Accord de Traitement des Données (DPA)

Dernière mise à jour : Septembre 2026

Comment ce document s'articule avec nos autres pages légales : notre Politique de Confidentialité explique comment nous traitons VOS informations personnelles en tant que visiteur ou titulaire de compte. Cet Accord de Traitement des Données régit en revanche la manière dont nous traitons les données personnelles de vos candidats et employés que vous (un Administrateur d'Équipe ou Membre d'Équipe utilisant BG HR AI pour le compte de votre organisation, le « Client ») soumettez ou générez via le Service — par exemple, CV, évaluations de candidats, transcriptions d'entretiens ou données d'organigramme/employés. Pour ces données, le Client est le Responsable du traitement et BOUGLAD HUMAN RESOURCES AI LLC (« BG HR AI », le « Sous-traitant ») les traite uniquement pour le compte et sur instructions du Client.

Ce DPA est incorporé par référence à nos Conditions d'Utilisation pour tout compte professionnel et s'applique automatiquement — aucune signature séparée n'est requise. Si votre organisation a besoin d'une version contresignée à des fins d'approvisionnement/évaluation fournisseur, contactez legal@bghrai.com.

1. Définitions

« Loi Applicable sur la Protection des Données » désigne, selon le cas : le Règlement Général sur la Protection des Données de l'UE (RGPD) 2016/679, le UK GDPR et le Data Protection Act 2018, la loi fédérale suisse sur la protection des données, le California Consumer Privacy Act tel que modifié par le CPRA, et toute autre loi applicable en matière de protection des données.
« Responsable du traitement », « Sous-traitant », « Personne concernée », « Données personnelles », « Traitement » et « Violation de données » ont le sens qui leur est donné dans le RGPD, appliqué de manière correspondante sous les autres lois applicables.
« Données Personnelles du Client » désigne les données personnelles relatives aux candidats, employés et autres personnes du Client, soumises au Service ou générées par celui-ci pour le compte du Client — y compris CV, lettres de motivation, transcriptions et enregistrements d'entretiens, résultats d'évaluation/présélection, et données d'organigramme/employés. Cela n'inclut pas les données de compte/facturation des propres utilisateurs du Client, régies par notre Politique de Confidentialité.
« Sous-traitant ultérieur » désigne tout tiers engagé par BG HR AI pour traiter des Données Personnelles du Client.

2. Rôles des Parties

Le Client est le Responsable du traitement des Données Personnelles du Client. BG HR AI est le Sous-traitant, traitant les Données Personnelles du Client uniquement pour fournir le Service conformément aux instructions documentées du Client (y compris les instructions données via la configuration et l'utilisation normales du Service) et au présent DPA.

Le Client déclare et garantit qu'il dispose, et maintiendra, d'une base légale valide au regard de la Loi Applicable sur la Protection des Données pour collecter les Données Personnelles du Client (y compris les CV de candidats et données d'évaluation) et pour demander à BG HR AI de les traiter comme prévu par le Service — par exemple, des mentions d'information appropriées aux candidats, un consentement lorsque requis, ou une autre base légale pour le traitement lié à l'emploi et au recrutement. BG HR AI n'a aucune relation avec les candidats ou employés du Client et ne peut vérifier indépendamment la base légale dont dispose le Client à leur égard.

[BROUILLON — en attente de relecture juridique] 2.1 Partage du bassin de candidats (fonctionnalité optionnelle). Le Service propose une fonctionnalité optionnelle, configurable par le Client (« Partage du bassin de candidats »), qui, une fois activée par le Client, rend les Données Personnelles du Client relatives aux candidats visibles par d'autres clients de BG HR AI ayant également activé cette fonctionnalité, et donne réciproquement au Client une visibilité sur les données de candidats de ces autres clients selon la même base de réciprocité. Cette fonctionnalité est désactivée par défaut et n'est activée que par une action volontaire du Client. Si le Client active le Partage du bassin de candidats, il est seul responsable de disposer d'une base légale appropriée (y compris toute mention d'information ou tout consentement requis auprès des candidats) pour cette divulgation supplémentaire de Données Personnelles du Client à d'autres clients de BG HR AI, de la même manière qu'il est responsable, au titre de la Section 2 ci-dessus, de ses instructions de collecte et de traitement sous-jacentes. Le rôle de BG HR AI à l'égard des données partagées via cette fonctionnalité demeure celui d'un Sous-traitant agissant sur instruction du ou des Clients l'ayant activée ; BG HR AI ne sélectionne pas quels autres clients voient les données partagées au-delà du statut d'activation mutuelle.

