Accord de traitement des données personnelles

Le présent accord (l'« Accord ») est annexé aux Conditions Générales d'Utilisation (les « CGU ») de la plateforme Iris et en fait partie. Il est conclu entre la société Flair IT (SAS, 15 place Saint-Georges, 31000 Toulouse), éditrice d'Iris (l'« Éditeur » ou le « Sous-traitant »), et le Client ayant souscrit un abonnement ; il est accepté avec les CGU à la commande. Il organise le traitement des données personnelles que le Client confie à l'Éditeur, conformément à l'article 28 du règlement (UE) 2016/679 (le « RGPD »). Les termes définis dans les CGU gardent leur sens.

1. Objet et durée

L'Accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Client, les données personnelles de l'instance du Client. Il s'applique pendant toute la durée de l'abonnement, puis jusqu'à la restitution et la suppression des données (article 9).

2. Description du traitement

Nature : hébergement et stockage ; lecture de CV et extraction d'informations par intelligence artificielle ; génération, correction et notation de tests ; rapprochement de profils et d'offres ; production de dossiers et de documents ; échanges avec BoondManager si le Client relie son compte ; envoi d'e-mails (invitations, résultats, réinitialisations) ; sauvegarde.
Finalités : fournir au Client la plateforme Iris, c'est-à-dire l'évaluation technique des candidats et le suivi de leurs profils, selon les CGU. Le Sous-traitant n'utilise ces données pour aucune autre finalité.
Catégories de données : identité et coordonnées ; CV, parcours, formations, compétences ; résultats d'évaluations (réponses, notes, commentaires, temps passé, indicateurs d'engagement, collages et changements d'onglet pendant un test) ; éléments produits par intelligence artificielle ; données des comptes des utilisateurs du Client (nom, adresse e-mail, rôles, journaux de connexion et de sécurité).
Personnes concernées : candidats du Client ; utilisateurs du Client ; personnes citées dans les documents importés.
Données sensibles : la plateforme n'est pas conçue pour traiter des catégories particulières de données (article 9 du RGPD) ni des données relatives aux condamnations pénales. Le Client s'interdit de les demander ou de les importer sciemment.
Durées de conservation : 24 mois après la dernière activité d'un candidat, puis suppression automatique (durée identique pour tous les clients) ; le Client peut effacer un candidat plus tôt, à tout moment, dans la plateforme.

3. Instructions du Client

Le Sous-traitant traite les données uniquement sur instructions documentées du Client, y compris pour les transferts hors Union européenne. Les instructions sont constituées par les CGU, par le présent Accord et par l'utilisation de la plateforme par le Client (importer, évaluer, exporter, supprimer), ainsi que par ses instructions écrites ultérieures, si elles sont compatibles avec le service. Si le Sous-traitant estime qu'une instruction viole le RGPD, il en informe le Client sans délai.

4. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité et n'y accèdent que si leur mission l'exige. L'accès d'un administrateur de Flair IT à une instance dont il n'est pas membre exige un motif, est limité à une heure et est journalisé.

5. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles de l'article 32 du RGPD, notamment : chiffrement des communications (HTTPS) ; sauvegardes chiffrées, conservées 30 jours ; chiffrement des secrets d'accès (jetons, clés) ; isolation entre les instances clientes, vérifiée par des tests automatisés ; accès limités par rôle ; double authentification obligatoire pour les administrateurs de Flair IT ; journaux d'application dépourvus de données personnelles ; journal de sécurité conservé 12 mois. Ces mesures sont décrites dans la politique de confidentialité (section Sécurité) ; le Sous-traitant peut les faire évoluer sans en réduire le niveau.

6. Sous-traitants ultérieurs

6.1. Autorisation générale. Le Client autorise le Sous-traitant à recourir aux sous-traitants ultérieurs de la liste du 6.2 et, selon la procédure du 6.3, à d'autres.

6.2. Liste des sous-traitants ultérieurs :

Sous-traitant ultérieur	Traitement	Localisation	Transfert hors Union européenne
OVHcloud	hébergement des serveurs, stockage de fichiers, sauvegardes chiffrées	France	accès à distance possible depuis le Canada et le Royaume-Uni (décisions d'adéquation et clauses contractuelles types)
OpenRouter et l'hébergeur du modèle choisi (Microsoft Azure ou Amazon Bedrock)	traitement par intelligence artificielle, rétention zéro imposée à chaque appel, sans le nom du candidat sauf pour la lecture initiale d'un CV	États-Unis	clauses contractuelles types
Brevo (Sendinblue SAS)	envoi des e-mails	France et Belgique (hébergement)	accès de sociétés du groupe depuis l'Inde et les États-Unis (clauses contractuelles types, cadre de protection des données UE-États-Unis)
Google Workspace	messagerie du support, pour les demandes reçues par e-mail	centres de données de Google	cadre de protection des données ou clauses contractuelles types, selon l'accord de Google

Le Client est informé que BoondManager, lorsqu'il le relie à Iris, est son propre outil et non un sous-traitant du Sous-traitant.

