Politique de confidentialité

1. Introduction

Nexu HR Inc. (« Nexu HR » ou « nous ») exploite Hirlen, la plateforme disponible sur hirlen.com. Cette Politique de confidentialité explique comment nous collectons, utilisons, divulguons et protégeons vos informations lorsque vous utilisez notre service. Nexu HR agit en tant que responsable du traitement des données pour les informations de compte (administrateurs, recruteurs, employés de l'entreprise cliente) et en tant que sous-traitant pour le compte de l'entreprise cliente pour les données des candidats soumises à la page carrières ou au pipeline de cette entreprise. Le client est le responsable du traitement de ces données de candidat.

Aux fins du RGPD, les bases légales de traitement sont : (a) exécution d'un contrat avec le client pour toutes les données nécessaires à la fourniture du service, (b) intérêt légitime pour la sécurité, la prévention de la fraude, l'analyse produit et l'amélioration des services, (c) consentement pour toute intégration facultative que l'utilisateur active explicitement (telle que Google Agenda), et (d) obligation légale pour les dossiers de facturation, la déclaration fiscale et les réponses aux demandes des autorités légitimes.

2. Informations que nous collectons

Nous collectons des informations que vous nous fournissez directement, notamment :

• Informations de compte (nom, e-mail, mot de passe)
• Informations sur l'entreprise (nom, domaine, logo, secteur d'activité)
• Données des employés (noms, rôles, départements, coordonnées)
• Données des candidats (CV, détails de candidature, notes d'entretien)
• Données d'utilisation (fonctionnalités utilisées, actions effectuées au sein de la plateforme)

3. Comment nous utilisons vos informations

Nous utilisons les informations que nous collectons pour :

• Fournir, maintenir et améliorer nos services
• Traiter et gérer votre pipeline de recrutement
• Propulser les fonctionnalités d'IA telles que l'analyse de CV et la génération de questions d'entretien
• Envoyer des notifications liées à vos activités de recrutement
• Traiter les paiements et gérer les abonnements
• Répondre à vos demandes et à vos requêtes d'assistance

4. Traitement par IA et prise de décision automatisée

Nexu HR utilise l'intelligence artificielle (propulsée par Claude d'Anthropic) pour analyser les CV des candidats, générer des questions d'entretien et évaluer les réponses de présélection. Les données des candidats traitées par l'IA sont utilisées uniquement dans le but de fournir ces fonctionnalités à l'organisation cliente. Nous n'utilisons pas vos données pour entraîner des modèles d'IA.

Divulgation Article 22. Les scores d'adéquation et les recommandations générés par l'IA sont une aide à la décision, et non des décisions automatisées. Un recruteur ou un responsable du recrutement humain examine toujours le résultat de l'IA avant toute action d'embauche. Nexu HR ne produit pas d'effets juridiques ou significatifs similaires sur les candidats sans un examen humain significatif. Si vous êtes candidat et souhaitez un examen uniquement humain, une explication du fonctionnement de la notation par l'IA pour votre candidature, ou si vous souhaitez vous opposer au traitement de vos données par l'IA, contactez privacy@nexuhr.com et nous transmettrons la demande à l'organisation cliente concernée.

5. Données utilisateur Google

Nexu HR s'intègre à Google Agenda pour permettre aux recruteurs et aux responsables du recrutement de planifier des entretiens en fonction de leurs disponibilités réelles. Lorsque vous connectez votre compte Google, Nexu HR demande les champs d'application OAuth suivants :

• openid, email, profile — pour identifier votre compte Google et le lier à votre utilisateur Nexu HR.
• .../auth/calendar.readonly — pour lire vos événements de calendrier existants afin que nous puissions calculer les plages libres/occupées et éviter les doubles réservations.
• .../auth/calendar.events — pour créer, mettre à jour et annuler des événements d'entretien sur votre calendrier lorsqu'un candidat réserve une plage horaire ou que vous reprogrammez une réunion depuis Nexu HR.

Comment nous utilisons les données utilisateur Google

• Nous lisons les plages libres/occupées de votre Google Agenda principal pour afficher les disponibilités réelles aux candidats dans les liens de planification de Nexu HR.
• Nous créons des événements de calendrier pour les entretiens confirmés, incluant le candidat, le panel d'intervieweurs, le lien de réunion (Google Meet ou externe) et l'ordre du jour.
• Nous mettons à jour ou supprimons ces événements lorsqu'un entretien est reprogrammé ou annulé depuis Nexu HR.
• Les données de profil (nom, e-mail, photo) sont utilisées uniquement pour identifier votre compte Google et l'afficher dans les paramètres du compte.

