Trust Center · Preuves RGPDTrust Center · GDPR evidence
Groupe Carrus — Conformité RGPDGroupe Carrus — GDPR compliance
Identité légaleLegal entity
PMC — Périphériques et Matériels de Contrôle
Société par actions simplifiée au capital de 1 009 000 €Simplified joint-stock company, share capital €1,009,000
30 rue des Petits Hôtels, 75010 Paris
RCS Paris 722 014 974 — SIRET 722 014 974 00017
Délégué à la protection des données : Mme Dussour — dpo@groupecarrus.comData protection officer: Ms Dussour — dpo@groupecarrus.com
Audit de conformitéCompliance audit
Dernier audit : 02/2026Last audit: 02/2026
Périmètre : traitements du Groupe Carrus (PMC, Carrus Gaming, Carrus Services)Scope: Groupe Carrus processing activities (PMC, Carrus Gaming, Carrus Services)
Référentiel : RGPD (UE) 2016/679Framework: GDPR (EU) 2016/679
Validité : 02/2027Valid until: 02/2027
1Responsable du traitement et DPOData controller and DPO
Le responsable du traitement est PMC — Périphériques et Matériels de Contrôle, société par actions simplifiée au capital de 1 009 000 €, dont le siège social est situé 30 rue des Petits Hôtels, 75010 Paris, immatriculée au RCS de Paris sous le numéro 722 014 974.
PMC appartient au Groupe Carrus, qui conçoit, fabrique et exploite des terminaux, des bornes et des systèmes informatiques dédiés à la prise de paris hippiques, aux paris sportifs et aux loteries.
Contacter le DPO : Mme Dussour, déléguée à la protection des données, à l’adresse dpo@groupecarrus.com
Ou par courrier : Déléguée à la protection des données — PMC, 30 rue des Petits Hôtels, 75010 Paris.
The data controller is PMC — Périphériques et Matériels de Contrôle, a simplified joint-stock company with share capital of €1,009,000, registered office at 30 rue des Petits Hôtels, 75010 Paris, France, registered with the Paris trade register under number 722 014 974.
PMC is part of Groupe Carrus, which designs, manufactures and operates terminals, kiosks and central systems for horse-race betting, sports betting and lotteries.
Contacting the DPO: Ms Dussour, data protection officer, at dpo@groupecarrus.com
Or by post: Data Protection Officer — PMC, 30 rue des Petits Hôtels, 75010 Paris, France.
2Personnes concernées et champ d’applicationData subjects and scope
La présente politique s’applique aux personnes suivantes :
- les visiteurs du site groupecarrus.com ;
- les interlocuteurs opérationnels de nos clients et anciens clients ;
- les prospects rencontrés lors de congrès, salons et échanges professionnels ;
- les utilisateurs de l’Espace Client.
Les activités de Groupe Carrus s’adressent à des professionnels et à des opérateurs de jeux. Le pari lui-même est majoritairement anonyme et ne relève pas de la présente politique.
Le traitement des données des candidats à un emploi est décrit dans la politique dédiée, accessible via l’onglet « Candidats ».
This policy applies to:
- visitors to groupecarrus.com;
- operational contacts at our clients and former clients;
- prospects met at conferences, trade shows and professional events;
- Client Portal users.
Groupe Carrus operates on a business-to-business basis with gaming operators. Betting itself is largely anonymous and falls outside the scope of this policy.
Processing of job applicant data is described in the dedicated policy, available under the « Job applicants » tab.
3Données collectées et sourcesData collected and sources
Collecte directe — auprès de la personne elle-même : nom, prénom, fonction, adresse électronique professionnelle, numéro de téléphone professionnel, dénomination sociale de l’employeur, adresse de la société, contenu des échanges.
Collecte automatique — lors de la navigation ou de l’usage de l’Espace Client : date de création du compte, statut, date de dernière connexion, journaux de connexion, données de mesure d’audience après consentement.
Collecte indirecte — listes de participants remises par les organisateurs de congrès et salons professionnels. Groupe Carrus n’achète pas de bases de données.
Aucune donnée relevant des catégories particulières de l’article 9 du RGPD n’est collectée dans ce cadre.
Direct collection — from the individual: surname, first name, job title, business email address, business phone number, employer name, company address, content of exchanges.
