Accord de traitement des données

Révisé le : 17 octobre 2026

Date d’entrée en vigueur : La date indiquée dans l’avis de publication, après l’expiration du délai de préavis applicable.

Opérateur : 360 Agency Middle East FZ LLC, Creative City, Fujairah, Émirats arabes unis

Contact : admin@stafffinder.io | Site web : www.stafffinder.io

Le présent accord régit uniquement le traitement de données personnelles réellement effectué par Staff Finder sur instructions documentées d’un employeur. Il complète les Conditions Générales pour les Employeurs. Il ne transfère pas aux employeurs le contrôle de la base de données des candidats de Staff Finder ni de son processus de vérification.

1. Introduction

Le présent DPA fait partie des Conditions Générales pour les Employeurs et s’applique lorsque la loi applicable en matière de protection des données exige un arrangement responsable de traitement / sous-traitant pour un service employeur déterminé. Les exigences impératives du Décret-loi fédéral n° 45 de 2021 des Émirats arabes unis et de toute autre loi applicable en matière de protection des données prévalent. Un service n’est pas considéré comme une activité de sous-traitance du seul fait qu’un employeur utilise la plateforme.

2. Rôles des parties

Pour le traitement effectué exclusivement sur instructions documentées d’un employeur, 360 Agency Middle East FZ LLC agit en qualité de Sous-traitant et l’employeur agit en qualité de Responsable du traitement. L’activité réelle détermine les rôles.

Staff Finder agit en qualité de responsable du traitement indépendant pour sa base de données de candidats, l’inscription des candidats, la vérification, les évaluations professionnelles, le matching, la présentation et la visibilité, la sécurité de la plateforme, les paiements et l’administration de l’entreprise. Les employeurs agissent en qualité de responsables du traitement indépendants pour leurs propres décisions de recrutement, leurs interactions avec les candidats et leur utilisation ultérieure des données divulguées. Ces activités de responsable du traitement indépendant échappent aux obligations de sous-traitant prévues par le présent DPA et sont régies par la loi applicable, la Politique de confidentialité et les Conditions Générales pour les Employeurs.

3. Portée du traitement

Lorsqu’il est fourni exclusivement sur instructions de l’employeur, le traitement peut comprendre l’hébergement de dossiers de recrutement contrôlés par l’employeur et la facilitation de communications ou de flux de travail au sein du compte de cet employeur. L’objet est le service employeur convenu ; la durée est celle du service ainsi que le délai de suppression prévu à l’article 10. Les opérations peuvent comprendre la collecte, le stockage, l’organisation, la transmission, le contrôle d’accès et la suppression pour ce service. La base de données des candidats, la vérification, le matching, la sécurité et le traitement des paiements déterminés de manière indépendante par Staff Finder sont exclus du périmètre de sous-traitance.

4. Types de données traitées

Dans le cadre du service de sous-traitance, les données peuvent comprendre les noms et coordonnées des candidats et des représentants de l’employeur, la correspondance de recrutement, les dossiers d’entretien ou de candidature et les informations fournies par l’employeur nécessaires au flux de travail convenu. Les personnes concernées sont les candidats concernés, les référents le cas échéant et les représentants de l’employeur. L’employeur ne doit pas donner pour instruction de traiter des données sensibles non nécessaires ou d’appliquer des critères de recrutement illicites. Les services de sous-traitance à risque élevé ou substantiellement différents nécessitent un périmètre documenté mis à jour avant tout traitement.

5. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

(a) Traiter les données personnelles uniquement sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts, sauf si la loi applicable l’exige, auquel cas le Sous-traitant informe le Responsable du traitement avant le traitement, sauf interdiction légale ;

(b) Ne pas traiter les données personnelles à d’autres fins que celles prévues par le présent DPA et les Conditions Générales pour les Employeurs, et ne pas vendre, louer ou utiliser autrement les données personnelles à ses propres fins commerciales au-delà du fonctionnement de la plateforme ;

(c) Veiller à ce que toutes les personnes autorisées à traiter les données personnelles soient soumises à des obligations de confidentialité contraignantes ;

(d) Aider le Responsable du traitement, dans la mesure raisonnablement possible et compte tenu de la nature du traitement, à répondre aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité) en vertu de la loi applicable ;

(e) Aider le Responsable du traitement à garantir le respect des obligations de sécurité, des exigences de notification des violations, des analyses d’impact relatives à la protection des données et des obligations de consultation préalable prévues par la loi applicable ;

(f) Tenir un registre des activités de traitement effectuées pour le compte du Responsable du traitement, conformément à l’article 8(7) du PDPL ;

(g) Mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect du présent DPA, et permettre et contribuer aux audits et inspections réalisés par le Responsable du traitement ou pour son compte, moyennant un préavis écrit raisonnable d’au moins 10 jours ouvrables.