Comment nous stockons les données utilisateur Google

Nous stockons le jeton d'actualisation OAuth et un jeton d'accès de courte durée pour votre compte Google afin que nous puissions effectuer des opérations de calendrier en votre nom. Les jetons sont chiffrés au repos et associés à votre utilisateur Nexu HR. Les métadonnées des événements de calendrier que nous créons via Nexu HR (ID d'événement, début/fin, participants) sont stockées avec l'enregistrement d'entretien correspondant afin que nous puissions maintenir la synchronisation entre les deux. Nous ne stockons pas le corps de vos événements de calendrier existants ; nous lisons uniquement les plages libres/occupées.

Comment nous partageons les données utilisateur Google

Nous ne vendons pas, louons pas, ni ne partageons les données utilisateur Google avec des tiers. Nous ne utilisons pas les données utilisateur Google à des fins publicitaires. Nous ne utilisons pas les données utilisateur Google pour entraîner, affiner ou améliorer un modèle d'IA ou d'apprentissage automatique. Les seuls humains qui peuvent lire les données utilisateur Google sont : (a) vous et les membres de votre espace de travail Nexu HR à qui vous accordez explicitement la permission de planifier en votre nom, et (b) les ingénieurs de Nexu HR lorsque cela est strictement nécessaire pour enquêter sur un incident de sécurité ou une demande d'assistance que vous avez soumise, et uniquement avec votre consentement.

Déconnexion et suppression des données Google

Vous pouvez déconnecter votre compte Google à tout moment depuis Préférences → IntégrationsLorsque vous vous déconnectez, nous révoquons le jeton d'actualisation auprès de Google et supprimons immédiatement les jetons stockés. Vous pouvez également révoquer l'accès à tout moment depuis votre page des autorisations de compte Google.

L'utilisation et le transfert par Nexu HR des informations reçues des API Google sont conformes à la Politique relative aux données utilisateur des services API Google, y compris les exigences d'utilisation limitée.

6. Partage des données

Nous ne vendons pas vos informations personnelles. Nous pouvons partager vos informations avec :

• Fournisseurs de services : Vercel (hébergement et analyse web sans cookies), Supabase (base de données et authentification), Stripe (traitement des paiements), Anthropic (traitement IA), Resend (e-mails transactionnels), Cloudflare Turnstile (protection contre les bots lors de l'inscription)
• Comme l'exige la loi ou une procédure judiciaire
• Pour protéger nos droits, notre vie privée, notre sécurité ou nos biens

7. Sécurité des données

Nous mettons en œuvre des mesures de sécurité conformes aux normes de l'industrie, y compris le chiffrement en transit (TLS), le chiffrement au repos, les politiques de sécurité au niveau des lignes et les contrôles d'accès basés sur les rôles pour protéger vos données.

8. Rétention des données

Nous conservons vos données tant que votre compte est actif ou aussi longtemps que nécessaire pour fournir les services. Lorsqu'un espace de travail est marqué pour suppression (soit par vous, soit automatiquement après une longue période d'inactivité suite à l'annulation de l'abonnement), l'espace de travail et toutes ses données sont conservés pendant une période de grâce de 90 jours durant laquelle le client peut récupérer le compte en nous contactant.

Après la période de grâce de 90 jours, une tâche quotidienne automatisée (purge_expired_companies) s'exécute à 03:00 UTC et supprime définitivement l'espace de travail et tous les enregistrements associés. Chaque purge est enregistrée dans un journal d'audit interne afin que nous puissions prouver que la suppression a eu lieu selon le calendrier promis. Vous pouvez demander une suppression anticipée à tout moment en envoyant un e-mail à privacy@nexuhr.com; nous traiterons les demandes vérifiées dans les 30 jours.

9. Vos droits

Vous avez le droit de :

• Accéder à vos données personnelles (Art. 15)
• Rectifier les données inexactes (Art. 16)
• Demander la suppression de vos données (Art. 17)
• Exporter vos données dans un format portable (Art. 20)
• Vous opposer ou restreindre le traitement de vos données (Art. 18 & 21)
• Retirer tout consentement que vous avez précédemment accordé, à tout moment, sans affecter la licéité du traitement avant le retrait
• Déposer une plainte auprès de votre autorité locale de contrôle de la protection des données si vous estimez que nous n'avons pas traité vos données conformément à la loi applicable (Art. 77)

10. Transferts internationaux

Plusieurs de nos sous-traitants sont situés aux États-Unis, notamment Supabase, Vercel, Stripe, Anthropic et Resend. Lorsque des données personnelles sont transférées en dehors de l'Espace économique européen, nous nous appuyons sur les Clauses Contractuelles Types (CCT) de la Commission européenne et appliquons les mesures supplémentaires recommandées par le CEPD après Schrems II, y compris le chiffrement en transit et au repos. La liste complète des sous-traitants et de leur localisation est disponible à l'adresse /sub-processors.

11. Contact

Pour toute question relative à la confidentialité, contactez-nous à privacy@nexuhr.com