Contrat de sous-traitance (DPA)
Ce contrat, accepté à l'inscription avec les CGV, encadre le traitement des données personnelles que Plugply réalise pour le compte de ses clients, conformément à l'article 28 du RGPD.
1. Parties et rôles
Le Client, qui utilise le Service pour ses recrutements, est responsable de traitement. Mickael Peyrot, éditeur de Plugply (entrepreneur individuel, SIRET 522 441 211 00011), estsous-traitant : il traite les données uniquement pour le compte du Client et sur ses instructions. Les termes en majuscules ont le sens que leur donnent les CGV.
2. Description du traitement
| Finalité | Gestion des recrutements du Client : réception, conservation, consultation et suivi des candidatures. |
|---|---|
| Opérations | Collecte par le Formulaire, stockage, analyse antivirus des fichiers, consultation, annotation, notification par email, export et suppression. |
| Personnes concernées | Candidats ; Utilisateurs de l'Organisation. |
| Données | Candidats : nom, prénom, email, téléphone (facultatif), CV, lettre de motivation et message (facultatifs), offre visée, page de dépôt, date du consentement, statut et notes ajoutés par le Client. Utilisateurs : nom, email, rôle, journal des actions. |
| Données sensibles | Aucune n'est demandée. Un Candidat peut en faire figurer dans ses documents ; le Client les traite alors avec la prudence requise. |
| Durée | Durée de conservation choisie par le Client (6, 12, 18 ou 24 mois après le dépôt), puis suppression automatique ; au plus tard à la clôture de l'Organisation. |
3. Instructions du Client
Les instructions du Client résultent des CGV, du présent contrat et des réglages qu'il fait dans le Service (durée de conservation, information des Candidats, suppressions). Plugply informe le Client s'il estime qu'une instruction est contraire au RGPD.
4. Confidentialité
Plugply ne consulte les données du Client que lorsque c'est nécessaire au fonctionnement du Service, à une demande du Client ou à une obligation légale. Toute personne autorisée à y accéder est tenue à la confidentialité. Les outils d'exploitation de Plugply n'affichent jamais le contenu d'une candidature.
5. Sécurité
Plugply met en œuvre notamment les mesures suivantes :
- hébergement des données et des fichiers en France, chez OVHcloud ;
- chiffrement des échanges (HTTPS) et en-têtes de sécurité stricts ;
- envoi des fichiers directement du navigateur du Candidat vers un stockage privé, par des liens signés valables quelques minutes ; les fichiers ne passent pas par l'éditeur du Site ;
- analyse antivirus de chaque fichier avant toute consultation ;
- cloisonnement des données de chaque Organisation, vérifié par des tests automatisés ;
- connexion des Utilisateurs par lien à usage unique, sans mot de passe ;
- journal d'audit des consultations de fichiers et des actions sensibles, visible du Client ;
- sauvegardes chiffrées toutes les 6 heures, conservées 30 jours, dont la clé de déchiffrement n'est pas stockée sur les serveurs ;
- serveurs accessibles par clé SSH uniquement, pare-feu, mises à jour de sécurité automatiques.
6. Sous-traitants ultérieurs
Le Client autorise Plugply à recourir aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH SAS (OVHcloud) | Hébergement, base de données, stockage des fichiers, sauvegardes | France |
| Sendinblue SAS (Brevo) | Envoi des emails (notifications, liens de connexion) | France / Union européenne |
| Stripe Payments Europe Ltd | Abonnement et facturation du Client ; aucune donnée de Candidat | Irlande (transferts hors UE encadrés par des clauses contractuelles types) |
Plugply informe le Client par email au moins 30 jours avant tout ajout ou remplacement ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier. Plugply impose à ses sous-traitants des obligations de protection équivalentes. L'éditeur du Site du Client (par exemple Framer) n'est pas un sous-traitant de Plugply : il ne reçoit aucune donnée de candidature.
7. Droits des personnes
Le Service permet au Client de répondre lui-même aux demandes des Candidats : retrouver toutes les candidatures d'une adresse email, les exporter ou les supprimer. Si un Candidat s'adresse à Plugply, sa demande est transmise au Client sans délai.
8. Violation de données
Plugply notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL et, le cas échéant, aux personnes concernées.
9. Assistance et audit
Plugply aide le Client, sur demande, pour ses analyses d'impact et ses échanges avec la CNIL. Il met à sa disposition les informations nécessaires pour démontrer le respect du présent contrat, et permet un audit par an, à la charge du Client, sur préavis de 30 jours, par un auditeur tenu à la confidentialité.
10. Fin du traitement
À la clôture de l'Organisation, à l'initiative du Client ou automatiquement (voir les CGV), Plugply supprime l'ensemble des données ; celles encore présentes dans les sauvegardes sont effacées au plus tard 30 jours après. Avant la clôture, le Client peut récupérer ses données depuis le Service.
11. Contact
Pour toute question sur la protection des données : contact@plugply.com.
Dernière mise à jour : 16 octobre 2026.