Sécurité et données

État au 29 octobre 2026

Un cabinet de recrutement confie à ACALIZ son vivier, ses clients et ses échanges. Voici, sans jargon, où vivent ces données, qui peut y accéder et comment elles sont protégées. Le détail contractuel figure dans notre accord de sous-traitance (DPA), disponible sur demande.

Hébergées en Europe

La base de données, les fichiers (CV, documents) et l'authentification sont hébergés sur l'infrastructure Supabase en Irlande. Le serveur applicatif, le site et les emails de service tournent chez OVH, en France. Les sauvegardes sont chiffrées avant leur envoi et conservées aux Pays-Bas. Une partie des traitements d'intelligence artificielle est servie en Europe (Microsoft Azure en Suède, Amazon Web Services, Mistral AI) ; une autre passe par OpenAI et Anthropic aux États-Unis, sous clauses contractuelles types. Ces fournisseurs ne s'en servent pas pour entraîner leurs modèles ; ils gardent ce qui leur est envoyé 30 jours pour contrôler les abus, plus longtemps seulement pour un contenu signalé comme abusif.

Un espace étanche par cabinet

• Chaque cabinet dispose de son propre espace, isolé des autres au niveau de la base de données elle-même (politiques de sécurité ligne par ligne, en refus par défaut).
• Les clés d'administration ne sont jamais exposées dans le navigateur ; les opérations sensibles s'exécutent uniquement côté serveur.
• L'étanchéité est vérifiée à chaque création d'espace et chaque nuit : un cabinet ne voit rien d'un autre.

Accès et comptes

• Mots de passe stockés hachés, sessions à durée courte.
• Quatre rôles (propriétaire, administrateur, utilisateur, restreint), appliqués par l'application et, pour l'essentiel, par la base elle-même ; quelques droits fins (exporter une liste, voir l'intérim) ne sont encore tenus que par l'application.
• Double authentification disponible pour chaque recruteur, au choix du cabinet.
• Pour l'équipe ACALIZ : espace d'administration séparé, double authentification obligatoire, actions journalisées. Toute consultation d'un espace client est tracée et limitée dans le temps. Les assistants de programmation par IA qui aident l'équipe à maintenir le service ne lisent aucune donnée des dossiers d'un cabinet client.

Chiffrement

Tous les échanges passent par HTTPS (TLS), certificats renouvelés automatiquement. Au repos, la base de données et le stockage de fichiers sont chiffrés par l'hébergeur (AES-256).

Sauvegardes et continuité

• Sauvegardes quotidiennes et chiffrées de la base, avec copie hors site ; sauvegarde incrémentale des fichiers.
• Restauration éprouvée régulièrement, pas seulement supposée.
• Supervision permanente : contrôles de santé, sondes de disponibilité, alertes automatiques dès qu'une anomalie touche la sécurité ou un service vital, ou qu'une tâche planifiée échoue deux fois de suite.
• Chaque mise en production passe une batterie de tests automatisés avant d'être livrée.

Traçabilité

Les actions sensibles (modifications, actions RGPD, interventions de l'équipe ACALIZ) sont consignées dans un journal horodaté, rattaché au cabinet concerné. Les fonctions d'intelligence artificielle tiennent leur propre journal (finalité, modèle utilisé, horodatage), conformément au règlement européen sur l'IA.

Intelligence artificielle

Certaines fonctions (lecture de CV, synthèses, rapprochements) s'appuient sur des modèles fournis par OpenAI (directement ou par Microsoft Azure en Suède), Anthropic (directement ou par Amazon Web Services en Europe) et Mistral AI. Les contenus transmis le sont uniquement pour rendre le service, sans être utilisés pour entraîner ces modèles (réglage vérifié chaque année). Les contenus non fiables, comme un CV reçu, sont cloisonnés dans les requêtes pour empêcher les injections. Chaque proposition de l'IA reste une proposition : le recruteur décide.

Conservation et droits des personnes

• La durée de conservation des dossiers se règle par le cabinet (24 mois par défaut). À l'échéance, le dossier est marqué expiré et le cabinet prévenu, pour qu'il le prolonge, l'anonymise ou le supprime ; il peut aussi choisir l'anonymisation automatique.
• Export d'un dossier, anonymisation et suppression se font depuis l'application, pour répondre à une demande de candidat sans délai.
• Les candidatures non retenues peuvent être archivées sous scellé, hors recherches et hors vivier, puis anonymisées automatiquement à 60 mois (délai de prescription en matière de discrimination).
• À la fin d'un abonnement, le cabinet exporte tout, puis les données sont supprimées, sauvegardes comprises à l'expiration de leur cycle.

Qui traite quoi

• Supabase (Irlande) : base de données, fichiers, authentification.
• OVH (France) : serveur applicatif, site, emails de service.
• OpenAI et Anthropic (États-Unis, clauses contractuelles types) : modèles d'intelligence artificielle.
• Amazon Web Services (Union européenne) : une partie des modèles d'intelligence artificielle, servis en Europe.
• Microsoft Azure (Suède) : une partie des modèles d'OpenAI, servis en Europe (aujourd'hui, le calcul de la recherche par le sens).
• LangChain (LangSmith, Pays-Bas) : suivi technique des appels à l'IA du moteur de lecture, gardé 14 jours.
• Pappers (France) : données légales publiques des entreprises, à partir du nom ou du SIREN, sans donnée de candidat.
• Mistral AI (Union européenne) : transcription de la dictée et préparation des comptes rendus.
• Backblaze (Pays-Bas) : copie de sauvegarde, chiffrée avant l'envoi.
• Sentry (Allemagne) : supervision des erreurs, adresses et numéros masqués.
• Unipile (France) : connexion de LinkedIn et WhatsApp, quand le cabinet les relie.
• Cloudflare : protection anti-robot des formulaires du site.
• Cal.com : prise de rendez-vous pour la démonstration.
• Telegram : alerte de l'équipe quand un utilisateur écrit au support, avec le seul nom du cabinet et un lien, jamais le contenu du message.

Pour chaque cabinet client, le cabinet est responsable de traitement et ACALIZ sous-traitant. L'accord de sous-traitance (DPA) détaille ces engagements : écrivez à support@acaliz.com.

Signaler un problème

Une faille, un doute, un comportement anormal : écrivez à support@acaliz.com. Une procédure d'incident écrite guide la réponse, la correction et l'information des cabinets concernés.