RGPD — Article 28
Accord de traitement des données (DPA)
Ce document résume les engagements de TalentBaze lorsqu'elle traite des données personnelles pour le compte d'un recruteur. Le recruteur (ou son entreprise) est le responsable de traitement ; TalentBaze est le sous-traitant. Cet accord fait partie intégrante des conditions du service.
Dernière mise à jour : 25 septembre 2026
Répartition des rôles
Responsable de traitement : le recruteur, qui détermine les finalités et les moyens du traitement des données candidats.
Sous-traitant : TalentBaze, qui traite ces données pour le compte du recruteur, conformément à ses instructions et au présent accord.
1. Objet et durée
TalentBaze traite des données personnelles de candidats (sourcing, contact, qualification, suivi des échanges) afin de fournir au recruteur le service de recrutement décrit dans les CGU. Le traitement dure le temps de la relation contractuelle, puis cesse selon les modalités de la section 8.
2. Nature des données et personnes concernées
- Personnes concernées : candidats sourcés, candidats ayant postulé et personnes dont les CV sont importés par le client depuis ses fichiers ou une boîte autorisée.
- Catégories de données : identité et coordonnées professionnelles, parcours et compétences, CV, historique des échanges, notes d'évaluation et scores d'adéquation.
- Aucune catégorie particulière de données (données sensibles) n'est ciblée ni requise par le service.
3. Instructions documentées
TalentBaze traite les données uniquement sur instruction documentée du responsable de traitement, telle qu'elle résulte de l'utilisation du service (création de mandats, lancement de recherches, envoi de messages) et du présent accord. TalentBaze informe le responsable si une instruction lui paraît contraire au RGPD.
4. Confidentialité et sécurité
- Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
- Mesures techniques et organisationnelles : chiffrement des communications, contrôle d'accès, cloisonnement des données par compte et équipe RH et journalisation. Les localisations et services concernés sont décrits ci-dessous.
- Notification au responsable de traitement, dans les meilleurs délais, en cas de violation de données affectant ses données.
5. Sous-traitants ultérieurs
Le responsable autorise TalentBaze à recourir aux sous-traitants ultérieurs nécessaires à la fourniture du service, listés dans notre politique de confidentialité. TalentBaze impose à chacun des obligations de protection équivalentes par contrat et informe le responsable de tout changement, lui laissant la possibilité de s'y opposer pour un motif légitime. Les prestataires et services connectés sont présentés ci-dessous ; les connexions choisies par le recruteur doivent être rapprochées des instructions et des conditions applicables à son traitement.
Les prestataires ci-dessous interviennent selon les fonctionnalités utilisées. Un fournisseur de données ou un service connecté peut avoir un rôle distinct de celui d'un sous-traitant technique ; ce rôle et ses conditions doivent être précisés pour le traitement concerné.
| Prestataire ou service | Données et utilisation |
|---|---|
| Summercloud — infrastructure privée TalentBaze | Exécution de l’application, fichiers CV et audio, journaux du serveur. |
| Hetzner — ancien hébergement | Ancien serveur arrêté ; données historiques conservées pour la reprise après migration. |
| Cloudflare | Acheminement et protection des requêtes web ; données de connexion et contenu transitant par ce service selon sa configuration. |
| Firebase / Google Cloud | Authentification, comptes, mandats, profils, échanges et autres données applicatives ; sauvegardes de la base et archives chiffrées des fichiers et de la configuration. |
| OpenAI | Briefs, textes de profils et de CV, messages et documents soumis aux fonctions d’IA : extraction, classement, synthèse, rédaction et embeddings. Audio transmis lors d’une transcription. |
| Google Workspace / Gmail / Calendar / Meet | Messages, destinataires, pièces jointes et rendez-vous lorsque la connexion correspondante est utilisée ; emails de service. |
| Scaleway — Transactional Email | Envoi des emails automatiques TalentBaze : expéditeur, destinataires, contenu, éventuelles pièces jointes et données de livraison. Service configuré dans la région Paris (France). |
| Slack — Basile | Identifiants de l’espace et des managers, éléments de recrutement et profils explicitement partagés, avis et messages associés. Accès limité aux destinataires autorisés pour le recrutement ; conservation propre à l’espace Slack. |
| Microsoft 365 / Outlook / Calendar / Teams | Messages, destinataires, pièces jointes et rendez-vous lorsque la connexion correspondante est utilisée. |
| Unipile / LinkedIn | Recherche de profils professionnels, connexion du compte LinkedIn, invitations, messages et réponses selon les actions utilisées. |
| Twilio | Numéros de téléphone et contenu des SMS lorsqu’un envoi est demandé. |
| Kaspr, Hunter | Identifiants professionnels et éléments de profil nécessaires à la recherche de coordonnées. |
Enrichissement et services CRM connectés
Ces destinations dépendent des connexions et actions configurées dans le compte. Les champs sélectionnés, les destinataires et les conditions du service connecté déterminent les données transmises.
