Charte de protection des données personnelles

FORM-A-PRO — Groupe Polygone SAS
Charte de protection des données personnelles · Document public, publié sur le site et joint aux devis

1. Pourquoi cette charte

Vous nous confiez votre nom, votre adresse et votre projet de formation pour que nous puissions vous établir un devis, vous inscrire, vous former et vous délivrer une attestation. Cette charte dit exactement ce que nous faisons de ces informations, combien de temps nous les gardons, et comment vous en reprenez la main.

Elle est écrite pour être lue. Si un passage vous paraît obscur, écrivez-nous : nous vous répondrons, et nous corrigerons le passage.

2. Qui est responsable

Le responsable du traitement est FORM-A-PRO — Groupe Polygone.

La personne chargée de la protection des données au sein de l’organisme est la directrice de l’Organisme. C’est elle qui reçoit vos demandes, qui y répond, et qui signe les courriers qui vous sont adressés à ce titre. Son nom vous est communiqué dans votre dossier d’inscription et dans le livret d’accueil.

Nous n’avons pas désigné de délégué à la protection des données au sens de l’article 37 du RGPD : nos traitements ne relèvent d’aucun des trois cas qui l’imposent. Le point de contact unique pour toute question ou demande reste :

Formulaire de contact du site — motif « Données personnelles »

Vous pouvez à tout moment introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — www.cnil.fr.

3. Ce que nous collectons, et pourquoi

Ce que nous collectons	Pourquoi	Sur quelle base
Nom, prénom, adresse électronique, téléphone, adresse postale	Établir votre devis, vous l’envoyer, vous joindre	Mesures précontractuelles prises à votre demande (art. 6.1.b)
Formation demandée, dates, montant, financeur	Chiffrer la prestation, monter le dossier de financement	Mesures précontractuelles, puis exécution du contrat (art. 6.1.b)
Date de naissance, lieu de naissance	Établir le bulletin d’inscription, l’attestation et le certificat	Exécution du contrat et obligation légale (art. 6.1.b et 6.1.c)
Documents signés (devis, bulletin, convention, attestations)	Preuve de l’engagement et de la réalisation de la formation	Obligation légale et intérêt légitime à prouver (art. 6.1.c et 6.1.f)
Réponses aux questionnaires d’entrée, de satisfaction, d’évaluation	Adapter la formation, améliorer nos prestations, répondre aux indicateurs Qualiopi	Exécution du contrat et obligation légale (art. 6.1.b et 6.1.c)
Adaptations liées à une situation de handicap	Rendre la formation accessible	Votre consentement explicite, et obligation légale d’accessibilité (art. 9.2.a)
Connexions à la plateforme de formation en ligne	Prouver votre présence et votre progression	Obligation légale (art. 6.1.c)
Signalements de violences, harcèlement ou discriminations	Protéger les personnes et traiter le signalement	Obligation légale et intérêt vital (art. 6.1.c et 6.1.d)

Nous ne faisons aucune prospection commerciale à partir de ces données. Les seuls messages que nous envoyons à une personne qui n’est pas inscrite sont les messages de suivi de son propre devis, décrits au point 5 — et chacun porte un lien pour les arrêter.

Nous ne vendons, ne louons et ne cédons aucune donnée. Aucune décision vous concernant n’est prise automatiquement.

4. Combien de temps nous les gardons

La durée n’est pas la même selon ce que vous êtes devenu : une personne qui a demandé un devis sans jamais s’inscrire n’a pas à rester dans nos fichiers aussi longtemps qu’une stagiaire dont nous devons pouvoir prouver la formation dix ans plus tard.

Nous distinguons, comme le demande la CNIL, trois temps : la base active (nous nous en servons tous les jours), l’archivage intermédiaire (nous ne nous en servons plus, mais nous devons pouvoir le produire) et la suppression.

4.1 Vous avez demandé un devis, sans le signer

Base active	6 mois à compter de votre demande, ou de votre dernier geste vers nous (un clic, un message, un appel) — le délai repart de ce geste.
Puis	Effacement automatique de vos données. Vous en êtes averti·e quinze jours avant, et le jour même.
Ce qui subsiste	Une seule ligne de registre : la date, la référence technique du dossier, votre nom, votre adresse électronique, la liste de ce qui a été effacé, et une copie du message qui vous a été envoyé. Elle prouve que l’effacement a bien eu lieu — c’est une obligation qui pèse sur nous (art. 5.2 du RGPD).
Durée de cette ligne	3 ans en archivage intermédiaire, hors de nos fichiers de travail. Passé ce délai, le nom, l’adresse et la copie du message sont supprimés à leur tour : il ne reste qu’une référence et des empreintes techniques, qui ne permettent plus de vous identifier.

