Recrutement et gestion du RGPD

Le Règlement Général sur la Protection des Données (RGPD) encadre, depuis le 25 mai 2018, le traitement des données personnelles des personnes situées dans l'Union européenne. Les candidats que vous gérez dans Nicoka sont concernés : cet article rappelle ce que le RGPD impose dans le recrutement, puis explique comment Nicoka recueille les consentements, fixe leur durée de validité et traite les candidats qui refusent ou ne répondent pas.

Qui est responsable de quoi ?

Vous êtes concerné par le RGPD à deux titres :

• Dans votre relation avec Nicoka : Nicoka est votre sous-traitant (article 28 du RGPD). Nous n'accédons à vos données qu'en cas de besoin, par exemple pour traiter une demande au support, et nous ne les modifions pas sans votre autorisation explicite.
• Dans votre relation avec vos candidats, clients et collaborateurs : vous êtes le responsable du traitement de leurs données personnelles (article 24 du RGPD).

Toutes les données que vous traitez dans Nicoka restent hébergées dans l'Union européenne.

Ce que le RGPD impose dans le recrutement

La CNIL veille à l'application du RGPD en France. Son guide du recrutement détaille les règles à suivre. En résumé :

• Information et transparence : le candidat doit savoir quelles données vous collectez, pourquoi, combien de temps vous les gardez et comment elles sont protégées. Ne collectez que ce qui est utile pour sélectionner un candidat.
• Consentement : il doit être explicite, libre et éclairé, et recueilli avant d'utiliser les données du candidat.
• Retrait du consentement : le candidat peut retirer son consentement et demander la suppression de ses données à tout moment.
• Durée de conservation : vous devez fixer une durée de conservation. La CNIL recommande de ne pas conserver plus de 2 ans les données d'un candidat non retenu. Des données anonymisées peuvent être gardées à des fins statistiques.
• Cookies : votre site carrière doit informer les visiteurs de l'utilisation de cookies.
• Sécurité : vous devez protéger les données de vos candidats contre la perte, le vol et les accès non autorisés.

Un manquement peut être sanctionné d'une amende allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

Le consentement lors d'une candidature

Sur le site carrière fourni avec Nicoka, le formulaire de candidature contient une case obligatoire : le candidat déclare avoir lu la politique de confidentialité et accepte le traitement de ses données. Sa candidature enregistre alors son consentement sur sa fiche.

Le lien Politique de confidentialité ouvre par défaut une politique de confidentialité standard, qui reprend le nom de votre société et l'adresse saisie dans Courriel de contact (Politique de confidentialité). Nous vous recommandons de rédiger votre propre politique : indiquez son adresse dans Politique de confidentialité (URL), et c'est elle que le formulaire affichera. Ces deux réglages sont décrits plus bas.

Si vos offres sont publiées sur votre propre site carrière (via l'API), c'est à vous d'y afficher votre politique de confidentialité et d'y prévoir une case de consentement.

Pour les candidatures reçues des jobboards, le réglage Ajouter automatiquement un consentement lors d'une candidature considère l'acte de candidature comme un consentement implicite : un consentement est enregistré sur la fiche du candidat.

Ouvrir les réglages RGPD

1. Dans le menu latéral, ouvrez Paramétrage > Modules.
2. Sur la carte ATS, cliquez sur Paramétrage.

3. Dans le menu de gauche, cliquez sur Points de paramétrage.
4. Dépliez la section Demandes de consentement (RGPD).
5. Modifiez les réglages voulus, puis enregistrez.

Les réglages

Politique de confidentialité et contact

• Politique de confidentialité (URL) : l'adresse de votre propre politique de confidentialité. Laissé vide, le formulaire de candidature affiche la politique standard de Nicoka.
• Courriel de contact (Politique de confidentialité) : l'adresse que vos candidats peuvent écrire pour exercer leurs droits ; elle figure dans la politique standard.

Durée et cycle des demandes

• Durée de conservation des données (en mois) : la durée de validité d'un consentement, 24 mois par défaut. Passé ce délai, le consentement est considéré comme échu et il faut demander son renouvellement au candidat. Vous pouvez l'adapter à votre politique de conservation.
• Délai en jours pour envoyer la première demande de consentement : le nombre de jours qui suivent la création d'un candidat sans consentement avant l'envoi automatique de la première demande (15 par défaut).
• Nombre maximum de relance : le nombre de relances envoyées à un candidat qui ne répond pas (0 par défaut : pas de relance).
• Délai entre chaque relance (en jours) : le temps laissé au candidat pour répondre avant la relance suivante (7 par défaut).
• Délai initial de rétention (en jours) : voir l'encadré ci-dessous (30 par défaut).
• Status exclus : les statuts de candidats écartés de tout ce traitement, par exemple les candidats placés ou embauchés.

Refus et suppression

• Mode de gestion des refus de consentement : Anonymiser ou Supprimer (voir plus bas).
• Delai avant suppression effective (en jours) : le délai entre le moment où un candidat est marqué pour anonymisation ou suppression et le moment où l'opération est réalisée (7 par défaut).
• Courriel pour la réception des refus : l'adresse qui reçoit la notification quand un candidat refuse. Laissée vide, c'est l'auteur de la demande qui la reçoit.

Candidatures

• Ajouter automatiquement un consentement lors d'une candidature : voir plus haut.

