Centre de Confiance

# Sécurité chez Clarentia

Clarentia est conçue pour protéger les données de recrutement, les informations des candidats, les espaces de travail clients et les workflows de recrutement assistés par IA grâce à une infrastructure cloud sécurisée, des contrôles d’accès, du chiffrement, des journaux d’audit, une gestion des vulnérabilités et des mesures opérationnelles de sécurité.

Notre approche de la sécurité repose sur trois principes :

- Protéger les données des candidats et les données de recrutement tout au long du processus de recrutement

- Donner aux clients le contrôle sur leurs utilisateurs, leurs rôles et leurs opérations de recrutement

- Maintenir une infrastructure applicative sécurisée, surveillée et résiliente

## Infrastructure cloud sécurisée

Clarentia est hébergée sur Amazon Web Services dans la région AWS Europe (Paris), `eu-west-3`.

Les environnements de production, de staging et de développement sont séparés afin de réduire les risques opérationnels et d’éviter que les activités hors production n’affectent l’application de production.

Les données clients sont hébergées sur une infrastructure cloud conçue pour offrir des garanties en matière de sécurité physique, de sécurité réseau et de résilience au niveau de l’infrastructure.

## Chiffrement des données

Clarentia protège les données en transit et au repos.

Les données transmises entre les utilisateurs et l’application Clarentia sont chiffrées via des connexions sécurisées HTTPS/TLS.

Les données stockées dans l’environnement cloud de Clarentia sont chiffrées au repos à l’aide des mécanismes de chiffrement de l’infrastructure AWS.

## Authentification et contrôle des accès

Clarentia prend en charge l’authentification des utilisateurs via Google, Microsoft et LinkedIn, ainsi que par email et mot de passe.

Clarentia utilise des contrôles d’accès fondés sur les rôles afin de s’assurer que les utilisateurs accèdent uniquement aux fonctionnalités et aux données correspondant à leur rôle.

Les administrateurs clients peuvent gérer les utilisateurs au sein de leur espace entreprise et leur attribuer les permissions appropriées.

Clarentia prend actuellement en charge la structure de rôles suivante :

- Company_Admin

- Company_Recruiter

- Clarentia_ops

- Clarentia_super_admin

Les accès administratifs internes sont restreints et journalisés.

## Gestion des utilisateurs clients

Les administrateurs clients peuvent gérer l’accès à leur espace entreprise, inviter ou supprimer des utilisateurs, et attribuer des rôles selon les responsabilités opérationnelles de chacun.

Cela permet aux clients d’appliquer leurs propres politiques internes d’accès et de limiter l’accès aux données de recrutement aux seuls utilisateurs autorisés.

## Protection des données de recrutement et des données candidats

Clarentia est conçue pour traiter des données de recrutement, notamment les informations relatives aux offres d’emploi, les profils candidats, les CV, les transcriptions d’entretien, les évaluations générées par IA, les paramètres de campagne et les actions des recruteurs.

Les contrôles de sécurité sont conçus pour protéger ces informations tout au long du workflow de recrutement, notamment lors du screening des candidats, du sourcing, de l’évaluation des entretiens et de la revue par le recruteur.

## Workflows assistés par IA sécurisés

Clarentia utilise l’IA pour assister les recruteurs dans leurs workflows de recrutement, notamment le screening, le sourcing, la comparaison des candidats et l’évaluation des entretiens.

Les résultats générés par IA sont traités comme faisant partie des données de recrutement du client et sont protégés par les mêmes principes de sécurité applicative, de contrôle des accès et de journalisation.

Les recruteurs restent responsables de la revue des résultats assistés par IA et des décisions de recrutement.

## Sécurité des intégrations et des identifiants

Clarentia peut se connecter à des services externes de recrutement, des job boards, des fournisseurs de sourcing et des partenaires de multidiffusion.

Lorsque des identifiants de job boards fournis par le client sont stockés dans Clarentia, ils sont chiffrés et protégés contre les accès non autorisés.

L’accès aux identifiants d’intégration est restreint, et les accès administratifs internes sont journalisés.

## Journalisation et auditabilité

Clarentia maintient des journaux d’audit afin de soutenir la surveillance de la sécurité, la responsabilité des actions et la traçabilité opérationnelle.

Les accès administratifs internes sont journalisés.

Les journaux applicatifs aident Clarentia à investiguer les événements de sécurité, à traiter les demandes clients et à surveiller les actions importantes réalisées dans la plateforme.

## Gestion des vulnérabilités et tests d’intrusion

Clarentia réalise des scans de vulnérabilités afin d’identifier et de corriger d’éventuelles faiblesses de sécurité.

Les scans de vulnérabilités sont réalisés de manière récurrente, actuellement selon une fréquence prévue tous les deux mois.

Un test d’intrusion a été réalisé afin d’évaluer la sécurité de l’application et de contribuer à l’amélioration de la posture de sécurité de Clarentia.

## Sauvegardes et résilience

Clarentia maintient des mécanismes de sauvegarde conçus pour réduire le risque de perte accidentelle de données et soutenir la reprise opérationnelle.

Clarentia utilise Amazon Data Lifecycle Manager pour effectuer des sauvegardes quotidiennes sous forme de snapshots EBS des instances de production étiquetées.

Les sauvegardes sont planifiées quotidiennement à 02:00 UTC et conservées pendant 5 jours selon une politique de rétention glissante. Les anciens snapshots sont automatiquement supprimés conformément à cette politique de rétention.

## Signalement des incidents

Les signalements relatifs à la sécurité peuvent être adressés à :

security@clarentia.com

Les demandes relatives à la protection des données personnelles peuvent être envoyées à :

DPO@clarentia.com

Clarentia maintient un processus de gestion des incidents afin d’évaluer, d’investiguer et de traiter les événements de sécurité signalés.

## Responsabilité partagée en matière de sécurité

La sécurité est une responsabilité partagée entre Clarentia et ses clients.

Clarentia est responsable de la sécurisation de l’infrastructure applicative, des contrôles d’accès au niveau de la plateforme, du chiffrement, de la journalisation, des sauvegardes et des processus opérationnels de sécurité.

Les clients sont responsables de la gestion de leurs utilisateurs, de l’attribution des rôles appropriés, de la protection de leurs propres identifiants de connexion, de la configuration appropriée de leurs workflows de recrutement et de l’utilisation de Clarentia conformément à leurs politiques internes et aux lois applicables.

## Conformité de l’infrastructure

Clarentia est hébergée sur l’infrastructure AWS.

AWS maintient un ensemble étendu de programmes de conformité au niveau de l’infrastructure pour les services AWS éligibles. Ces programmes soutiennent les fondations de sécurité de Clarentia, mais ne signifient pas que Clarentia elle-même est certifiée de manière indépendante selon ISO 27001, SOC 2 ou des référentiels équivalents.

Les contrôles, politiques et procédures applicatifs propres à Clarentia sont gérés séparément.