Data Processing Agreement

Responsable de traitement (Controller) : utilisateur professionnel d'Evid (entreprise, cabinet de recrutement, ou recruteur indépendant).
Sous-traitant (Processor) : INEOD, SASU, RCS Rennes 990 440 414, propriétaire et exploitant de la plateforme Evid (evid.fr).

En s'inscrivant et en utilisant la plateforme Evid à des fins professionnelles (publication d'offres, consultation de candidatures), l'utilisateur accepte les présentes clauses.

1. Objet et durée

INEOD est autorisé à traiter pour le compte du responsable de traitement les données personnelles nécessaires à la fourniture des Services Evid : publication d'offres d'emploi commerciales, gestion des candidatures, messagerie candidat-entreprise, scoring algorithmique de matching, statistiques agrégées.

Le présent DPA prend effet à l'inscription et reste en vigueur tant que le compte est actif.

2. Nature et finalité du traitement

• Publication et gestion d'offres : données de la fiche entreprise (16 critères de transparence), données de l'offre, identité du contact.
• Réception et tri des candidatures : identité candidat (selon mode de visibilité choisi), CV, historique professionnel, prétentions salariales, scoring matching.
• Messagerie candidat-entreprise : contenu des messages, dates, statuts.
• Statistiques et reporting : agrégats anonymisés.
• Détection de fraude et anti-bypass : logs, contenu des champs libres pour empêcher le contournement de la plateforme.

3. Catégories de personnes concernées

• Candidats commerciaux
• Représentants légaux des entreprises clientes du responsable de traitement (cabinets et indépendants)
• Membres de l'équipe du responsable de traitement (multi-utilisateurs Pro)

4. Obligations d'INEOD

• Traiter les données uniquement sur instruction documentée du responsable de traitement, sauf exigence légale contraignante.
• Garantir la confidentialité des données par toute personne autorisée à les traiter.
• Mettre en œuvre les mesures de sécurité de l'article 32 du RGPD (cf. §10).
• Notifier le responsable de traitement de toute modification de la liste des sous-traitants ultérieurs avec un préavis de 30 jours.
• Assister le responsable de traitement pour répondre aux droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition).
• Notifier toute violation de données dans un délai maximal de 48 heures suivant la prise de connaissance, par email à l'adresse de contact du compte.
• Mettre à disposition du responsable de traitement les informations nécessaires pour démontrer le respect des obligations de l'article 28 RGPD.

5. Sous-traitants ultérieurs

Le responsable de traitement autorise INEOD à recourir aux sous-traitants ultérieurs suivants :

Toute modification de cette liste sera notifiée par email avec un préavis de 30 jours, ouvrant un droit d'objection au responsable de traitement.

6. Transferts hors Union européenne

Les transferts vers les sous-traitants établis hors UE (Vercel, Resend, Sentry) sont encadrés par les Clauses Contractuelles Types (Décision 2021/914 de la Commission européenne, modules 2 et 3). Un Transfer Impact Assessment a été réalisé pour chacun de ces transferts.

Les services Mistral AI et Supabase sont hébergés exclusivement en UE — aucun transfert hors UE.

7. Droits des personnes concernées

Evid permet directement aux personnes concernées d'exercer leurs droits depuis leur espace : export RGPD, rectification en ligne, suppression de compte avec effacement.

Toute demande adressée à INEOD relevant en réalité du responsable de traitement lui sera transmise sous 5 jours ouvrés.

8. Notification des violations

En cas de violation de données affectant les données traitées pour le compte du responsable de traitement, INEOD notifie sans retard injustifié et au maximum dans les 48 heures, par email. La notification précise la nature, l'étendue, les conséquences probables et les mesures prises.

9. Fin du traitement

À la résiliation du compte, INEOD procède au choix du responsable de traitement à :

• la restitution des données dans un format structuré (export JSON/CSV) sous 30 jours ;
• l'effacement des données dans toutes les bases et sauvegardes sous 90 jours, sauf obligation légale de conservation (notamment comptable, max 10 ans).

10. Mesures de sécurité (article 32 RGPD)

Mesures techniques :

• Chiffrement TLS 1.2+ en transit
• Chiffrement AES-256 au repos (Supabase)
• Row-Level Security Postgres sur toutes les tables
• Authentification magic link à usage unique (1h)
• Rate limiting distribué (Upstash Redis)
• Headers de sécurité HTTP : CSP strict, HSTS, X-Frame-Options, X-Content-Type-Options
• Sanitization Zod + suppression HTML sur tous les inputs
• Logs centralisés error_logs (rétention 90 jours)
• Sauvegardes automatiques quotidiennes
• Anti-bypass et anti-spam

Mesures organisationnelles :

• Accès aux données limité au strict nécessaire
• Personnel d'INEOD soumis au secret professionnel
• Procédure de revue de code avec contrôle TypeScript et tests automatisés
• Audit annuel de sécurité
• Documentation à jour des traitements et flux de données

11. Limitation de responsabilité

La responsabilité d'INEOD au titre du présent DPA est limitée au montant payé par le responsable de traitement à INEOD au cours des 12 derniers mois. Cette limitation ne s'applique pas en cas de faute lourde ou intentionnelle, ou d'atteinte à la vie privée caractérisée par la CNIL.

12. Droit applicable et juridiction

Le présent DPA est régi par le droit français. Tout litige est soumis à la compétence exclusive des tribunaux de Rennes (35).

13. Contact

INEOD — alexandre@ineod.fr — Rennes, France. Pour les détails complets, voir aussi la version intégrale du DPA en fichier interne et la politique de confidentialité.

Dernière mise à jour : 10 mai 2026 (version 1.0). Toute modification substantielle est notifiée par email avec un préavis de 30 jours.