Automatic collection — during browsing or Client Portal use: account creation date, status, last login date, connection logs, audience measurement data after consent.
Indirect collection — attendee lists provided by conference and trade show organisers. Groupe Carrus does not purchase databases.
No special category data within the meaning of Article 9 GDPR is collected in this context.
4Finalités et bases légalesPurposes and legal bases
| Finalité | Base légale |
|---|---|
| Gestion de la relation client et exécution des engagements contractuels | Exécution du contrat (art. 6.1.b) |
| Réponse aux demandes d’information et aux appels d’offres | Mesures précontractuelles (art. 6.1.b) |
| Gestion des comptes de l’Espace Client (identifiants, accès, support) | Exécution du contrat (art. 6.1.b) |
| Développement commercial et prospection professionnelle | Intérêt légitime, avec droit d’opposition à tout moment (art. 6.1.f) |
| Conservation des contrats et pièces comptables | Obligation légale (art. 6.1.c) |
| Mesure d’audience du site | Consentement (art. 82 loi Informatique et Libertés) |
| Gestion des réclamations et des contentieux | Obligation légale et intérêt légitime (art. 6.1.c et 6.1.f) |
La prospection est exclusivement professionnelle et porte sur des offres en rapport direct avec les fonctions exercées par la personne démarchée. L’intérêt légitime poursuivi est le développement de l’activité du Groupe Carrus auprès des opérateurs de jeux et des sociétés de courses. Chaque message précise l’identité de l’expéditeur et comporte un moyen simple et gratuit de s’opposer à toute sollicitation ultérieure ; l’opposition peut également être adressée à tout moment au délégué à la protection des données.
| Purpose | Legal basis |
|---|---|
| Client relationship management and performance of contractual commitments | Performance of a contract (Art. 6(1)(b)) |
| Responding to enquiries and tender procedures | Pre-contractual measures (Art. 6(1)(b)) |
| Client Portal account management (credentials, access, support) | Performance of a contract (Art. 6(1)(b)) |
| Business development and professional prospecting | Legitimate interest, with a right to object at any time (Art. 6(1)(f)) |
| Retention of contracts and accounting records | Legal obligation (Art. 6(1)(c)) |
| Website audience measurement | Consent (Art. 82 French Data Protection Act) |
| Handling complaints and disputes | Legal obligation and legitimate interest (Art. 6(1)(c) and 6(1)(f)) |
Prospecting is strictly business-to-business and relates to offers directly connected with the role held by the person contacted. The legitimate interest pursued is the development of Groupe Carrus’s business with gaming operators and racing companies. Every message identifies the sender and includes a simple, free means of objecting to any further contact; an objection may also be sent at any time to the data protection officer.
5Destinataires et sous-traitantsRecipients and processors
Les données sont accessibles aux services internes concernés de Groupe Carrus : direction commerciale, support et exploitation, direction administrative et financière, direction des systèmes d’information. Chaque accès est nominatif et limité au besoin d’en connaître.
| Prestataire | Service | Localisation |
|---|---|---|
| Microsoft (Microsoft 365, Teams, OneDrive, Entra ID, Intune) | Bureautique, collaboration, gestion des identités | Union européenne |
| Espace Client | Portail client, contrats et ticketing | Union européenne |
| Sage X3 | ERP, comptabilité et facturation | Union européenne |
| Stratow | Gestion documentaire et circuits de validation | Union européenne |
| Hébergeur du site groupecarrus.com | Hébergement du site | Union européenne |
| Solution de mesure d’audience | Statistiques de fréquentation du site | Union européenne |
Chaque sous-traitant est encadré par un contrat comportant les clauses exigées par l’article 28 du RGPD. Les données peuvent également être communiquées aux conseils, auditeurs et autorités compétentes lorsque la loi l’impose. Elles ne sont ni vendues ni cédées à des tiers à des fins commerciales.