Six mois est plus court que ce que la CNIL admet pour un prospect (trois ans à compter du dernier contact). C’est un choix de l’organisme : nous préférons garder moins longtemps.

4.2 Vous avez signé un devis, sans vous inscrire

	Ce qui s’applique
Base active	12 mois à compter de la signature, ou de votre dernier geste vers nous.
Puis	Le même effacement automatique, avec le même préavis.
Ce qui subsiste	La même ligne de registre, pour 3 ans. Le document signé lui-même est supprimé; son empreinte et son sceau restent au registre des preuves, sans votre nom ni votre adresse, pour que la chaîne de scellement reste vérifiable d’un bout à l’autre.

4.3 Vous vous êtes inscrit·e à une formation

Votre dossier n’est jamais effacé automatiquement : il contient des pièces que la loi nous oblige à conserver, et aucune machine ne doit en décider. Il suit trois temps.

Pendant la formation, et jusqu’à sa fin — en base active. Nous nous servons de vos coordonnées, de vos questionnaires, de vos connexions à la plateforme : c’est ce qui fait la formation.

Dès la fin de la formation — archivage intermédiaire. Votre dossier sort de nos fichiers de travail. Il n’est plus consulté, son accès est restreint à la direction, et il ne sert qu’à répondre à un contrôle ou à vous délivrer un duplicata.

Trois ans après la fin de votre formation — nous effaçons tout ce que la loi ne nous oblige pas à garder : vos coordonnées, vos questionnaires de positionnement, d’entrée, de satisfaction et d’évaluation, vos traces de connexion à la plateforme, votre compte sur notre site, et votre dossier d’adaptation s’il en restait quelque chose. Nous vous en informons par courriel. Trois ans, c’est le plafond que retient la CNIL, et c’est aussi la période que couvre notre certification Qualiopi : au-delà, nous n’avons plus de raison de les garder.

Ce que nous devons conserver au-delà, et jusqu’à quand :

Ce que nous gardons	Combien de temps	Pourquoi
Convention ou contrat de formation, bulletin d’inscription signé, feuilles de présence	10 ans à compter de la fin de la formation	Obligation comptable et preuve de la prestation (art. L123-22 du Code de commerce)
Attestations et certificats de fin de formation, résultats d’évaluation qui les fondent	10 ans	Vous devez pouvoir en demander un duplicata — écrivez-nous, nous vous le ferons parvenir
Factures et pièces comptables	10 ans	Obligation comptable
Signalements de violences, harcèlement ou discriminations	5 ans après clôture du signalement	Prescription applicable, protection des personnes
Données de santé liées à une adaptation pour handicap	Durée de la formation, puis 6 mois	Elles ne servent qu’à adapter la formation, et rien d’autre

Ces pièces sont archivées, et elles ne servent à rien d’autre. Aucune prospection n’est faite à partir d’un dossier de formation, ni pendant, ni après.

Si vous demandez l’effacement de votre dossier de formation, nous effaçons tout ce qui peut l’être, et nous vous écrivons ce que la loi nous oblige à garder, sur quel fondement, et jusqu’à quelle date. Voir le point 8.

4.4 Si vous nous écrivez sans autre suite

Un simple échange de courriels, sans devis ni inscription, est conservé 12 mois.

5. Les messages que nous vous envoyons

Si vous avez demandé un devis sans donner suite, nous vous écrivons quatre fois au plus : au 8^e jour, au 15^e, au 30^e et au 60^e. Puis plus jamais. Ces messages vous proposent de signer, de vous inscrire, de parler du financement, ou simplement de nous dire ce qui vous retient. Le quatrième annonce qu’il est le dernier.

Chacun porte deux liens, en bas :

Ne plus recevoir ces messages — nous cessons de vous écrire, immédiatement et définitivement;
Effacer mes données dès maintenant — nous effaçons tout, sans attendre l’échéance.

Ces liens ouvrent une page qui vous explique ce qui va se passer, et vous demande de confirmer d’un bouton. Rien ne se produit tant que vous n’avez pas appuyé dessus : c’est volontaire, car les antivirus de messagerie ouvrent parfois les liens d’un message avant même que vous ne l’ayez lu.