3. Objet, Durée, Nature et Finalité

Objet	Le traitement par BG HR AI des Données Personnelles du Client pour fournir la plateforme RH alimentée par l'IA (génération de descriptions de poste, évaluation de poste, présélection de CV, analyse d'entretiens, organigramme/planification des effectifs, et automatisation documentaire associée).
Durée	Tant que le Client maintient un abonnement actif, plus toute période de conservation décrite à la Section 8 ci-dessous ou dans notre Politique de Confidentialité.
Nature du traitement	Collecte, stockage, organisation, analyse/génération assistée par IA, extraction et suppression des Données Personnelles du Client selon l'utilisation du Service par le Client.
Finalité	Fournir, sécuriser et supporter le Service pour le Client, et aucune autre finalité.
Catégories de personnes concernées	Candidats à l'emploi, employés du Client (lorsque utilisés pour l'organigramme/planification des effectifs), et propres utilisateurs autorisés du Client.
Catégories de données personnelles	Nom, coordonnées, parcours professionnel/scolaire, contenu de CV, enregistrements/transcriptions d'entretiens, scores d'évaluation et analyses générées par IA, et toute autre donnée personnelle que le Client choisit de soumettre via le Service. Le Client doit éviter de soumettre des données sensibles (santé, religion, appartenance syndicale, données biométriques ou génétiques, etc.) sauf si strictement nécessaire et légal, et est seul responsable de la licéité d'une telle soumission.

4. Obligations de BG HR AI en tant que Sous-traitant

Ne traiter les Données Personnelles du Client que sur instructions documentées du Client, sauf obligation légale contraire (auquel cas BG HR AI en informera le Client, sauf interdiction légale).
S'assurer que le personnel autorisé à traiter les Données Personnelles du Client est soumis à des obligations de confidentialité.
Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (voir Section 5), en tenant compte de l'état de l'art, des coûts et du risque pour les personnes concernées.
Ne pas engager de nouveau Sous-traitant ultérieur sans notification préalable au Client et possibilité d'objection, conformément à la Section 6.
Compte tenu de la nature du traitement, fournir une assistance raisonnable au Client pour répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) relatives aux Données Personnelles du Client, dans la mesure où cela est possible via les fonctionnalités existantes du Service ou un processus manuel raisonnable ; toute demande reçue directement d'une personne concernée plutôt que du Client sera transmise au Client sans délai injustifié.
Fournir une assistance raisonnable au Client pour les analyses d'impact relatives à la protection des données et les consultations préalables auprès des autorités de contrôle, lorsque requis par la Loi Applicable sur la Protection des Données et lié à l'utilisation du Service par le Client.
Notifier le Client sans délai injustifié, et en tout état de cause dans les 48 heures suivant sa prise de connaissance, de toute Violation de Données Personnelles affectant les Données Personnelles du Client, et fournir les informations raisonnablement disponibles pour permettre au Client de respecter ses propres obligations de notification.
Au choix du Client, supprimer ou restituer l'ensemble des Données Personnelles du Client à la fin de la fourniture du Service, sauf si le droit applicable exige leur conservation (voir Section 8), et supprimer les copies existantes sauf obligation légale de conservation.
Mettre à disposition les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA et permettre, et contribuer à, des audits (y compris des inspections) menés par le Client ou un auditeur mandaté par le Client, sous réserve de la Section 7.

