Politique de confidentialité

1. Qui traite vos données ?

Le site est édité par ELS Formations SAS. Selon l'opération, ELS Formations a l'un des deux rôles suivants. Le rôle dépend de celui qui décide réellement pourquoi et comment les données sont utilisées.

• Responsable de traitement : ELS Formations décide pourquoi et comment vos données sont utilisées. Concerne : le site public, les comptes et leur sécurité, votre espace avant l'envoi d'une demande, la commande et la facturation des prestations d'ELS Formations, les contrats, les intervenants, les journaux de sécurité, les signalements qui ne concernent aucun partenaire habilité, le traitement de vos demandes sur vos données.
• Sous-traitant du certificateur : ELS Formations traite les données pour le compte d'un certificateur, qui décide de leur usage. Un certificateur est l'organisme qui délivre une certification RNCP ou RS. Concerne : une fois une demande de partenariat envoyée à un certificateur, sa préqualification, l'avis transmis et la conservation des pièces pour la décision du certificateur ; les signalements transmis à un certificateur.

RNCP signifie « Répertoire national des certifications professionnelles ». RS signifie « Répertoire spécifique ». La préqualification est l'examen d'une demande de partenariat avant la décision du certificateur.

Une même demande peut relever des deux rôles. Les pièces d'une demande de partenariat sont examinées pour le compte du certificateur. ELS Formations n'utilise pour son propre compte que ce dont elle a besoin pour vendre et facturer les frais d'analyse, prouver la prestation rendue et sécuriser la plateforme : la commande, la facture, les dates et le journal des actions, jamais le contenu des pièces à d'autres fins.

Si ELS Formations agit pour un certificateur, vos droits s'exercent d'abord auprès de ce certificateur. ELS Formations vous aide à le contacter et lui transmet votre demande sans délai.

2. Qui contacter pour vos données ?

Le référent à la protection des données d'ELS Formations est : [nom].

Adresse e-mail dédiée : [adresse e-mail].

3. Pourquoi, sur quelle base et combien de temps ?

Cette liste présente les traitements en service. La « base » est la raison que la loi reconnaît pour utiliser vos données. Les durées sont celles que nous avons choisies pour CertiLens ; elles ne sont pas fixées par la loi, sauf mention contraire.

