Contrat de sous-traitance.

Qui est quoi

Le Cabinet est responsable de traitement.C'est lui qui décide de recruter, qui publie l'offre, qui fixe les critères et qui tranche. Les candidats sont ses candidats.

SITENCO est sous-traitant. Elle traite les données pour le compte du Cabinet, sur ses instructions, et pour la seule fourniture du service.

Ce partage n'est pas une clause de style : il détermine qui répond aux demandes des candidats, qui notifie une violation, et qui est responsable devant la CNIL. C'est le Cabinet.

1. Objet, durée, nature et finalité

SITENCO traite les données à caractère personnel nécessaires à la présélection de candidats : réception et analyse des candidatures, questions complémentaires, entretiens vocaux, recherche de profils publics, préparation de dossiers de compétences, échanges avec les candidats.

Le traitement dure aussi longtemps que l'abonnement, et cesse à son terme dans les conditions de l'article 9.

2. Catégories de personnes et de données

Personnes concernées : les candidats et prospects du Cabinet ; les utilisateurs du service au sein du Cabinet.

Données traitées :identité et coordonnées, curriculum vitæ et son contenu, réponses écrites, enregistrement audio et transcription de l'entretien, photographies prises pendant l'entretien si le candidat active sa caméra, profil public LinkedIn, évaluations produites par le service, échanges avec le Cabinet, tarif journalier et disponibilité.

Aucune donnée sensible n'est demandée ni traitée intentionnellement. Un curriculum vitæ peut en contenir spontanément — une appartenance syndicale, une conviction, un état de santé. Le service ne les recherche pas, ne les extrait pas et ne les utilise pas comme critère. Aucune reconnaissance faciale, aucune catégorisation biométrique, aucune analyse d'émotion.

3. Instructions documentées

SITENCO ne traite les données que sur instruction documentée du Cabinet. Constituent de telles instructions : les présentes, les conditions générales, les réglages effectués par le Cabinet dans le service, et les demandes qu'il adresse par écrit.

Si SITENCO estime qu'une instruction constitue une violation du RGPD, elle en informe le Cabinet sans délai et peut suspendre son exécution.

SITENCO n'utilise les données à aucune autre fin.En particulier, elle n'entraîne aucun modèle d'intelligence artificielle avec, ne les revend pas, et ne les rend accessibles à aucun autre cabinet.

4. Confidentialité

Les personnes autorisées à traiter les données sont tenues à la confidentialité, par contrat ou par obligation légale. Les accès sont individuels et limités à ce que la fonction exige.

5. Sécurité

Les mesures en place, au jour de cette version :

• Hébergement en Allemagne, chez Hetzner Online GmbH. Sauvegardes chiffrées.
• Accès en HTTPS exclusivement.
• Mots de passe non réversibles — dérivation scrypt avec sel aléatoire.
• Secrets de boîte e-mail chiffrés au repos en AES-256-GCM.
• Cloisonnement strict entre cabinets, appliqué à chaque requête et vérifié par une suite de tests dédiée.
• Sessions révocables : un changement de mot de passe invalide toutes les sessions ouvertes.
• Journaux techniques minimisés: le contenu échangé est effacé au bout de quatorze jours, la ligne de journal au bout de six mois. Aucun secret n'y figure.

6. Sous-traitants ultérieurs

Le Cabinet autorise SITENCO à recourir aux sous-traitants ultérieurs suivants :

Si le Cabinet connecte une boîte Google ou Microsoft, le fournisseur concerné s'ajoute pour les messages qui y transitent.

SITENCO informe le Cabinet de tout changement envisagé au moins trente jours à l'avance. Le Cabinet peut s'y opposer pour un motif raisonnable tenant à la protection des données ; à défaut d'accord, il peut résilier sans frais.

Chaque sous-traitant ultérieur est tenu par des obligations équivalentes aux présentes. SITENCO demeure responsable devant le Cabinet de leur exécution.

7. Transferts hors de l'Union européenne

Les données du Cabinet et de ses candidats sont stockées dans l'Union européenne.

Un transfert a toutefois lieu vers les États-Unis lors de l'analyse : les contenus soumis au modèle transitent par Anthropic PBC. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne. Les contenus ne sont pas utilisés pour entraîner de modèle.

8. Assistance au Cabinet

SITENCO aide le Cabinet à respecter ses propres obligations :

• Droits des personnes.Le service permet au Cabinet d'accéder, de rectifier, d'exporter et de supprimer le dossier d'un candidat. Si un candidat s'adresse directement à SITENCO, elle le renvoie au Cabinet et l'en informe.
• Violation de données. SITENCO notifie le Cabinet dans les meilleurs délaisaprès en avoir pris connaissance, avec les éléments dont elle dispose. C'est au Cabinet qu'il revient de notifier la CNIL et, le cas échéant, les personnes concernées.
• Analyse d'impact.Sur demande, SITENCO fournit les informations techniques nécessaires à une analyse d'impact relative à la protection des données.

9. Sort des données à la fin du contrat

À la fin de l'abonnement, le Cabinet dispose de trente jours pour exporter ses données. Passé ce délai, SITENCO les supprime, y compris des sauvegardes selon leur cycle de rotation, sauf obligation légale de conservation.

Le Cabinet peut demander la restitution avant suppression ; elle est fournie dans un format structuré et lisible par machine.

10. Audit

SITENCO met à disposition du Cabinet les informations nécessaires pour démontrer le respect des présentes, et permet la réalisation d'audits, y compris par un tiers mandaté, sous réserve d'un préavis raisonnable, d'une fréquence raisonnable et du respect de la confidentialité des autres cabinets.

11. Registre

SITENCO tient le registre des catégories d'activités de traitement effectuées pour le compte du Cabinet, conformément à l'article 30, § 2, du RGPD.

Une question, ou un audit à organiser ? Écrivez-nous.