5. Mesures de Sécurité

BG HR AI maintient des mesures techniques et organisationnelles appropriées au risque, incluant (le cas échéant, et décrites plus en détail dans notre Politique de Confidentialité et disponibles sur demande) :

Chiffrement des données en transit (TLS/HTTPS) entre le navigateur du Client, notre application et notre base de données.
Hachage des mots de passe selon des algorithmes standards du secteur (bcrypt) ; jetons de session/authentification générés de manière cryptographiquement aléatoire, avec expiration.
Contrôle d'accès basé sur les rôles, appliqué côté serveur, limitant l'accès aux Données Personnelles du Client aux propres utilisateurs autorisés du Client et, en interne, au personnel de BG HR AI en ayant besoin pour exploiter le Service.
Isolation des données au niveau de chaque entreprise cliente au sein de la plateforme multi-locataire.
Limitation du taux de requêtes et protections contre les attaques par force brute sur les points d'authentification.
Journalisation et surveillance des actions administratives et pertinentes pour la sécurité.
Un processus documenté d'identification, de tri et de correction des vulnérabilités de sécurité.

Le Client reconnaît qu'aucun système n'est totalement sécurisé, et que l'obligation de BG HR AI est de mettre en œuvre et maintenir des mesures appropriées au risque, non de garantir l'absence d'incident.

6. Sous-traitants Ultérieurs

Le Client autorise BG HR AI à engager les Sous-traitants ultérieurs suivants pour traiter les Données Personnelles du Client dans la mesure nécessaire à la fourniture du Service :

Sous-traitant ultérieur	Finalité	Localisation
OpenAI, L.L.C.	Génération et analyse assistées par IA des descriptions de poste, présélection de CV, analyse d'entretiens et contenu associé, via API. Le contenu soumis sert à générer le résultat demandé et est soumis aux conditions d'utilisation des données de l'API d'OpenAI (à ce jour, OpenAI n'utilise pas par défaut le contenu soumis via l'API pour entraîner ses modèles).	États-Unis
Hostinger (ou fournisseur d'hébergement successeur)	Hébergement de l'application web, hébergement/stockage de base de données, et envoi d'e-mails transactionnels.	Régions de centres de données UE/États-Unis, selon le plan d'hébergement
Stripe, Inc.	Traitement des paiements pour l'abonnement du Client (données de facturation/paiement uniquement — Stripe ne traite pas les données de candidats/employés).	États-Unis / mondial
Twilio Inc.	Téléphonie pour la fonctionnalité optionnelle de pré-qualification téléphonique par IA : passe l'appel vers le numéro du candidat, achemine l'audio entre le candidat et le modèle vocal en temps réel d'OpenAI, et enregistre l'appel uniquement jusqu'à sa transcription (l'enregistrement est ensuite supprimé chez Twilio ; seuls la transcription et son analyse sont conservées dans le Service).	États-Unis / mondial

BG HR AI fournira un préavis d'au moins 30 jours (par e-mail à l'administrateur du compte Client ou par notification in-app/site web) avant d'autoriser tout nouveau Sous-traitant ultérieur à traiter des Données Personnelles du Client, sauf lorsqu'un délai plus court est nécessaire pour répondre à une exigence de sécurité ou légale urgente. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données dans ce délai en contactant legal@bghrai.com ; les parties s'efforceront de bonne foi de résoudre l'objection, ce qui peut inclure la suspension ou la résiliation par le Client de la partie concernée du Service en l'absence de résolution.

BG HR AI reste responsable envers le Client des actes et omissions de ses Sous-traitants ultérieurs dans la même mesure que si BG HR AI fournissait directement les services de chaque Sous-traitant ultérieur, et impose à ses Sous-traitants ultérieurs des obligations de protection des données au moins aussi protectrices que celles du présent DPA.

