Un logiciel de recrutement conforme au RGPD et à l'IA Act ne rend pas le cabinet conforme à sa place : il lui donne les moyens de l'être. Avant de signer, vérifiez six points : l'hébergement et les sous-traitants, les durées de conservation, l'information et les droits des candidats, les fonctions d'IA, la traçabilité, et la réversibilité.
Cette checklist liste les questions à poser à l'éditeur et ce qu'une bonne réponse contient. Les règles derrière chaque question sont détaillées dans nos deux articles : RGPD en recrutement et IA Act et recrutement.
Article vérifié le 11 novembre 2026. Il ne remplace pas l'avis de votre DPO ou de votre conseil.
1. Hébergement et sous-traitants
Le RGPD n'impose pas d'héberger les données en France, mais il encadre chaque transfert hors de l'Espace économique européen et exige un contrat entre vous et l'éditeur. La question utile porte donc moins sur le pays du serveur que sur la chaîne complète : l'éditeur, ses sous-traitants, et les pays où chacun traite vos données.
| Question à poser | Une bonne réponse |
|---|---|
| Où les données sont-elles hébergées, sauvegardes comprises ? | Un pays et un hébergeur nommés, la même réponse pour les sauvegardes. |
| Avez-vous un accord de traitement des données (DPA, article 28) ? | Un document signable, remis avant la signature du contrat. |
| Qui sont vos sous-traitants, et où traitent-ils les données ? | Une liste nommée, avec le pays et le garde-fou de chaque transfert hors de l'Espace économique européen. |
| Vos fournisseurs d'IA sont-ils dans cette liste ? | Oui, nommés, avec ce qui leur est transmis. |
2. Durées de conservation
La CNIL recommande, en France, de ne pas garder un candidat non retenu plus de 2 ans après le dernier contact, avec son accord ou en l'informant. Une règle que l'outil n'applique pas reste une intention. L'éditeur doit montrer où se règle la durée et ce qui arrive à une fiche à l'échéance.
| Question à poser | Une bonne réponse |
|---|---|
| Peut-on fixer une durée de conservation des candidats inactifs ? | Oui, réglable par un administrateur, avec un aperçu des fiches concernées avant d'activer. |
| Que se passe-t-il à l'échéance ? | Le candidat est sollicité avant le retrait, ou la fiche est retirée selon votre réglage. |
| Les fiches liées à un recrutement en cours sont-elles protégées ? | Oui, une fiche liée à un process actif ou à une mission n'est pas retirée. |
3. Information et droits des candidats
Le RGPD impose d'informer chaque candidat, au moment de la collecte (article 13) ou au plus tard un mois après si le profil vient d'ailleurs (article 14), puis de répondre à ses demandes sous un mois. Un bon outil porte une partie du travail : le formulaire, le mail d'information, la recherche de toutes les données d'une personne.
| Question à poser | Une bonne réponse |
|---|---|
| Le formulaire de candidature affiche-t-il votre information et une case d'accord ? | Oui, rédigée par vous, avec un lien vers votre politique de confidentialité. |
| Comment un profil sourcé est-il informé ? | Un mail d'information qui lui permet de s'opposer, envoyé par l'outil ou préparé pour vous. |
| Une demande d'effacement couvre-t-elle notes, échanges et documents ? | Oui, la fiche entière, et la personne ne revient pas par une nouvelle candidature si elle s'y est opposée. |
| Comment retrouver tout ce qui concerne une personne pour une demande d'accès ? | Une fiche unique qui rassemble CV, notes, échanges et documents. |
4. Fonctions d'IA et IA Act
À partir du 2 décembre 2027, un système d'IA qui sert à analyser, filtrer ou évaluer des candidatures est à haut risque au sens de l'IA Act. L'éditeur en est le fournisseur, vous en êtes le déployeur. Demandez-lui la liste de ses fonctions d'IA et, pour chacune, ce qu'elle fait d'un candidat.
| Question à poser | Une bonne réponse |
|---|---|
| Quelles fonctions d'IA évaluent, classent ou filtrent des candidats ? | Une liste précise, distincte des fonctions qui rédigent ou résument. |
| Comment qualifiez-vous ces fonctions au regard de l'IA Act ? | Une analyse écrite par fonction, et un calendrier pour celles à haut risque. |
| Une fonction peut-elle écarter un candidat sans intervention humaine ? | Non, ou seulement par un réglage explicite que vous activez. |
| Fournissez-vous une notice d'utilisation et des journaux ? | Une documentation de chaque fonction et une trace de ce qu'elle a fait. |
| Mes données entraînent-elles vos modèles ou ceux de vos fournisseurs ? | Non, par contrat, avec les offres de chaque fournisseur citées. |
| Un outil analyse-t-il les émotions d'un candidat en entretien ? | Non : c'est interdit en recrutement depuis le 2 février 2025. |
5. Accès, traçabilité et réversibilité
Le RGPD demande une sécurité adaptée aux données, et l'IA Act demande au déployeur de surveiller ce que fait l'outil. Les deux supposent de savoir qui voit quoi et qui a fait quoi. La réversibilité, enfin, conditionne votre liberté de changer d'outil sans perdre ni conserver trop longtemps les données.
