SelektIA
Politique de sécurité, de protection des données et d’intelligence artificielle
1. Notre engagement
SelektIA place la sécurité, la protection des données personnelles et l’utilisation responsable de l’intelligence artificielle au cœur de sa plateforme.
Notre approche repose sur trois principes structurants :
- Security by Design : la sécurité est intégrée dans la conception et l’évolution de la plateforme.
- Privacy by Design : la protection des données personnelles est prise en compte dès la conception des fonctionnalités et des traitements.
- Responsible AI by Design : les fonctionnalités d’intelligence artificielle sont conçues et utilisées avec des mécanismes de transparence, de contrôle humain et de traçabilité.
2. Cadre réglementaire
SelektIA prend en compte, selon le contexte et le périmètre des traitements :
- la Loi fédérale suisse sur la protection des données (LPD/FADP) ;
- le Règlement général sur la protection des données (RGPD) lorsqu’il est applicable ;
- le Règlement européen sur l’intelligence artificielle (AI Act) lorsqu’il est applicable ;
- les autres dispositions nationales applicables aux activités de recrutement et au traitement des données personnelles.
La LPD suisse s’applique directement aux traitements de données réalisés au moyen de systèmes d’intelligence artificielle. Le PFPDT souligne notamment l’importance de la transparence concernant la finalité, le fonctionnement et les sources de données des traitements fondés sur l’IA.
Lorsque les systèmes d’IA utilisés dans le recrutement relèvent du périmètre des systèmes à haut risque de l’AI Act, SelektIA prend en compte notamment les exigences relatives au contrôle humain prévues par le règlement.
3. Protection des données personnelles
SelektIA applique les principes suivants dans le traitement des données personnelles :
- les données sont traitées pour des finalités définies et légitimes ;
- seules les données nécessaires aux fonctionnalités utilisées sont traitées ;
- les personnes concernées sont informées des traitements applicables ;
- les données sont maintenues aussi exactes que nécessaire ;
- les données sont conservées pendant une durée limitée et proportionnée ;
- la confidentialité et l’intégrité des données sont protégées ;
- les droits des personnes concernées sont pris en compte conformément au cadre juridique applicable.
4. Sécurité des données
SelektIA met en œuvre des mesures de sécurité adaptées aux risques associés aux données et aux traitements réalisés.
Ces mesures comprennent notamment :
- le chiffrement des communications ;
- la protection des données stockées ;
- le contrôle des accès ;
- l’authentification et la protection des comptes ;
- la gestion des autorisations selon les besoins ;
- la limitation des privilèges ;
- la sécurisation des applications et interfaces ;
- la gestion des vulnérabilités ;
- les mécanismes de sauvegarde et de continuité ;
- la surveillance des événements de sécurité ;
- la gestion des incidents de sécurité.
5. Contrôle des accès
L’accès aux données et aux fonctionnalités de SelektIA est limité aux utilisateurs, personnes et systèmes autorisés.
Les droits d’accès sont attribués selon les besoins liés aux fonctions exercées et sont limités au périmètre nécessaire.
Les opérations sensibles font l’objet de mécanismes permettant d’en assurer la traçabilité lorsque cela est nécessaire.
6. Minimisation et pseudonymisation
Lorsque cela est pertinent pour le traitement automatisé des CV, SelektIA peut appliquer des mécanismes de pseudonymisation à certaines données directement identifiantes, telles que le nom, le numéro de téléphone, l’adresse électronique ou la photographie.
La pseudonymisation réduit l’exposition des données directement identifiantes tout en permettant, lorsque cela est nécessaire et autorisé, de rattacher les résultats au candidat concerné.
La pseudonymisation ne constitue pas une anonymisation : les données pseudonymisées restent des données personnelles lorsqu’une réidentification demeure possible.
7. Utilisation de l’intelligence artificielle
L’intelligence artificielle est utilisée par SelektIA pour assister certaines activités du processus de recrutement, notamment :
- l’analyse des informations pertinentes contenues dans un CV ;
- la préparation de questions d’entretien ;
- l’analyse des réponses fournies par un candidat ;
- la production d’éléments de synthèse destinés au recruteur.
Les traitements d’IA sont encadrés par des mécanismes de transparence, de contrôle humain, de traçabilité et de maîtrise des risques.
