Guides
Où sont hébergées les données candidats, et est-ce un critère ?
Pour qui : Votre DPO, un client ou votre direction demande où sont les CV. Un éditeur met en avant un hébergement français, un autre une région européenne. Vous devez savoir quel poids donner à ce point.
C’est un point à vérifier, et rarement un critère suffisant. Le lieu de stockage compte quand un client, une tutelle ou un secteur l’impose. Sinon, il s’écrit au contrat, puis le choix se fait sur vos sources, vos managers et la sortie des données.
Le vrai piège est ailleurs : « hébergé en France » ne dit rien de l’envoi d’e-mails, des statistiques ou de l’IA. Demandez la liste des sous-traitants, avec le fournisseur de modèle d’IA s’il y en a un.
Notre avis
Traitez l’hébergement comme une clause à faire écrire, et non comme un motif de sélection seul. Demandez trois choses : la région de stockage, la liste des sous-traitants avec le fournisseur de modèle d’IA, et les transferts hors de l’Union.
Pourquoi
- Une déclaration ne couvre pas tout : Beetween annonce des serveurs OVH en France et cite un autre prestataire pour l’envoi d’e-mails.
- Un modèle d’IA peut relever d’un autre acteur : Teamtailor et Ashby nomment OpenAI, alors que JobAffinity déclare une IA auto-hébergée en France.
- Le RGPD ne pose pas de règle « hébergement en France » dans ce que nous avons lu, mais vous oblige à choisir des sous-traitants présentant des garanties suffisantes.
Ce qui change le choix
Si votre client, votre tutelle ou votre secteur impose un lieu, ce critère devient éliminatoire. Si vous n’avez aucune exigence et que tous les candidats sont en Europe, ne laissez pas ce critère renverser un choix fondé sur vos sources et vos managers.
L’ordre à suivre
- Exigence imposée par un client ou votre structure : critère éliminatoire, à faire écrire.
- Sans exigence : écrire la région, les sous-traitants et les transferts au contrat, puis comparer sur le reste.
- Fonction d’IA activée : demander le fournisseur de modèle, à part.
Qui répond de quoi ?
Le guide de la CNIL indique qu’un fournisseur de logiciel qui héberge les données dans le nuage pour le compte du recruteur a la qualité de sous-traitant, à analyser au cas par cas. C’est-à-dire qu’il traite les données pour vous, sur vos instructions.
L’article 28 du RGPD en tire deux conséquences utiles. Vous ne faites appel qu’à des sous-traitants présentant des garanties suffisantes. Et un sous-traitant n’en recrute pas un autre sans autorisation écrite : dans le cas d’une autorisation générale, il vous informe des ajouts ou remplacements prévus, et vous pouvez émettre des objections.
Pour les transferts vers l’étranger, la CNIL renvoie aux articles 44 et suivants du RGPD. Le candidat doit en être informé le cas échéant.
Ce que déclarent les éditeurs
Les déclarations ci-dessous viennent des éditeurs, sans audit de notre part. Elles sont classées de la plus précise à la moins précise, et ce classement ne vaut pas jugement sur le produit. Plusieurs pages lues sont commerciales : le contrat prime.
| Éditeur | Ce qu’il déclare | Ce qu’il reste à demander |
|---|---|---|
| Taleez | OVH à Gravelines | Sous-traitants d’IA pour le compte rendu et le matching |
| Beetween | Serveurs OVH en France ; e-mails via SendinBlue, données dans l’Union européenne | Liste actuelle, la page datant de 2025 |
| JobAffinity | Scaleway et IA auto-hébergée en France, se dit hors CLOUD Act | Export et réversibilité, non trouvés |
| Softy | Hébergement en France chez Scaleway, certifié ISO 27001 et HDS selon sa page CHU | Certificat, et portée de la certification pour vos données |
| Kioskemploi | Serveurs propres en région lyonnaise | Sous-traitants et contenu de l’engagement de réversibilité |
| Nicoka | Hébergement en France, annexe de sous-traitance RGPD dans ses conditions | Sous-traitants de l’assistant IA |
| Flatchr | Hébergement dans l’Union européenne, sans pays précisé | Pays exact et sous-traitants |
| Kelio ATS | Heroku, données dans l’Union dans des centres d’Amazon, Google Cloud pour les statistiques | Contrat client, conditions d’utilisation non datées |
| Teamtailor | Région au choix : UE (Irlande) ou ouest des États-Unis (Oregon) ; OpenAI pour Co-pilot | Région retenue à faire écrire au contrat |
| Lever | AWS US-West2 et EU-Central1, clauses contractuelles types pour les résidents de l’UE | La région UE est-elle contractuelle pour vous ? |
| Greenhouse | AWS et transferts encadrés par le cadre UE-États-Unis, sans hébergement UE annoncé dans la page lue | Région d’hébergement |
| Ashby | Centre de données dédié à l’UE annoncé pour 2027 ; OpenAI cité | Où sont les données d’ici là ? |
| Workday | Un libellé « EU Sovereign Cloud » au menu, page non trouvée | Portée pour le recrutement |
Le paragraphe à envoyer à l’éditeur
Copiez ces demandes dans un message. Elles vous évitent une réponse commerciale générale.
