Contrat de sous-traitance des données

Version 1.3 — applicable au 9 novembre 2026

1. Parties et intégration au contrat

Le présent accord lie le professionnel qui souscrit à aiKip (le Responsable de traitement) et Axel Gilbert, entrepreneur individuel, SIREN 923 027 155 (le Sous-traitant). Il fait partie intégrante des CGV dès la création du compte, y compris pendant l’essai gratuit, et prévaut sur celles-ci pour les questions de traitement de données personnelles.

2. Instructions de traitement

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, y compris les réglages et actions de ses utilisateurs autorisés, afin d’héberger et d’exploiter l’ATS et ses fonctions de gestion du personnel. Si une instruction paraît illicite, il en informe le Responsable de traitement sans délai et peut la suspendre dans l’attente d’une clarification. Les données candidats et salariés ne sont ni vendues, ni exploitées à des fins publicitaires, ni utilisées pour entraîner un modèle d’IA généraliste.

3. Annexe de traitement

• Objet et durée : fourniture d’aiKip pendant le contrat, puis délai de réversibilité de 30 jours et suppression.
• Nature et finalités : collecte, hébergement, organisation, recherche, communication, gestion d’entretiens, export, suppression et analyse assistée par IA des candidatures ; tenue des fiches salariés et du registre unique du personnel, suivi de l’intégration des recrues et export des fiches vers l’outil de paie choisi par le Responsable. aiKip ne calcule pas la paie, n’effectue aucune déclaration sociale et ne transmet rien à un outil de paie : l’export est déclenché et utilisé par le Responsable. Aucune analyse par IA ne porte sur les salariés.
• Personnes concernées : candidats, prospects ou profils recommandés, utilisateurs recruteurs, participants aux entretiens, ainsi que salariés, apprentis et stagiaires du Responsable dont celui-ci crée la fiche.
• Données : identité et coordonnées, CV et parcours, documents de candidature, réponses de présélection, messages, notes, données d’entretien, événements du pipeline, évaluations recruteur et scores/explications générés par IA. Pour les salariés : identité, coordonnées, sexe, date de naissance, nationalité, emploi, qualification, service, type de contrat, temps partiel, dates d’entrée et de sortie, type et numéro du titre de travail lorsqu’il est requis, tuteur et lieu de stage, et étapes d’intégration. Le numéro de sécurité sociale, les coordonnées bancaires et les pièces d’identité ne sont pas demandés.
• Obligations du Responsable : base légale, information transparente, minimisation, gestion des accès, choix des durées, traitement des droits, AIPD si nécessaire, contrôle humain de toute décision d’embauche, information des salariés et conservation de son registre du personnel au-delà de l’abonnement.

4. Confidentialité et sécurité

Les personnes autorisées sont tenues à la confidentialité. Le Sous-traitant applique des mesures proportionnées : hébergement en France, TLS en transit, contrôle d’accès et isolation des clients, hachage des mots de passe, liens documentaires à durée courte, journalisation, sauvegardes, gestion des vulnérabilités et procédure d’incident. Ces mesures peuvent évoluer sans réduire le niveau global de protection.

5. Sous-traitants ultérieurs et localisation

Le Responsable de traitement donne une autorisation générale aux prestataires suivants :

• Scaleway SAS, France : application, PostgreSQL, stockage objet et Generative APIs utilisées pour l’analyse de CV ;
• Mollie B.V., Pays-Bas : paiements et identifiants de facturation uniquement.

Les données couvertes par cet accord sont traitées dans l’Union européenne. Tout ajout ou remplacement est annoncé au moins 30 jours avant. Le Responsable peut s’opposer pour un motif légitime et documenté de protection des données ; les parties recherchent une solution raisonnable, à défaut de laquelle le service concerné peut être résilié. Des obligations équivalentes sont imposées.

6. Assistance et violations

Compte tenu de la nature du traitement, le Sous-traitant assiste le Responsable pour les droits des personnes et les obligations des articles 32 à 36 du RGPD. Il l’informe sans délai injustifié après avoir pris connaissance d’une violation touchant les données confiées et communique les informations disponibles sur sa nature, ses conséquences probables, les catégories concernées et les mesures correctrices. Le Responsable reste chargé des notifications à la CNIL et aux personnes lorsque celles-ci sont requises.

7. Restitution, suppression et réversibilité

Le Responsable peut exporter les données structurées de l’entreprise et des recrutements pendant l’abonnement et durant 30 jours après sa fin. L’espace est alors en lecture seule et les documents candidats restent téléchargeables individuellement par les utilisateurs autorisés. L’export comprend les fiches salariés ; le registre du personnel s’exporte aussi en tableur. Il appartient au Responsable de le conserver cinq ans après le départ de chaque salarié. Pendant l’abonnement, les fiches salariés sont supprimées automatiquement cinq ans après la date de sortie. À l’échéance, les données opérationnelles et leurs copies sont supprimées ou anonymisées irréversiblement, sauf obligation légale française ou européenne. Les factures sont isolées et conservées dix ans à la seule fin de respecter les obligations comptables. La preuve minimale d’acceptation de l’accord est isolée cinq ans afin d’établir ou défendre les droits contractuels.

8. Preuves et audits

Le Sous-traitant met à disposition les informations raisonnablement nécessaires à la démonstration de sa conformité. Les audits sont normalement satisfaits par la documentation et les preuves de sécurité à jour ; un audit sur place ou par un tiers peut être demandé une fois par an avec un préavis raisonnable, sous réserve de confidentialité, de sécurité et de non-perturbation. Les coûts supplémentaires restent à la charge du Responsable, sauf manquement substantiel du Sous-traitant.

9. Contact et dispositions applicables

Contact protection des données : aikip.fr/contact. Les stipulations des CGV relatives à la durée, la responsabilité et la loi applicable s’appliquent, sans limiter les droits ou obligations qui ne peuvent légalement l’être au titre du RGPD.