6.3. Changements. Le Sous-traitant informe le Client, par e-mail au propriétaire de l'instance et par mise à jour de la liste ci-dessus, de tout ajout ou remplacement de sous-traitant ultérieur avant qu'il ne traite des données : au moins 30 jours avant lorsque le prestataire concerné annonce lui-même un changement avec ce délai, sinon dès que le Sous-traitant en est informé. Le Client peut s'opposer, par écrit et pour un motif légitime lié à la protection des données, dans les 30 jours de l'information. À défaut de solution raisonnable proposée par le Sous-traitant, le Client peut résilier sans frais de résiliation la partie du service concernée.

6.4. Garanties et responsabilité. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et reste responsable à l'égard du Client de l'exécution de ses obligations.

6.5. Transferts. Aucun transfert hors de l'Union européenne n'est effectué hors de ceux de la liste du 6.2, et chacun repose sur une garantie du chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types).

7. Droits des personnes

Le Sous-traitant transmet au Client, dans les meilleurs délais, toute demande d'une personne concernée relative à ses données (y compris celles reçues par la page Mes données ou à l'adresse support_iris@flairit.fr) et n'y répond pas lui-même sans instruction du Client. Il assiste le Client par des mesures techniques appropriées (consultation, export, rectification et suppression d'un candidat dans la plateforme).

8. Violation de données, analyses d'impact

8.1. En cas de violation de données personnelles affectant les données du Client, le Sous-traitant en informe le Client dans les meilleurs délais après en avoir pris connaissance et lui communique les informations dont il dispose (nature de la violation, données et personnes concernées, conséquences probables, mesures prises ou envisagées). Il relaie sans attendre les avis de violation reçus de ses sous-traitants ultérieurs. Il assiste le Client dans ses démarches auprès de l'autorité de contrôle et des personnes concernées.

8.2. Le Sous-traitant aide le Client, dans une mesure raisonnable et sur demande écrite, à réaliser les analyses d'impact et les consultations préalables de l'autorité de contrôle exigées par les articles 35 et 36 du RGPD, en fournissant les informations dont il dispose.

9. Fin du contrat : restitution et suppression

À la fin du contrat, le Client peut demander l'export de ses données dans les 30 jours suivant la date effective de résiliation. Passé ce délai, le Sous-traitant supprime l'instance et ses données, y compris les fichiers ; les sauvegardes chiffrées qui les contiennent disparaissent au plus tard 30 jours après. Le Sous-traitant délivre sur demande une attestation de suppression. Il peut conserver des données lorsque la loi l'exige (notamment les pièces de facturation).

10. Information et audits

Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD : sur demande écrite, une fois par an, il fournit les documents pertinents (description des mesures de sécurité, extraits des registres, attestations de ses prestataires dans la mesure où elles peuvent être communiquées) ou répond à un questionnaire de sécurité raisonnable. Un audit sur place n'a lieu que sur accord écrit, avec un préavis de 30 jours, pendant les heures ouvrées, aux frais du Client, sans accès aux données des autres clients ni aux informations couvertes par le secret des affaires ou la sécurité de la plateforme.

11. Obligations du Client

Le Client est responsable de traitement des données qu'il confie au Sous-traitant. S'il agit lui-même comme sous-traitant d'un responsable de traitement, il garantit que ce dernier a autorisé ses instructions, le recours au Sous-traitant et à ses sous-traitants ultérieurs, et il lui transmet les informations reçues du Sous-traitant. Il garantit que les données sont collectées et traitées licitement, informe les candidats (le Sous-traitant fournit les éléments de la plateforme), efface les candidats dont il n'a plus besoin avant l'échéance automatique, et reste responsable des décisions de recrutement : les notes, commentaires et indicateurs produits par l'intelligence artificielle sont des aides soumises à sa supervision humaine.

12. Responsabilité

La limitation de responsabilité des CGU (article 9) s'applique au présent Accord dans la mesure permise par la loi. Elle ne limite pas les droits des personnes concernées.

13. Durée, modification et droit applicable

L'Accord suit le sort des CGU. L'Éditeur peut le modifier dans les conditions de l'article 12 des CGU (information préalable) ; la liste du 6.2 est mise à jour selon le 6.3, sans modification des CGU. L'Accord est régi par le droit français ; les juridictions françaises sont compétentes (article 13 des CGU).