Accord de sous-traitance des données personnelles

Article 28 du RGPD — Dernière mise à jour : 14 juillet 2026

Le présent accord encadre le traitement, par COLLECT'US (Ekosyn), des données à caractère personnel que le Client (le cabinet de recrutement ou le recruteur abonné) lui confie en utilisant le service Rebours. Il complète les conditions générales et la politique de confidentialité. Il s'applique dès la première utilisation du service et pour toute sa durée.

1. Rôles des parties

Le Client est responsable du traitement : c'est lui qui collecte le CV auprès du candidat, décide de l'utiliser et détermine la finalité de la recherche. Il lui appartient de disposer d'une base légale pour ce traitement et d'informer le candidat.

COLLECT'US (Ekosyn) est sous-traitant : il traite ces données uniquement pour exécuter le service, sur instruction documentée du Client, et ne les utilise jamais pour son propre compte — en particulier, il ne les revend pas, ne les mutualise pas entre clients et ne s'en sert pas pour entraîner des modèles d'intelligence artificielle.

2. Objet, durée, nature et finalité du traitement

• Objet : rapprochement automatisé entre le profil d'un candidat et des offres d'emploi publiées.
• Finalité : extraire le profil du CV, rechercher les offres correspondantes, les classer par pertinence, et rédiger un projet de message d'approche.
• Nature des opérations : collecte, lecture, extraction, indexation sémantique, analyse par modèle de langage, stockage, effacement.
• Durée : le temps de l'abonnement, puis dans les limites de conservation ci-dessous.

3. Données et personnes concernées

Personnes concernées : les candidats dont le Client dépose le CV.

Catégories de données : identité (nom, prénom), coordonnées éventuellement présentes dans le CV, parcours professionnel et formation, compétences, langues, mobilité géographique, prétentions salariales — ainsi que toute autre information que le candidat a choisi de faire figurer dans son CV.

⚠️ Le Client s'engage à ne pas déposer de CV contenant des données sensibles au sens de l'article 9 du RGPD (santé, opinions politiques, convictions religieuses, origine, orientation sexuelle, appartenance syndicale). Le service n'est pas conçu pour en traiter et ne les sollicite jamais.

4. Engagements de l'éditeur

• Ne traiter les données que sur instruction documentée du Client — l'utilisation du service valant instruction.
• Garantir la confidentialité : seules les personnes ayant besoin d'en connaître pour exploiter le service y ont accès, et elles sont tenues au secret.
• Cloisonner les clients : un recruteur ne peut accéder qu'aux candidats de son propre compte. Cette isolation est appliquée au niveau de la base de données elle-même.
• Assister le Client dans l'exercice des droits des candidats (accès, rectification, effacement, opposition) et dans ses obligations de sécurité.
• Notifier toute violation de données au Client dans les meilleurs délais après en avoir pris connaissance, avec les éléments nécessaires à sa propre notification à la CNIL.
• Mettre à disposition toute information nécessaire pour démontrer le respect de l'article 28, et permettre les audits raisonnables du Client.

5. Mesures de sécurité

• Chiffrement des données en transit (HTTPS) et au repos.
• Cloisonnement strict entre comptes clients, appliqué au niveau du moteur de base de données (et non seulement applicatif).
• Authentification individuelle de chaque recruteur ; aucun compte partagé.
• Journalisation des erreurs et supervision technique du service.
• Traitement et hébergement des CV au sein de l'Union européenne (voir §6).
• Effacement automatique et vérifiable des données au terme des durées prévues (§7).

6. Sous-traitants ultérieurs

Le Client autorise COLLECT'US (Ekosyn) à recourir aux sous-traitants ultérieurs listés ci-dessous, chacun lié par des obligations équivalentes à celles du présent accord. Toute nouvelle adjonction ou tout remplacement sera porté à la connaissance du Client, qui pourra s'y opposer pour un motif légitime.

⚠️ Point important pour un cabinet : le CV n'est jamais transmis aux sources d'offres d'emploi (LinkedIn, Adzuna, France Travail, Jooble). Seuls les mots-clés de recherche leur sont envoyés.

Les CV sont hébergés et analysés au sein de l'Union européenne. Les transferts vers un pays tiers, lorsqu'ils sont nécessaires, sont encadrés par les clauses contractuelles types de la Commission européenne.

7. Durées de conservation et sort des données

• Suppression par le recruteur : le candidat et ses données sont définitivement effacés au terme d'un délai de 30 jours (délai de grâce contre les suppressions accidentelles).
• Inactivité : un candidat sans aucune activité pendant 24 mois est effacé automatiquement, conformément à la recommandation de la CNIL en matière de recrutement.
• Fin du contrat : à la demande du Client, son compte est fermé. La fermeture prend effet immédiatement : les traitements cessent et la veille automatique s'arrête. L'effacement définitif de l'ensemble des dossiers candidats du Client intervient 30 jours plus tard — ce délai permet au Client de revenir sur sa décision et d'obtenir la restitution de ses données s'il le souhaite. Passé ce délai, l'effacement est irréversible. À défaut de demande de fermeture, les données suivent les durées ci-dessus.

L'effacement porte sur le CV lui-même, le profil qui en a été extrait et les index sémantiques associés.

8. Analyse par intelligence artificielle

Le service utilise des modèles de langage pour lire le CV, noter la pertinence des offres et rédiger un projet de message. Deux garanties contractuelles : les données ne sont pas utilisées pour entraîner ces modèles, et aucune décision produisant un effet juridique n'est prise automatiquement — le classement est une aide à la décision, la décision de contacter ou d'écarter un candidat appartient au recruteur.

9. Contact

Pour toute question relative à cet accord, à un exercice de droits ou à un incident : adrien.guyot@ekosyn.fr.