Data is accessible to the relevant internal departments of Groupe Carrus: sales, support and operations, finance and administration, and IT. Access is individually assigned and limited to a need-to-know basis.
| Provider | Service | Location |
|---|---|---|
| Microsoft (Microsoft 365, Teams, OneDrive, Entra ID, Intune) | Office, collaboration, identity management | European Union |
| Client Portal | Client portal, contracts and ticketing | European Union |
| Sage X3 | ERP, accounting and invoicing | European Union |
| Stratow | Document management and approval workflows | European Union |
| groupecarrus.com hosting provider | Website hosting | European Union |
| Audience measurement solution | Website traffic statistics | European Union |
Each processor is bound by a contract containing the clauses required under Article 28 GDPR. Data may also be disclosed to advisers, auditors and competent authorities where required by law. It is never sold or transferred to third parties for commercial purposes.
6Transferts hors de l’Union européenneTransfers outside the European Union
Les données couvertes par la présente politique sont hébergées et traitées au sein de l’Union européenne. Aucun transfert vers un pays tiers n’est mis en œuvre pour ces traitements.
Si un transfert devait intervenir, notamment dans le cadre d’une opération de support d’un éditeur, il serait encadré par l’un des mécanismes prévus au chapitre V du RGPD : décision d’adéquation de la Commission européenne ou clauses contractuelles types, assorties de mesures supplémentaires si nécessaire. Le registre des traitements en conserve la trace.
Data covered by this policy is hosted and processed within the European Union. No transfer to a third country takes place for these processing activities.
Should a transfer occur, in particular in connection with vendor support operations, it would be governed by one of the mechanisms set out in Chapter V GDPR: a European Commission adequacy decision or standard contractual clauses, together with supplementary measures where required. Such transfers are documented in the records of processing.
7Durées de conservationRetention periods
| Donnée | Durée |
|---|---|
| Prospects | 3 ans à compter du dernier contact |
| Clients (interlocuteurs opérationnels) | Durée de la relation contractuelle + 5 ans |
| Contrats signés | 10 ans après la fin du contrat, en archivage |
| Pièces comptables | 10 ans (art. L123-22 du code de commerce) |
| Comptes de l’Espace Client | Durée d’ouverture du compte, revue périodique des comptes inactifs |
| Traceurs déposés | 13 mois maximum |
| Données de mesure d’audience | 25 mois maximum |
| Demandes d’exercice de droits | Le temps du traitement, puis archivage à titre de preuve |
À l’expiration de ces durées, les données sont supprimées ou archivées sous accès restreint lorsqu’une obligation légale l’impose.
| Data | Period |
|---|---|
| Prospects | 3 years from the last contact |
| Clients (operational contacts) | Duration of the contractual relationship + 5 years |
| Signed contracts | 10 years after the end of the contract, archived |
| Accounting records | 10 years (Art. L123-22 French Commercial Code) |
| Client Portal accounts | For as long as the account is open, with periodic review of inactive accounts |
| Trackers | 13 months maximum |
| Audience measurement data | 25 months maximum |
| Data subject requests | For the duration of handling, then archived as evidence |
Once these periods expire, data is deleted or archived under restricted access where a legal obligation requires it.
8Vos droitsYour rights
Vous disposez des droits suivants sur vos données :
- Accès — obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
- Rectification — corriger des données inexactes ou incomplètes ;
- Effacement — obtenir la suppression de vos données lorsque les conditions de l’article 17 sont réunies ;
- Limitation — geler l’utilisation de vos données pendant la vérification d’une contestation ;
- Opposition — vous opposer à un traitement pour des motifs tenant à votre situation, et à tout moment et sans motif à la prospection commerciale ;
- Portabilité — recevoir dans un format structuré les données que vous avez fournies, pour les traitements fondés sur le consentement ou le contrat ;
- Retrait du consentement — à tout moment, sans que cela remette en cause la licéité du traitement effectué auparavant ;
- Directives post-mortem — définir des directives sur le sort de vos données après votre décès.
Exercer vos droits : écrivez à dpo@groupecarrus.com, ou par courrier à la déléguée à la protection des données — PMC, 30 rue des Petits Hôtels, 75010 Paris.
Une réponse vous est apportée dans un délai d’un mois, prorogeable de deux mois pour les demandes complexes. Un justificatif d’identité peut être demandé en cas de doute raisonnable sur votre identité.
Vous pouvez également introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.
