Contrat de sous-traitance des données

Version 1.2 — applicable au 14 septembre 2026

1. Parties et intégration au contrat

Le présent accord lie le professionnel qui souscrit à aiKip (le Responsable de traitement) et Axel Gilbert, entrepreneur individuel, SIREN 923 027 155 (le Sous-traitant). Il fait partie intégrante des CGV dès la création du compte, y compris pendant l’essai gratuit, et prévaut sur celles-ci pour les questions de traitement de données personnelles.

2. Instructions de traitement

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, y compris les réglages et actions de ses utilisateurs autorisés, afin d’héberger et d’exploiter l’ATS. Si une instruction paraît illicite, il en informe le Responsable de traitement sans délai et peut la suspendre dans l’attente d’une clarification. Les données candidats ne sont ni vendues, ni exploitées à des fins publicitaires, ni utilisées pour entraîner un modèle d’IA généraliste.

3. Annexe de traitement

• Objet et durée : fourniture d’aiKip pendant le contrat, puis délai de réversibilité de 30 jours et suppression.
• Nature et finalités : collecte, hébergement, organisation, recherche, communication, gestion d’entretiens, export, suppression et analyse assistée par IA des candidatures.
• Personnes concernées : candidats, prospects ou profils recommandés, utilisateurs recruteurs et participants aux entretiens.
• Données : identité et coordonnées, CV et parcours, documents de candidature, réponses de présélection, messages, notes, données d’entretien, événements du pipeline, évaluations recruteur et scores/explications générés par IA.
• Obligations du Responsable : base légale, information transparente, minimisation, gestion des accès, choix des durées, traitement des droits, AIPD si nécessaire et contrôle humain de toute décision d’embauche.

4. Confidentialité et sécurité

Les personnes autorisées sont tenues à la confidentialité. Le Sous-traitant applique des mesures proportionnées : hébergement en France, TLS en transit, contrôle d’accès et isolation des clients, hachage des mots de passe, liens documentaires à durée courte, journalisation, sauvegardes, gestion des vulnérabilités et procédure d’incident. Ces mesures peuvent évoluer sans réduire le niveau global de protection.

5. Sous-traitants ultérieurs et localisation

Le Responsable de traitement donne une autorisation générale aux prestataires suivants :

• Scaleway SAS, France : application, PostgreSQL, stockage objet et Generative APIs utilisées pour l’analyse de CV ;
• Mollie B.V., Pays-Bas : paiements et identifiants de facturation uniquement.

Les données couvertes par cet accord sont traitées dans l’Union européenne. Tout ajout ou remplacement est annoncé au moins 30 jours avant. Le Responsable peut s’opposer pour un motif légitime et documenté de protection des données ; les parties recherchent une solution raisonnable, à défaut de laquelle le service concerné peut être résilié. Des obligations équivalentes sont imposées.

6. Assistance et violations

Compte tenu de la nature du traitement, le Sous-traitant assiste le Responsable pour les droits des personnes et les obligations des articles 32 à 36 du RGPD. Il l’informe sans délai injustifié après avoir pris connaissance d’une violation touchant les données confiées et communique les informations disponibles sur sa nature, ses conséquences probables, les catégories concernées et les mesures correctrices. Le Responsable reste chargé des notifications à la CNIL et aux personnes lorsque celles-ci sont requises.

7. Restitution, suppression et réversibilité

Le Responsable peut exporter les données structurées de l’entreprise et des recrutements pendant l’abonnement et durant 30 jours après sa fin. L’espace est alors en lecture seule et les documents candidats restent téléchargeables individuellement par les utilisateurs autorisés. À l’échéance, les données opérationnelles et leurs copies sont supprimées ou anonymisées irréversiblement, sauf obligation légale française ou européenne. Les factures sont isolées et conservées dix ans à la seule fin de respecter les obligations comptables. La preuve minimale d’acceptation de l’accord est isolée cinq ans afin d’établir ou défendre les droits contractuels.

8. Preuves et audits

Le Sous-traitant met à disposition les informations raisonnablement nécessaires à la démonstration de sa conformité. Les audits sont normalement satisfaits par la documentation et les preuves de sécurité à jour ; un audit sur place ou par un tiers peut être demandé une fois par an avec un préavis raisonnable, sous réserve de confidentialité, de sécurité et de non-perturbation. Les coûts supplémentaires restent à la charge du Responsable, sauf manquement substantiel du Sous-traitant.

9. Contact et dispositions applicables

Contact protection des données : aikip.fr/contact. Les stipulations des CGV relatives à la durée, la responsabilité et la loi applicable s’appliquent, sans limiter les droits ou obligations qui ne peuvent légalement l’être au titre du RGPD.