Addenda relatif au traitement des données

1. Objet du présent Addenda

Le présent Addenda, conjointement avec la section 5.6 de nos Conditions d'utilisation, constitue le mandat écrit en vertu duquel vous nous confiez des renseignements personnels, comme l'exige l'article 18.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1). Il complète les Conditions d'utilisation. En cas de divergence, le présent Addenda prévaut à l'égard des renseignements personnels. Les termes définis dans les Conditions d'utilisation, comme « Données Client » et « Services », ont le même sens dans le présent Addenda.

Selon l'article 18.3, l'entreprise qui confie un mandat doit :

« 1° confier le mandat ou le contrat par écrit;
2° indiquer, dans le mandat ou le contrat, les mesures que le mandataire ou l’exécutant du contrat doit prendre pour assurer la protection du caractère confidentiel du renseignement personnel communiqué, pour que ce renseignement ne soit utilisé que dans l’exercice de son mandat ou l’exécution de son contrat et pour qu’il ne le conserve pas après son expiration. »

Les sections qui suivent précisent ces mesures.

2. Objet et finalités du traitement

Nous traitons les Données Client uniquement pour :

• Structurer et analyser les renseignements sur les candidats
• Fournir des fonctionnalités de classement, de synthèse et de redécouverte
• Offrir des fonctionnalités de stockage et de récupération sécurisées
• Améliorer la performance et la fiabilité des systèmes

Nous ne vendons pas les Données Client. Nous n'utilisons pas les Données Client pour entraîner des modèles publics d'intelligence artificielle.

3. Renseignements personnels et personnes concernées

Les personnes concernées sont les candidats et les contacts dont vous versez les renseignements dans les Services, ainsi que les membres de votre personnel qui utilisent les Services. Les renseignements personnels peuvent comprendre :

• Nom et prénom
• Coordonnées (courriel, téléphone)
• Expérience professionnelle
• Formation académique
• Compétences et qualifications
• Notes de recruteurs
• Comptes rendus d'entrevue et transcriptions de réunions
• CV et documents téléversés
• Communications envoyées et reçues via la plateforme

Étant donné la nature des CV, ils peuvent aussi comprendre des renseignements sensibles, comme le sexe ou le genre, la date de naissance, l'origine nationale, des photographies et des informations volontairement divulguées dans un CV.

4. Vos instructions

Nous traitons les Données Client uniquement selon vos instructions. Vos instructions sont le présent Addenda, les Conditions d'utilisation ainsi que les paramètres et les actions que vous et vos utilisateurs choisissez dans les Services. Vous déterminez quels renseignements personnels vous versez dans les Services et pendant combien de temps vous les conservez. Il vous incombe de disposer d'un fondement légal pour les recueillir et nous les confier.

5. Utilisation limitée au mandat

Nous utilisons les Données Client uniquement pour exécuter les Services décrits dans les Conditions d'utilisation, à aucune autre fin. L'accès de notre personnel est limité aux personnes qui en ont besoin à des fins de soutien, de maintenance et de sécurité, au moyen de comptes nominatifs et sous réserve d'obligations de confidentialité.

6. Mesures de confidentialité et de sécurité

Nous protégeons la confidentialité des Données Client au moyen de mesures qui comprennent notamment :

• Le chiffrement des données en transit et au repos
• Des contrôles d'accès
• La séparation logique des comptes clients
• La surveillance régulière des systèmes
• Des journaux applicatifs qui excluent les renseignements personnels
• Le chiffrement des identifiants que nous détenons pour les intégrations tierces

Aucun système ne peut garantir une sécurité absolue.