You have the following rights over your data:
- Access — confirm whether your data is processed and obtain a copy;
- Rectification — correct inaccurate or incomplete data;
- Erasure — obtain deletion where the conditions of Article 17 are met;
- Restriction — suspend use of your data while a challenge is verified;
- Objection — object to processing on grounds relating to your situation, and at any time and without reason to commercial prospecting;
- Portability — receive the data you provided in a structured format, for processing based on consent or contract;
- Withdrawal of consent — at any time, without affecting the lawfulness of prior processing;
- Post-mortem instructions — set instructions on what happens to your data after your death.
Exercising your rights: write to dpo@groupecarrus.com, or by post to the Data Protection Officer — PMC, 30 rue des Petits Hôtels, 75010 Paris, France.
You will receive a reply within one month, extendable by two months for complex requests. Proof of identity may be requested where there is reasonable doubt as to your identity.
You may also lodge a complaint with the CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, or at www.cnil.fr.
9Cookies et traceursCookies and trackers
Le site groupecarrus.com utilise deux catégories de traceurs :
- Traceurs strictement nécessaires — fonctionnement du site, sécurité, mémorisation de votre choix en matière de traceurs. Ils sont exemptés de consentement.
- Traceurs de mesure d’audience — statistiques de fréquentation et amélioration du site. Ils ne sont déposés qu’après votre consentement.
Un bandeau vous permet, dès votre arrivée sur le site, d’accepter ou de refuser les traceurs non essentiels. Le refus est aussi simple que l’acceptation, aucune option n’est présélectionnée, et vous pouvez modifier votre choix à tout moment. Aucun traceur publicitaire ni de profilage commercial n’est déposé.
La durée de vie des traceurs est limitée à 13 mois et les données qui en résultent sont conservées 25 mois au maximum.
The groupecarrus.com website uses two categories of trackers:
- Strictly necessary trackers — site operation, security, and storing your tracker preferences. These are exempt from consent.
- Audience measurement trackers — traffic statistics and site improvement. These are only placed after you have given consent.
A banner lets you accept or refuse non-essential trackers as soon as you arrive on the site. Refusing is as easy as accepting, no option is pre-selected, and you can change your choice at any time. No advertising or commercial profiling trackers are used.
Tracker lifetime is limited to 13 months and the resulting data is kept for a maximum of 25 months.
10SécuritéSecurity
Groupe Carrus met en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque :
- gestion centralisée des identités et authentification unique (Microsoft Entra ID), sessions nominatives, coffre-fort de mots de passe et bastion d’administration ;
- chiffrement des postes et des mobiles (Intune / BitLocker), chiffrement des transferts de fichiers, clés USB chiffrées ;
- chiffrement des échanges web du site en HTTPS ;
- antivirus, pare-feu, VPN et filtrage anti-spam ;
- journalisation et supervision des accès, revues périodiques des journaux ;
- sauvegardes régulières, réplication sur site distant et stockage à froid ;
- sécurité physique des locaux et des centres de données, procédure d’accueil des visiteurs ;
- certifications ISO 27001 et ISO 9001 sur les périmètres concernés, ainsi que la certification WLA (World Lottery Association).
En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, Groupe Carrus notifie la CNIL dans un délai de 72 heures et informe les personnes concernées lorsque le risque est élevé.
Groupe Carrus implements technical and organisational measures proportionate to the level of risk:
- centralised identity management and single sign-on (Microsoft Entra ID), named sessions, password vault and administration bastion;
- workstation and mobile device encryption (Intune / BitLocker), encrypted file transfers, encrypted USB keys;
- HTTPS encryption of website traffic;
- antivirus, firewall, VPN and anti-spam filtering;
- access logging and monitoring, with periodic log reviews;
- regular backups, off-site replication and cold storage;
- physical security of premises and data centres, visitor reception procedure;
- ISO 27001 and ISO 9001 certifications on the relevant scopes, together with WLA (World Lottery Association) certification.
In the event of a data breach likely to result in a risk to your rights and freedoms, Groupe Carrus notifies the CNIL within 72 hours and informs the individuals concerned where the risk is high.
11MineursMinors
Le site et les services décrits dans la présente politique s’adressent exclusivement à des professionnels. Ils ne sont pas destinés aux mineurs et aucune donnée n’est collectée sciemment auprès d’eux.
Si vous estimez qu’un mineur nous a transmis des données, écrivez à dpo@groupecarrus.com : ces données seront supprimées sans délai.