7. Audits

BG HR AI mettra à disposition sur demande un résumé de ses pratiques de sécurité actuelles et, lorsque raisonnablement disponibles, des certifications ou évaluations tierces. Le Client (ou son auditeur mandaté, sous réserve d'un engagement de confidentialité raisonnable) peut demander un audit plus détaillé ou une inspection sur site/à distance au maximum une fois par période de 12 mois, avec un préavis écrit d'au moins 30 jours, aux frais du Client, sauf si mandaté par une autorité de contrôle ou déclenché par une Violation de Données Personnelles confirmée affectant les Données Personnelles du Client (auquel cas un préavis raisonnable et un partage des coûts seront discutés de bonne foi).

8. Transferts Internationaux

Lorsque des Données Personnelles du Client sont transférées depuis l'Espace Économique Européen, le Royaume-Uni ou la Suisse vers BG HR AI ou un Sous-traitant ultérieur situé hors de ce territoire (y compris les États-Unis), le transfert est soumis aux Clauses Contractuelles Types de la Commission Européenne (ou à l'addendum UK/suisse équivalent), incorporées par référence au présent DPA, ou à un autre mécanisme de transfert valide au regard de la Loi Applicable sur la Protection des Données.

9. Conservation et Suppression

Les Données Personnelles du Client sont conservées tant que le compte/abonnement du Client est actif, plus jusqu'à 90 jours supplémentaires pour permettre la récupération du compte, sauf demande de suppression ou d'export anticipé par le Client. Sur demande écrite (privacy@bghrai.com ou legal@bghrai.com), BG HR AI supprimera ou exportera les Données Personnelles du Client dans un délai raisonnable sur le plan commercial, sauf si la conservation est requise par la loi (par ex. registres financiers/facturation) ou nécessaire pour résoudre des litiges et faire respecter des accords.

10. Traitement Automatisé et Utilisation de l'IA

Le Service utilise l'IA (y compris des grands modèles de langage tiers, voir Section 6) pour aider à générer des descriptions de poste, présélectionner des CV et évaluer des candidats selon des critères définis par le Client. Les scores, classements et recommandations générés par IA sont des outils d'aide à la décision : BG HR AI ne prend elle-même aucune décision d'embauche, de promotion ou de licenciement, et le Client est responsable de s'assurer qu'une personne qualifiée examine et prend la décision finale sur toute décision produisant des effets juridiques ou similairement significatifs sur un candidat ou employé (conformément à l'article 22 du RGPD et aux règles équivalentes sur la prise de décision automatisée dans d'autres juridictions), ainsi que de toute obligation supplémentaire applicable à l'utilisation de l'IA dans un contexte d'emploi/recrutement dans sa juridiction (par exemple, les obligations pouvant s'appliquer en vertu de l'AI Act de l'UE aux systèmes d'IA « à haut risque » utilisés en recrutement, ou les lois étatiques/locales américaines sur les outils décisionnels automatisés en matière d'emploi). BG HR AI fournira sur demande des informations raisonnables sur les fonctionnalités d'IA du Service pour appuyer l'évaluation de conformité propre au Client.

11. Responsabilité et Durée

La responsabilité de chaque partie découlant du présent DPA ou en lien avec celui-ci, que ce soit contractuellement, délictuellement ou autrement, est soumise aux limitations de responsabilité énoncées dans nos Conditions d'Utilisation. Le présent DPA reste en vigueur tant que BG HR AI traite des Données Personnelles du Client pour le compte de celui-ci, et prend fin automatiquement à l'achèvement du processus de suppression/restitution décrit à la Section 9.

12. Contact

Questions sur ce DPA, changements de sous-traitants ultérieurs, ou demande de version contresignée : legal@bghrai.com. Questions générales sur la protection des données : privacy@bghrai.com / dpo@bghrai.com.

Ce modèle de DPA est conçu pour répondre aux exigences de l'article 28(3) du RGPD et des dispositions équivalentes d'autres Lois Applicables sur la Protection des Données pour un engagement SaaS standard. Il ne remplace pas un conseil juridique indépendant ; les clients entreprises ayant des exigences réglementaires spécifiques devraient le faire examiner par leur propre conseil, aux côtés de nos Conditions d'Utilisation et de notre Politique de Confidentialité.