7. Sous-traitants et communication à l'extérieur du Québec

Vous nous autorisez à faire appel aux sous-traitants suivants, qui sont aussi énumérés à la section 5.4 des Conditions d'utilisation :

• Amazon Web Services - hébergement, stockage de fichiers, sauvegardes et courriel sortant (Montréal, Québec, avec des copies de reprise après sinistre à Calgary, Alberta)
• OpenAI - traitement par intelligence artificielle (États-Unis)
• Google Cloud - reconnaissance optique de caractères (Montréal, Canada)
• Cloudflare - protection réseau et diffusion de contenu (réseau mondial)
• Twilio - envoi de messages texte, y compris les codes de vérification (États-Unis)
• Datadog - surveillance et journalisation des systèmes (États-Unis)
• PostHog - analyse de l'utilisation du produit (États-Unis)
• Pusher - mises à jour en temps réel (États-Unis)

Google Maps (géocodage et suggestions d'adresses) est utilisé selon les conditions de Google à titre de responsable indépendant, et non comme notre sous-traitant.

Nous exigeons de chaque sous-traitant des engagements de confidentialité comparables. Nous demeurons responsables envers vous de l'exécution des obligations de chaque sous-traitant.

Nous ne communiquons des Données Client à l'extérieur du Québec qu'aux fournisseurs, et aux fins, énumérés à la section 8 de notre Politique de confidentialité, après une évaluation des facteurs relatifs à la vie privée et en vertu d'une entente écrite avec chacun d'eux. Sur demande, nous vous fournirons les renseignements raisonnablement nécessaires pour réaliser votre propre évaluation des facteurs relatifs à la vie privée en vertu de l'article 17 de la Loi.

Nous donnerons un préavis d'au moins 30 jours, par courriel à l'administrateur de votre compte et sur la présente page, avant d'ajouter ou de remplacer un sous-traitant ou un destinataire à l'extérieur du Québec. Vous pouvez vous y opposer par écrit pendant ce délai pour des motifs raisonnables liés à la protection des renseignements personnels. Si nous ne pouvons pas répondre à votre objection, vous pouvez résilier les Services visés avant la prise d'effet du changement et obtenir le remboursement des frais payés d'avance pour la période restante. En cas d'urgence touchant la sécurité ou la continuité des Services, nous pouvons effectuer le changement avec un préavis plus court et vous en indiquerons la raison.

8. Aide pour les demandes des personnes concernées

Nous vous aidons à répondre aux demandes d'accès, de rectification ou de suppression de renseignements personnels. Dans les Services, vous pouvez corriger les renseignements d'un candidat, exporter ses données dans un format structuré et supprimer définitivement ses renseignements personnels et ses fichiers. Lorsque vous offrez le portail candidat, les candidats peuvent y télécharger une copie de leurs propres données. Si nous recevons une demande directement, nous vous la transmettrons, sauf obligation légale contraire.

9. Incidents de confidentialité

Nous aviserons votre responsable de la protection des renseignements personnels sans délai, et au plus tard dans les 72 heures, de toute violation ou tentative de violation par toute personne des obligations relatives à la confidentialité des Données Client. Nous vous fournirons les informations nécessaires pour respecter vos propres obligations légales et prendrons les mesures raisonnables pour diminuer le risque de préjudice et éviter que de nouveaux incidents de même nature ne se produisent.

10. Vérification par votre responsable

Nous permettrons à votre responsable de la protection des renseignements personnels d'effectuer toute vérification relative aux exigences de confidentialité du présent Addenda, moyennant un préavis raisonnable, par questionnaire, par l'examen de notre documentation, y compris les parties de notre évaluation des facteurs relatifs à la vie privée qui concernent vos données, ou, si ces moyens ne suffisent pas, par un audit à vos frais.

11. Restitution et suppression à la fin du mandat

À la fin de votre compte :

• Nous conserverons les Données Client pendant au plus 30 jours afin d'en permettre l'exportation.
• Après cette période, les Données Client sont supprimées des systèmes actifs.
• Les copies de sauvegarde, y compris les copies de reprise après sinistre à Calgary, en Alberta, sont supprimées dans les 30 jours suivant la suppression des données des systèmes actifs.

Nous ne conservons pas les Données Client après la fin du mandat au-delà de ces délais.

12. Droit applicable

Le présent Addenda est régi par les lois du Québec et les lois fédérales du Canada qui s'y appliquent. Les litiges seront tranchés à Montréal, au Québec.

13. Nous joindre