Accord de traitement des données (DPA)

1. Parties et champ d’application

1.1 Le présent accord de traitement des données (le « DPA ») est conclu entre le Client (le « Responsable du traitement ») et CVtoBrand au sens de l’article 1.1 des conditions générales de CVtoBrand (« CVtoBrand », le « Sous-traitant ») et fait partie intégrante de ces conditions (les « Conditions »). CVtoBrand communique sur demande son identité juridique complète au Responsable du traitement, conformément à l’article 1.1 des Conditions.

1.2 Le présent DPA s’applique à toutes les données personnelles que CVtoBrand traite pour le compte du Client dans le cadre de la fourniture du Service, telles que décrites à l’annexe A.

1.3 Les notifications au titre du présent DPA, y compris les notifications de violations de données à caractère personnel, les demandes des personnes concernées et les oppositions aux sous-traitants ultérieurs, destinées à CVtoBrand sont adressées à [email protected]. Les notifications au titre du présent DPA peuvent valablement être effectuées par e-mail conformément à l’article 19.4 des Conditions.

2. Définitions

Les termes tels que « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne le Règlement général sur la protection des données (UE) 2016/679 (« RGPD »). Les autres termes commençant par une majuscule ont le sens que leur donnent les Conditions.

3. Objet, nature, finalité et durée

CVtoBrand traite des données personnelles uniquement pour fournir le Service : transformer le texte que le navigateur de l’Utilisateur extrait des CV en profils de CV conformes à la charte du Client, dans la langue et la version choisies (avec ou sans les données identifiantes du candidat), conserver ces profils dans l’Espace de travail du Client pendant la durée fixée par le Responsable du traitement et les mettre à disposition pour l’export en PDF. Les fichiers source des CV et les photos ne sont pas conservés par CVtoBrand ; les photos restent sur l’appareil de l’Utilisateur. Le traitement dure pendant la durée des Conditions et jusqu’à la suppression prévue à l’article 13. Les détails figurent à l’annexe A.

4. Obligations du Responsable du traitement

4.1 Le Responsable du traitement est seul responsable de la licéité du traitement et du respect des lois et réglementations de son propre pays et de tout autre pays applicable, notamment de l’existence d’une base légale, de l’information des personnes concernées, du choix des données importées, de la fixation des durées de conservation, du choix d’anonymiser et du partage de la Sortie avec des tiers.

4.2 Le Responsable du traitement veille à ce que ses instructions soient licites et à ne pas importer plus de données personnelles que nécessaire. Si des CV contiennent des catégories particulières de données personnelles, le Responsable du traitement en est seul responsable.

4.3 CVtoBrand ne vérifie pas la licéité du traitement effectué par le Responsable du traitement et ne fournit aucun conseil juridique.

5. Instructions

CVtoBrand ne traite les données personnelles que sur instruction documentée du Responsable du traitement, constituée des Conditions, du présent DPA et de l’utilisation des fonctionnalités du Service par le Responsable du traitement, sauf si le traitement est imposé par la loi ; dans ce cas, CVtoBrand en informe préalablement le Responsable du traitement lorsque cela est permis. CVtoBrand informe le Responsable du traitement si, selon elle, une instruction enfreint le RGPD, sans être tenue d’examiner les instructions.

6. Confidentialité

CVtoBrand veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité.

7. Sécurité

CVtoBrand met en œuvre des mesures techniques et organisationnelles appropriées, compte tenu de l’état de l’art, des coûts et des risques du traitement, telles que décrites à l’annexe B. Le Responsable du traitement confirme avoir évalué ces mesures et les juger appropriées pour son traitement.

8. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale pour le recours aux sous-traitants ultérieurs énumérés à l’annexe C. CVtoBrand informe préalablement le Responsable du traitement de tout sous-traitant ultérieur nouveau ou remplacé ; celui-ci peut s’y opposer pour des motifs raisonnables dans un délai de 14 jours. À défaut de solution, le Responsable du traitement peut résilier la partie concernée du Service, ce qui constitue son seul recours. CVtoBrand impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles prévues par le présent DPA et demeure responsable envers le Responsable du traitement de l’exécution des obligations de ses sous-traitants ultérieurs, conformément à l’article 28, paragraphe 4, du RGPD.