6. Mesures de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre l’accès non autorisé, la perte, la destruction, l’altération ou l’usage abusif. Elles comprennent des contrôles d’accès, le chiffrement en transit et au repos, des revues de sécurité régulières et une infrastructure sécurisée fournie par des services d’hébergement cloud certifiés. Les mesures sont réexaminées et mises à jour périodiquement en fonction de l’évolution des risques.

7. Notification des violations de données personnelles

Dès qu’il a connaissance d’une violation de données personnelles affectant des données traitées en vertu du présent DPA, le Sous-traitant en informe le Responsable du traitement dans les meilleurs délais et en tout état de cause dans les 72 heures suivant la prise de connaissance, ou plus tôt lorsque la loi applicable l’exige. La notification comprend, dans la mesure des informations disponibles : la nature de la violation ; les catégories et le nombre approximatif de personnes concernées et d’enregistrements affectés ; les conséquences probables ; et les mesures prises ou proposées pour remédier à la violation.

Le Sous-traitant coopère avec le Responsable du traitement pour toute notification requise aux autorités de contrôle ou aux personnes concernées.

8. Sous-traitants ultérieurs

L’employeur donne une autorisation écrite générale de recourir à des sous-traitants ultérieurs pour le service de sous-traitance convenu, sous réserve du présent article et de l’annexe de service applicable. Les sous-traitants ultérieurs concernés actuels, leurs missions, leurs lieux et leurs dispositifs de transfert doivent être identifiés et mis à disposition avant le début de l’activité de sous-traitance concernée. Le Sous-traitant impose des obligations équivalentes appropriées et demeure responsable de l’exécution par les sous-traitants ultérieurs, comme l’exige la loi et sous réserve de l’article 12. Un prestataire utilisé uniquement pour les activités de responsable du traitement indépendant de Staff Finder n’est pas automatiquement un sous-traitant ultérieur de l’employeur.

Le Sous-traitant notifie au Responsable du traitement tout changement envisagé de la liste des sous-traitants ultérieurs (ajouts ou remplacements) en mettant à jour l’Annexe A et en adressant un avis via la plateforme ou par e-mail. Le Responsable du traitement peut s’opposer à tout nouveau sous-traitant ultérieur dans un délai de 14 jours à compter de la notification, pour des motifs raisonnables de protection des données, en écrivant à admin@stafffinder.io. Si les parties ne parviennent pas à résoudre l’objection, le Responsable du traitement peut résilier les services concernés sans pénalité.

9. Transferts internationaux

Le Sous-traitant ne transfère des données en vertu du présent DPA que sur instructions documentées, y compris la configuration de service convenue, ou lorsque la loi l’exige par ailleurs. Avant un transfert transfrontalier, il met en place un mécanisme ou une exception effectivement autorisé par chaque loi applicable ainsi que toute garantie complémentaire nécessaire. Un contrat de prestataire ou un cadre étranger de protection de la vie privée n’est pas présumé constituer un mécanisme de transfert approuvé aux Émirats arabes unis. Lorsque les règles de transfert du GDPR s’appliquent, les exigences pertinentes du Chapitre V du GDPR doivent également être respectées.

Le détail des mécanismes de transfert applicables à chaque sous-traitant ultérieur est disponible sur demande en contactant admin@stafffinder.io.

10. Conservation des données et post-résiliation

À la fin d’un service de sous-traitance, ou sur instruction documentée valable, le Sous-traitant supprime ou restitue, au choix du Responsable du traitement, les données traitées exclusivement pour son compte dans un délai de 30 jours, sauf si la loi exige une conservation ou si un délai plus court s’applique. Cela ne permet pas à un employeur d’exiger la suppression ou la restitution de l’intégralité de la base de données des candidats contrôlée de manière indépendante par Staff Finder. La suppression du compte d’un candidat est traitée conformément à la Politique de confidentialité, y compris le retrait immédiat de la visibilité auprès des employeurs et la suppression dans un délai de 48 heures, sous réserve d’exceptions licites limitées. Les enregistrements conservés sont limités à leur finalité licite.

11. Droits des personnes concernées

Les utilisateurs peuvent demander l’accès à leurs données personnelles, leur rectification, leur limitation ou leur suppression conformément au PDPL et aux autres lois applicables en matière de protection des données. Ces demandes doivent être adressées à admin@stafffinder.io. Le Sous-traitant aidera le Responsable du traitement à répondre aux demandes dans les délais requis par la loi applicable.

12. Responsabilité

Chaque partie est responsable de sa propre conformité au présent DPA et à la loi applicable en matière de protection des données. Toute responsabilité n’est engagée que lorsque les exigences légales applicables à cette responsabilité sont établies. Le présent DPA ne crée pas de droit automatique à indemnisation.