The website and the services described in this policy are aimed exclusively at professionals. They are not intended for minors and no data is knowingly collected from them.
If you believe a minor has provided us with data, write to dpo@groupecarrus.com: the data will be deleted without delay.
12Décision automatisée et profilageAutomated decision-making and profiling
Aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé, au sens de l’article 22 du RGPD.
Les statistiques de fréquentation du site sont agrégées et ne servent pas à établir de profil individuel.
No decision producing legal effects or similarly significantly affecting you is taken solely on the basis of automated processing within the meaning of Article 22 GDPR.
Website traffic statistics are aggregated and are not used to build individual profiles.
13Modification de la politiqueChanges to this policy
La présente politique est revue au moins une fois par an par la déléguée à la protection des données, ainsi qu’à chaque évolution significative des traitements, des outils ou du cadre réglementaire.
En cas de modification substantielle, les personnes concernées en sont informées par un moyen adapté.
| Version | Date | Évolution |
|---|---|---|
| v1.0 | 07/2026 | Création de la politique et publication du trust center |
This policy is reviewed at least once a year by the data protection officer, and whenever there is a significant change in processing activities, tools or the regulatory framework.
Where a substantial change is made, the individuals concerned are informed by an appropriate means.
| Version | Date | Change |
|---|---|---|
| v1.0 | 07/2026 | Policy created and trust center published |
1Responsable du traitement et DPOData controller and DPO
Le responsable du traitement des candidatures est PMC — Périphériques et Matériels de Contrôle, société par actions simplifiée au capital de 1 009 000 €, 30 rue des Petits Hôtels, 75010 Paris, RCS Paris 722 014 974.
Les recrutements sont conduits pour l’ensemble des sociétés du Groupe Carrus.
Contacter le DPO : Mme Dussour, déléguée à la protection des données, à l’adresse dpo@groupecarrus.com
Ou par courrier : Déléguée à la protection des données — PMC, 30 rue des Petits Hôtels, 75010 Paris.
The controller for recruitment data is PMC — Périphériques et Matériels de Contrôle, a simplified joint-stock company with share capital of €1,009,000, 30 rue des Petits Hôtels, 75010 Paris, France, Paris trade register 722 014 974.
Recruitment is carried out on behalf of all Groupe Carrus companies.
Contacting the DPO: Ms Dussour, data protection officer, at dpo@groupecarrus.com
Or by post: Data Protection Officer — PMC, 30 rue des Petits Hôtels, 75010 Paris, France.
2Personnes concernées et champ d’applicationData subjects and scope
La présente politique s’applique aux candidats à un poste au sein du Groupe Carrus, qu’ils postulent à une offre publiée, transmettent une candidature spontanée, ou soient présentés par un cabinet de recrutement ou une société de prestation informatique.
Elle couvre l’ensemble du processus de recrutement, de la réception de la candidature jusqu’à la décision finale et, le cas échéant, la conservation en vivier.
Le traitement des données des clients, prospects et visiteurs du site est décrit dans la politique dédiée, accessible via l’onglet « Site web / Prospects et clients ».
This policy applies to candidates applying for a position within Groupe Carrus, whether they respond to a published vacancy, send an unsolicited application, or are introduced by a recruitment agency or an IT services company.
It covers the entire recruitment process, from receipt of the application to the final decision and, where applicable, retention in the talent pool.
Processing of client, prospect and website visitor data is described in the dedicated policy, available under the « Website / Prospects and clients » tab.
3Données collectées et sourcesData collected and sources
Collecte directe — auprès du candidat : nom, prénom, date et lieu de naissance, nationalité, coordonnées postales, téléphone, adresse électronique, photographie si vous en joignez une, CV, lettre de motivation, formation et diplômes, expérience professionnelle, compétences, langues parlées, centres d’intérêt.
Collecte indirecte — auprès des cabinets de recrutement, sociétés de prestation informatique et plateformes d’emploi qui présentent votre candidature, ainsi qu’auprès des références professionnelles que vous nous avez communiquées et uniquement avec votre accord.
Aucune donnée relevant des catégories particulières de l’article 9 du RGPD — origine, opinions, convictions, santé, appartenance syndicale, orientation sexuelle — n’est demandée ni exploitée dans le cadre du recrutement. Nous vous invitons à ne pas en faire figurer dans votre candidature.