9. Transferts internationaux

Les données personnelles ne sont transférées en dehors de l’Espace économique européen que si des garanties appropriées sont en place conformément au chapitre V du RGPD, telles qu’une décision d’adéquation ou des clauses contractuelles types.

10. Assistance

Compte tenu de la nature du traitement, CVtoBrand aide le Responsable du traitement, par des mesures raisonnables, à répondre aux demandes des personnes concernées et à respecter ses obligations en matière de sécurité, d’analyses d’impact et de consultation préalable. Les demandes que les personnes concernées adressent directement à CVtoBrand sont transmises au Responsable du traitement. CVtoBrand peut facturer des frais raisonnables pour toute assistance allant au-delà des fonctionnalités standard du Service.

11. Violations de données à caractère personnel

CVtoBrand notifie au Responsable du traitement toute violation de ses données personnelles dans les meilleurs délais après en avoir pris connaissance et fournit les informations raisonnablement disponibles pour lui permettre de remplir ses propres obligations de notification. La notification à l’autorité de contrôle et aux personnes concernées incombe au Responsable du traitement.

12. Informations et audits

CVtoBrand met à disposition toutes les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent DPA, et permet la réalisation d’audits, y compris d’inspections, par le Responsable du traitement ou un auditeur mandaté par celui-ci et tenu au secret, et y contribue. CVtoBrand peut d’abord fournir de la documentation, des certifications ou des rapports d’audit ; le Responsable du traitement examine de bonne foi s’ils suffisent. Les audits ont lieu au maximum une fois par an, moyennant un préavis d’au moins 30 jours et pendant les heures ouvrables, sauf si (i) une autorité de contrôle l’exige autrement, (ii) une violation de données à caractère personnel affectant les données du Responsable du traitement s’est produite, ou (iii) il existe des indices raisonnables que CVtoBrand ne respecte pas le présent DPA. Les audits sont à la charge du Responsable du traitement, sauf si l’audit révèle un manquement substantiel de CVtoBrand.

13. Restitution et suppression

13.1 Les profils de CV générés ne sont conservés dans l’Espace de travail du Responsable du traitement que pendant la durée de conservation fixée par son administrateur dans le Service (actuellement 7, 14, 30, 60 ou 90 jours ; 14 jours par défaut). La modification de la durée de conservation ne prolonge pas les profils existants. À l’expiration de cette durée, le profil est supprimé. Les entrées des journaux d’audit (sans contenu de CV) ne sont pas conservées plus de 12 mois.

13.2 Les fichiers source des CV sont lus dans le navigateur de l’Utilisateur et ne sont pas conservés par CVtoBrand. Les photos restent sur l’appareil de l’Utilisateur. Le texte extrait d’un CV n’est envoyé au service d’IA que pour la conversion et n’est pas conservé par l’application de CVtoBrand. Toute conservation temporaire par le fournisseur d’IA, par exemple pour la mise en cache ou la surveillance des abus, est régie par les conditions de Google Cloud applicables à Vertex AI, selon lesquelles les données client ne sont pas utilisées pour entraîner les modèles de Google sans autorisation. Les PDF exportés par le Responsable du traitement se trouvent en dehors du Service et relèvent de sa responsabilité.

13.3 Lorsque le Responsable du traitement supprime son compte (dans le Service lorsque cette fonction est disponible, ou sur demande adressée à [email protected]), ou lorsque les Conditions prennent fin d’une autre manière, y compris par résiliation ou non-renouvellement, un délai d’annulation de 10 jours commence à courir. Pendant ce délai, le Responsable du traitement peut exporter la Sortie dont il a encore besoin (au besoin, CVtoBrand rétablit l’accès sur demande, uniquement pour l’export) et, s’il a lui-même demandé la suppression, annuler celle-ci. La fonction d’export constitue la restitution des données personnelles au Responsable du traitement, et ce délai est la dernière possibilité de l’utiliser. Les profils de CV dont la durée de conservation propre expire plus tôt sont supprimés à cette date antérieure.

