Les données de vos clients, traitées dans les règles
Carriva agit en sous-traitant au sens de l'article 28 du RGPD. Chiffrement TLS 1.3, exclusion contractuelle de l'entraînement des IA, sous-traitants listés et durées de conservation claires : voici comment vous restez conforme quand vous auditez un relevé de carrière.
Qui est responsable de quoi
Le RGPD distingue deux rôles. Carriva porte les deux, selon les données concernées, et c'est cette répartition qui vous permet de savoir précisément ce qui relève de vous et ce qui relève de nous.
Responsable de traitement
Quand vous importez le relevé de carrière d'un client, vous décidez de la finalité et des moyens du traitement. Vous êtes responsable de traitement au sens de l'article 4.7 du RGPD, et déterminez la base légale (mandat ou consentement de votre client).
Sous-traitant (article 28)
Carriva traite les données de vos clients uniquement pour votre compte et sur votre instruction documentée. Pour les données de votre propre compte (identifiants, facturation), Carriva agit en revanche comme responsable de traitement autonome.
Chiffrement et isolation
Chiffrement en transit et au repos
Tous les échanges sont protégés par TLS 1.3. Les relevés, fichiers importés et livrables générés sont stockés chiffrés.
Isolation par cabinet
Architecture multi-tenant : les données d'un cabinet sont cloisonnées et jamais accessibles à un autre cabinet.
Filtrage du NIR avant l'IA
Le numéro de sécurité sociale et l'état civil complet sont expurgés avant tout appel à l'Assistant IA, à PostHog ou à Sentry.
Traçabilité et double authentification
Journal horodaté des accès aux dossiers, authentification sécurisée avec support de la double authentification.
Où vivent les données
Les relevés de carrière et les livrables générés sont stockés sur une infrastructure située dans l'Union européenne. La mesure d'audience (PostHog, Francfort) et le monitoring d'erreurs (Sentry) sont également hébergés dans l'UE.
Nous préférons être exacts plutôt que rassurants : certains sous-traitants fonctionnels sont établis aux États-Unis. Stripe traite les paiements, Cloudflare protège et distribue le réseau, les fournisseurs de modèles assurent l'Assistant IA lorsque vous l'activez, et Resend achemine les emails. Ces transferts sont encadrés par les clauses contractuelles types (CCT) adoptées par la Commission européenne et, lorsque disponible, par le Data Privacy Framework UE-USA.
Carriva ne revendique ni certification HDS, ni certification ISO 27001, ni qualification SecNumCloud. Nous décrivons ce que nous faisons réellement, sans label que nous ne détenons pas.
La liste complète
| Sous-traitant | Service | Données traitées | Localisation |
|---|---|---|---|
| Cloudflare | CDN, tunnel, DNS | Adresses IP, requêtes HTTP | USA / UE |
| OpenRouter / OpenAI / Anthropic | Moteur d'Assistant IA (RAG, opt-in) | Questions et contexte du dossier, sans NIR ni état civil complet | USA (CCT + DPF) |
| Stripe | Paiement et facturation | Email, nom, données bancaires (tokenisées) | USA (PCI-DSS, CCT, DPF) |
| Resend | Emails transactionnels | Email, nom, contenu des messages | USA (CCT) |
| PostHog | Mesure d'audience produit | Événements de navigation, identifiant pseudonyme | UE (Francfort) |
| Sentry | Monitoring d'erreurs | Données techniques (identifiant pseudonyme, trace d'erreur) | UE |
| Inngest | Orchestration de tâches asynchrones | Identifiants pseudonymes, email (envois différés) | USA (CCT) |
Le NIR et l'état civil complet des personnes figurant dans les relevés de carrière ne sont transmis à aucun de ces sous-traitants. Le détail figure dans la politique de confidentialité.
Vos données n'entraînent aucun modèle
L'Assistant conversationnel est désactivé par défaut et ne s'active que sur une action explicite de votre part. Lorsqu'il est actif, seules les questions et un contexte limité du dossier sont transmis aux fournisseurs de modèles.
Un filtre applicatif supprime le NIR, le nom complet et la date de naissance avant tout appel distant. Nous sélectionnons des endpoints configurés en mode zéro rétention, et l'exclusion de la réutilisation des données pour l'entraînement des modèles est prévue contractuellement.
Durées de conservation
- Données métier (relevés, rapports, hypothèses, lettres)
- Supprimées 30 jours après la clôture du compte.
- Données de compte du cabinet
- Durée de la relation contractuelle + 3 ans après la résiliation.
- Conversations Assistant IA
- 12 mois maximum, puis suppression automatique. Zéro rétention négociée côté fournisseurs de modèles.
- Journal d'activité (accès dossiers)
- 24 mois.
- Données de facturation
- 10 ans, conformément aux obligations comptables.
Droits des personnes concernées
Carriva met à votre disposition, dans la plateforme, les outils pour répondre aux demandes de vos clients. Vous en restez l'interlocuteur, Carriva prête son concours en tant que sous-traitant.
Droit d'accès
Obtenir la confirmation du traitement et une copie des données.
Droit de rectification
Corriger les données inexactes ou incomplètes.
Droit à l'effacement
Demander la suppression des données, sous réserve des obligations légales.