Quinze jours avant l’effacement, un message de préavis vous propose de garder votre devis — et, si celui-ci a plus de trois mois, de vous en établir un à jour. Le jour de l’effacement, un dernier message vous dit précisément ce qui a été supprimé et ce qui est conservé comme preuve. Ce message n’est pas une sollicitation : c’est une information que la loi nous demande de vous donner.

6. Qui voit vos données

Au sein de l’organisme : la direction, et le ou les formateurs de votre formation, pour ce qui les concerne. Rien de plus.
L’hébergeur de notre site, en France, qui héberge sans y accéder.
Notre service d’envoi de courriels, qui achemine les messages.
Les financeurs que vous nous désignez (OPCO, France Travail, employeur), pour les seules pièces nécessaires à votre dossier de financement.
L’organisme certificateur Qualiopi et l’administration, lors d’un audit ou d’un contrôle, pour les seules pièces qu’ils demandent.

Aucune donnée n’est transférée hors de l’Union européenne.

Les signalements de violences, de harcèlement ou de discriminations, ainsi que les informations de santé liées à une adaptation, ne sortent jamais de la direction et ne sont transmis à aucun service extérieur automatisé.

7. Comment elles sont protégées

Les documents signés sont scellés au dépôt par une empreinte SHA-256 et un sceau chaîné : toute modification ultérieure se voit.
Le dossier de preuves n’est pas accessible depuis le web.
L’accès à l’administration du site se fait par compte nominatif, avec une authentification à deux facteurs pour la direction.
Une procédure interne écrite décrit la conduite à tenir en cas de fuite de mot de passe ou de violation de données.
Une alerte automatique surveille chaque jour l’intégrité du dispositif.

8. Vos droits, et comment les exercer

Vous disposez du droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Vous pouvez également définir des directives sur le sort de vos données après votre décès.

Pour les exercer : le formulaire de contact du site, motif « Données personnelles », ou par courrier à l’adresse de l’organisme. Nous vous répondons dans un délai d’un mois. Si votre demande est complexe, ce délai peut être prolongé de deux mois; nous vous le disons alors dans le premier mois, en expliquant pourquoi.

Nous pouvons vous demander de justifier de votre identité, uniquement si nous avons un doute raisonnable sur qui nous écrit.

Ce que nous pouvons refuser, et pourquoi. Si vous avez été inscrit·e à une formation, nous ne pouvons pas effacer votre dossier sur simple demande : la loi nous oblige à le conserver (comptabilité, preuve de la formation, contrôle Qualiopi). Dans ce cas nous effaçons ce qui peut l’être, et nous vous disons par écrit ce que nous gardons, sur quel fondement, et jusqu’à quand. Vous conservez le droit de saisir la CNIL.

9. Ce que fait le site lui-même

Notre site ne dépose aucun cookie publicitaire et aucun cookie de mesure d’audience tierce. Les seuls cookies déposés sont ceux qui font fonctionner le site : votre session si vous vous connectez à l’espace de formation, et la mémoire de vos préférences d’affichage. Ils ne demandent pas de consentement, et ne servent à rien d’autre.

10. En cas de violation de données

Si un incident venait à exposer vos données — une divulgation, une perte, une altération — nous le notifions à la CNIL dans les 72 heures suivant le moment où nous en avons connaissance, et nous vous en informons directement si le risque pour vous est élevé. Nous vous disons alors ce qui s’est passé, quelles données sont concernées, ce que nous avons fait, et ce que nous vous recommandons de faire.

Chaque incident — même celui que nous ne notifions pas — est consigné dans notre registre des violations, avec la raison de notre décision. Notre plateforme surveille en continu cinq signaux techniques (comptes d’administration, tentatives d’ouverture forcée d’un lien, intégrité des documents signés, accessibilité du dossier de preuves, extinction du dispositif) et nous alerte immédiatement. La conduite à tenir est écrite dans notre procédure interne de violation des données personnelles.

11. Modifications de cette charte

Toute modification est publiée sur cette page, avec sa date et son numéro de version. Si elle change une durée de conservation ou une finalité, nous vous en informons directement. Les versions antérieures sont conservées et consultables sur demande.

Document consultable dans Documents de l’organisme › Documents publics. Il complète le règlement intérieur, les conditions générales de vente et le livret d’accueil.
Référence Qualiopi : indicateurs 1 (information du public), 9 (information des bénéficiaires), 23 (veille légale et réglementaire) et 32 (traitement des réclamations et amélioration continue).

Document de FORM-A-PRO — Groupe Polygone SAS, articulé avec la charte de protection des données personnelles, les procédures de traitement, d’effacement et de violation des données, le règlement intérieur et les conditions générales de vente.