Politique de confidentialité

Modèle à faire valider par un avocat avant mise en ligne.

Qui est responsable de quoi

Deux situations à ne pas confondre.

Pour les comptes et la facturation des formateurs, la plateforme « À COMPLÉTER : éditeur » est responsable de traitement : c'est elle qui décide.

Pour les données des apprenants d'un formateur, la plateforme est sous-traitante : le formateur décide, la plateforme exécute. Si vous êtes apprenant et que vous voulez exercer un droit, adressez-vous d'abord à votre formateur. Nous l'assistons, et nous répondons directement si vous ne parvenez pas à le joindre.

Contact : « À COMPLÉTER : email »

Ce qui est traité, et pourquoi

Donnée	Pourquoi	Base légale	Conservation
Email, mot de passe (chiffré)	Vous identifier	Exécution du contrat	Compte + 1 an
Nom, prénom, téléphone	Vous reconnaître, établir les attestations	Exécution du contrat	Compte + 1 an
Progression, temps de visionnage	Suivre l'avancement	Exécution du contrat	Inscription + 3 ans
Adresse IP, navigateur, appareils	Sécurité, lutte contre le partage de compte	Intérêt légitime	12 mois (30 mois pour les appareils)
Journal des consultations de documents	Traçabilité en cas de diffusion illicite	Intérêt légitime	6 ans
Preuves de consentement	Prouver l'acceptation des conditions	Obligation légale	5 ans après retrait
Facturation (formateurs)	Comptabilité	Obligation légale	10 ans

Aucune donnée n'est vendue, louée ou cédée. Aucune publicité. Aucun profilage commercial.

Le filigrane des documents

Les PDF qui vous sont remis portent votre nom, votre adresse email, la date et une référence. C'est un traitement de vos données, et il est assumé : il protège le travail du formateur en rendant une diffusion illicite traçable jusqu'à son origine. Vous en êtes informé sur la page de chaque leçon.

Les appareils

Un identifiant tiré au sort est déposé sur votre navigateur pour le reconnaître. Il ne contient ni votre nom, ni votre email. Sa valeur n'est pas conservée en base : seule son empreinte l'est. Vous pouvez voir et déconnecter vos appareils depuis votre page Sécurité.

Qui d'autre voit vos données

Prestataire	Rôle	Où sont les serveurs
Supabase	Base de données, comptes, fichiers	🇫🇷 Paris
Vercel	Hébergement de l'application	🇺🇸 société américaine, exécution à Paris
Bunny.net	Diffusion des vidéos	🇸🇮 Slovénie / 🇩🇪 Allemagne (UE)
Brevo	Emails du service	🇫🇷 France
Stripe	Abonnement des formateurs uniquement	🇮🇪 Irlande

Le seul transfert hors Union européenne concerne Vercel, société américaine. Il porte sur des journaux techniques, pas sur le contenu des formations ni sur les données des apprenants, qui restent à Paris. Il est encadré par les clauses contractuelles types de la Commission européenne.

Vos droits

Vous pouvez à tout moment :

• accéder à vos données et en obtenir une copie ;
• les faire corriger ;
• demander leur effacement ;
• vous opposer à un traitement fondé sur l'intérêt légitime ;
• demander la limitation d'un traitement ;
• récupérer vos données dans un format réutilisable (portabilité) ;
• retirer un consentement, sans que cela remette en cause ce qui a été fait avant.

Deux boutons, dans votre espace Profil → Mes données, font l'essentiel sans attendre : Télécharger mes données et Supprimer mon compte.

Délai de réponse : un mois, prolongeable à trois si la demande est complexe — vous en seriez informé.

Ce que « supprimer mon compte » fait vraiment

Votre compte est anonymisé, pas effacé ligne à ligne. Nom, email et téléphone disparaissent ; ce qui doit être conservé pour des raisons comptables ou probatoires subsiste sans vous être rattaché. C'est la seule façon de concilier votre droit à l'effacement et l'obligation de conserver une facture dix ans.

La suppression est définitive : ni vos accès aux formations, ni votre progression ne peuvent être rétablis.

Réclamation

Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — https://cnil.fr

Sécurité

Les mesures en place sont décrites publiquement dans le dépôt du projet (docs/SECURITE.md) : chiffrement des échanges, cloisonnement des données par organisation au niveau de la base, journaux inaltérables, double authentification disponible, mots de passe vérifiés contre les fuites connues.