Registre fournisseurs ATS : gouvernance RGPD pratique

Le cabinet connaît son ATS. Mais connaît-il le service d’envoi d’e-mails, l’outil de transcription, l’hébergeur, le module d’enrichissement et la plateforme de support qui peuvent tous toucher une donnée candidat ? Au moment du questionnaire sécurité d’un client, la réponse devient une chasse aux contrats. Une liste de logos ne suffit pas. Il faut savoir quel fournisseur traite quoi, dans quel rôle, avec quels sous-traitants ultérieurs, depuis quels lieux et sous quelles conditions un technicien peut ouvrir un dossier.

Comment tenir un registre des fournisseurs ATS ?

Inventoriez chaque fournisseur et intégration qui traite ou peut accéder aux données candidates. Pour chacun, documentez le service, le rôle juridique évalué, les finalités, catégories de données et de personnes, lieux de traitement, transferts, sous-traitants ultérieurs, contrat article 28 lorsque requis, mesures de sécurité, durée, assistance aux droits, notification d’incident, accès support, propriétaire et prochaine revue.

Reliez le registre aux décisions réelles : nouvel outil, changement de sous-traitant, ticket support nécessitant un accès, renouvellement, modification de fonctionnalité et fin de contrat. Le registre ne remplace ni le registre des activités de traitement ni l’analyse des rôles. Un éditeur peut être sous-traitant pour le service ATS et responsable pour certains traitements propres ; la qualification dépend des faits, pas du titre commercial choisi.

1. Définir le périmètre au-delà du contrat principal

Incluez les services qui voient les données, les déplacent ou peuvent y accéder, même de façon ponctuelle.

Commencez par l’ATS et suivez les flux : import LinkedIn autorisé, messagerie, calendrier, signature, stockage, analyse, transcription, visioconférence, authentification, sauvegarde, observabilité et assistance. Examinez aussi les outils activés directement par un consultant avec une carte bancaire. Un module gratuit qui reçoit des CV reste un traitement potentiel. Le registre doit couvrir la chaîne utile, sans confondre chaque fournisseur bureautique de l’entreprise avec un sous-traitant du recrutement.

Croisez quatre sources : contrats et factures, catalogue SSO, intégrations actives dans l’ATS et entretiens avec les équipes. Les écarts sont instructifs. Un contrat peut subsister après désactivation ; une intégration peut être active sans achat central ; un fournisseur peut changer de nom après acquisition. Attribuez un identifiant interne stable et reliez les anciens noms. Sinon, la même société apparaîtra trois fois tandis qu’un service réellement utilisé restera absent.

• Service et fonctionnalité réellement utilisés
• Flux de données entrant et sortant
• Compte propriétaire dans le cabinet
• Contrat, intégration et date de découverte

2. Qualifier le rôle à partir des faits

Le mot « plateforme » ne dit pas si le fournisseur agit comme sous-traitant, responsable ou dans plusieurs rôles.

Demandez qui détermine les finalités et les moyens essentiels. Lorsque le prestataire traite les données uniquement pour fournir le service selon les instructions du cabinet, la sous-traitance est souvent la qualification pertinente. S’il réutilise certaines données pour une finalité propre, cette activité doit être analysée séparément. Les lignes directrices 07/2020 du CEPD rappellent que les rôles se déterminent au regard des activités réelles et qu’un contrat ne peut pas simplement rebaptiser la situation.

Documentez l’analyse avec le DPO : traitement concerné, décisions prises par chaque partie, instruction, réutilisation, assistance et conclusion. Réévaluez-la lorsque le produit ajoute un modèle d’IA, une place de marché ou une fonction d’analyse mutualisée. N’écrivez pas « conforme RGPD » dans le registre. Notez des faits vérifiables et les points ouverts. Une qualification honnête avec une action de suivi vaut mieux qu’une case verte sans raisonnement.

3. Rendre le contrat article 28 opérationnel

Le contrat doit décrire le traitement et les obligations concrètes, pas seulement recopier le règlement.