Les informations recueillies portent exclusivement sur votre capacité à occuper le poste et vos aptitudes professionnelles, conformément aux articles L1221-6 et suivants du code du travail.
Direct collection — from the candidate: surname, first name, date and place of birth, nationality, postal address, phone number, email address, photograph if you attach one, CV, cover letter, education and qualifications, professional experience, skills, languages, interests.
Indirect collection — from recruitment agencies, IT services companies and job platforms introducing your application, and from the professional references you have provided, only with your agreement.
No special category data within the meaning of Article 9 GDPR — origin, opinions, beliefs, health, trade union membership, sexual orientation — is requested or used in recruitment. We invite you not to include any in your application.
Information collected relates solely to your ability to perform the role and your professional aptitudes, in accordance with Articles L1221-6 et seq. of the French Labour Code.
4Finalités et bases légalesPurposes and legal bases
| Finalité | Base légale |
|---|---|
| Réception et instruction des candidatures | Mesures précontractuelles prises à votre demande (art. 6.1.b) |
| Évaluation des aptitudes professionnelles et conduite des entretiens | Mesures précontractuelles (art. 6.1.b) |
| Échanges avec le candidat tout au long du processus | Mesures précontractuelles (art. 6.1.b) |
| Vérification des références professionnelles | Consentement du candidat (art. 6.1.a) |
| Conservation en vivier de recrutement | Intérêt légitime, avec droit d’opposition à tout moment (art. 6.1.f) |
| Élaboration de statistiques de recrutement | Intérêt légitime, sur données agrégées (art. 6.1.f) |
| Constitution du dossier salarié en cas d’embauche | Exécution du contrat de travail et obligations légales (art. 6.1.b et 6.1.c) |
En cas d’embauche, vos données rejoignent le dossier salarié et sont alors régies par la politique de confidentialité applicable aux collaborateurs, qui vous est remise à votre arrivée.
| Purpose | Legal basis |
|---|---|
| Receiving and reviewing applications | Pre-contractual measures taken at your request (Art. 6(1)(b)) |
| Assessing professional aptitudes and conducting interviews | Pre-contractual measures (Art. 6(1)(b)) |
| Communications with the candidate throughout the process | Pre-contractual measures (Art. 6(1)(b)) |
| Checking professional references | Candidate’s consent (Art. 6(1)(a)) |
| Retention in the talent pool | Legitimate interest, with a right to object at any time (Art. 6(1)(f)) |
| Recruitment statistics | Legitimate interest, on aggregated data (Art. 6(1)(f)) |
| Creating the employee file upon hiring | Performance of the employment contract and legal obligations (Art. 6(1)(b) and 6(1)(c)) |
If you are hired, your data becomes part of your employee file and is then governed by the employee privacy policy, which is provided to you when you join.
5Destinataires et sous-traitantsRecipients and processors
Vos données sont accessibles à la direction des ressources humaines et aux managers opérationnels concernés par le poste. Chaque accès est nominatif et limité au besoin d’en connaître.
| Prestataire | Service | Localisation |
|---|---|---|
| Microsoft (Microsoft 365, Teams, OneDrive) | Messagerie, entretiens à distance, stockage des dossiers | Union européenne |
| Site et plateformes de recrutement | Diffusion des offres et réception des candidatures | Union européenne |
| Cabinets de recrutement et sociétés de prestation informatique | Sourcing et présentation de candidats | Union européenne |
| Serveur de fichiers RH | Conservation des dossiers de candidature | France, infrastructure interne |
Chaque sous-traitant est encadré par un contrat comportant les clauses exigées par l’article 28 du RGPD. Vos données ne sont ni vendues ni communiquées à des tiers à des fins commerciales.
Your data is accessible to the HR department and to the operational managers concerned by the role. Access is individually assigned and limited to a need-to-know basis.
| Provider | Service | Location |
|---|---|---|
| Microsoft (Microsoft 365, Teams, OneDrive) | Email, remote interviews, file storage | European Union |
| Recruitment website and job platforms | Publishing vacancies and receiving applications | European Union |
| Recruitment agencies and IT services companies | Sourcing and introducing candidates | European Union |
| HR file server | Storage of application files | France, internal infrastructure |
Each processor is bound by a contract containing the clauses required under Article 28 GDPR. Your data is never sold or disclosed to third parties for commercial purposes.