13.4 À l’expiration du délai d’annulation, CVtoBrand supprime définitivement toutes les données personnelles de l’Espace de travail du Responsable du traitement, y compris les comptes Utilisateurs, les profils de CV, les paramètres, les journaux d’audit et les données d’utilisation, sans retard injustifié et au plus tard 30 jours après l’expiration du délai d’annulation ; jusque-là, ces données ne sont traitées à aucune autre fin. Sur demande, CVtoBrand confirme la suppression par e-mail. La seule exception concerne les pièces de facturation et de paiement que CVtoBrand doit conserver en vertu du droit néerlandais (article 2:10 du Code civil néerlandais et article 52 de la loi générale néerlandaise sur les impôts, Algemene wet inzake rijksbelastingen) ; elles sont conservées 7 ans, limitées à ce qui est nécessaire à cette fin et ne contiennent aucune donnée de CV ou de candidat.

13.5 Sauvegardes : si des fonctions de sauvegarde ou de restauration des sous-traitants ultérieurs de CVtoBrand contiennent des copies de données personnelles, ces copies ne sont utilisées que pour restaurer le Service après un incident, restent protégées par les mesures de l’annexe B et sont supprimées ou écrasées à l’expiration de leur durée de conservation fixe. Les données supprimées peuvent en outre subsister pendant une durée limitée dans les systèmes internes de sauvegarde et de reprise après sinistre des sous-traitants ultérieurs avant d’être définitivement écrasées, conformément à leurs conditions de traitement des données (annexe C).

14. Responsabilité

Les exclusions et limitations de responsabilité des Conditions (article 13) s’appliquent intégralement au présent DPA. Dans la mesure permise par le droit impératif, CVtoBrand n’est pas responsable des dommages, amendes ou réclamations résultant du traitement ou des instructions du Responsable du traitement ou de son non-respect d’une loi ou réglementation, et le Responsable du traitement garantit CVtoBrand conformément à l’article 14 des Conditions. Rien dans le présent DPA ne limite les droits des personnes concernées au titre de l’article 82 du RGPD.

15. Durée, primauté et droit applicable

Le présent DPA s’applique aussi longtemps que CVtoBrand traite des données personnelles pour le compte du Responsable du traitement. En cas de contradiction entre le présent DPA et les Conditions concernant le traitement des données personnelles, le présent DPA prévaut. Le présent DPA est soumis au même droit et à la même juridiction que les Conditions. L’article 19.2 des Conditions (la version anglaise prévaut) s’applique au présent DPA.

Annexe A · Description du traitement

• Personnes concernées : candidats, demandeurs d’emploi et professionnels dont le Responsable du traitement importe les CV ; Utilisateurs du Responsable du traitement ; personnes de contact citées dans les CV ou la Sortie (telles que recruteurs et références).
• Catégories de données personnelles : le texte extrait des CV, tel que nom, coordonnées, date de naissance, expérience professionnelle, formation, compétences, langues, certificats et autres informations du CV ; coordonnées des recruteurs et numéros de référence ajoutés à la Sortie ; données de compte des Utilisateurs. Les fichiers source des CV et les photos ne sont ni reçus ni conservés par CVtoBrand ; les photos restent sur l’appareil de l’Utilisateur.
• Catégories particulières : les CV peuvent contenir de manière incidente des catégories particulières de données personnelles (article 9 du RGPD) ou des données relatives aux condamnations pénales (article 10 du RGPD). Le Service n’est pas conçu pour ces données et le Responsable du traitement devrait les supprimer lorsqu’elles ne sont pas nécessaires. Si elles sont importées, le Responsable du traitement est responsable de l’exception et de la base légale applicables ; CVtoBrand les traite avec les mêmes mesures que toutes les autres données personnelles (annexe B).
• Nature et finalité : réception du texte extrait des CV dans le navigateur de l’Utilisateur, restructuration et traduction automatisées (assistées par IA), application de la charte du Responsable du traitement, suppression des données identifiantes sur demande, conservation dans l’Espace de travail pendant la durée fixée par le Responsable du traitement et export en PDF.
• Durée : la durée des Conditions plus le délai de suppression prévu à l’article 13.