Dans toute la mesure permise par la loi applicable, le Sous-traitant n’indemnise pas le Responsable du traitement, ne le défend pas et ne le garantit pas contre les amendes, pénalités, réclamations de tiers, frais juridiques, transactions ou autres pertes. Le Responsable du traitement ne peut engager le Sous-traitant dans une transaction, une reconnaissance ou une obligation de paiement sans l’accord écrit préalable du Sous-traitant. Cela n’empêche pas un tribunal ou une autorité compétente d’imposer une responsabilité lorsque la loi applicable l’exige.

Dans toute la mesure permise par la loi applicable, le Sous-traitant n’est pas responsable des pertes imputables aux instructions illicites du Responsable du traitement, à l’usage abusif ou à la divulgation non autorisée de données personnelles, aux décisions d’embauche ou au manquement du Responsable du traitement à ses propres obligations légales. Les déclarations des candidats, le statut des profils, les évaluations et les résultats d’embauche demeurent soumis aux exclusions de l’article 9 des Conditions Générales pour les Employeurs. Ces exclusions n’excusent pas le propre manquement du Sous-traitant à une obligation impérative de protection des données.

Dans toute la mesure permise par la loi applicable, le Sous-traitant exclut sa responsabilité envers le Responsable du traitement pour les pertes indirectes ou consécutives, la perte de profit, de revenu, d’opportunité commerciale ou d’économies escomptées découlant du présent DPA. La présente clause n’exclut pas l’indemnisation que la loi applicable exige de rendre recouvrable.

Rien dans le présent DPA n’exclut ni ne limite une responsabilité ou une obligation qui ne peut légalement être exclue ou limitée, y compris la responsabilité pour fraude, déclaration frauduleuse, faute lourde ou négligence grave lorsque l’exclusion est interdite, ou pour décès ou dommage corporel causé par négligence. Rien ne restreint les droits impératifs des personnes concernées ni les pouvoirs d’une autorité de contrôle compétente. La responsabilité à l’égard des sous-traitants ultérieurs prévue à l’article 8 demeure soumise au présent article 12 et à la loi impérative applicable.

Le présent DPA ne fixe pas de plafond de responsabilité monétaire et ne renvoie à aucun plafond monétaire des Conditions Générales pour les Employeurs. L’absence de plafond monétaire ne constitue pas une promesse d’indemniser le Responsable du traitement et n’étend pas la responsabilité au-delà de celle découlant du présent DPA et de la loi applicable.

13. Durée

Le présent DPA demeure en vigueur pendant toute la durée de l’utilisation de la plateforme par l’employeur et des Conditions Générales pour les Employeurs associées. Les clauses relatives à la confidentialité, au traitement des données après la résiliation, à la responsabilité et au droit applicable survivent à la résiliation du présent DPA.

14. Droit applicable

Le présent accord est régi par le droit des Émirats arabes unis, avec compétence des tribunaux de Fujairah.

Annexe A — Sous-traitants ultérieurs

La présente annexe identifie les catégories de prestataires pertinentes pour la plateforme. La liste réelle applicable à tout service de sous-traitance employeur doit préciser l’entité juridique, la mission, le lieu et le mécanisme de transfert avant le début de cette activité. Les exemples nommés ci-dessous ne constituent pas une déclaration selon laquelle chaque prestataire traite les données de chaque employeur.

Services d’hébergement et de base de données : AWS et Supabase lorsqu’ils sont utilisés pour le service de sous-traitance concerné. Les entités de service réelles, les lieux de traitement et les mécanismes de transfert figurent dans la liste propre au service.

Services d’IA : OpenAI, Anthropic ou un autre prestataire identifié uniquement lorsqu’ils sont activés pour le service de sous-traitance avec les instructions, l’information, l’autorisation et les garanties appropriées. Identifiez le prestataire réel avant de l’activer.

Services de paiement : Stripe ou un autre prestataire de paiement identifié. Le traitement effectué pour la propre facturation de Staff Finder ou pour les finalités légales indépendantes d’un prestataire relève d’une activité de responsable du traitement et non d’une activité de sous-traitance pour l’employeur.

Les analyses et la publicité pour les propres besoins de service de Staff Finder échappent à la présente annexe de sous-traitance employeur et sont traitées dans les Politiques de confidentialité et relative aux cookies, avec tout consentement requis.

Messagerie et communications : identifiez les prestataires réels de courrier électronique, de notifications et d’appels qui traitent des enregistrements sur instructions de l’employeur dans la liste du service concerné avant le début de cet usage.

Maintenez une liste à jour des sous-traitants ultérieurs propre à chaque service, mettez-la à disposition via la plateforme ou sur demande à admin@stafffinder.io, et suivez la procédure d’avis de changement et d’opposition prévue à l’article 8. Ne commencez pas une activité de sous-traitance employeur nécessitant une annexe formelle tant que cette annexe et les garanties nécessaires ne sont pas en place.