Accord de traitement des données

Version 2026-10

Le présent Accord de traitement des données (l’« Accord de traitement ») partage sa version avec notre Politique de Confidentialité et notre Liste des sous-traitants ultérieurs. Une nouvelle version de l’un de ces documents constitue une nouvelle version des trois (Politique de Confidentialité, section 2.1).

1. Parties et champ d’application

Le présent Accord de traitement est conclu entre Wipperoz Pty Ltd (ACN 623 500 603) (« Wipperoz », le « Sous-traitant ») et l’organisation titulaire d’un compte Orbit (le « Client », le « Responsable du traitement »). Il fait partie des Conditions Générales de Wipperoz qui régissent l’utilisation d’Orbit par le Client (le « Contrat »).

Il s’applique aux données personnelles que Wipperoz traite pour le compte du Client dans le cadre de la fourniture d’Orbit (les « Données Personnelles du Client »). Il ne s’applique pas aux données personnelles dont Wipperoz est elle-même responsable du traitement, telles que le propre compte Wipperoz d’un candidat, ses CV Virtuels et les candidatures qu’il envoie, qui sont régis par la Politique de Confidentialité.

Le Client accepte les Conditions Générales et la Politique de Confidentialité lorsqu’il s’inscrit sur Orbit. Le présent Accord de traitement s’applique dès la première utilisation d’Orbit par le Client, dans le cadre du Contrat. La version applicable est celle publiée au moment où le traitement a lieu.

Le présent Accord de traitement est rédigé pour satisfaire à l’article 28 du Règlement général sur la protection des données de l’UE et du Royaume-Uni (le « RGPD »), au Privacy Act 1988 (Cth) australien et à la Lei Geral de Proteção de Dados brésilienne (la « LGPD ») (ensemble, la « Législation sur la Protection des Données »). Les termes tels que responsable du traitement, sous-traitant, données personnelles, personne concernée et violation de données personnelles ont le sens que leur donne le RGPD.

2. Objet et durée

Objet — le traitement des Données Personnelles du Client nécessaire pour fournir Orbit au Client en vertu du Contrat
Durée — aussi longtemps que le Client dispose d’un compte Orbit, puis jusqu’à la suppression des Données Personnelles du Client conformément à la section 12

3. Nature et finalité du traitement

Wipperoz traite les Données Personnelles du Client afin de :

Héberger les postes, les pages carrières et les candidatures du Client
Recevoir les candidatures et les invitations, et les présenter à l’équipe du Client
Stocker les notes, décisions, offres, étapes de recrutement et l’historique des candidatures du Client
Calculer l’adéquation de chaque candidat à un poste, l’évaluer par IA lorsque le Client le demande ou a activé des automatisations de poste, et exécuter les automatisations de poste que le Client active
Importer les CV que le Client téléverse, et envoyer des e-mails aux personnes qu’ils concernent
Mener les entretiens de présélection par IA demandés par le Client, et en produire les conclusions
Planifier des entretiens, notamment en lisant les périodes libres/occupées des calendriers que les utilisateurs du Client connectent
Envoyer les e-mails déclenchés par l’utilisation d’Orbit par le Client, notamment pour informer les candidats lorsqu’ils changent d’étape et, lorsqu’une automatisation de poste les rejette, que la décision a été prise automatiquement (Politique de Confidentialité, section 20.2)
Appliquer le paramètre de conservation du Client, et supprimer ou dépersonnaliser les données à son échéance
Aider le Client à répondre aux demandes des personnes concernées
Assurer la sécurité d’Orbit et fournir une assistance

Le traitement comprend le stockage, l’extraction, l’organisation, l’affichage, la transmission, l’analyse par IA, la dépersonnalisation et la suppression.

4. Catégories de personnes concernées

Les candidats aux postes du Client, y compris les personnes invitées à postuler
Les personnes dont le Client importe les CV dans Orbit
Les candidats qu’un cabinet de recrutement présente à ses clients via Orbit
Les utilisateurs du Client : les membres de son équipe, y compris les anciens membres de l’équipe, et les collègues qu’ils invitent
Les personnes extérieures au Client qui participent à ses entretiens
Les évaluateurs des clients du Client, lorsque le Client est un cabinet de recrutement

5. Catégories de données personnelles

Identité et coordonnées : nom, adresse e-mail, numéro de téléphone, localisation
CV importés par le Client : le nom, l’adresse e-mail et le fichier CV de la personne
Dossiers de recrutement créés par le Client : notes, décisions, offres (y compris leur montant), étape de recrutement et historique, et nombre de fois où son équipe a consulté un candidat
Évaluations par IA de l’adéquation des candidats : un score, ses raisons et des commentaires
Entretiens de présélection par IA : réponses, transcriptions et conclusions, y compris la manière dont chaque réponse a été saisie (section 19 de la Politique de Confidentialité)
Entretiens : horaires, formats, notes, ainsi que les noms et adresses e-mail des personnes qui y participent
Candidats que le Client conserve dans sa liste Mes candidats
Périodes libres/occupées des calendriers et adresse e-mail d’un calendrier connecté
Informations de compte des membres de l’équipe et leur activité dans Orbit

Ce qu’un candidat envoie lorsqu’il postule — sa candidature, son CV, ses réponses et le consentement qu’il a donné — ainsi que son propre compte Wipperoz et ses CV Virtuels sont détenus par Wipperoz en tant que responsable du traitement, conformément à la Politique de Confidentialité (section 18.1). Le Client les reçoit dans le cadre d’Orbit, et Wipperoz applique le paramètre de conservation du Client à la copie du Client.

