Data Processing Agreement

Responsable de traitement (Controller) : utilisateur professionnel d'Evid (entreprise, cabinet de recrutement, ou recruteur indépendant).
Sous-traitant (Processor) : INEOD, SASU, RCS Rennes 990 440 414, propriétaire et exploitant de la plateforme Evid (evid.fr).

En s'inscrivant et en utilisant la plateforme Evid à des fins professionnelles (publication d'offres, consultation de candidatures), l'utilisateur accepte les présentes clauses.

1. Objet et durée

INEOD est autorisé à traiter pour le compte du responsable de traitement les données personnelles nécessaires à la fourniture des Services Evid : publication d'offres d'emploi commerciales, gestion des candidatures, messagerie candidat-entreprise, scoring algorithmique de matching, statistiques agrégées.

Le présent DPA prend effet à l'inscription et reste en vigueur tant que le compte est actif.

2. Nature et finalité du traitement

• Publication et gestion d'offres : données de la fiche entreprise (16 critères de transparence), données de l'offre, identité du contact.
• Réception et tri des candidatures : par défaut, profil candidat anonymisé(historique professionnel sans identifiant, prétentions salariales, critères et scoring matching, résumé de parcours sans nom propre). L'identité et les coordonnées du candidat ne sont communiquées qu'après un déblocage payant explicite (cf. §2 bis).
• Messagerie candidat-entreprise : contenu des messages, dates, statuts.
• Statistiques et reporting : agrégats anonymisés.
• Détection de fraude et anti-bypass : logs, contenu des champs libres pour empêcher le contournement de la plateforme.

2 bis. Déblocage payant et révélation d'identité

Par défaut, le responsable de traitement n'accède qu'à une version anonymisée du profil candidat : ni le nom, ni l'email, ni le téléphone, ni le CV, ni le profil LinkedIn ne lui sont communiqués. L'identité et les coordonnées du candidat ne sont révélées qu'à l'occasion d'un déblocage payant explicite, déclenché par le responsable de traitement, et uniquement :

• après que le candidat a postulé à l'une de ses offres ; ou
• dans la candidathèque, après que le candidat a expressément accepté une demande de contact du responsable de traitement (double consentement).

À compter du déblocage, le responsable de traitement devient responsable de traitement autonome des données d'identité et de contact ainsi reçues, qu'il traite pour ses propres finalités de recrutement. Il s'engage à : (i) ne les utiliser que pour la mise en relation et le processus de recrutement concerné ; (ii) leur appliquer une durée de conservation proportionnée et au plus égale à celle prévue à l'article 9 ; (iii) répondre directement aux demandes d'exercice de droits que le candidat lui adresserait, et relayer à INEOD toute demande d'effacement reçue (cf. §7) ; et (iv) ne pas contourner la plateforme pour solliciter le candidat ou d'autres candidats hors déblocage.

3. Catégories de personnes concernées

• Candidats commerciaux
• Représentants légaux des entreprises clientes du responsable de traitement (cabinets et indépendants)
• Membres de l'équipe du responsable de traitement (multi-utilisateurs)

4. Obligations d'INEOD

• Traiter les données uniquement sur instruction documentée du responsable de traitement, sauf exigence légale contraignante.
• Garantir la confidentialité des données par toute personne autorisée à les traiter.
• Mettre en œuvre les mesures de sécurité de l'article 32 du RGPD (cf. §10).
• Notifier le responsable de traitement de toute modification de la liste des sous-traitants ultérieurs avec un préavis de 30 jours.
• Assister le responsable de traitement pour répondre aux droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition).
• Notifier toute violation de données dans un délai maximal de 48 heures suivant la prise de connaissance, par email à l'adresse de contact du compte.
• Mettre à disposition du responsable de traitement les informations nécessaires pour démontrer le respect des obligations de l'article 28 RGPD.

5. Sous-traitants ultérieurs

Le responsable de traitement autorise INEOD à recourir aux sous-traitants ultérieurs suivants :

Toute modification de cette liste sera notifiée par email avec un préavis de 30 jours, ouvrant un droit d'objection au responsable de traitement.

