Politique de confidentialité — EMPLOI PAYS D'ANCENIS

La protection des données à caractère personnel des personnes qui utilisent la plateforme EMPLOI PAYS D'ANCENIS est une condition de la confiance qu'elles lui accordent. La présente politique décrit, en application des articles 12 à 14 du Règlement (UE) 2016/679, quelles données sont collectées, pourquoi, pendant combien de temps, qui y accède et comment chacun peut exercer ses droits.

La présente politique décrit comment sont collectées, utilisées, conservées et protégées les données à caractère personnel des personnes qui utilisent la plateforme EMPLOI PAYS D'ANCENIS, accessible à l'adresse https://emploi.pays-ancenis.com/ (la « Plateforme »).

Elle est établie conformément au Règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

2.1 Identification

Le responsable de traitement est COMMUNAUTÉ DE COMMUNES DU PAYS D'ANCENIS (COMPA), Communauté de communes, dont le siège est situé Centre administratif Les Ursulines - CS 50201 - 44156 Ancenis-Saint-Géréon Cedex, identifié sous le numéro SIREN 244400552, agissant dans le cadre de son service « développement économique ».

Il détermine les finalités et les moyens des traitements décrits ci-après, et c'est à lui que sont adressées les demandes des personnes concernées.

Délégué à la protection des données : Maître Benoît RIVAIN - dpo@rivain-avocat.com (22, Quai de la Fosse, 44000 Nantes)

2.2 Sous-traitant

La Plateforme est mise en œuvre au moyen de la solution Piloty, éditée par la société Trusty, société par actions simplifiée immatriculée au Registre du Commerce et des Sociétés de Versailles sous le numéro 842 078 370, dont le siège social est situé 6 rue du Général Pershing, 78000 Versailles.

Trusty intervient exclusivement en qualité de sous-traitant au sens de l'article 28 du RGPD. Elle traite les données pour le compte du responsable de traitement, sur instruction de celui-ci, dans le cadre d'un contrat comportant les garanties exigées par ce même article. Trusty n'utilise ces données pour aucune finalité qui lui serait propre.

3.1 Personnes en recherche d'emploi

• Identification : nom, prénom, adresse électronique, numéro de téléphone.
• Candidature : curriculum vitæ, lettre de motivation, parcours de formation et expérience professionnelle, ainsi que toute pièce jointe par la personne concernée.
• Recherche : métiers, secteurs, localisation et types de contrat recherchés, offres consultées, candidatures envoyées, alertes souscrites.
• Compte : identifiants de connexion, dates de création et de dernière connexion.

3.2 Recruteurs

• Identification de l'organisation : raison sociale, adresse, secteur d'activité et numéro SIREN le cas échéant.
• Identification du contact : nom, prénom, fonction, adresse électronique et téléphone professionnels.
• Activité : offres publiées, candidatures reçues et leur suivi.

3.3 Simples visiteurs

Des données de mesure d'audience agrégées, dans les conditions décrites à l'Article 9.

3.4 Caractère obligatoire des données

Les données strictement nécessaires sont signalées comme obligatoires dans les formulaires. À défaut de les renseigner, la fonctionnalité concernée ne peut pas être fournie.

Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée. Il est déconseillé d'en faire figurer dans un curriculum vitæ ou dans un message.

La Plateforme constituant l'exercice d'une mission de service public relative à l'emploi sur le territoire, la plupart des traitements reposent sur l'article 6.1.e du RGPD.

Lorsque le traitement repose sur le consentement, celui-ci peut être retiré à tout moment depuis le compte ou en écrivant à Maître Benoît RIVAIN - dpo@rivain-avocat.com (22, Quai de la Fosse, 44000 Nantes), sans que ce retrait remette en cause la licéité de ce qui a été fait auparavant.

Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé. Le classement des offres n'opère aucune sélection ni exclusion de candidature.

Les données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires ou de prospection commerciale.

• Les services habilités du Service Développement économique, dans la limite de ce que requiert leur mission.
• Le Recruteur destinataire, lorsqu'une candidature lui est adressée ou lorsque le profil a été expressément rendu visible. Le Recruteur devient alors responsable de traitement pour l'usage qu'il fait de cette candidature.
• Les sous-traitants techniques listés à l'Article 6.
• Les autorités administratives ou judiciaires, sur réquisition et dans le cadre prévu par la loi.

Les données ne sont transmises à aucun autre tiers.

6.1 Prestataires établis ou hébergés dans l'Union européenne

6.2 Prestataires situés hors de l'Union européenne

Ce prestataire est lié par un contrat conforme à l'article 28 du RGPD et n'agit que sur instruction du responsable de traitement.

7.1 Les données de la Plateforme sont hébergées en France

La base de données de la Plateforme, les comptes, les curriculum vitæ et les documents qui y sont déposés sont hébergés en France, dans la région parisienne du fournisseur d'infrastructure. Le reste de la chaîne technique est situé dans l'Union européenne, à l'exception du réseau de diffusion décrit à l'article 7.3.