Le Client ne doit pas demander aux candidats, via Orbit, de catégories particulières de données (par exemple relatives à la santé, à la religion ou à l’origine ethnique), sauf si la loi le permet et que le Client dispose d’une base légale. Orbit ne les demande pas.

6. Instructions du Client

Wipperoz traite les Données Personnelles du Client uniquement sur instruction documentée du Client. Le Contrat, le présent Accord de traitement, ainsi que l’utilisation et la configuration d’Orbit par le Client constituent ces instructions.

Wipperoz informera le Client si, selon elle, une instruction enfreint la Législation sur la Protection des Données, et pourra suspendre le traitement concerné jusqu’à ce que l’instruction soit confirmée ou modifiée. Si la loi impose à Wipperoz de traiter les Données Personnelles du Client autrement, elle en informera préalablement le Client, sauf si la loi l’interdit.

Le Client est responsable de disposer d’une base légale pour le traitement, de fournir aux personnes concernées les informations exigées par la loi, et de la licéité de ses instructions.

7. Obligations de Wipperoz

Wipperoz s’engage à :

Traiter les Données Personnelles du Client uniquement aux fins énoncées à la section 3
Ne pas vendre les Données Personnelles du Client, ne pas les utiliser à ses propres fins et ne pas les combiner avec des données d’autres clients
Ne pas utiliser les Données Personnelles du Client pour entraîner des modèles d’IA, et ne pas permettre à ses sous-traitants ultérieurs de le faire
Veiller à ce que toute personne autorisée à traiter les Données Personnelles du Client soit tenue à la confidentialité
Ne donner accès aux Données Personnelles du Client qu’au personnel qui en a besoin pour fournir Orbit ou une assistance

8. Sous-traitants ultérieurs

Le Client accorde à Wipperoz une autorisation générale de faire appel à des sous-traitants ultérieurs. Les sous-traitants ultérieurs actuels, ce que fait chacun d’eux et le lieu où il traite les données figurent dans la Liste des sous-traitants ultérieurs.

Wipperoz informera le Client au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur, par e-mail adressé aux Administrateurs du compte et par la publication d’une nouvelle version de la Liste des sous-traitants ultérieurs
Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données dans ce délai de 30 jours. Les parties examineront l’objection de bonne foi. Si elle ne peut être résolue, le Client peut fermer son compte Orbit et obtenir le remboursement de tous frais prépayés et non utilisés pour Orbit
Wipperoz imposera à chaque sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données offrant une protection au moins équivalente à celle du présent Accord de traitement, et demeure responsable envers le Client de l’exécution par chaque sous-traitant ultérieur

9. Sécurité

Wipperoz maintient des mesures techniques et organisationnelles adaptées au risque, notamment :

Le chiffrement des données en transit (TLS), et le chiffrement au repos avec des clés gérées par AWS
Le contrôle d’accès : chaque requête Orbit est autorisée au regard du compte du Client et du rôle de l’utilisateur dans ce compte
La séparation logique des données de chaque client au sein d’Orbit
Un accès du personnel uniquement lorsqu’il en a besoin
La surveillance et les alertes en cas d’erreurs et de défaillances
Des sauvegardes à un instant donné de notre base de données, qui nous permettent de restaurer les données à n’importe quel moment des 35 derniers jours
Un examen régulier de ces mesures

10. Assistance pour les demandes des personnes concernées

Compte tenu de la nature du traitement, Wipperoz aidera le Client à répondre aux demandes des personnes concernées qui souhaitent exercer leurs droits :

Sur demande du Client adressée à privacy@wipperoz.com, Wipperoz recherchera, exportera, corrigera ou effacera les données d’un candidat détenues par le compte du Client. Orbit ne dispose pas d’outil en libre-service pour les données d’un seul candidat ; les Administrateurs du Client peuvent exporter eux-mêmes les données de l’ensemble du compte (section 12)
Si Wipperoz reçoit une demande concernant des Données Personnelles du Client, elle la transmettra au Client dans les meilleurs délais et n’y répondra pas elle-même, si ce n’est pour informer la personne qu’elle l’a transmise
Wipperoz aidera également le Client dans le cadre des analyses d’impact relatives à la protection des données et des consultations des autorités de contrôle, lorsque celles-ci concernent Orbit

11. Violations de données personnelles

Wipperoz notifiera au Client dans les meilleurs délais, et en tout état de cause dans un délai de 72 heures, après en avoir pris connaissance, toute violation de données personnelles affectant les Données Personnelles du Client. La notification décrira, dans la mesure de ce qui est alors connu, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Wipperoz tiendra le Client informé à mesure que de nouveaux éléments seront connus, et l’aidera à satisfaire à ses propres obligations de notification, notamment au titre du Notifiable Data Breaches scheme australien.

