14 du RGPD), informe son CSE et ses candidats des méthodes d'aide au recrutement, dont l'IA (articles L. 1221-8 et L. 2312-38 du Code du travail), respecte les durées de conservation, prend seul les décisions de recrutement et tient son registre des traitements.
Annexe A – Mesures de sécurité
- Chiffrement des échanges (TLS) et des secrets ; mots de passe hachés.
- Cloisonnement des données par entreprise au niveau de la base de données (Row Level Security).
- Fichiers (CV, audio) dans un stockage privé, accessibles uniquement par liens signés et temporaires.
- Droits d'accès par rôle ; confirmation de l'adresse e-mail à l'inscription.
Annexe B – Sous-traitants ultérieurs
Supabase (hébergement des données, Londres), Vercel (hébergement de l'application), OpenAI (IA et transcription), Resend (envoi des e-mails), Google (agenda et Google Meet, si le Client l'active). Lieux de traitement et garanties : voir la politique de confidentialité.