| Question à poser | Une bonne réponse |
|---|---|
| Les droits d'accès se règlent-ils par rôle ? | Oui, jusqu'à limiter un utilisateur aux fiches de son équipe. |
| Garde-t-on la trace des actions sur une fiche ? | Oui, avec l'auteur et l'heure de chaque action. |
| Un autre client de l'éditeur peut-il voir nos données ? | Non, isolation par client, décrite dans les mesures de sécurité. |
| Peut-on exporter toutes nos données en partant ? | Oui, dans un format réutilisable, sans frais cachés. |
Dans Marvin
Voici les réponses de Marvin à cette checklist, telles qu'elles figurent dans le produit et dans le Trust Pack, le dossier de conformité remis aux équipes juridiques de nos clients. Marvin vous aide à tenir vos obligations ; il ne vous rend pas conforme à votre place.
- Hébergement et sous-traitants. Données et sauvegardes quotidiennes hébergées en France, chez Scaleway à Paris. Le DPA (article 28) et la liste des sous-traitants, fournisseurs d'IA compris, font partie du Trust Pack, avec les mesures de sécurité et le plan de continuité.
- Durées de conservation. Un administrateur fixe la durée sans activité (24 mois par défaut, de 6 à 120 mois) et voit les fiches concernées avant d'activer. À l'échéance, le candidat reçoit un mail qui lui demande s'il accepte que vous gardiez son profil ; une fiche liée à un process actif, une mission ou une facture n'est jamais retirée par ce réglage.
- Information des candidats. Une fois la conservation activée, les profils sourcés enregistrés ensuite reçoivent un mail d'information avec un bouton pour s'opposer. Le formulaire du site carrière accepte une case d'accord que vous rédigez.
- Refus et effacement. Dans les réglages des candidatures, vous choisissez ce qui se passe au refus. Après une demande d'effacement, la liste de blocage (adresse email, domaine ou adresse IP) écarte les nouvelles candidatures de la personne.
- IA. Marvin n'utilise pas vos données pour entraîner des modèles d'IA. Les fournisseurs d'IA et la fiche du système d'IA font partie du Trust Pack, et sont présentés sur la page IA responsable. Une automatisation fondée sur un score peut faire avancer un candidat au-dessus d'un seuil que vous fixez, jamais le refuser.
- Accès et traçabilité. Permissions par rôle, isolation stricte par cabinet, historique des actions sur chaque fiche avec leur auteur et leur heure. Vous restez propriétaire de vos données et pouvez les exporter.
Le Trust Pack se demande sur la page sécurité et Trust Pack ; un membre de l'équipe vous l'envoie.
FAQ
Un logiciel de recrutement peut-il être « conforme RGPD » ?
Un logiciel ne rend pas un cabinet conforme : c'est l'usage qui l'est ou non. L'éditeur, sous-traitant au sens de l'article 28 du RGPD, s'engage par un accord de traitement des données et fournit les réglages qui permettent au cabinet de tenir ses obligations : durées, information, droits, sécurité.
Quels documents demander à un éditeur de logiciel de recrutement ?
L'accord de traitement des données (DPA), la liste de ses sous-traitants avec leur pays, ses mesures de sécurité, son plan de continuité et, s'il propose de l'IA, la liste de ses fournisseurs d'IA et une description de chaque fonction qui évalue des candidats, avec sa notice d'utilisation.
L’hébergement en France est-il obligatoire ?
Non. Le RGPD n'impose pas d'héberger les données en France ni dans l'Union. Il encadre les transferts hors de l'Espace économique européen. Un hébergement en France simplifie la question, mais les sous-traitants de l'éditeur, fournisseurs d'IA compris, peuvent traiter des données ailleurs : demandez la liste.
Que vérifier sur les fonctions d’IA d’un logiciel de recrutement ?
Lesquelles évaluent, classent ou filtrent des candidats, et donc relèvent du haut risque de l'IA Act à partir du 2 décembre 2027 ; ce que l'éditeur fournit pour le contrôle humain et les journaux ; si une fonction peut écarter un candidat sans intervention humaine ; et si vos données servent à entraîner des modèles.