Version du 10 septembre 2026
Accord de traitement des données
Le présent accord (« DPA ») est conclu en application de l'article 28 du Règlement général sur la protection des données (RGPD) entre le Client, cabinet ou entreprise titulaire d'un compte Evalixo, responsable du traitement, et Pulsarlab, éditeur d'Evalixo, sous-traitant. Il fait partie des conditions générales et s'applique dès l'ouverture du compte, sans signature séparée ; une version signée peut être demandée à contact@evalixo.com.
1. Objet et durée
Le Client confie à Pulsarlab le traitement des données personnelles nécessaires à l'évaluation de ses candidats au moyen du Service, pour la durée du contrat. Le traitement prend fin à la clôture du compte, sous réserve de l'article 9.
2. Nature et finalité du traitement
Hébergement, invitation des candidats, passage surveillé des tests, calcul et restitution des résultats, pré-correction assistée par IA, partage des rapports avec les clients finaux désignés par le Client, envoi des e-mails liés à ces opérations.
3. Personnes concernées et catégories de données
- Candidats : identité (nom, prénom), e-mail, CV le cas échéant, réponses aux tests, scores et verdicts, temps de passage, incidents de surveillance (changement d'onglet, copier-coller bloqué, second écran), captures webcam lorsque le Client a activé cette mesure et que le candidat l'a acceptée.
- Collaborateurs et clients finaux du Client : identité, e-mail professionnel, actions dans l'espace.
Aucune donnée dite sensible n'est requise par le Service. Le Client s'abstient d'en collecter au travers de tests ou questionnaires.
4. Obligations de Pulsarlab
Pulsarlab s'engage à :
- traiter les données uniquement pour les finalités ci-dessus et sur instruction documentée du Client, les présentes conditions et l'usage du Service valant instruction ; informer le Client si une instruction lui paraît contraire au RGPD ;
- garantir la confidentialité : seules les personnes habilitées de Pulsarlab, tenues au secret, accèdent aux données, et uniquement pour l'assistance ou la maintenance ;
- mettre en œuvre les mesures de sécurité de l'article 7 ;
- assister le Client dans la réponse aux demandes d'exercice de droits des personnes concernées, dans les délais du RGPD, et lui transmettre sans délai toute demande reçue directement ;
- assister le Client pour ses analyses d'impact et ses consultations préalables, dans la mesure de ce que le Service permet ;
- notifier au Client toute violation de données personnelles dans les 48 heures suivant sa découverte, avec les éléments nécessaires à sa propre notification à la CNIL sous 72 heures ;
- tenir un registre des catégories de traitement effectuées pour le compte du Client ;
- mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre un audit, au plus une fois par an, à la charge du Client, sur préavis de 30 jours et sans accès aux données des autres clients.
5. Sous-traitants ultérieurs
Le Client autorise Pulsarlab à recourir aux sous-traitants ultérieurs suivants, liés par des obligations équivalentes :
| Sous-traitant | Mission | Localisation et garanties |
|---|---|---|
| Northflank Ltd | Hébergement, base de données, sauvegardes | Royaume-Uni, décision d'adéquation ; région Europe de l'Ouest |
| Brevo (Sendinblue SAS) | E-mails transactionnels aux candidats et recruteurs | France |
| OpenAI | Génération de questions et pré-correction des réponses libres ; ne reçoit ni nom, ni e-mail, ni identifiant de candidat | États-Unis, clauses contractuelles types de la Commission européenne |
| Stripe Payments Europe Ltd | Facturation du Client (aucune donnée candidat) | Irlande |
Tout ajout ou remplacement est annoncé au Client au moins 30 jours avant, par e-mail ou dans son espace. Le Client peut s'y opposer par écrit dans ce délai ; à défaut d'accord, il peut résilier sans pénalité.
6. Transferts hors Union européenne
Les données sont hébergées et sauvegardées en Europe. Les seuls transferts hors Union européenne concernent le Royaume-Uni (hébergeur, pays adéquat) et les États-Unis (fournisseur d'IA, sur des contenus anonymisés et sous clauses contractuelles types).
7. Mesures de sécurité
- chiffrement des échanges (TLS) et des sauvegardes ;
- authentification centralisée, mots de passe hachés, sessions expirantes ;
- cloisonnement logique strict des données de chaque Client ;
- liens de passage à usage unique, non devinables, à durée limitée ;
- journalisation des accès administrateur, principe du moindre privilège ;
- sauvegardes régulières et procédure de restauration testée ;
- mises à jour de sécurité des composants dans les meilleurs délais.
8. Obligations du Client
Le Client garantit qu'il dispose d'une base légale pour évaluer ses candidats, qu'il les informe conformément aux articles 13 et 14 du RGPD avant le passage, qu'il n'active la surveillance par webcam que de façon proportionnée et avec l'accord du candidat, qu'il ne collecte pas de données sensibles au travers du Service, et qu'il documente ses instructions lorsqu'elles sortent de l'usage ordinaire du Service.
9. Fin du traitement
À la clôture du compte, ou sur demande du Client à tout moment, Pulsarlab supprime les données du Client et de ses candidats dans les 30 jours, sauf obligation légale de conservation. Avant la clôture, le Client peut exporter ses rapports et ses données depuis son espace (selon le plan) ou en demander la restitution dans un format lisible par machine.
10. Responsabilité et durée
Chaque partie répond des dommages qu'elle cause par un manquement au présent accord, dans les limites fixées par les conditions générales. Le présent accord s'applique pendant toute la durée du contrat et survit tant que Pulsarlab détient des données du Client.