8. Supervision humaine
Les résultats produits par l’intelligence artificielle constituent des éléments d’aide à l’analyse et à la décision.
Dans le processus d’entretien :
- l’IA propose des éléments de questionnement ;
- le recruteur vérifie et valide les questions utilisées ;
- l’IA analyse les réponses du candidat ;
- le recruteur examine les résultats et la synthèse produits ;
- la décision de recrutement relève de l’organisation et du recruteur.
Les décisions de recrutement ne reposent donc pas exclusivement sur un traitement automatisé par SelektIA.
Cette approche s’inscrit notamment dans le principe de contrôle humain prévu par l’article 14 de l’AI Act pour les systèmes à haut risque lorsqu’il est applicable.
9. Transparence et explicabilité
SelektIA présente les résultats de l’intelligence artificielle comme des éléments d’analyse et non comme une vérité absolue.
Lorsque cela est pertinent, les résultats sont structurés autour des éléments suivants :
Le recruteur peut examiner les résultats, les contextualiser, les contester ou ne pas les retenir.
10. Prévention des biais et des discriminations
SelektIA utilise des critères pertinents par rapport aux exigences du poste et au contexte du recrutement.
Les caractéristiques personnelles qui ne sont pas pertinentes pour l’évaluation d’une candidature ne sont pas utilisées comme critères de sélection.
SelektIA prend en compte les risques liés à la qualité des données, aux modèles utilisés et aux résultats produits par les traitements d’intelligence artificielle.
Une attention particulière est portée aux traitements susceptibles d’utiliser ou d’inférer des données biométriques, faciales, vocales, comportementales ou émotionnelles.
11. Traçabilité et possibilité de clarification
SelektIA conserve les éléments de traçabilité nécessaires au suivi des traitements et à la compréhension des résultats produits.
Lorsque cela est nécessaire, ces éléments peuvent notamment permettre d’identifier :
- le traitement réalisé ;
- la date et le contexte du traitement ;
- le composant d’intelligence artificielle utilisé ;
- la version ou le contexte technique pertinent ;
- les critères ou informations pris en compte ;
- le résultat produit ;
- l’intervention humaine associée.
Pour une requête spécifique, SelektIA peut également fournir à l’organisation des clarifications complémentaires sur les éléments sous-jacents au traitement et au résultat produit, dans la mesure où ces informations peuvent être communiquées et sont pertinentes pour la compréhension de la requête.
12. Conservation des données
SelektIA applique des durées de conservation définies selon la nature des données et leur finalité.
Dans le cadre des fonctionnalités actuelles :
- les enregistrements vidéo d’entretien sont supprimés automatiquement 90 jours après la clôture de l’entretien ;
- les CV conservés dans un vivier de candidats sont conservés pendant une durée maximale de 2 ans à compter du dernier contact, sous réserve du cadre juridique applicable et des choix de l’organisation.
Les durées de conservation peuvent évoluer en fonction des fonctionnalités, des finalités de traitement et des exigences réglementaires applicables.
13. Gestion des droits des candidats
L’organisation responsable du recrutement assure la gestion des demandes formulées par les candidats concernant leurs données personnelles et leurs droits.
Lorsque l’intervention de SelektIA est nécessaire, l’organisation informe SelektIA de la demande concernée et adresse une demande par courrier électronique.
SelektIA intervient sur la base de cette demande formalisée par l’organisation, ce qui permet notamment d’assurer la traçabilité des demandes, des instructions reçues et des actions réalisées.
Selon le cadre juridique applicable, les droits peuvent notamment porter sur :
- l’information ;
- l’accès ;
- la rectification ;
- l’effacement ;
- l’opposition ;
- la limitation du traitement ;
- les droits relatifs aux décisions automatisées lorsque ces dispositions sont applicables.
Le cadre suisse prévoit notamment une obligation d’information des personnes concernées et, dans certaines situations de décision individuelle automatisée, la possibilité d’exprimer son point de vue et de demander un examen par une personne physique.
14. Sélection des prestataires et fournisseurs
SelektIA sélectionne et évalue ses prestataires et fournisseurs selon des critères adaptés à la nature des services fournis.