Annexe B · Mesures techniques et organisationnelles

Accès et authentification

• Tout accès à l’application nécessite une connexion à un compte. Un second facteur (application d’authentification ou téléphone) est obligatoire pour l’accès opérationnel.
• Accès fondé sur les rôles par Espace de travail (administrateur et recruteur) ; l’administration de la plateforme est un rôle distinct.
• La base de données n’autorise aucun accès direct en lecture ou en écriture depuis les navigateurs (règles de sécurité « deny-all ») ; tout accès aux données passe par des fonctions côté serveur qui vérifient l’Espace de travail et le rôle de l’Utilisateur.
• L’application utilise Firebase App Check (reCAPTCHA Enterprise) pour aider à protéger le back-end contre les abus.
• CVtoBrand ne donne accès aux données de production qu’aux personnes qui en ont besoin pour fournir, sécuriser ou assister le Service et qui sont tenues à la confidentialité (article 6).

Minimisation et séparation des données

• Séparation logique des Espaces de travail des clients (isolation multi-locataire).
• Les fichiers source des CV sont lus dans le navigateur de l’Utilisateur et ne sont ni importés ni conservés par CVtoBrand. Seul le texte extrait est envoyé au back-end et au service d’IA. Les photos restent sur l’appareil de l’Utilisateur et ne sont ajoutées au PDF que sur celui-ci.
• Les journaux applicatifs ne contiennent ni texte de CV ni jetons d’accès.

Conservation

• Les profils de CV générés ne sont conservés que pendant la durée choisie par l’administrateur de l’Espace de travail (7, 14, 30, 60 ou 90 jours ; 14 par défaut), puis sont supprimés.
• Les invitations expirent après une durée limitée (normalement 7 jours).
• En cas de suppression d’un compte client ou de fin du contrat, un délai d’annulation de 10 jours s’applique ; ensuite, toutes les données de l’Espace de travail sont supprimées sans retard injustifié et au plus tard 30 jours plus tard (article 13).
• Les entrées des journaux d’audit ne contiennent aucun contenu de CV et ne sont pas conservées plus de 12 mois.

Chiffrement et réseau

• Connexions chiffrées (HTTPS/TLS) entre le navigateur, l’application et le back-end.
• En-têtes de sécurité sur l’application, notamment X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy et Permissions-Policy.
• Les données stockées sont chiffrées par le chiffrement par défaut du fournisseur cloud.

Localisation et prestataires

• Les fonctions back-end s’exécutent dans la région Google Cloud europe-west4 (Pays-Bas). Le traitement par IA utilise Vertex AI dans la multirégion UE. La base de données et les autres services utilisés figurent avec leur localisation à l’annexe C.
• Le traitement par IA passe par Vertex AI de Google Cloud (conditions entreprise), et non par un service d’IA grand public.

Sauvegardes et continuité

• Les éventuelles copies de sauvegarde ou de restauration ne sont utilisées que pour restaurer le Service après un incident et sont soumises aux mêmes mesures et règles de suppression (article 13.5).

Organisation

• Les personnes ayant accès aux données personnelles sont tenues à la confidentialité (article 6 du DPA).
• Les violations de données à caractère personnel sont notifiées au Responsable du traitement conformément à l’article 11 du DPA.

Annexe C · Sous-traitants ultérieurs

CVtoBrand fait appel aux sous-traitants ultérieurs suivants. Situation au 9 novembre 2026.

CVtoBrand n’utilise pas de service de stockage de fichiers distinct pour les CV : les fichiers source sont lus dans le navigateur de l’Utilisateur et les photos restent sur l’appareil de l’Utilisateur.