RGPD — comment aiKip protège vos données

aiKip est conçu en conformité avec le Règlement général sur la protection des données (RGPD, UE 2016/679). Cette page récapitule les mesures techniques et organisationnelles en place.

Hébergement souverain

Toutes les données (base PostgreSQL, CV, factures PDF) sont hébergées chez Scaleway en région fr-par (Paris, France). Scaleway est une société française non soumise au CLOUD Act américain.

Mesures techniques

  • Connexions chiffrées TLS 1.3 sur toutes les pages
  • Mots de passe hachés avec bcrypt (12 rounds, salt unique par utilisateur)
  • Sessions cookie HttpOnly, SameSite=Lax, Secure en production
  • Invalidation globale des sessions disponible (champ users.lastLogoutAt)
  • Rate limiting sur l'inscription, le login, le reset mot de passe et le formulaire de candidature
  • URLs pré-signées TTL court (5 min) pour le téléchargement des CV
  • Multi-tenant strict : chaque requête filtre par companyId

Anonymisation automatique

Les candidatures inactives depuis plus de 24 mois sont anonymisées automatiquement chaque nuit :

  • Suppression de l'identité, des coordonnées, de la photo, du CV et du parcours extrait
  • Suppression des lettres, réponses, messages, notes et contenus d'entretien
  • Retrait des scores IA, résumés, points forts, alertes et évaluations
  • Conservation des seules statistiques non identifiantes du pipeline (étape et dates)

Cette anonymisation est exécutée par le cron gdpr-cleanup, sans intervention manuelle.

Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, d'opposition et de retrait du consentement. Pour les exercer :

  • Candidat : utilisez votre lien de suivi reçu par email, ou écrivez à contact@aikip.fr
  • Recruteur : depuis votre espace ou par email à contact@aikip.fr

Une réponse est apportée sous 30 jours maximum.

Vous pouvez également, à tout moment, introduire une réclamation auprès de la CNIL (www.cnil.fr).

Responsabilité (accountability)

En qualité de sous-traitant agissant pour le compte des entreprises clientes, aiKip tient le registre des traitements effectués pour leur compte (art. 30.2 du RGPD) et assiste chaque client — responsable de traitement — pour les analyses d'impact et la sécurité (art. 32 à 36 du RGPD). Le contrat de sous-traitance public fait partie de chaque abonnement.

Suppression de compte recruteur

La suppression volontaire du compte et la fin d'un abonnement ouvrent un délai de 30 jours. Après la fin de l'abonnement, l'espace est en lecture seule et les exports restent disponibles ; la suppression volontaire peut être annulée pendant le délai. À son terme, les données opérationnelles sont effacées ou anonymisées. Les factures sont préalablement isolées et conservées dix ans uniquement pour les obligations comptables.

Notification de violation

Pour les données candidats, aiKip agit comme sous-traitant : il informe sans délai injustifié l'entreprise cliente responsable et lui fournit les éléments utiles à son analyse et à ses notifications. Pour les données dont aiKip est responsable, aiKip notifie la CNIL sous 72 heures lorsque la violation est susceptible d'engendrer un risque, et les personnes sans délai injustifié lorsque ce risque est élevé.

Contact RGPD

Pour toute question relative au traitement de vos données : contact@aikip.fr ou via le formulaire de contact.