Accord de traitement des données

Dernière mise à jour: 13 juillet 2026

Le présent accord de traitement des données (le « DPA ») fait partie intégrante de l'accord conclu entre GAPFY UNIPESSOAL LDA (« Gapfy », « Sous-traitant ») et l'organisation cliente (« Client », « Responsable du traitement ») qui utilise nos Services. Il régit le traitement par Gapfy des données à caractère personnel contenues dans les Données du Client pour le compte du Client et s'applique en complément de nos conditions générales d'utilisation et de notre politique de confidentialité. Pour les clients en libre-service, le présent DPA est incorporé par référence aux Conditions ; une copie contresignée est disponible sur demande à l'adresse privacy@gapfy.io.

1. Définitions

« RGPD » désigne le règlement (UE) 2016/679. Les termes « Responsable du traitement », « Sous-traitant », « Sous-traitant ultérieur », « Personne concernée », « Données à caractère personnel », « Traitement » et « Violation de données à caractère personnel » ont le sens qui leur est donné dans le RGPD. « Données à caractère personnel du Client » désigne les données à caractère personnel comprises dans les Données du Client que Gapfy traite pour le compte du Client.

2. Rôles et champ d'application

Pour les Données à caractère personnel du Client, le Client est le Responsable du traitement et Gapfy le Sous-traitant. Gapfy ne traite les Données à caractère personnel du Client que pour fournir et assurer le support des Services et uniquement sur les instructions documentées du Client, y compris telles qu'énoncées dans le présent DPA et les Conditions, sauf si le droit de l'Union ou d'un État membre l'oblige à agir autrement, auquel cas Gapfy en informera le Client, sauf si ce droit l'interdit. Gapfy informera immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données. Lorsque Gapfy détermine les finalités et les moyens du traitement (par exemple les données de compte, de facturation et de sécurité, ainsi que les données analytiques d'utilisation agrégées et respectueuses de la vie privée décrites dans la politique de confidentialité), il agit en qualité de Responsable du traitement au titre de la politique de confidentialité. Lorsque le Client connecte son propre fournisseur d'identité, Gapfy traite également des identifiants d'annuaire (tels que l'identifiant de locataire du Client, les identifiants de groupe et les domaines de messagerie) sur les instructions du Client afin d'acheminer l'authentification unique et de provisionner les utilisateurs.

3. Détails du traitement (annexe I)

• Objet : la fourniture des Services Gapfy auxquels le Client est abonné.
• Durée : pendant la durée de l'abonnement, majorée du délai de suppression et de restitution prévu à la section 11.
• Nature et finalité : l'hébergement, le stockage, l'organisation, l'extraction, la transmission et la suppression des Données du Client dans la mesure nécessaire à l'exploitation des Services ; lorsque le Client active des fonctionnalités d'IA, la transmission du contenu dont ces fonctionnalités ont besoin à un sous-traitant ultérieur d'IA en vue d'un traitement au sein de l'UE, à seule fin de renvoyer le résultat demandé ; et, pour le module de recrutement, l'hébergement de sites carrières publics et la collecte de candidatures pour le compte du Client. Lorsque le Client configure des questions éliminatoires sur une offre d'emploi, le Service rejette automatiquement les candidatures dont les réponses ne correspondent pas à l'exigence configurée, en tant qu'instruction documentée du Client ; le Client est responsable d'informer les candidats de ce filtrage automatisé (art. 13(2)(f) du RGPD) et d'assurer un examen humain sur demande (art. 22(3) du RGPD). Les candidatures parvenues à un état final sont automatiquement supprimées après la période de conservation que le Client configure sur son site carrières (entre 30 et 1095 jours), et les candidats sans candidature et sans consentement au vivier de talents sont supprimés avec elles - ce nettoyage constitue de même une instruction documentée.
• Types de données à caractère personnel : identifiants et coordonnées, contenu que le Client et ses utilisateurs créent dans les Services, données d'utilisation et d'activité, ainsi que toute autre donnée à caractère personnel que le Client choisit de soumettre ou sollicite auprès des personnes concernées via les Services. Selon les modules utilisés, cela inclut les documents et fichiers, les saisies de feuilles de temps, les données de réservation et de ressources, les liens, onglets et favoris enregistrés, les définitions de requêtes d'API et les valeurs d'environnement, les métadonnées de dépôts de code source, les données de candidature des candidats (CV, lettres de motivation, réponses aux questions de candidature, langues et genre auto-déclarés, consentement au vivier de talents et statut de la candidature), ainsi que le contenu des invites soumises aux fonctionnalités d'IA et des résultats renvoyés par celles-ci.
• Catégories de personnes concernées : les utilisateurs autorisés du Client ; les candidats à un emploi qui soumettent des candidatures via les sites carrières que le Client publie au moyen des Services ; et toute autre personne dont le Client inclut les données à caractère personnel dans les Données du Client.

Le Client ne doit pas soumettre, ni solliciter auprès des personnes concernées via les Services, de catégories particulières de données à caractère personnel sans avoir mis en place des garanties appropriées, et il est responsable de la licéité des données qu'il soumet ou sollicite.

4. Confidentialité

Gapfy veille à ce que les personnes autorisées à traiter les Données à caractère personnel du Client soient soumises à une obligation de confidentialité et ne traitent les données que conformément aux instructions.

