Hébergement dans l'UE, chiffrement en transit et au repos, cloisonnement entre clients, accès par rôle, journal d'audit sur trois ans et contrôles de confidentialité pour les candidats : tout est documenté ici et dans notre DPA publié, pour que votre DSI et votre service juridique puissent se faire un avis sans avoir à poser la question.
Neuf contrôles à transmettre à votre DSI, à votre service juridique ou à votre DPO. Lorsqu'un contrôle est aussi une fonctionnalité du produit, la carte renvoie vers la page qui le détaille.
Hébergement dans l'UE, chiffrement en transit (TLS) et au repos. Chaque client dispose de son propre espace, cloisonné : toute requête est limitée aux données de votre entreprise. Les secrets d'intégration, comme les jetons Slack ou les clés de compte de service, sont stockés chiffrés champ par champ.
Chaque utilisateur active une seconde étape pour sa propre connexion : un code temporaire généré par Google Authenticator, Microsoft Authenticator ou toute autre application d'authentification, ou un code à usage unique reçu par e-mail. L'activation de l'application génère dix codes de récupération à usage unique, et le secret est conservé chiffré. Codes envoyés, validés, refusés ou bloqués après trop d'essais : tout figure dans le journal d'audit.
Six rôles (super administrateur, administrateur, responsable du recrutement, recruteur, évaluateur, assistant), auxquels s'ajoute un périmètre offre par offre. Les responsables du recrutement et les évaluateurs ne voient que les offres et les candidats qui leur sont attribués.
Voir de plus près : Accès par rôleConnexions, modifications des candidats et du pipeline, exports, changements d'autorisations et de paramètres, e-mails, intégrations et événements de facturation sont consignés avec leur auteur, l'adresse IP et le niveau de gravité. Les administrateurs filtrent le journal et y font des recherches depuis le tableau de bord ; un export CSV ou XLSX exige un code à usage unique envoyé par e-mail et se trouve lui-même consigné.
C'est le produit qui applique les durées de conservation, pas seulement une politique écrite : chaque nuit, une tâche supprime les réponses aux entretiens vidéo après 60, 90 ou 365 jours selon le forfait, et les données des candidats suivent le calendrier de suppression logique prévu par la KVKK.
Tout candidat sourcé ou importé reçoit une mention d'information et le lien vers sa page de confidentialité personnelle ; un clic suffit pour s'opposer, la fiche est alors anonymisée sur-le-champ, et toute personne qui n'a toujours pas été informée au bout de 30 jours vous est signalée. Notre DPA et la liste de nos sous-traitants ultérieurs sont publiés : inutile de les demander.
Voir de plus près : Protection des données candidatsLes administrateurs choisissent les champs candidat considérés comme sensibles (par défaut : coordonnées, prétentions salariales, genre, date de naissance, adresse et moyenne générale) ; les évaluateurs et les assistants ne les voient jamais. Le consentement au vivier de talents est recueilli dans le formulaire de candidature lorsque vous l'exigez.
Voir de plus près : Champs sensibles et consentementActivez-le offre par offre : les évaluateurs étudient les candidatures sans nom, photo ni genre tant que l'identité n'est pas délibérément révélée, et chaque levée d'anonymat est inscrite au journal d'audit.
Voir de plus près : Recrutement anonymeDemandez un document officiel à un candidat, vérifiez-le et consignez le résultat. Les extraits de casier judiciaire et les documents de santé ne sont conservés que si le candidat y consent expressément au moment du dépôt ; à défaut, seul le résultat est gardé, et le dépôt d'un fichier ne peut jamais lui être imposé. Les autres documents joints par le candidat sont placés dans un espace de stockage privé, visible des seuls utilisateurs autorisés, puis effacés à la date fixée pour chaque pièce. La base légale est toujours déclarée par une personne nommément identifiée, et aucun contrôle automatique ne déplace ni ne refuse jamais un candidat.
Partir relève d'une procédure documentée, pas d'une négociation : sur demande, nous exportons l'intégralité de votre espace (offres, candidats, notes, grilles d'évaluation, propositions d'embauche, enregistrements d'audit) au format JSON, avec un manifeste des fichiers. Ce qui est exportable, et sous quel format, est publié dans le Registre d'export des données.
Voir de plus près : Portabilité et réversibilité des donnéesLes contrôles ci-dessus, dans l'ordre où les aborde une revue de confidentialité.
Notre DPA, la liste de nos sous-traitants ultérieurs, notre SLA et nos mentions d'information sont publiés et versionnés. Envoyez les liens à votre service juridique au lieu d'attendre un PDF.