6Transferts hors de l’Union européenneTransfers outside the European Union
Les données de candidature sont hébergées et traitées au sein de l’Union européenne. Aucun transfert vers un pays tiers n’est mis en œuvre pour ce traitement.
Si un recrutement concernait un poste situé hors de l’Union européenne et impliquait la communication de votre dossier à une entité locale, vous en seriez informé au préalable et le transfert serait encadré par une décision d’adéquation ou des clauses contractuelles types.
Application data is hosted and processed within the European Union. No transfer to a third country takes place for this processing activity.
If a recruitment concerned a role located outside the European Union and required your file to be shared with a local entity, you would be informed beforehand and the transfer would be governed by an adequacy decision or standard contractual clauses.
7Durées de conservationRetention periods
| Situation | Durée |
|---|---|
| Candidature non retenue | 2 ans à compter du dernier contact |
| Candidature spontanée | 2 ans à compter du dernier contact |
| Conservation en vivier | 2 ans, sauf opposition de votre part |
| Candidature retenue | Versement au dossier salarié, régi par la politique applicable aux collaborateurs |
| Statistiques de recrutement | Sans limite, sur données agrégées et anonymes |
À l’issue de ces durées, les dossiers sont supprimés. Vous pouvez demander la suppression de votre candidature à tout moment, sans attendre l’expiration du délai.
| Situation | Period |
|---|---|
| Unsuccessful application | 2 years from the last contact |
| Unsolicited application | 2 years from the last contact |
| Retention in the talent pool | 2 years, unless you object |
| Successful application | Transferred to the employee file, governed by the employee policy |
| Recruitment statistics | No time limit, on aggregated and anonymous data |
At the end of these periods, files are deleted. You may request deletion of your application at any time, without waiting for the period to expire.
8Vos droitsYour rights
Vous disposez des droits suivants sur les données de votre candidature :
- Accès — obtenir une copie des données vous concernant, y compris les appréciations portées sur votre candidature ;
- Rectification — corriger ou compléter vos données ;
- Effacement — obtenir le retrait de votre candidature et la suppression de votre dossier ;
- Limitation — geler l’utilisation de vos données le temps de la vérification d’une contestation ;
- Opposition — vous opposer à la conservation de votre candidature en vivier ;
- Portabilité — recevoir dans un format structuré les données que vous nous avez fournies ;
- Retrait du consentement — notamment pour la vérification de vos références, à tout moment ;
- Directives post-mortem — définir des directives sur le sort de vos données après votre décès.
Le retrait de votre candidature est possible à tout moment et sans justification. Il n’a aucune incidence sur la possibilité de postuler à nouveau ultérieurement.
Exercer vos droits : écrivez à dpo@groupecarrus.com, ou par courrier à la déléguée à la protection des données — PMC, 30 rue des Petits Hôtels, 75010 Paris.
Une réponse vous est apportée dans un délai d’un mois, prorogeable de deux mois pour les demandes complexes.
Vous pouvez également introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.
You have the following rights over your application data:
- Access — obtain a copy of your data, including assessments made of your application;
- Rectification — correct or complete your data;
- Erasure — withdraw your application and have your file deleted;
- Restriction — suspend use of your data while a challenge is verified;
- Objection — object to your application being kept in the talent pool;
- Portability — receive the data you provided in a structured format;
- Withdrawal of consent — in particular for reference checks, at any time;
- Post-mortem instructions — set instructions on what happens to your data after your death.
You may withdraw your application at any time and without giving reasons. This has no bearing on your ability to apply again later.
Exercising your rights: write to dpo@groupecarrus.com, or by post to the Data Protection Officer — PMC, 30 rue des Petits Hôtels, 75010 Paris, France.
You will receive a reply within one month, extendable by two months for complex requests.
You may also lodge a complaint with the CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, or at www.cnil.fr.
9Cookies et traceursCookies and trackers
Le traitement des candidatures ne repose sur aucun traceur spécifique.
Les traceurs déposés lors de votre navigation sur groupecarrus.com sont décrits dans la politique « Site web / Prospects et clients », section 9, accessible via l’onglet correspondant.