12. Suppression et restitution en fin de relation

Pendant la durée du compte — les Administrateurs du Client peuvent exporter les données du compte à tout moment tant que le compte est ouvert, dans Paramètres → Compte → Données et confidentialité → Exporter les données de l’entreprise, et télécharger le fichier depuis cet écran pendant 7 jours. Le Client peut aussi demander une copie en écrivant à privacy@wipperoz.com. Les candidatures à un poste clôturé sont dépersonnalisées à l’issue de la durée de conservation fixée par le Client : 12 mois par défaut, modifiable par un Administrateur entre 6 et 24 mois. La dépersonnalisation couvre la candidature et ses dossiers de recrutement. Elle ne couvre pas les conclusions de présélection ni les dossiers d’entretien, qui sont conservés jusqu’à la fermeture du compte (un candidat peut retirer ses réponses et les citations des conclusions), ni la liste Mes candidats, dont les entrées sont conservées jusqu’à ce que le Client les retire, que le candidat mette fin à l’accès du Client ou que le compte soit fermé
À la fermeture du compte — seul un Administrateur peut fermer le compte. La suppression commence immédiatement et est irréversible : Wipperoz supprime les postes, candidatures, dossiers de recrutement, importations, présélections, entretiens et membres de l’équipe du Client. Le Client doit exporter ce dont il a besoin avant de fermer le compte
Exceptions — Wipperoz conserve un enregistrement de la suppression, qui contient les adresses e-mail des membres de l’équipe, pendant 90 jours ; le registre des crédits et de l’utilisation, ainsi que les factures et registres de paiement, aussi longtemps que l’exige la législation australienne sur la tenue des registres ; et les CV Virtuels créés à partir de CV importés, qui appartiennent aux personnes qu’ils concernent et sont supprimés au bout de 90 jours s’ils ne sont pas revendiqués (Politique de Confidentialité, section 12.5). Les copies figurant dans les sauvegardes sont écrasées dans un délai de 35 jours

13. Audits

Wipperoz mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent Accord de traitement, y compris des réponses écrites à un questionnaire de sécurité raisonnable une fois par an.

Lorsque ces informations ne suffisent pas, ou qu’une autorité de contrôle l’exige, le Client peut réaliser un audit, lui-même ou par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité, moyennant un préavis d’au moins 30 jours, pendant les heures ouvrables, à ses propres frais, et au plus une fois par an, sauf si une violation s’est produite. Wipperoz peut s’appuyer sur les certifications et rapports d’audit de ses sous-traitants ultérieurs pour les parties du service qu’ils fournissent.

14. Transferts internationaux

Wipperoz est établie en Australie. Les Données Personnelles du Client sont hébergées par Amazon Web Services aux États-Unis (us-east-1, Virginie du Nord), et certains sous-traitants ultérieurs les traitent dans d’autres pays, comme l’indique la Liste des sous-traitants ultérieurs.

Lorsque le RGPD ou le RGPD britannique s’applique à un transfert de Données Personnelles du Client vers un pays ne bénéficiant pas d’une décision d’adéquation, les parties conviennent que les clauses contractuelles types adoptées par la Commission européenne (Décision 2021/914), Module Deux (responsable du traitement à sous-traitant), ainsi que l’International Data Transfer Addendum du Royaume-Uni, s’appliquent à ce transfert et sont incorporées par référence au présent Accord de traitement. Lorsque la LGPD s’applique, les clauses contractuelles types approuvées par l’ANPD s’appliquent de la même manière.

Wipperoz veillera à ce que ses sous-traitants ultérieurs mettent en place des garanties équivalentes en matière de transfert.

15. Responsabilité et ordre de priorité

La responsabilité de chaque partie au titre du présent Accord de traitement est soumise aux limites prévues par le Contrat, sauf lorsque la Législation sur la Protection des Données ne permet pas de la limiter. En cas de contradiction entre le présent Accord de traitement et le Contrat concernant le traitement des Données Personnelles du Client, le présent Accord de traitement prévaut. En cas de contradiction entre le présent Accord de traitement et les clauses contractuelles types, les clauses contractuelles types prévalent.

16. Contact

Questions relatives au présent Accord de traitement, objections à un sous-traitant ultérieur et demandes d’informations d’audit : privacy@wipperoz.com

En cas de divergence, la version anglaise prévaut.