| Service disponible | Données et utilisation |
|---|---|
| Hunter, People Data Labs, Apollo, Wappalyzer, Coresignal, Dropcontact, Prospeo, Crunchbase, PredictLeads, Tomba, LeadMagic, Emailable | Recherche et enrichissement d’entreprises, de contacts et de signaux professionnels, selon les champs configurés. |
| Firecrawl, Exa, Google Places, SearchApi | Requêtes de recherche, URLs et contenu web pour la recherche sourcée, les établissements et les signaux professionnels. |
| HubSpot, Salesforce, Microsoft Dynamics, Pipedrive, Zoho, Attio | Synchronisation des champs d’entreprise et de contact configurés ; objets commerciaux pris en charge par la connexion. |
| Google BigQuery, Snowflake, Amazon Redshift | Lecture ou transmission des champs configurés dans l’entrepôt de données connecté. |
| Meta Ads, LinkedIn Ads, Google Ads | Transmission d’identifiants et des informations requises pour les audiences configurées et autorisées. |
| Connecteurs HTTP et webhooks personnalisés | Champs et événements explicitement configurés, vers les destinataires choisis dans le compte. |
Pour ces services, les pays de traitement, les accès de support et les durées de conservation dépendent du service et du compte utilisés ; des traitements hors de l'Espace économique européen, notamment aux États-Unis, sont possibles. La liste des fonctions disponibles ne constitue pas une attestation de localisation ni de garanties contractuelles pour chaque connexion. Vous pouvez demander les précisions concernant votre traitement à [email protected].
6. Hébergement et transferts hors UE
L'application et les fichiers CV et audio sont hébergés sur Summercloud, l'infrastructure privée exploitée par l'équipe TalentBaze. La base Firestore et les sauvegardes Google Cloud sont situées aux États-Unis. Des archives de l'ancien hébergement Hetzner sont conservées pour la reprise après migration ; ce serveur est arrêté. L'authentification Firebase et les services connectés ont leurs propres conditions de traitement. La localisation du serveur applicatif ne décrit donc pas celle de l'ensemble des données. Pour connaître les localisations et garanties applicables à votre utilisation, contactez [email protected].
Le recours à un prestataire international doit être accompagné d'un cadre de transfert adapté au destinataire, au pays et aux données concernés. Selon le cas, ce cadre peut relever d'une décision d'adéquation ou de garanties telles que les clauses contractuelles types, avec les mesures supplémentaires nécessaires. Le Data Privacy Framework ne couvre que les entités et catégories de données relevant d'une certification applicable ; le seul nom d'un fournisseur ne suffit pas à l'établir. Voir les précisions de la CNIL sur ce cadre.
Pour obtenir les informations et, lorsque cela s'applique, une copie des garanties concernant vos données, écrivez à [email protected]. Les demandes relatives à vos données peuvent aussi être déposées depuis la page d'exercice des droits.
7. Assistance au responsable de traitement
TalentBaze assiste le responsable de traitement pour :
- Répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, opposition, portabilité, limitation), notamment via les outils intégrés et la page RGPD publique.
- Garantir la sécurité du traitement et notifier les violations de données.
- Réaliser, le cas échéant, les analyses d'impact (AIPD) relatives à la protection des données.
Les outils de la plateforme permettent au recruteur de traiter directement les demandes d'effacement reçues via la page RGPD.
8. Sort des données en fin de contrat
Au terme de la prestation, et selon le choix du responsable de traitement, TalentBaze supprime ou restitue l'ensemble des données personnelles concernées et détruit les copies existantes, sauf obligation légale de conservation. Les durées de conservation par défaut sont précisées dans la politique de confidentialité.
Périmètre d’un pilote et copies
Avant l’import de données réelles, les instructions du client précisent la boîte, les dossiers, la période, l’échantillon, le recrutement et les personnes autorisées. TalentBaze conserve des copies et fait intervenir les prestataires décrits ci-dessus. Le client définit la base légale, l’information des candidats et les durées adaptées ; les réglages par défaut ne valent pas validation de ces choix.
La restitution ou l’effacement couvre un périmètre convenu, incluant les sauvegardes et les prestataires concernés. Les mails d’origine restent dans la messagerie du client. Une restauration doit conserver les décisions d’effacement et empêcher la remise en service des dossiers supprimés. Les annexes du pilote précisent ces modalités et les preuves attendues.
9. Audit
TalentBaze met à disposition du responsable de traitement les informations nécessaires pour démontrer le respect des obligations de l'article 28 et permet la réalisation d'audits raisonnables, dans le respect de la confidentialité et de la sécurité des autres clients.
10. Contact
Pour toute question relative à cet accord ou pour obtenir une version contractuelle complète : [email protected].