Application processing does not rely on any specific tracker.
Trackers placed while you browse groupecarrus.com are described in the « Website / Prospects and clients » policy, section 9, available under the corresponding tab.
10SécuritéSecurity
Les dossiers de candidature bénéficient des mesures de sécurité en vigueur au sein du Groupe Carrus :
- accès restreint aux seuls acteurs du recrutement, sessions nominatives et cloisonnement des dossiers ;
- gestion centralisée des identités et authentification unique (Microsoft Entra ID), coffre-fort de mots de passe ;
- chiffrement des postes et des mobiles (Intune / BitLocker), chiffrement des transferts de fichiers ;
- antivirus, pare-feu, VPN et filtrage anti-spam ;
- journalisation et supervision des accès ;
- sauvegardes régulières et réplication sur site distant ;
- sécurité physique des locaux et destruction sécurisée des documents papier.
En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, Groupe Carrus notifie la CNIL dans un délai de 72 heures et informe les personnes concernées lorsque le risque est élevé.
Application files benefit from the security measures in force across Groupe Carrus:
- access restricted to recruitment stakeholders only, named sessions and file segregation;
- centralised identity management and single sign-on (Microsoft Entra ID), password vault;
- workstation and mobile device encryption (Intune / BitLocker), encrypted file transfers;
- antivirus, firewall, VPN and anti-spam filtering;
- access logging and monitoring;
- regular backups and off-site replication;
- physical security of premises and secure destruction of paper documents.
In the event of a data breach likely to result in a risk to your rights and freedoms, Groupe Carrus notifies the CNIL within 72 hours and informs the individuals concerned where the risk is high.
11MineursMinors
Les offres d’emploi du Groupe Carrus s’adressent à des personnes majeures.
Les candidatures de mineurs ne sont acceptées que dans le cadre encadré d’un stage, d’une période d’observation ou d’une alternance, avec l’accord du représentant légal et de l’établissement d’enseignement. Les données collectées sont alors limitées au strict nécessaire à la convention et conservées pendant sa durée, puis 2 ans.
Groupe Carrus vacancies are aimed at adults.
Applications from minors are accepted only within the supervised framework of an internship, work-shadowing placement or apprenticeship, with the agreement of the legal guardian and the educational institution. Data collected is then limited to what is strictly necessary for the agreement and kept for its duration, then 2 years.
12Décision automatisée et profilageAutomated decision-making and profiling
Aucune décision de recrutement n’est prise sur le seul fondement d’un traitement automatisé au sens de l’article 22 du RGPD. Chaque candidature fait l’objet d’un examen humain par la direction des ressources humaines et par le manager concerné.
Aucun outil de tri automatisé, de scoring ou d’analyse comportementale n’est utilisé pour écarter une candidature.
No recruitment decision is taken solely on the basis of automated processing within the meaning of Article 22 GDPR. Every application is reviewed by a person, in the HR department and by the hiring manager.
No automated screening, scoring or behavioural analysis tool is used to reject an application.
13Modification de la politiqueChanges to this policy
La présente politique est revue au moins une fois par an par la déléguée à la protection des données, ainsi qu’à chaque évolution significative du processus de recrutement, des outils utilisés ou du cadre réglementaire.
| Version | Date | Évolution |
|---|---|---|
| v1.0 | 07/2026 | Création de la politique et publication du trust center |
This policy is reviewed at least once a year by the data protection officer, and whenever there is a significant change in the recruitment process, the tools used or the regulatory framework.
| Version | Date | Change |
|---|---|---|
| v1.0 | 07/2026 | Policy created and trust center published |
Exercice des droits & Contact DPO
Utilisez ce formulaire pour exercer vos droits (accès, rectification, effacement, opposition, limitation, portabilité) ou contacter le Délégué à la Protection des Données.
Délai indicatif de traitement : 30 jours. Merci de préciser l’objet de votre demande et les éléments utiles d’identification.
Signaler un incident ou une faille
Si un incident de sécurité ou une vulnérabilité est identifié, il peut être signalé ici afin que l’équipe concernée puisse l’analyser et y remédier rapidement.
⚠️ Signaler un incident
Cette fiche de Preuves RGPD est fournie par donnees.net