7.2 Acheminement des courriers électroniques et des messages courts

L'envoi des courriers électroniques transactionnels, tels que l'accusé de réception de candidature, la transmission d'une candidature à un recruteur, les alertes et la réinitialisation de mot de passe, est confié à la société Mailjet, dont les centres de données sont situés dans l'Union européenne, à Francfort et à Saint-Ghislain. L'envoi des messages courts d'authentification est confié à la société SMSmode, établie en France.

Sont concernés l'adresse électronique ou le numéro de téléphone du destinataire, le contenu du message et, lorsqu'une candidature est transmise à un recruteur, les pièces qui y sont jointes, dont le curriculum vitæ. Ces éléments figurent dans le journal technique d'envoi du prestataire, où ils sont conservés treize (13) mois avant suppression automatique. La base de données de la Plateforme ne leur est pas transmise.

Ces deux traitements sont réalisés dans l'Union européenne et n'emportent aucun transfert de données vers un pays tiers.

7.3 Réseau de diffusion et sécurité

La Plateforme est servie au travers du réseau de la société Cloudflare, dont les points de présence sont répartis dans le monde. Ce dispositif protège la Plateforme contre les attaques et en accélère l'affichage.

Y sont traitées, en transit, l'adresse IP, l'adresse de la page demandée et les en-têtes techniques de la requête. Aucune donnée de la Plateforme n'y est stockée : ni compte, ni candidature, ni curriculum vitæ.

7.4 Encadrement de ce transfert

Cloudflare est certifiée au cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), qui fait l'objet de la décision d'adéquation de la Commission européenne du 10 juillet 2023. Ce transfert est en outre couvert par les clauses contractuelles types de la Commission européenne et par un accord de traitement conforme à l'article 28 du RGPD.

Aucun transfert nouveau ne sera mis en œuvre sans mise à jour préalable de la présente politique.

À l'expiration de ces durées, les données sont supprimées ou anonymisées de façon irréversible. Les données anonymisées peuvent être conservées à des fins statistiques : elles ne permettent plus d'identifier quiconque et ne sont alors plus des données à caractère personnel.

La Plateforme dépose uniquement les cookies strictement nécessaires à son fonctionnement, à savoir le maintien de la session, la sécurité et la mémorisation des choix de l'utilisateur. Ces cookies sont exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés.

La mesure d'audience est réalisée au moyen d'une solution sans cookie et sans traceur, qui ne collecte aucune donnée directement identifiante et ne procède à aucun suivi entre sites ni entre sessions. Les données produites sont agrégées.

Aucun cookie publicitaire, de réseau social ou de suivi comportemental n'est déposé.

Le responsable de traitement et son sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, notamment le chiffrement des échanges, le contrôle des accès aux données limité aux personnes habilitées, le cloisonnement des environnements, des sauvegardes régulières, la journalisation et une procédure de gestion des violations de données.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, la Commission nationale de l'informatique et des libertés est notifiée dans les 72 heures, et les personnes concernées en sont informées lorsque le risque est élevé.

11.1 Droits reconnus

Toute personne concernée dispose, dans les conditions prévues par le RGPD, des droits suivants :

• Accès : obtenir la confirmation que des données la concernant sont traitées et en recevoir copie (art. 15) ;
• Rectification : faire corriger des données inexactes ou incomplètes (art. 16) ;
• Effacement : obtenir la suppression de ses données (art. 17) ;
• Limitation : obtenir le gel temporaire d'un traitement (art. 18) ;
• Portabilité : recevoir les données fournies dans un format structuré et lisible par machine (art. 20) ;
• Opposition : s'opposer, pour des raisons tenant à sa situation particulière, à un traitement fondé sur la mission d'intérêt public (art. 21) ;
• Retrait du consentement, à tout moment, pour les traitements qui en dépendent (art. 7) ;
• Directives post-mortem : définir le sort de ses données après son décès (art. 85 de la loi Informatique et Libertés).

11.2 Exercice des droits

Toute demande est adressée à Maître Benoît RIVAIN - dpo@rivain-avocat.com (22, Quai de la Fosse, 44000 Nantes) ou par courrier à Pays d'Ancenis - Centre administratif Les Ursulines - CS 50201 - 44156 Ancenis-Saint-Géréon Cedex - A l'attention du référent RGPD. Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une preuve d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.

La suppression du compte est par ailleurs possible à tout moment depuis l'espace personnel.

11.3 Réclamation

Toute personne estimant que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.

La création d'un compte est ouverte à partir de quinze (15) ans. En deçà, elle requiert l'autorisation du titulaire de l'autorité parentale, qui peut exercer les droits mentionnés à l'Article 11 pour le compte du mineur.

La présente politique peut être modifiée pour tenir compte d'une évolution légale, réglementaire ou fonctionnelle. En cas de modification substantielle, les titulaires d'un compte en sont informés par tout moyen avant son entrée en vigueur.

La date de dernière mise à jour figure en tête du document.