• Répondre à vos demandes de contact et présenter notre offre. Nous sommes responsable de traitement. Base légale : intérêt légitime : répondre aux professionnels qui nous écrivent et leur présenter notre offre. Données : nom, organisation, adresse e-mail, profil, message. Durée : 36 mois après le dernier contact.
• Gérer les comptes, la double authentification et les accès. Nous sommes responsable de traitement. Base légale : exécution des conditions d'utilisation que vous avez acceptées ; pour les informations sur l'organisme qui vous emploie, intérêt légitime de gérer la relation avec lui. Données : civilité, prénom, nom, fonction, adresse e-mail professionnelle, téléphone, organisation, mot de passe (conservé sous forme protégée), éléments de double authentification, historique de connexion. Durée : durée du compte. Un compte inactif est supprimé après 12 mois, avec un préavis de 30 jours. Un compte qui n'a pas été activé est supprimé après 7 jours.
• Préparer une demande de partenariat dans votre espace, avant son envoi. Nous sommes responsable de traitement. Base légale : exécution des conditions d'utilisation. Données : données de l'organisme (SIRET, raison sociale, numéro de déclaration d'activité, certification Qualiopi, adresse), personne qui prépare la demande, documents déposés. Durée : jusqu'à l'envoi de la demande, ou suppression du brouillon.
• Commander et facturer les frais d'analyse, prouver la prestation rendue. Nous sommes responsable de traitement. Base légale : exécution du contrat conclu avec l'organisme qui commande ; obligation légale de tenir une comptabilité. Données : organisme facturé, commande, dates, facture, paiement. Durée : 10 ans pour les pièces comptables (obligation légale).
• Préqualifier une demande de partenariat, transmettre l'avis et conserver les pièces pour la décision du certificateur. Nous sommes sous-traitant du certificateur. Base légale : celle du certificateur : c'est lui qui la choisit et l'inscrit dans son registre. Données : les données de la demande, les pièces, les messages échangés et l'avis rendu. Durée : fixée par le certificateur dans son accord avec nous : pièces d'une demande refusée supprimées 24 mois après le refus ; durée de l'habilitation si la demande est retenue. Un document retiré par son déposant après une décision est supprimé 12 mois après son retrait.
• Facturer, encaisser et conserver les contrats et devis. Nous sommes responsable de traitement. Base légale : exécution du contrat ; obligation légale de tenir une comptabilité. Données : organisme facturé (raison sociale, SIRET, adresse, numéro de TVA, contact), devis, contrats, factures, paiements. Durée : 10 ans pour les pièces comptables (obligation légale) ; durée du contrat, plus 5 ans, pour les contrats.
• Traiter les signalements des stagiaires. Nous sommes sous-traitant du certificateur concerné. Base légale : celle du certificateur. Données : partenaire concerné, formation visée, période, situation, nature du problème, description, pièces jointes ; coordonnées seulement si vous souhaitez être recontacté ; votre identité n'est transmise au certificateur qu'avec votre accord. Durée : 24 mois après la clôture du signalement.
• Clore un signalement qui ne concerne aucun partenaire habilité. Nous sommes responsable de traitement. Base légale : intérêt légitime : répondre à la personne qui nous a écrit. Données : les mêmes que ci-dessus. Durée : 3 mois après la clôture.
• Garder la preuve des actions importantes (journal d'audit). Nous sommes responsable de traitement. Base légale : intérêt légitime : preuve et sécurité. Données : action réalisée, personne concernée, date et heure, adresse IP. Durée : durée de conservation du dossier concerné, et 5 ans au moins.
• Tracer les consultations de documents dans la visionneuse. Nous sommes responsable de traitement. Base légale : intérêt légitime : sécurité des documents et preuve des consultations. Données : personne, document, page, date et heure, adresse IP. Durée : 60 mois.
• Assurer la sécurité du site (journaux techniques et de connexion, journal d'envoi des e-mails). Nous sommes responsable de traitement. Base légale : intérêt légitime : sécurité. Données : adresse IP, date et heure, page demandée, [autres données des journaux à confirmer] ; pour les e-mails : destinataire, date et type, jamais le contenu. Durée : 12 mois ; 90 jours pour le journal d'envoi des e-mails.
• Gérer les intervenants de CertiLens (personnes qui examinent les dossiers) et les prestataires. Nous sommes responsable de traitement. Base légale : exécution du contrat ; pour les engagements signés, intérêt légitime de prouver les garanties d'impartialité et de confidentialité. Données : identité, coordonnées, engagements signés, éléments contractuels et de facturation, le cas échéant. Durée : durée de la collaboration ou du contrat, plus 5 ans.
• Repérer les utilisateurs qui ont besoin d'aide pour traiter leurs alertes (suivi des utilisateurs à accompagner). Nous sommes responsable de traitement. Base légale : intérêt légitime : aider les utilisateurs qui laissent beaucoup d'alertes sans suite et garder la qualité du service ; ce suivi n'entraîne aucune sanction et aucune décision automatique. Données : nombre d'alertes reçues et non traitées sur 30 jours, délai de traitement, observations internes des administrateurs, actions de suivi (message écrit, formation proposée, état du suivi). Seuls les administrateurs du pôle Contrôles y accèdent. Durée : jusqu'à la résolution du suivi, puis supprimé avec le compte.
• Traiter vos demandes sur vos données. Nous sommes responsable de traitement. Base légale : obligation légale de répondre aux demandes prévues par le RGPD. Données : identité du demandeur, demande, échanges, réponse. Durée : 5 ans après la réponse, pour en garder la preuve.

Que veulent dire ces mots ?

• Intérêt légitime : nous avons une raison légitime d'utiliser vos données, et nous avons vérifié qu'elle ne l'emporte pas sur vos droits.
• Exécution du contrat : nous avons besoin de vos données pour fournir le service demandé.
• Obligation légale : la loi nous impose ce traitement ou cette conservation.
• Responsable de traitement : celui qui décide pourquoi et comment les données sont utilisées.
• Sous-traitant : celui qui traite des données pour le compte d'un autre.

Les traitements pour le compte d'un certificateur

Pour les lignes où nous sommes sous-traitant, la base légale est celle du certificateur. Il l'indique dans son propre registre et vous informe de son côté. Les durées de conservation sont fixées avec lui. Si vous voulez exercer vos droits sur ces données, contactez d'abord ce certificateur ; nous lui transmettons sans délai toute demande reçue.

Les informations sur la santé

Ne communiquez pas d'information sur votre santé ou celle d'une autre personne si elle n'est pas indispensable, ni dans un document, ni dans un message, ni dans un signalement. Si une pièce ou un message en contient sans nécessité, nous en limitons l'accès, puis demandons qu'il soit remplacé par une version masquée ou nous le supprimons.

