Transparence
Sous-traitants et transferts de données
Qui traite les données, pour quoi faire, dans quel pays, et sur quelle base légale lorsque le pays est hors de l'Union européenne. Cette liste est établie en lisant les appels sortants du code, pas en recopiant une politique type.
Dernière mise à jour : 6 octobre 2026. Publiée au titre de l'article 28 du RGPD, qui impose au responsable de traitement de connaître ses sous-traitants ultérieurs.
En une phrase : le traitement applicatif s'exécute en France et la base de données est en Allemagne, donc dans l'Union européenne. En revanche, le contenu que vous soumettez à l'IA — CV, parcours, expériences — est traité par Anthropic aux États-Unis. C'est le seul transfert hors UE portant sur des données de candidature, et nous préférons l'écrire ici plutôt que vous laisser le découvrir.
La liste
| Sous-traitant | Rôle | Données transmises | Pays | Base du transfert |
|---|---|---|---|---|
| Anthropic, PBC | Génération IA : CV, lettres, score ATS, coach d'entretien, agents | Le contenu que vous soumettez : parcours, diplômes, expériences, et l'offre visée | États-Unis | Clauses contractuelles types |
| Vercel Inc. | Hébergement, exécution des fonctions applicatives, réseau de diffusion | Requêtes HTTP, journaux techniques | Exécution en France (Paris) | Société américaine ; clauses contractuelles types |
| Upstash | Base de données : comptes, profils, candidatures suivies, compteurs | Compte, profil professionnel, suivi de candidatures | Allemagne (Francfort) | Pas de transfert hors UE |
| Resend | Emails transactionnels : activation, relances, rapports | Adresse email, prénom, contenu du message | États-Unis | Clauses contractuelles types |
| Stripe | Paiement et facturation | Email, données de carte — jamais vues par EmploiA, et aucune donnée de CV | Irlande et États-Unis | Clauses contractuelles types |
| Plausible Analytics | Mesure d'audience sans cookie | Page consultée, évènement d'usage — aucun identifiant personnel | Union européenne | Pas de transfert hors UE |
| France Travail | Recherche d'offres d'emploi | Mots-clés et localisation de recherche — aucune donnée de CV | France | Pas de transfert hors UE |
| Adzuna | Recherche d'offres d'emploi | Mots-clés et localisation de recherche — aucune donnée de CV | Royaume-Uni | Décision d'adéquation de la Commission européenne |
| RapidAPI | Passerelle vers trois sources d'offres d'emploi complémentaires | Mots-clés et localisation de recherche — aucune donnée de CV | États-Unis | Clauses contractuelles types |
| Connexion Google, facultative, et police de caractères du site | Si vous choisissez ce mode de connexion : email et nom du compte Google | États-Unis | Clauses contractuelles types ; usage facultatif |
Un établissement qui souhaite éviter tout transfert hors UE sur l'authentification peut désactiver la connexion Google pour ses cohortes : l'inscription par email fonctionne sans elle.
Ce qu'il faut savoir sur Anthropic
C'est la question qui décide d'un dossier, donc la réponse est détaillée. Les fonctionnalités d'IA reposent sur l'API Claude d'Anthropic, PBC, société américaine. Le contenu que vous soumettez — votre parcours, vos diplômes, vos expériences, l'offre que vous visez — lui est transmis pour produire le document demandé.
- Les données transmises par API ne sont pas utilisées pour réentraîner les modèles. C'est un engagement contractuel d'Anthropic sur son offre API commerciale, distinct des conditions de ses applications grand public.
- Le transfert est encadré par des clauses contractuelles types, le mécanisme prévu par le chapitre V du RGPD.
- Aucune donnée de paiement ni mot de passe ne lui est transmis.
- Les analytics remis à un établissement sont agrégés par promotion : un CV nominatif n'y figure jamais.
Nous n'allons pas prétendre qu'un sous-traitant américain est un non-événement. Nous affirmons qu'il est documenté, encadré, et limité au contenu que l'utilisateur choisit de soumettre.
Où s'exécute le traitement
Les fonctions applicatives d'EmploiA sont épinglées à la région Paris (cdg1) de Vercel, et cette contrainte est vérifiée automatiquement à chaque modification du code : une fonction qui ne la déclarerait pas fait échouer notre intégration continue. La base de données est à Francfort, en Allemagne, sans réplique hors UE.
Pour rester exact : épingler l'exécution ne signifie pas qu'aucun octet ne quitte la France. La terminaison TLS et le routage des requêtes passent par le réseau mondial de diffusion de Vercel avant d'atteindre Paris. Nous disons donc « le traitement applicatif s'exécute en France », et non « aucune donnée ne quitte la France », qui serait faux.
Changements et contact
Nous nous engageons à mettre cette page à jour avant qu'un nouveau sous-traitant traite des données de candidature, et à prévenir les établissements sous contrat. Une liste publique tenue à jour vaut mieux qu'une annexe figée dans un document signé il y a deux ans — c'est aussi ce que demande l'article 28 du RGPD sur les sous-traitants ultérieurs.
Pour une question de DPO, une demande de DPA ou la fiche sécurité : contact@emploia.eu. Les éléments déjà publiés figurent dans la politique de confidentialité et les mentions légales.
Nous ne publions pas encore d'attestation de DPA signé avec chacun de ces fournisseurs : leur collecte est en cours, et nous préférons une page courte et vraie à une page complète et invérifiable. Si votre dossier l'exige, écrivez-nous — nous vous dirons où nous en sommes plutôt que de cocher une case.