5. Sécurité (annexe II)

Gapfy met en œuvre des mesures techniques et organisationnelles appropriées au titre de l'article 32 du RGPD, notamment le chiffrement des données en transit et au repos, des contrôles d'accès et un accès selon le principe du moindre privilège, l'isolement réseau, la journalisation et la surveillance, des pratiques de développement logiciel sécurisé et un réexamen régulier. Pour les fonctionnalités d'IA, le contenu est filtré afin de détecter les données à caractère personnel et les schémas d'injection d'invite avant d'être envoyé au sous-traitant ultérieur d'IA, le traitement reste au sein de l'UE et le contenu n'est pas utilisé pour entraîner des modèles d'IA. Ces mesures sont résumées ici et décrites plus en détail dans notre politique de confidentialité ; elles peuvent être mises à jour au fur et à mesure de l'évolution technologique, à condition que le niveau de protection ne soit pas réduit.

6. Sous-traitants ultérieurs (annexe III)

Le Client autorise Gapfy à recourir aux sous-traitants ultérieurs énumérés sur notre page Sous-traitants ultérieurs, qui comprennent nos fournisseurs de services cloud, d'identité, de courrier électronique, de sécurité et d'IA. (Les prestataires de paiement traitent les données de facturation sous la responsabilité propre de Gapfy, comme décrit à la section 2 et dans la politique de confidentialité, et non en tant que sous-traitants ultérieurs au titre du présent DPA.) Gapfy impose à chaque sous-traitant ultérieur des obligations en matière de protection des données qui ne sont pas moins protectrices que le présent DPA et demeure responsable de leur exécution. Gapfy donnera un préavis d'au moins 30 jours pour tout sous-traitant ultérieur nouveau ou de remplacement en mettant à jour la page Sous-traitants ultérieurs et en notifiant les administrateurs du Client via les Services ; le Client peut s'y opposer dans ce délai pour des motifs raisonnables tenant à la protection des données, et les parties s'efforceront de bonne foi de résoudre l'objection. Si l'objection ne peut être résolue, le Client peut résilier les Services concernés conformément à la politique d'annulation et de remboursement.

7. Assistance relative aux droits des personnes concernées

Compte tenu de la nature du traitement, Gapfy assiste le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, pour répondre aux demandes des personnes concernées exerçant leurs droits au titre du chapitre III du RGPD. Les Services incluent des fonctionnalités de confidentialité en libre-service - par exemple la page de confidentialité des candidats de chaque site carrières, par laquelle les candidats à un emploi peuvent exercer directement l'effacement, l'exportation et la limitation de leurs données de candidature - et le Client donne instruction et autorisation à Gapfy d'exploiter ces fonctionnalités pour son compte ; le présent DPA constitue l'instruction documentée du Client à cet effet. Lorsque Gapfy reçoit toute autre demande directement, il renvoie la personne concernée vers le Client.

8. Assistance relative à la sécurité, aux violations et aux analyses d'impact

Gapfy assiste le Client pour garantir le respect des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont dispose Gapfy.

9. Notification de violation de données à caractère personnel

Gapfy notifie au Client, sans retard injustifié après en avoir pris connaissance, toute violation de données à caractère personnel affectant les Données à caractère personnel du Client, et fournit les informations dont le Client a raisonnablement besoin pour satisfaire à ses propres obligations de notification.

10. Transferts internationaux

Gapfy héberge les Données à caractère personnel du Client dans l'Union européenne, et le traitement par IA dans la configuration par défaut a également lieu au sein de l'UE. Lorsqu'un sous-traitant ultérieur transfère des données en dehors de l'Espace économique européen, le transfert repose sur une décision d'adéquation ou sur les clauses contractuelles types de la Commission européenne assorties de garanties supplémentaires, comme indiqué sur la page Sous-traitants ultérieurs.

11. Restitution et suppression

Lorsque le Client supprime son organisation (ou que la fourniture des Services prend fin d'une autre manière et que le Client demande la suppression), la suppression entre dans un délai de grâce réversible de 30 jours pendant lequel le Client peut encore exporter les Données du Client ou annuler la suppression ; à l'expiration de ce délai, les Données à caractère personnel du Client sont définitivement supprimées des systèmes de production, sauf si le droit de l'Union ou d'un État membre en impose la conservation. Une exportation de données demandée avant la purge prolonge en outre leur conservation de 7 jours supplémentaires au maximum, jusqu'à la livraison de l'exportation. La suppression d'un élément l'efface également de l'index de recherche sémantique par IA, et les caches d'IA de courte durée expirent automatiquement. Le Client peut exporter les Données du Client à tout moment pendant l'abonnement. La résiliation d'une formule payante ne déclenche pas à elle seule la suppression : l'espace de travail et ses données restent disponibles dans le cadre de la formule gratuite jusqu'à ce que le Client les supprime.

12. Audits

Gapfy met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et autorise et contribue aux audits, y compris les inspections, réalisés par le Client ou un auditeur qu'il mandate, sous réserve d'un préavis raisonnable et d'obligations de confidentialité.

13. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions prévues dans les Conditions ou dans tout accord signé entre les parties.

14. Contact

Pour demander un DPA contresigné ou poser une question relative au traitement, contactez privacy@gapfy.io.

La présente version en langue anglaise constitue la version faisant foi et juridiquement contraignante du présent document. Les traductions sont fournies uniquement à titre de commodité.