Accord de traitement des données (DPA)

Le présent accord fait partie des conditions générales et applique l'article 28 du RGPD. Le Client est responsable de traitement ; Mohamed Nazim Camara EI, nom commercial Zimberland (« FAM.ai ») est sous-traitant et traite les données personnelles uniquement pour le compte du Client, sur ses instructions documentées. Le contrat, le paramétrage de la Plateforme et les actions des utilisateurs du Client constituent ces instructions. En cas de contradiction avec les conditions générales sur la protection des données, le présent accord prévaut.

• Finalités : qualification des besoins de recrutement ; analyse, score et classement des candidatures ; recherche de profils professionnels publics à la demande du Client ; entretiens écrits ou vocaux avec Mary et comptes rendus ; envoi des invitations ; suivi du recrutement.
• Personnes concernées : candidats et candidats potentiels ; utilisateurs du Client ; consultants d'ESN partenaires le cas échéant.
• Données : identité et coordonnées ; CV, parcours, compétences ; profils professionnels publics ; disponibilité et prétentions ; réponses, voix et transcription des entretiens ; scores et comptes rendus ; journaux de connexion.
• Données sensibles : non attendues. Le Client s'engage à ne pas en importer.
• Décision automatisée : aucune ; les résultats sont examinés par un utilisateur avant toute décision.
• Durée : durée du contrat. Les données des candidats sont conservées selon la durée fixée par le Client, par défaut 2 ans après le dernier contact.

1. Traiter les données uniquement sur instruction documentée du Client, y compris pour les transferts, et l'informer si une instruction lui paraît contraire au RGPD.
2. Limiter l'accès aux personnes qui en ont besoin, tenues à la confidentialité.
3. Mettre en œuvre les mesures de sécurité de l'article 32 (section 7).
4. Respecter les conditions de recours aux sous-traitants (section 4).
5. Aider le Client à répondre aux demandes d'exercice des droits ; une demande reçue directement lui est transmise sous 5 jours ouvrés.
6. Aider le Client pour la sécurité, la notification des violations, l'analyse d'impact et la consultation de la CNIL.
7. Supprimer ou restituer les données en fin de contrat (section 6).
8. Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits.

FAM.ai n'utilise pas les données du Client pour entraîner ou affiner des modèles d'IA et impose la même interdiction à ses fournisseurs de modèles. Point de contact : contact@famally.ai.

Le Client autorise FAM.ai à recourir aux sous-traitants listés sur la page Sous-traitants. FAM.ai leur impose des obligations équivalentes et reste responsable de leur exécution. FAM.ai prévient le Client par email au moins 30 jours avant tout ajout ou remplacement. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut résilier et obtenir le remboursement de la période prépayée non consommée.

Tout transfert hors de l'Espace économique européen repose sur une décision d'adéquation, dont le Data Privacy Framework UE–États-Unis pour les destinataires certifiés, ou sur les clauses contractuelles types de la Commission européenne.

FAM.ai notifie au Client toute violation de données personnelles au plus tard 48 heures après en avoir pris connaissance, avec sa nature, les personnes et données concernées, ses conséquences probables et les mesures prises, puis complète l'information au fil de l'enquête.

Une fois par an, sur demande, FAM.ai répond au questionnaire de sécurité du Client et fournit les certifications de ses sous-traitants. Un audit sur place peut être mené aux frais du Client, par un auditeur indépendant tenu au secret, avec un préavis de 30 jours.

Le Client dispose de 30 jours pour récupérer ses données. FAM.ai les supprime ensuite, y compris chez ses sous-traitants, sauf obligation légale de conservation, et le confirme par écrit sur demande.

• Chiffrement des échanges (TLS) et des données au repos chez nos hébergeurs.
• Authentification gérée par Clerk ; rôles recruteur, manager et candidat ; accès candidat par lien d'invitation unique.
• Cloisonnement des données par organisation cliente.
• Clés d'API stockées hors du code, dans les secrets de l'hébergeur.
• Sauvegardes de la base avec restauration à un instant donné.
• Accès de production limités aux personnes habilitées.
• Procédure de gestion et de notification des incidents.

Le présent accord s'applique dès l'acceptation des conditions générales. Une version à signer est disponible sur demande à contact@famally.ai.