Addendum sur le traitement des données

1.Définitions

1. 1.1Les termes tels que « responsable du traitement », « sous-traitant », « données à caractère personnel », « traitement », « personne concernée » et « violation de données à caractère personnel » ont le sens qui leur est donné dans le RGPD.
2. 1.2« Législation applicable en matière de protection des données » désigne le RGPD et les lois nationales sur la protection des données applicables à Chypre, en Bulgarie et sur chaque territoire où le traitement documenté a lieu.
3. 1.3« Sous-traitant » désigne Xciterr ou Automaize uniquement dans la mesure où la société concernée traite des données à caractère personnel sur la base des instructions documentées d'un Responsable de traitement. « Sous-sous-traitant » inclut Automaize lorsqu'elle est engagée par Xciterr, ainsi que chaque fournisseur d'infrastructure engagé dans la chaîne de traitement documentée.

2.Rôles et étendue du traitement

1. 2.1Pour un flux de travail contrôlé par le Client, le Client détermine les finalités et les moyens essentiels, et la commande applicable identifie Xciterr en tant que sous-traitant et Automaize en tant que sous-traitant ou sous-sous-traitant. Xciterr et Automaize traitent ces données uniquement sur la base des instructions documentées applicables à leur rôle.
2. 2.2Ce DPA ne s'applique pas lorsque Xciterr agit en tant que responsable de traitement indépendant pour le recrutement dirigé par une agence, ou lorsque Automaize agit en tant que responsable de traitement indépendant pour les comptes de plateforme, la sécurité, le consentement et la preuve de responsabilité en matière d'IA, la modération, la prévention de la fraude, la conformité technologique ou l'administration du service.
3. 2.3L'objet, la durée, la nature et la finalité du traitement, les catégories de personnes concernées et les données à caractère personnel sont décrits à l'Annexe 1 (Détails du traitement). Cela inclut les données de profil des candidats, les CV, les dossiers de candidature, les enregistrements d'entretiens, les transcriptions, les fiches d'évaluation automatisées, les preuves de correspondance, les enregistrements de consentement et les journaux d'audit traités pour les flux de travail de recrutement.
4. 2.4Le traitement dure pendant la durée du Service du Client et la période documentée de retour/suppression, sous réserve des blocages juridiques et de la conservation obligatoire. Les personnes concernées comprennent les candidats, les candidats potentiels et les utilisateurs autorisés du Client ; les données peuvent inclure l'identité/les coordonnées, le profil professionnel, le CV, la candidature, l'audio/transcription d'entretien, les évaluations, les communications, le consentement et les données de sécurité technique. Les données sensibles ne sont ni demandées ni prévues et ne doivent pas être soumises à moins que les parties ne documentent une condition légale conforme à l'article 9 et les instructions correspondantes.

3.Obligations de chaque Sous-traitant

Chaque société, lorsqu'elle agit en tant que Sous-traitant, doit :

1. 3.1traiter les données à caractère personnel uniquement sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts internationaux, sauf obligation légale contraire ;
2. 3.2s'assurer que les personnes autorisées à traiter les données à caractère personnel sont soumises à une obligation de confidentialité appropriée ;
3. 3.3mettre en œuvre les mesures techniques et organisationnelles décrites à la clause 5 et à l'Annexe 2 ;
4. 3.4respecter les conditions énoncées à la clause 6 pour le recours à des sous-traitants ;
5. 3.5aider le responsable du traitement, en tenant compte de la nature du traitement, à remplir ses obligations de réponse aux demandes des personnes concernées et à assurer la sécurité, la notification des violations et les analyses d'impact relatives à la protection des données ; et
6. 3.6au choix du responsable du traitement, supprimer ou renvoyer toutes les données à caractère personnel à la fin de la prestation des services, sauf si la conservation est requise par la loi.

4.Confidentialité

1. 4.1Chaque Sous-traitant doit traiter toutes les données à caractère personnel de manière confidentielle et ne doit pas les divulguer, sauf autorisation prévue par le présent DPA ou exigée par la loi.

5.Sécurité

1. 5.1Chaque Sous-traitant doit mettre en œuvre des mesures techniques et organisationnelles appropriées et proportionnées à son rôle. Les mesures de la plateforme d'Automaize sont décrites dans l'Annexe 2 et dans la Déclaration sur la sécurité de l'information ; Xciterr reste responsable des contrôles d'accès au recrutement, du personnel et des contrôles opérationnels.

