Le CLOUD Act, ou pourquoi « serveur en Europe » ne suffit pas
Le CLOUD Act est une loi américaine qui permet aux autorités des États-Unis d'exiger l'accès à des données détenues par une entreprise américaine — même si ces données sont stockées physiquement en Europe.
Conséquence : un hébergement « à Francfort » ou « à Dublin » ne vous protège pas si la maison-mère du fournisseur est américaine. La juridiction suit l'entreprise, pas seulement le datacenter. Pour des données aussi sensibles que des candidatures, ce n'est pas un détail.
Ce qu'un CV révèle vraiment
Une candidature, ce n'est pas une donnée anodine : nom, coordonnées, parcours professionnel complet, parfois une photo, une nationalité, des informations sur la santé ou la situation familiale glissées dans une lettre.
Ces données personnelles sont confiées par des gens qui cherchent un emploi. Les laisser transiter hors de l'UE, sans nécessité, fragilise à la fois leur vie privée et votre conformité RGPD.
Souveraineté et RGPD : deux sujets liés mais distincts
Le RGPD encadre comment vous traitez les données (consentement, durée de conservation, droits des personnes). La souveraineté, elle, concerne où et sous quelle juridiction ces données vivent.
Un outil peut être « RGPD-compatible » sur le papier tout en hébergeant vos données chez un acteur soumis au CLOUD Act. Un ATS réellement souverain traite les deux : conformité RGPD native ET hébergement hors de portée extra-européenne.
Les 4 questions à poser à votre éditeur
1. Où sont physiquement hébergées les données ? (région, pays)
2. Qui est l'hébergeur, et de quelle nationalité est la société mère ? (CLOUD Act ou non)
3. Combien de temps les CV sont-ils conservés, et la suppression est-elle automatique ?
4. Un candidat peut-il récupérer ou faire effacer ses données facilement ?
L'approche d'aiKip
aiKip est hébergé en France, sur une infrastructure française (Scaleway, région de Paris), hors du champ du CLOUD Act. Ce choix a été fait dès la conception, parce qu'on ne peut pas l'ajouter après coup.
À cela s'ajoutent les garde-fous RGPD par défaut : information versionnée avant la candidature, consentement séparé pour le vivier facultatif, anonymisation automatique après 24 mois et droits d'accès ou d'effacement. La souveraineté n'est pas un argument marketing : c'est une décision d'architecture.
Questions fréquentes
Qu'est-ce qu'un ATS souverain ?
Un logiciel de recrutement (Applicant Tracking System) dont les données sont hébergées et opérées sous juridiction européenne, hors de portée de lois extra-européennes comme le CLOUD Act, avec une conformité RGPD native.
Un hébergement en Europe suffit-il à être souverain ?
Pas toujours. Si le fournisseur ou son hébergeur est une société américaine, le CLOUD Act peut s'appliquer malgré un datacenter européen. La souveraineté dépend de la juridiction de l'entreprise, pas seulement de la localisation du serveur.
Combien de temps peut-on conserver un CV ?
La CNIL recommande de ne pas conserver les données d'un candidat non retenu au-delà de 2 ans après le dernier contact, sauf base légale. Un bon ATS automatise cette suppression — aiKip anonymise après 24 mois.