Pour une relation de sous-traitance, vérifiez l’objet, la durée, la nature, la finalité, les types de données, les catégories de personnes et les droits et obligations du responsable. Examinez aussi la confidentialité, la sécurité, l’assistance aux droits et incidents, les audits, le sort des données en fin de service et les conditions de sous-traitance ultérieure. Associez le DPA ou la clause à la bonne version du contrat. Un lien vers des conditions modifiables mérite une date de capture et une surveillance.

Transformez les clauses en propriétaires. Qui ouvre une demande d’export ? Qui reçoit l’alerte d’incident ? Qui objecte à un nouveau sous-traitant ? Qui demande le retour ou la suppression à la sortie ? Le contrat peut imposer une assistance sans indiquer l’adresse du support ou le délai interne. Ajoutez ces détails dans une fiche opérationnelle, sans modifier unilatéralement le contrat. Le jour où un candidat exerce son droit, personne ne devrait découvrir le circuit.

1. Associer le contrat et sa version au service.
2. Extraire les obligations qui exigent une action.
3. Nommer un propriétaire et un canal pour chaque action.
4. Tester l’assistance sur un dossier fictif.

4. Suivre toute la chaîne de sous-traitance

Le cabinet doit pouvoir connaître les sous-traitants ultérieurs et réagir à leurs changements selon le contrat.

Enregistrez le nom légal, le service fourni, les lieux pertinents et la date d’ajout de chaque sous-traitant ultérieur communiqué. Conservez le lien vers la liste du fournisseur et, lorsqu’elle change, l’avis reçu. L’article 28 prévoit qu’une autorisation générale s’accompagne d’une information sur les ajouts ou remplacements afin de permettre une objection. Votre procédure doit donc préciser qui reçoit l’avis, combien de temps il a pour l’examiner et quels critères déclenchent l’escalade.

Un changement n’est pas automatiquement acceptable ou inacceptable. Comparez données concernées, fonction, pays, transferts, mesures, alternatives et impact contractuel. Si l’information reste vague, demandez-la. Ne copiez pas une liste de cinquante fournisseurs dans un tableur sans savoir lesquels servent réellement votre environnement. Gardez toutefois la chaîne complète accessible lorsque le prestataire l’utilise pour votre service. La visibilité précède l’évaluation.

Recevoir un avis n’est pas le traiter. Sans propriétaire, échéance et décision, la notification de sous-traitant finit dans une boîte mail oubliée.

5. Encadrer les accès du support et de la maintenance

Un rôle technique permanent ne doit pas ouvrir tous les dossiers par commodité.

Définissez le parcours d’un ticket nécessitant des données : motif, environnement, approbation, utilisateur du prestataire, périmètre, heure d’ouverture, durée, journal et fermeture. Privilégiez les données de test ou une vue masquée lorsqu’elles suffisent. Si un accès à la production est nécessaire, limitez-le au cas, utilisez une authentification forte et revoyez les actions. La CNIL recommande d’encadrer les opérations de support et d’ouvrir les accès de télémaintenance pour une durée adaptée à l’intervention.

Interdisez le partage de comptes génériques lorsque des comptes nominatifs sont possibles. Évitez d’envoyer un CV complet dans un ticket si une référence technique ou une capture occultée permet le diagnostic. À la clôture, retirez l’élévation et vérifiez les pièces jointes du support. Enregistrez l’issue sans recopier les données candidates dans un nouveau journal accessible à tous. L’objectif est une intervention explicable, pas une seconde base dans l’outil de tickets.

6. Organiser les revues selon les événements et les risques

Une revue annuelle uniforme ne suffit pas pour un fournisseur qui change de service ou traite de nouvelles données.

Fixez une cadence de base puis ajoutez des déclencheurs : renouvellement, changement de DPA, nouveau pays, nouveau sous-traitant, incident, audit, fonctionnalité d’IA, extension des catégories de données ou hausse importante du volume. Les fournisseurs sans données candidates directes peuvent suivre une revue plus légère. Ceux qui hébergent l’ATS, enrichissent des profils ou accèdent à la production méritent une attention plus fréquente et des preuves adaptées.