Lorsqu'un sous-traitant ultérieur change, le contact confidentialité de chaque client actif est prévenu par e-mail 30 jours à l'avance, comme le prévoit le DPA.
Le formulaire de candidature choisit la mention d'information adaptée au lieu du poste et y reporte vos informations légales. Les candidats ont leur propre page de confidentialité ; vous, des documents déjà publiés.
Pour les postes situés dans l'UE, au Royaume-Uni ou dans l'EEE, la mention d'information RGPD s'ajoute automatiquement au formulaire de candidature.
Pour les postes situés en Turquie, le texte d'information KVKK (aydınlatma metni) est généré pour vous.
Pour les postes situés aux États-Unis, la mention CCPA s'ajoute au formulaire de candidature, avec votre entité juridique et votre contact.
Envoyez votre questionnaire fournisseur ou une évaluation réalisée par un tiers à notre équipe commerciale. Nous y répondons par écrit, en joignant le DPA, la liste des sous-traitants ultérieurs, le Registre d'export des données et une synthèse de l'infrastructure.
Écrivez à notre adresse dédiée à la sécurité en indiquant les étapes pour reproduire le problème. Nous accusons réception de chaque signalement, vous tenons au courant pendant la correction et vous citons si vous le souhaitez.
Des réponses brèves aux points qui reviennent dans les questionnaires.
Le formulaire de candidature de Hireall choisit la mention d'information adaptée au lieu du poste (RGPD pour l'UE, le Royaume-Uni et l'EEE, KVKK pour la Turquie, CCPA pour les États-Unis) et y reporte votre entité juridique et vos coordonnées. Chaque candidat dispose d'une page de confidentialité personnelle et peut s'opposer au traitement en un clic ; le consentement au vivier de talents est enregistré avec son horodatage. Le DPA de Hireall, la liste de ses sous-traitants ultérieurs et le Registre d'export des données sont publiés sur les pages juridiques, et tout changement de sous-traitant ultérieur est annoncé 30 jours à l'avance.
Oui. Hireall tient un journal d'audit : connexions, modifications des candidats et du pipeline, exports, changements d'autorisations et de paramètres, e-mails, intégrations et événements de facturation y sont consignés avec leur auteur, l'adresse IP et le niveau de gravité, conservés trois ans puis purgés selon un calendrier défini. Les administrateurs peuvent le filtrer et y faire des recherches depuis le tableau de bord ; l'export CSV ou XLSX est proposé dans les forfaits qui l'incluent et exige un code à usage unique envoyé par e-mail.
Oui. Envoyez votre questionnaire ou votre évaluation à sales@hireall.com ou via le formulaire de contact commercial. Hireall répond par écrit et joint le DPA, la liste des sous-traitants ultérieurs, le Registre d'export des données et une synthèse de l'infrastructure : hébergement, chiffrement, cloisonnement entre clients, contrôle des accès et conservation.
Les données sont hébergées dans la région AWS de Francfort (eu-central-1) et chiffrées en transit comme au repos. Les fonctionnalités d'IA font appel à des sous-traitants ultérieurs ; le lieu où chacun traite les données figure dans la liste des sous-traitants ultérieurs. La juridiction dont relève l'infrastructure et les garanties contre un accès illicite des autorités publiques sont décrites dans le Registre d'export des données. Pour toute autre question sur la localisation des données, écrivez à sales@hireall.com ou passez par le formulaire de contact commercial.
Un candidat peut s'opposer au traitement depuis sa page de confidentialité personnelle : sa fiche est anonymisée sur-le-champ. Les éléments supprimés dans Hireall sont masqués immédiatement, puis effacés définitivement 30 jours plus tard par une tâche planifiée ; seuls ceux qu'une obligation légale ou un litige en cours impose de garder sont conservés plus longtemps, et à cette seule fin. Chaque type de données suit son propre délai : trois ans pour les enregistrements d'audit, 60, 90 ou 365 jours pour les réponses vidéo selon le forfait, un calendrier spécifique pour les vérifications de documents terminées, 12 mois pour les journaux de sécurité. Chaque suppression est inscrite au journal d'audit. Les journaux applicatifs ne contiennent que des identifiants d'enregistrement, jamais de noms ni de coordonnées.
Envoyez-nous votre questionnaire fournisseur : nous y répondons en joignant le DPA, la liste des sous-traitants ultérieurs et une synthèse de l'infrastructure.
Parlez-nous de vos postes et de la taille de votre équipe : nous verrons comment adapter Hireall à votre processus de recrutement et quel forfait vous convient.
Parler à un commercial Tarif par entreprise, et non par utilisateur