6. Transferts hors Union européenne

Les transferts vers les sous-traitants établis hors UE (Vercel, Resend, Sentry) sont encadrés par les Clauses Contractuelles Types (Décision 2021/914 de la Commission européenne, modules 2 et 3). Un Transfer Impact Assessment a été réalisé pour chacun de ces transferts.

Les services Mistral AI et Supabase sont hébergés exclusivement en UE — aucun transfert hors UE.

7. Droits des personnes concernées

Evid permet directement aux personnes concernées d'exercer leurs droits depuis leur espace : export RGPD, rectification en ligne, suppression de compte avec effacement.

Toute demande adressée à INEOD relevant en réalité du responsable de traitement lui sera transmise sous 5 jours ouvrés.

Propagation de l'effacement. Lorsqu'un candidat exerce son droit à l'effacement auprès d'INEOD, INEOD répercute la demande, sous 30 jours, à tout responsable de traitement ayant débloqué le profil de ce candidat (cf. §2 bis). Le responsable de traitement s'engage à effacer sans retard injustifié les données d'identité et de contact reçues lors du déblocage, sauf obligation légale de conservation, et à en confirmer l'exécution à INEOD sur demande.

8. Notification des violations

En cas de violation de données affectant les données traitées pour le compte du responsable de traitement, INEOD notifie sans retard injustifié et au maximum dans les 48 heures, par email. La notification précise la nature, l'étendue, les conséquences probables et les mesures prises.

9. Fin du traitement

À la résiliation du compte, INEOD procède au choix du responsable de traitement à :

• la restitution des données dans un format structuré (export JSON/CSV) sous 30 jours ;
• l'effacement des données dans toutes les bases et sauvegardes sous 90 jours, sauf obligation légale de conservation (notamment comptable, max 10 ans).

Purge des données candidat. Indépendamment de toute résiliation, les données des candidats sont purgées au plus tard 2 ans après leur dernière activité, conformément à la recommandation de la CNIL en matière de recrutement et à la politique de confidentialité. Cette durée constitue le plafond de conservation que le responsable de traitement s'engage à respecter pour les données d'identité reçues lors d'un déblocage.

10. Mesures de sécurité (article 32 RGPD)

Mesures techniques :

• Chiffrement TLS 1.2+ en transit
• Chiffrement AES-256 au repos (Supabase)
• Row-Level Security Postgres sur toutes les tables
• Authentification magic link à usage unique (1h)
• Rate limiting distribué (Upstash Redis)
• Headers de sécurité HTTP : CSP strict, HSTS, X-Frame-Options, X-Content-Type-Options
• Sanitization Zod + suppression HTML sur tous les inputs
• Logs centralisés error_logs (rétention 90 jours)
• Sauvegardes automatiques quotidiennes
• Anti-bypass et anti-spam

Mesures organisationnelles :

• Accès aux données limité au strict nécessaire
• Personnel d'INEOD soumis au secret professionnel
• Procédure de revue de code avec contrôle TypeScript et tests automatisés
• Audit annuel de sécurité
• Documentation à jour des traitements et flux de données

11. Limitation de responsabilité

La responsabilité d'INEOD au titre du présent DPA est limitée au montant payé par le responsable de traitement à INEOD au cours des 12 derniers mois. Cette limitation ne s'applique pas en cas de faute lourde ou intentionnelle, ou d'atteinte à la vie privée caractérisée par la CNIL.

12. Droit applicable et juridiction

Le présent DPA est régi par le droit français. Tout litige est soumis à la compétence exclusive des tribunaux de Rennes (35).

13. Contact

INEOD — alexandre@ineod.fr — Rennes, France. Pour les détails complets, voir aussi la version intégrale du DPA en fichier interne et la politique de confidentialité.

Dernière mise à jour : 10 juillet 2026 (version 1.2 : harmonisation avec la politique de confidentialité sur la durée de conservation de 2 ans et actualisation du périmètre multi-utilisateurs). Toute modification substantielle est notifiée par email avec un préavis de 30 jours.