6.Sous-traitants

1. 6.1Le Responsable de traitement accorde à Xciterr une autorisation générale pour engager Automaize pour le traitement technologique décrit dans la commande applicable, et accorde au Sous-traitant concerné une autorisation générale pour engager les fournisseurs d'infrastructure listés dans l'Avis de sous-traitance.
2. 6.2Le Sous-traitant qui désigne un sous-sous-traitant doit imposer à ce dernier des obligations de protection des données non moins protectrices que celles prévues dans ce DPA, et reste responsable de ce sous-sous-traitant conformément à l'article 28 du RGPD.
3. 6.3Xciterr et Automaize doivent maintenir une chaîne de traitement à jour et informer préalablement le Responsable de traitement de toute modification importante envisagée, permettant au Responsable de traitement de s'y opposer pour des motifs raisonnables liés à la protection des données.

7.Demandes des personnes concernées

1. 7.1Le sous-traitant, compte tenu de la nature du traitement, aide le responsable du traitement par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées, et transmet sans délai au responsable du traitement toute demande de ce type qu'il reçoit directement.

8.Violation de données à caractère personnel

1. 8.1Le sous-traitant informe le responsable du traitement dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel affectant les données du responsable du traitement, et fournit les informations raisonnablement nécessaires pour permettre à ce dernier de remplir ses propres obligations de notification.
2. 8.2Le sous-traitant maintient une procédure interne de notification des violations conforme aux articles 33 et 34 du RGPD, incluant le tri par gravité, la conservation des preuves, l'avis au responsable du traitement, l'évaluation de l'autorité de contrôle, l'évaluation de la communication aux personnes concernées et le renseignement du registre des violations.

9.Transferts internationaux

1. 9.1Le sous-traitant ne transfère pas de données à caractère personnel en dehors de l'EEE, sauf sur instruction du responsable du traitement et sous réserve de garanties appropriées en vertu du chapitre V du RGPD, y compris les clauses contractuelles types le cas échéant.

10.Audit

1. 10.1Le Sous-traitant met à disposition les informations nécessaires pour démontrer la conformité à l'article 28 et autorise des audits raisonnables. Les audits commencent normalement par les rapports indépendants actuels et les preuves écrites ; un audit sur site peut suivre lorsque ces preuves sont insuffisantes ou qu'un incident matériel le justifie raisonnablement, sous réserve de confidentialité, de sécurité, d'un préavis raisonnable et de la répartition des coûts exceptionnels.

11.Responsabilité et droit applicable

1. 11.1La responsabilité de chaque partie dans le cadre du présent DPA est soumise aux limitations de responsabilité convenues dans les conditions d'utilisation de l'employeur.
2. 11.2Ce DPA suit la répartition du droit applicable dans les Conditions d'utilisation de l'employeur signées ou dans la commande applicable, sans préjudice des droits obligatoires liés au RGPD ou des pouvoirs des autorités de contrôle.

12.Annexes

1. 12.1Annexe 1 - Détails du traitement : hébergement du flux de recrutement, analyse de CV, filtrage, entretien vocal structuré, évaluation, mise en correspondance, partage de candidats, gestion du pipeline employeur, assistance et administration de la facturation pour les candidats, les utilisateurs employeurs et les représentants invités.
2. 12.2Annexe 2 - Mesures de sécurité : chiffrement en transit et au repos, sécurité au niveau des lignes, accès restreint au minimum nécessaire et audité, contrôles d'expiration d'URL signées, coupe-circuits du fournisseur, sécurité des réseaux et des applications, surveillance, contrôles de sauvegarde/résilience, réponse aux incidents et examen régulier des mesures.
3. 12.3Annexe 3 - Chaîne de traitement : Xciterr peut engager Automaize en tant que processeur technologique ; Automaize peut engager Google Cloud / Gemini, Supabase, WorkOS, Vercel, Railway, Stripe, Cal.com, Resend, Meta, Cloudflare et Sentry tels que publiés et maintenus dans l'Avis sur les sous-processeurs. WorkOS reste désactivé jusqu'à ce que ses étapes d'approbation déclarées soient terminées.
4. 12.4Annexe 4 - Assistance à la conformité : assistance concernant les demandes des personnes concernées, AIPD, évaluation de consultation préalable, notifications de violation, preuves d'audit et suppression/renvoi des données à caractère personnel à la fin du service.