Les quatre réglages de modèles d'email sont décrits plus bas.

Attention : le Délai initial de rétention supprime des profils. Quand le traitement automatique est en place, un candidat créé depuis plus de ce nombre de jours, sans consentement et sans adresse e-mail, ne peut pas recevoir de demande : il est directement marqué pour suppression (ou anonymisation, selon le Mode de gestion des refus de consentement), puis traité après le Delai avant suppression effective. Il en va de même pour un candidat sans e-mail dont le consentement est échu. Pensez à compléter l'adresse e-mail des candidats que vous sourcez et que vous souhaitez garder.

Anonymiser ou supprimer ?

Quand un candidat refuse son consentement, ou n'a pas répondu après la dernière relance, Nicoka applique le Mode de gestion des refus de consentement :

• Anonymiser : le candidat passe au statut A anonymiser. Ses données personnelles (nom, prénom, e-mail, téléphone, CV…) sont ensuite effacées et il passe au statut Anonymisé. Sa fiche est conservée, ce qui garde vos statistiques de recrutement cohérentes.
• Supprimer : le candidat passe au statut A supprimer, puis il est supprimé. La suppression est définitive et irréversible, documents compris : le candidat disparaît aussi de l'historique de vos jobs.

Tant que l'opération n'est pas faite, la fiche du candidat affiche la date à laquelle il sera automatiquement anonymisé ou supprimé. Si le candidat donne finalement son consentement, il quitte ce statut.

Le traitement automatique

L'envoi automatique des demandes de consentement, des relances et des renouvellements, ainsi que l'anonymisation ou la suppression automatique, ne sont pas activés par défaut. Pour les mettre en place, contactez l'équipe Nicoka. Une fois en place, le cycle suit vos réglages :

1. Première demande : un candidat sans consentement (un profil sourcé, par exemple) reçoit une demande après le Délai en jours pour envoyer la première demande de consentement.
2. Relances : sans réponse, il reçoit jusqu'à Nombre maximum de relance relances, espacées du Délai entre chaque relance (en jours).
3. Sans réponse ou en cas de refus : le candidat est marqué pour anonymisation ou suppression, selon le Mode de gestion des refus de consentement. Un refus est appliqué dès la réponse du candidat.
4. Opération effective : l'anonymisation ou la suppression a lieu après le Delai avant suppression effective (en jours).
5. Renouvellement : quand un consentement atteint la Durée de conservation des données (en mois), le candidat reçoit une demande de renouvellement, avec le même cycle de relances.

Les candidats dont le statut figure dans Status exclus ne sont jamais concernés.

Les modèles d'email

Chaque étape utilise son propre modèle, choisi dans la même section de réglages :

• Courriel pour les demandes de consentement : la première demande envoyée au candidat.
• Modèle d'email pour les relances de consentement : les relances envoyées tant que le candidat n'a pas répondu. Laissé vide, c'est le modèle de la première demande qui est réutilisé, et le candidat reçoit deux fois le même message.
• Modèle d'email pour les demandes de renouvellement de consentement : la demande envoyée quand un consentement arrive à échéance. Laissé vide, c'est aussi le modèle de la première demande qui est utilisé.
• Modèle de courriel pour les refus de consentement : la notification interne envoyée après un refus.

Nicoka fournit un modèle standard pour chacun de ces cas. Vous pouvez les modifier comme vos autres modèles, dans le paramétrage de l'ATS, rubrique Candidats > Templates d'email : voir Gérer les templates Email.

Un modèle de demande, de relance ou de renouvellement doit contenir le lien public de gestion du consentement : c'est ce lien qui permet au candidat de répondre. La liste de choix ne propose d'ailleurs que les modèles qui le contiennent.

Gérer les consentements à la main

Que le traitement automatique soit en place ou non, la page Gestion des Consentements liste les candidats dont le consentement est à demander ou à mettre à jour. Pour l'ouvrir, cliquez sur le bouton Gestion des Consentements en haut de la liste des candidats.

Plusieurs variantes facilitent le tri. Pour en afficher une autre, cliquez sur le bouton + à droite des onglets :

• Consentement échu ou inexistant (variante affichée par défaut) ;
• Première demande à envoyer ;
• Demande de consentement sans réponse ;
• Demande de consentement sans réponse depuis plus 15 jours ;
• Consentement refusé.

Cochez ensuite les candidats à traiter :

• pour leur écrire, ouvrez le menu Actions et cliquez sur Envoyer des demandes de consentements ;
• pour les supprimer, ouvrez le menu Actions et cliquez sur Supprimer ;
• pour changer leur statut (par exemple en A anonymiser ou A supprimer), utilisez Modification en masse.

Pour suivre un candidat en particulier, voir aussi Gestion des consentements des candidats.

Prouver la suppression d'un candidat

Quand un candidat vous demande de supprimer ses données, vous pouvez lui remettre une attestation :

1. Sur la page Gestion des Consentements, cliquez sur Preuve de suppression d'enregistrement.
2. Saisissez le Prénom et le Nom du candidat, et si possible son Email.
3. Cliquez sur Rechercher.

Si aucun candidat ne correspond, Nicoka génère un document PDF qui atteste de la suppression. Si un candidat correspond encore à ces critères, aucune preuve n'est générée : Nicoka affiche les candidats trouvés pour que vous puissiez les vérifier.