Ces critères prennent notamment en compte :
- la sécurité de l’information ;
- la confidentialité ;
- la protection des données personnelles ;
- les mesures techniques et organisationnelles mises en œuvre ;
- la localisation et les conditions de traitement des données lorsque cela est pertinent ;
- les durées de conservation ;
- les conditions de sous-traitance ;
- la continuité et la résilience des services ;
- les engagements contractuels ;
- la capacité à répondre aux exigences réglementaires applicables ;
- les pratiques en matière de réduction de l’empreinte environnementale et de recours à une énergie plus durable, lorsque ces éléments sont disponibles et pertinents.
La sélection et le suivi des prestataires s’inscrivent dans une démarche de maîtrise des risques et d’amélioration continue.
15. Gestion des incidents
SelektIA dispose d’un processus de gestion des incidents permettant d’identifier, d’analyser et de traiter les événements susceptibles d’affecter la sécurité, la confidentialité ou la disponibilité des données et des services.
Lorsque cela est requis, les parties concernées sont informées conformément aux obligations légales, contractuelles et réglementaires applicables.
16. Amélioration continue
SelektIA réévalue régulièrement ses pratiques en matière de :
- sécurité ;
- protection des données ;
- fonctionnalités d’intelligence artificielle ;
- supervision humaine ;
- traçabilité ;
- gestion des risques ;
- prestataires et services utilisés ;
- exigences réglementaires applicables.
Les mesures de protection évoluent en fonction des risques identifiés, des évolutions technologiques et du cadre réglementaire.
17. Matrice de responsabilités
| Sujet | SelektIA | Organisation |
|---|---|---|
| Définition de la finalité du recrutement | Support | Responsable |
| Définition des critères de sélection | Responsable | |
| Information du candidat sur le traitement | Support si nécessaire | Responsable |
| Collecte et transmission des données | Plateforme / support technique | Responsable du processus |
| Sécurisation de la plateforme | Responsable | |
| Traitement des données dans SelektIA | Responsable technique | Responsable du traitement selon le contexte |
| Utilisation des fonctionnalités d’IA | Conçoit et maintient les fonctionnalités | Responsable de leur utilisation |
| Validation des questions d’entretien | Responsable | |
| Analyse IA des réponses | Responsable de la fonctionnalité | Utilise les résultats |
| Interprétation des résultats | Fournit les éléments d’analyse | Examine et contextualise les résultats |
| Décision de recrutement | Fournit une aide à l’analyse | Responsable de la décision |
| Supervision humaine | Met en œuvre les mécanismes nécessaires | Assure la supervision dans le processus |
| Gestion des demandes relatives aux droits | Intervient sur demande formalisée | Responsable de la gestion de la demande |
| Traçabilité des demandes adressées à SelektIA | Assure la traçabilité de son intervention | Formalise et transmet la demande |
| Clarifications sur une requête spécifique | Fournit les clarifications pertinentes | Les demande et les exploite |
| Conservation et suppression selon les fonctionnalités | Met en œuvre les mécanismes techniques | Définit les finalités et règles applicables |
| Gestion des accès utilisateurs | Sécurité de la plateforme | Gestion des utilisateurs et habilitations de son organisation |
| Gestion des incidents | Sécurité et traitement des incidents | Gestion des incidents relevant de son périmètre |
Cette matrice présente les responsabilités générales. Les responsabilités juridiquement applicables sont précisées, lorsque nécessaire, par les contrats et accords conclus entre SelektIA et l’organisation.
18. Références réglementaires
Le présent document s’appuie notamment sur les principes issus :
- de la Loi fédérale suisse sur la protection des données (LPD/FADP) ;
- du Règlement général sur la protection des données (RGPD) lorsqu’il est applicable ;
- du Règlement européen sur l’intelligence artificielle (AI Act) lorsqu’il est applicable ;
- des autres dispositions nationales applicables aux activités concernées.
Cette politique constitue une présentation publique des principes appliqués par SelektIA. Elle ne constitue pas, à elle seule, une certification réglementaire ni un avis juridique.
19. Contact
Pour toute question relative à la sécurité, à la protection des données ou au fonctionnement des fonctionnalités d’intelligence artificielle, l’organisation peut contacter SelektIA selon les coordonnées prévues dans sa relation contractuelle ou son canal de contact dédié : contact@selektia.io.
Pour l’exercice de ses droits concernant un processus de recrutement, le candidat s’adresse en priorité à l’organisation responsable du recrutement.