4. Qui reçoit vos données ?

• Personnes habilitées d'ELS Formations. Pourquoi : faire fonctionner le service, selon leur rôle ; chacun voit seulement ce dont il a besoin. Où : France.
• Certificateurs. Pourquoi : recevoir les demandes, les avis et les signalements qui concernent leurs certifications ; un certificateur ne voit jamais les données d'un autre certificateur. Où : selon le certificateur.
• Clever Cloud SAS. Pourquoi : hébergement du site, des bases de données et des fichiers. Où : France, région Paris.
• Messagerie du domaine d'ELS Formations : [nom du fournisseur]. Pourquoi : envoi des e-mails de la plateforme (adresse du destinataire et texte, sans pièce jointe). Où : [lieu d'hébergement à confirmer].
• Logiciel de facturation : [nom du logiciel à confirmer], et sa plateforme agréée. Pourquoi : émission, transmission et réception des factures électroniques. Où : [lieu d'hébergement à confirmer].

Nous ne vendons pas vos données.

5. Vos données sortent-elles de France ou de l'Union européenne ?

Le site est hébergé en France, chez Clever Cloud SAS, dans la région de Paris. Nous ne transférons pas de données hors de l'Union européenne et nous l'exigeons de nos prestataires dans leur contrat, y compris pour leur support et leurs sauvegardes.

6. Comment protégeons-nous vos données ?

• Double authentification obligatoire pour tous les comptes : un second moyen est demandé en plus du mot de passe, à chaque connexion, sauf sur un appareil que vous avez désigné comme appareil de confiance : il n'est alors redemandé qu'au bout de 30 jours. Cette option n'est proposée qu'aux comptes qui ne consultent pas de dossiers sensibles.
• Chiffrement : les échanges avec le site sont chiffrés. Les fichiers déposés sont chiffrés avant d'être stockés.
• Visionneuse sécurisée : les documents déposés par les utilisateurs ne sont pas proposés en téléchargement. Ils s'affichent page par page, sous forme d'images, avec un filigrane portant le nom de la personne qui les consulte. Cela limite la copie sans pouvoir l'empêcher totalement (une photo de l'écran reste possible) : la copie est interdite par nos conditions d'utilisation, et les consultations sont tracées.
• Antivirus : chaque fichier déposé est analysé avant toute consultation.
• Accès limité : chaque rôle voit seulement les données dont il a besoin.
• Traçabilité : les consultations et les actions importantes sont inscrites dans un journal.
• Suppression automatique : une tâche quotidienne supprime les données arrivées à échéance. Une donnée supprimée peut rester dans les sauvegardes jusqu'à leur expiration, au bout de 30 jours ; elle n'en est jamais extraite pour un autre usage. Si une sauvegarde doit être restaurée, les suppressions faites depuis sa date sont appliquées de nouveau avant la reprise du service.

7. Quels sont vos droits ?

Selon le traitement, vous pouvez demander :

• l'accès à vos données, c'est-à-dire en recevoir une copie ;
• leur rectification, si elles sont fausses ou incomplètes ;
• leur effacement, sauf si nous devons les conserver (par exemple pour une obligation comptable ou la preuve d'une décision) ;
• la limitation de leur usage ;
• votre opposition à un usage fondé sur notre intérêt légitime, pour une raison tenant à votre situation, et à tout moment à la prospection ;
• leur portabilité, c'est-à-dire les récupérer sous une forme réutilisable, pour les données que vous nous avez fournies dans le cadre d'un contrat ;
• des directives après votre décès : vous dites ce que deviennent vos données.

Comment faire ? Écrivez au référent indiqué au point 2. Vous pouvez aussi utiliser la page « Mes données » de votre compte pour consulter ou exporter vos données et demander leur suppression. Si votre accès à la plateforme est fermé ou limité, écrivez au référent : vos droits restent ouverts.

Sous quel délai ? Nous répondons sous un mois. Ce délai peut être prolongé de deux mois pour une demande complexe ; nous vous en informons alors dans le premier mois.

Si vous n'êtes pas d'accord avec notre réponse, vous pouvez déposer une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés) : www.cnil.fr.

Pour les données traitées pour le compte d'un certificateur, adressez-vous d'abord à lui (point 1).

8. Et les cookies ?

Le site utilise seulement des cookies et un stockage local indispensables à son fonctionnement ou à des réglages d'affichage que vous choisissez. Le détail figure dans la politique de cookies.

9. Mise à jour et versions

La version et la date de ce texte figurent en tête de page. Une nouvelle version remplace la précédente ; un changement important vous est signalé avant son entrée en vigueur.