Sécurité et données

État au 18 septembre 2026

Un cabinet de recrutement confie à ACALIZ son vivier, ses clients et ses échanges. Voici, sans jargon, où vivent ces données, qui peut y accéder et comment elles sont protégées. Le détail contractuel figure dans notre accord de sous-traitance (DPA), disponible sur demande.

Hébergées en Europe

La base de données, les fichiers (CV, documents) et l'authentification sont hébergés sur l'infrastructure Supabase en Irlande. Le serveur applicatif, le site et les emails de service tournent chez OVH, en France. Aucune donnée n'est stockée hors de l'Union européenne.

Un espace étanche par cabinet

• Chaque cabinet dispose de son propre espace, isolé des autres au niveau de la base de données elle-même (politiques de sécurité ligne par ligne, en refus par défaut).
• Les clés d'administration ne sont jamais exposées dans le navigateur ; les opérations sensibles s'exécutent uniquement côté serveur.
• L'étanchéité est vérifiée à chaque création d'espace : un nouveau cabinet ne voit rien d'un autre.

Accès et comptes

• Mots de passe stockés hachés, sessions à durée courte.
• Quatre rôles (propriétaire, administrateur, utilisateur, restreint), appliqués à la fois par l'application et par la base.
• Double authentification disponible pour chaque recruteur, au choix du cabinet.
• Pour l'équipe ACALIZ : espace d'administration séparé, double authentification obligatoire, actions journalisées. Toute consultation d'un espace client est tracée et limitée dans le temps.

Chiffrement

Tous les échanges passent par HTTPS (TLS), certificats renouvelés automatiquement. Au repos, la base de données et le stockage de fichiers sont chiffrés par l'hébergeur (AES-256).

Sauvegardes et continuité

• Sauvegardes quotidiennes et chiffrées de la base, avec copie hors site ; sauvegarde incrémentale des fichiers.
• Restauration éprouvée régulièrement, pas seulement supposée.
• Supervision permanente : contrôles de santé, sondes de disponibilité, alertes automatiques dès la première anomalie.
• Chaque mise en production passe une batterie de tests automatisés avant d'être livrée.

Traçabilité

Les actions sensibles (modifications, actions RGPD, interventions de l'équipe ACALIZ) sont consignées dans un journal horodaté, rattaché au cabinet concerné. Les fonctions d'intelligence artificielle tiennent leur propre journal (finalité, modèle utilisé, horodatage), conformément au règlement européen sur l'IA.

Intelligence artificielle

Certaines fonctions (lecture de CV, synthèses, rapprochements) s'appuient sur des modèles fournis par OpenAI et Anthropic. Les contenus transmis le sont uniquement pour rendre le service, sans être utilisés pour entraîner ces modèles (réglage vérifié chaque année). Les contenus non fiables, comme un CV reçu, sont cloisonnés dans les requêtes pour empêcher les injections. Chaque proposition de l'IA reste une proposition : le recruteur décide.

Conservation et droits des personnes

• La durée de conservation des dossiers se règle par le cabinet (24 mois par défaut), avec anonymisation ou expiration automatique à l'échéance.
• Export d'un dossier, anonymisation et suppression se font depuis l'application, pour répondre à une demande de candidat sans délai.
• Les candidatures non retenues peuvent être archivées sous scellé, hors recherches et hors vivier, puis purgées automatiquement à 60 mois (délai de prescription en matière de discrimination).
• À la fin d'un abonnement, le cabinet exporte tout, puis les données sont supprimées, sauvegardes comprises à l'expiration de leur cycle.

Qui traite quoi

• Supabase (Irlande) : base de données, fichiers, authentification.
• OVH (France) : serveur applicatif, site, emails de service.
• OpenAI et Anthropic (États-Unis, clauses contractuelles types) : modèles d'intelligence artificielle.
• Cloudflare : protection anti-robot des formulaires du site.
• Cal.com : prise de rendez-vous pour la démonstration.

Pour chaque cabinet client, le cabinet est responsable de traitement et ACALIZ sous-traitant. L'accord de sous-traitance (DPA) détaille ces engagements : écrivez à support@acaliz.com.

Signaler un problème

Une faille, un doute, un comportement anormal : écrivez à support@acaliz.com. Une procédure d'incident écrite guide la réponse, la correction et l'information des cabinets concernés.