Droit à la portabilité
Recevoir les données dans un format structuré et lisible par machine.
Droit d'opposition
S'opposer à tout moment aux traitements fondés sur l'intérêt légitime.
Droit de limitation
Demander la limitation du traitement dans les cas prévus par le RGPD.
Puis-je importer le relevé d'un client ?
Oui, à condition de disposer d'une base légale. En important le relevé de carrière d'un client, vous traitez les données personnelles d'un tiers : vous en êtes responsable de traitement. Carriva n'intervient qu'en sous-traitant, sur vos instructions.
En pratique, cette base légale prend la forme du mandat ou du consentement de votre client, recueilli dans le cadre de votre mission de conseil. Vous devez également informer votre client du recours à Carriva, de la finalité, de la durée de conservation et de ses droits, et documenter ce traitement dans votre registre des activités de traitement (article 30 du RGPD).
Cette page décrit le partage des rôles prévu par le RGPD ; elle ne remplace pas l'analyse de votre propre conformité. Nous vous recommandons de faire valider votre base légale et vos mentions d'information par votre conseil habituel.
Le DPA au titre de l'article 28
L'accord de sous-traitance (Data Processing Agreement) encadre le traitement des données de vos clients par Carriva : nature des opérations, catégories de données, sécurité, sous-traitants ultérieurs, notification des violations et restitution en fin de contrat. Il fait partie intégrante du contrat conclu à la souscription. Vous pouvez le télécharger dès maintenant.
Si votre conformité interne exige un exemplaire bilatéral signé, nous vous le transmettons également sur demande.
Questions fréquentes
Ai-je besoin d'un mandat ou du consentement de mon client pour importer son relevé de carrière dans Carriva ?
Oui. En important le RIS d'un client, vous traitez les données personnelles d'un tiers : vous êtes responsable de traitement et devez disposer d'une base légale valable. En pratique, cela passe par le mandat ou le consentement de votre client, recueilli dans le cadre de votre mission de conseil. Carriva agit uniquement comme sous-traitant, sur vos instructions. Nous vous recommandons de faire valider votre base légale et vos mentions d'information par votre conseil habituel.
Sur quelle base Carriva traite-t-il les données de mon client ?
Carriva agit en qualité de sous-traitant au sens de l'article 28 du RGPD : la plateforme traite les données du client final uniquement pour votre compte et sur votre instruction documentée. C'est vous, cabinet, qui restez responsable de traitement et qui déterminez la finalité et la base légale (exécution de votre contrat de mission, consentement ou mandat du client). Carriva ne réutilise jamais ces données pour son propre compte.
Concrètement, que dois-je faire vis-à-vis de mon client ?
Informer votre client que vous analysez son relevé de carrière via un outil tiers (Carriva, sous-traitant), lui indiquer la finalité, la durée de conservation et ses droits, puis recueillir son consentement ou son mandat. Vous devez également documenter ce traitement dans votre propre registre des activités de traitement (article 30 du RGPD). Carriva met à votre disposition les outils pour répondre aux demandes d'accès, de rectification ou d'effacement de vos clients.
Carriva utilise-t-il les données de mes clients pour entraîner des intelligences artificielles ?
Non. L'Assistant IA est désactivé par défaut. Lorsque vous l'activez, un filtre applicatif supprime le NIR, le nom complet et la date de naissance avant tout appel distant, et nous sélectionnons des endpoints en mode zéro rétention qui excluent contractuellement la réutilisation des données pour l'entraînement des modèles.
Où sont hébergées les données de mes clients ?
Les relevés de carrière et les livrables générés sont stockés sur une infrastructure de stockage située dans l'Union européenne. La mesure d'audience (PostHog, Francfort) et le monitoring d'erreurs (Sentry) sont également hébergés dans l'UE. Certains sous-traitants fonctionnels (Stripe pour le paiement, Cloudflare pour le réseau, les fournisseurs de modèles IA, Resend pour les emails) sont établis aux États-Unis : ces transferts sont encadrés par les clauses contractuelles types (CCT) et, lorsque disponible, par le Data Privacy Framework UE-USA. Carriva ne revendique ni certification HDS, ni ISO 27001, ni qualification SecNumCloud.
Puis-je obtenir un DPA (accord de sous-traitance) signé ?
Oui. L'accord de sous-traitance au titre de l'article 28 du RGPD est consultable en ligne et téléchargeable directement depuis cette page. Il fait partie intégrante du contrat conclu à la souscription. Si votre conformité interne exige un exemplaire bilatéral signé, écrivez-nous : nous vous transmettons un DPA à signer.
Votre interlocuteur protection des données
Pour toute question relative au traitement des données de vos clients, à l'exercice de leurs droits ou à la signature d'un DPA bilatéral, le délégué à la protection des données de Carriva est joignable à [email protected].
Carriva est par ailleurs couvert par une assurance de responsabilité civile professionnelle, qui couvre les conséquences pécuniaires de sa responsabilité, y compris en matière de protection des données personnelles. Une attestation peut être communiquée sur demande.
Prêt à auditer en toute conformité ?
Découvrez comment Carriva s'intègre à votre cabinet, du premier relevé au courrier de réclamation.
Découvrir Carriva Pro