Suivez les actions ouvertes, pas seulement une note de risque. « Certification à renouveler », « localisation non confirmée » ou « processus de suppression non testé » doit avoir un propriétaire et une échéance. SOC 2 Type I peut faire partie des éléments examinés pour Yena, mais aucune attestation ne remplace l’analyse du service, du contrat et de vos propres usages. Une certification couvre un périmètre et une période. Lisez-les.

7. Préparer la sortie avant d’en avoir besoin

La fin du contrat doit préciser export, retour, suppression, copies résiduelles, accès et preuve de clôture.

Documentez les formats disponibles, les dépendances, le délai, le responsable de l’export et la manière de vérifier son intégrité. Identifiez les données qui doivent être rendues ou supprimées, les sauvegardes soumises à un cycle technique, les journaux conservés pour sécurité et les obligations légales éventuelles. Retirez clés API, comptes support, SSO et webhooks. Une facture résiliée ne ferme pas toujours une intégration.

Demandez la confirmation prévue au contrat et consignez les exceptions. Puis mettez à jour le registre des activités, les notices, les procédures de droits et la documentation client si le changement les affecte. Yena peut centraliser des flux candidats dans un même système et offrir un cadre d’accès ; votre cabinet doit tout de même gouverner l’écosystème qu’il active autour. Le registre sert justement à voir ces choix avant qu’un audit ou un incident ne les révèle.

Champs d’un registre fournisseurs ATS

Le registre doit permettre une décision, une intervention et une sortie. Une simple liste de noms n’atteint aucun de ces objectifs.

Ce que le registre ne prouve pas à lui seul

Une ligne complète ne démontre pas que toutes les obligations sont respectées. Elle rend les contrôles possibles. La qualification des rôles, les transferts, les mesures de sécurité et les clauses doivent être examinés selon le service réel avec les personnes compétentes.

Tous les fournisseurs ne sont pas automatiquement des sous-traitants au sens de l’article 28, et un même acteur peut avoir plusieurs rôles. Ce guide ne remplace pas une analyse juridique ni un audit technique. Il aide le cabinet à rassembler les faits et à suivre les décisions.

Questions fréquentes sur les fournisseurs ATS

Le registre devient utile lorsque chaque réponse renvoie vers une preuve, un propriétaire et une prochaine action.

Le registre fournisseurs remplace-t-il le registre des traitements ?

Non. Le registre des traitements décrit les activités et obligations prévues par l’article 30. Le registre fournisseurs détaille la chaîne de services et peut l’alimenter, mais il ne le remplace pas.

Un accès support ponctuel relève-t-il de la sous-traitance ?

Il peut être pertinent même s’il est occasionnel. La CNIL cite notamment la maintenance. Analysez le rôle, encadrez le contrat et limitez techniquement chaque intervention nécessaire.

Que faire lors de l’ajout d’un sous-traitant ultérieur ?

Vérifiez l’avis, le service, le lieu, les données, les garanties et les modalités d’objection prévues. Enregistrez la décision et mettez à jour la chaîne avant l’échéance.

Une certification suffit-elle pour approuver un ATS ?

Non. Elle constitue un élément de preuve dans son périmètre. Vérifiez aussi le service utilisé, les rôles, le contrat, les accès, les transferts, les incidents, les droits et la sortie.

Sources officielles sur la sous-traitance RGPD

La CNIL et le CEPD précisent les rôles, les contrats, la chaîne de sous-traitance et les contrôles de sécurité.

• CNIL — Sécurité : gérer la sous-traitance
• CNIL — Encadrer la maintenance et la fin de vie
• CEPD — Lignes directrices 07/2020 sur les rôles

Relier fournisseurs, sécurité et cycle de vie

Relier contrat de recrutement et gouvernance · Tester la suppression dans toute la chaîne · Évaluer un logiciel de recrutement · Voir la gouvernance du CRM Yena