- Où nos données sont-elles stockées et sauvegardées ? Pays, hébergeur, et mention dans le contrat. Si une région se choisit, demandez comment vous la choisissez et si elle peut changer.
- Quelle est la liste à jour de vos sous-traitants ? Avec leur rôle et leur pays. Demandez comment vous serez prévenu d’un changement.
- Quel modèle d’IA traite nos candidats, chez qui ? Le nom du fournisseur, la région, et ce qui est conservé. Demandez si la fonction peut rester désactivée.
- Y a-t-il des transferts hors de l’Union ? Lesquels, avec quel dispositif juridique. Cela sert aussi à enrichir l’information des candidats.
Quand le critère devient-il éliminatoire ?
Quand quelqu’un d’autre l’impose : un marché public, un client dans son contrat, ou votre propre politique écrite. Dans ce cas, éliminez dès le premier échange, avant la démonstration. Softy met par exemple en avant une certification HDS pour le secteur de la santé. Demandez alors si cette exigence vaut pour des CV de candidats, puisque nous n’avons lu aucun texte qui le tranche.
Évitez une erreur en sens inverse. Un argument comme « hors CLOUD Act » est une déclaration d’éditeur : nous ne l’avons pas vérifié, et il ne remplace pas votre analyse si le sujet compte pour vous.
Limites de cette page
Aucun contrat signé n’a été consulté et aucune déclaration n’a été auditée. Le RGPD est lu dans la reproduction de la CNIL, et les textes sur les transferts n’ont pas été lus dans leur détail. Pour une exigence sectorielle, comme des données de santé, ou un transfert hors Union, l’enjeu justifie l’avis de votre DPO ou d’un conseil.
Prochaine action
Envoyez les quatre demandes à chaque éditeur retenu et gardez les réponses avec le contrat. Si un client ou votre tutelle impose un lieu, éliminez d’abord sur ce point. Sinon, comparez ensuite sur vos sources et vos managers.
Preuves et sources
Lu le 5 novembre 2026 : guide de la CNIL sur le recrutement, RGPD reproduit par la CNIL (articles 5 et 28), pages et conditions d’éditeurs français et internationaux. Aucun contrat signé n’a été consulté.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun logiciel n’a été testé. Notre méthode, connexions relevées et prix relevés.
Fait lu. Selon la CNIL, un fournisseur de logiciel hébergeant les données dans le nuage pour le compte du responsable de traitement a la qualité de sous-traitant.
Portée : France, guide de 2023.
Réserve : Qualification au cas par cas ; ne vise aucun éditeur.
- CNIL : Guide recrutement : les fondamentaux en matière de protection des données personnelles et questions-réponses Publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 28 du RGPD impose des garanties suffisantes, une autorisation écrite pour recruter un autre sous-traitant, et une information permettant des objections en cas d’autorisation générale.
Portée : UE, applicable, texte reproduit par la CNIL.
Réserve : Une clause ne prouve pas la conformité.
- CNIL : RGPD, chapitre IV non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le guide de la CNIL renvoie aux articles 44 et suivants du RGPD pour les transferts à l’étranger et cite le transfert parmi les éléments d’information du candidat.
Portée : France, guide de 2023.
