Commencer par les informations confiées à l’ATS
Un dossier de recrutement rassemble des coordonnées, un parcours professionnel, des documents et des observations. Les échanges et les comptes rendus d’entretien ajoutent du contexte au fil du processus. Votre choix de logiciel détermine donc où une partie importante de cette information sera traitée.
Cartographiez d’abord ce que vous utilisez : offre, formulaire, stockage du CV, analyse assistée, messagerie et suivi interne. Une architecture peut traiter ces éléments avec plusieurs services. Demander seulement « où se trouve la base de données ? » ne couvre pas nécessairement les pièces jointes ou les traitements d’IA.
Cette cartographie reste utile même pour une petite PME. Elle permet de poser des questions précises à l’éditeur, sans devoir être spécialiste de chaque technologie.
Distinguer hébergement, maîtrise et conformité
L’hébergement répond à la question du lieu de stockage ou de traitement. La maîtrise opérationnelle concerne notamment les acteurs, les accès, les contrats et la capacité de récupérer ses informations. La conformité RGPD couvre les finalités, les bases légales, les droits et les mesures adaptées au traitement.
Ces sujets se complètent. Un hébergement en France ne définit pas automatiquement une durée de conservation appropriée. Une interface en français ne permet pas de déduire où sont traitées les données. Une société européenne peut utiliser des prestataires qu’il faut examiner séparément.
Évitez les conclusions générales sur tout un marché. Comparez les réponses et les documents propres à chaque offre, dans leur version actuelle. Le produit précis, ses options activées et son contrat peuvent changer l’analyse.
Examiner les juridictions sans slogans
Le lieu du serveur n’est pas le seul élément à examiner face à une demande d’une autorité étrangère. Les acteurs concernés, les règles applicables et les garanties doivent être analysés. Le CEPD a publié des lignes directrices sur l’article 48 du RGPD et les demandes de transfert émanant d’autorités de pays tiers.
Il serait excessif de promettre une immunité absolue à toute demande étrangère à partir d’un seul choix d’hébergeur. Demandez plutôt une description de la chaîne contractuelle, des accès possibles et de la procédure suivie en cas de demande. La réponse doit être proportionnée à votre besoin.
Pour un secteur régulé ou une organisation soumise à des exigences particulières, associez votre responsable sécurité et votre DPO. Une déclaration marketing ne remplace pas l’analyse du périmètre exigé par vos textes, vos contrats ou votre politique interne.
Vérifier toute la chaîne de traitement
Préparez une liste de questions couvrant le service complet. Les réponses doivent identifier les fonctions, les prestataires et les lieux concernés. Si une réponse ne concerne que l’offre de base, demandez ce qui change lorsque l’IA, le support ou une option supplémentaire est utilisé.
Demandez aussi comment les changements de sous-traitants sont communiqués. Le choix initial ne suffit pas si l’architecture évolue ensuite sans que votre équipe sache où retrouver les informations à jour.
| Élément | Question à poser |
|---|---|
| Données principales | Dans quels pays et régions sont-elles traitées ? |
| CV et pièces jointes | Le stockage et les accès suivent-ils le même périmètre ? |
| IA | Quel service reçoit quelles informations, pour quelle fonction ? |
| Sauvegardes | Où sont-elles conservées et comment leur durée est-elle gérée ? |
| Support | Qui peut intervenir et dans quelles conditions ? |
| Sous-traitants | Quelle liste contractuelle décrit les services utilisés ? |
| Sortie | Que peut-on récupérer et comment les données restantes sont-elles traitées ? |
Ne pas oublier les accès dans votre propre équipe
La maîtrise des données se joue aussi dans l’usage quotidien. Un mot de passe partagé, un compte conservé après un départ ou des exports envoyés sans précaution peuvent fragiliser une organisation, même avec un hébergement adapté.
Définissez les rôles nécessaires et retirez les accès devenus inutiles. Vérifiez comment les comptes sont invités, comment un administrateur suit les collaborateurs et comment l’authentification renforcée peut être utilisée selon les paramètres du produit.
Dans aiKip, la sécurité de l’espace et les rôles font partie du fonctionnement documenté. Testez le parcours d’un utilisateur avec des droits limités, pas uniquement celui de l’administrateur. Vous pourrez ainsi examiner la séparation réelle des informations.
Demander une réversibilité compréhensible
Avant de choisir un logiciel, demandez ce qu’il est possible de récupérer : données structurées, documents, historique ou autres éléments selon le service. Vérifiez le format, les limites et la procédure. La présence d’un bouton d’export ne garantit pas que tout l’historique métier sera reconstituable ailleurs.
Distinguez la récupération nécessaire à votre activité des droits exercés par une personne sur ses données. Les deux sujets peuvent utiliser des mécanismes différents et répondre à des règles différentes. Un export administratif n’est pas automatiquement la réponse complète à toute demande individuelle.
Prévoyez enfin les copies créées pendant les essais et la sortie : qui les conserve, pour quel usage et combien de temps ? La maîtrise inclut aussi la manière de terminer une relation avec un outil.
Les choix documentés d’aiKip
aiKip utilise une infrastructure Scaleway dans la région française fr-par pour son hébergement. Le produit présente ses choix de traitement, ses mesures de confidentialité et les éléments utiles à l’examen dans les pages Souveraineté, Contrat de sous-traitance et Centre de confiance.
Ces documents doivent être lus pour leur périmètre exact. Ils ne signifient pas qu’un employeur n’a plus de responsabilités sur l’information, les usages, les accès ou la conservation. L’analyse des candidatures garde par ailleurs une supervision humaine et fait l’objet d’une page de transparence spécifique.
L’intérêt de ce choix est de rendre les informations examinables et cohérentes avec un logiciel de recrutement souverain. Pour votre décision, confrontez-les à vos exigences réelles et aux fonctions que vous souhaitez utiliser.
Construire un dossier de décision simple
Regroupez les réponses, les documents datés et les points encore ouverts. Notez les personnes consultées et les conditions retenues pour l’utilisation. Un dossier court et cohérent est plus facile à maintenir qu’un ensemble de fichiers contradictoires.
Revoyez ce dossier lors d’un changement important : nouvelle fonction d’IA, nouveau prestataire, besoin sectoriel ou modification de l’organisation. La souveraineté est un ensemble de choix à suivre dans le temps, pas un contrôle unique réalisé avant la signature.
-
Décrire
Lister les données et les fonctions réellement utilisées.
-
Examiner
Relier chaque fonction à ses acteurs, lieux et accès.
-
Décider
Documenter les exigences satisfaites et les points à résoudre.
-
Suivre
Revoir les informations lorsque le service ou le besoin évolue.
Questions fréquentes
Un ATS hébergé en France est-il automatiquement conforme au RGPD ?
Non. L’hébergement ne couvre pas à lui seul les finalités, les bases légales, l’information, les droits, les accès et les durées de conservation.
Une interface française prouve-t-elle la souveraineté ?
Non. Examinez l’entreprise, les prestataires, les lieux de traitement et les contrats. La langue de l’interface ne décrit pas l’architecture.
Où trouver les informations d’aiKip ?
Les pages Souveraineté, DPA, Transparence IA et Centre de confiance présentent les choix et le périmètre documentés. Le dossier acheteur permet de préparer un examen avec vos équipes.