Réserve : Le détail des articles 44 et suivants n’a pas été lu.
- CNIL : Guide recrutement : les fondamentaux en matière de protection des données personnelles et questions-réponses Publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Taleez déclare un hébergement chez OVH à Gravelines.
Portée : France.
Réserve : Sous-traitants d’IA non lus.
- Taleez : RGPD et sécurité non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. L’aide de Beetween déclare des serveurs loués à OVH en France et un envoi d’e-mails via SendinBlue avec des données dans l’Union.
Portée : Aide en anglais, copyright 2025.
Réserve : Sous-traitants actuels à confirmer.
- Beetween : How Beetween processes your data copyright 2025. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. JobAffinity déclare un hébergement chez Scaleway et une IA auto-hébergée en France, hors CLOUD Act.
Portée : France.
Réserve : Revendication de l’éditeur, non vérifiée.
- JobAffinity : ATS français non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Softy déclare un hébergement en France et, sur sa page CHU, un hébergement chez Scaleway, hébergeur certifié ISO/IEC 27001 et HDS.
Portée : France.
Réserve : Certificat non consulté.
- Softy : Fonctionnalités non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Softy : Softy, le logiciel ATS dédié au recrutement dans les CHU non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Kioskemploi déclare ses propres serveurs en région lyonnaise et liste la réversibilité parmi ses engagements.
Portée : France.
Réserve : Contenu de l’engagement non lu.
- Kioskemploi : Logiciel de recrutement ATS non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Nicoka déclare un hébergement en France et ses conditions contiennent une annexe intitulée accord de sous-traitance RGPD.
Portée : France.
Réserve : Application à l’assistant IA non lue.
- Nicoka : Accueil Nicoka non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Nicoka : Conditions générales de services non datée dans la lecture ciblée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La FAQ de Flatchr déclare un hébergement dans l’Union européenne, sans préciser le pays.
Portée : France.
Réserve : Pays exact non dit.
- Flatchr : Foire aux questions non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Les conditions d’utilisation de Kelio ATS déclarent un hébergement Heroku, des données en Union dans des centres d’Amazon et Google Cloud pour les statistiques.
Portée : Conditions en anglais, non datées.
Réserve : Le contrat client peut différer.
- Kelio : Terms and conditions of use of the Kelio ATS service non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. L’aide Teamtailor décrit un choix de région entre Irlande et Oregon et un Co-pilot reposant sur des modèles GPT d’OpenAI.
Portée : Aide et déclaration de l’éditeur.
Réserve : Le choix revient au client : ce n’est pas un hébergement UE par défaut.
- Teamtailor : Co-pilot: Privacy and Security non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Teamtailor : The New EU AI Act: Recruiting with Teamtailor 'Updated this week' affiché. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Lever déclare un hébergement AWS dans les régions US-West2 et EU-Central1 et des clauses contractuelles types pour les résidents de l’UE.
Portée : Monde.
Réserve : Ne dit pas que les données d’un client français restent en UE.
- Lever (Employ Inc.) : Security © 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. La page sécurité de Greenhouse cite AWS et le cadre de transferts UE-États-Unis, sans annoncer d’hébergement UE dans le texte lu.
Portée : Monde.
Réserve : Absence dans cette page seulement.
- Greenhouse : Security © 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Ashby annonce pour 2027 un centre de données dédié aux clients de l’UE et cite OpenAI parmi ses modèles tiers.
Portée : Keynote de 2026 et page IA.
Réserve : Annonce d’intention.
- Ashby : Ashby One London 2026, product keynote 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Ashby : AI at Ashby © 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Le menu français de Workday affiche « EU Sovereign Cloud », et l’adresse supposée de sa page a répondu 404.
Portée : France, menu du site.
Réserve : Simple libellé, sans portée établie.
- Workday : Logiciel de recrutement des talents © 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Workday : Adresse supposée, EU Sovereign Cloud non datée. Lu le 5 novembre 2026. Page inaccessible lors de la lecture.
Notre avis. Traiter l’hébergement comme clause de contrat plutôt que comme critère de sélection seul est notre avis.
Portée : Sauf exigence imposée.
Réserve : Pas de conseil individuel.
Daté du 5 novembre 2026.