Rédigée en application des articles 12 à 14 du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978.
Écrite pour être lue. Le RGPD exige une information « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples » — c'est une obligation, pas un style.
1. Qui traite vos données, et à quel titre#
Eclassroom joue deux rôles distincts, et la distinction n'est pas théorique : elle détermine à qui vous adressez vos demandes.
Nos propres données — nous sommes responsables de traitement#
Pour les comptes que nous ouvrons, la facturation, le support et la sécurité de la plateforme, c'est nous qui décidons pourquoi et comment les données sont traitées. Vous vous adressez à nous.
Responsable de traitement : Freddy Terrado, entrepreneur individuel, Chemin du Vivier, 66430 Bompas, France, SIRET [EN COURS D'IMMATRICULATION].
Les données de vos apprenants — nous sommes sous-traitant#
Quand un organisme de formation inscrit ses apprenants, publie ses formations et suit leur progression, c'est lui qui décide, pas nous. Nous exécutons ses instructions. Il est responsable de traitement, nous sommes son sous-traitant au sens de l'article 28 du RGPD.
Concrètement : si vous êtes apprenant et que vous voulez savoir pourquoi votre progression est enregistrée, ou demander son effacement, votre interlocuteur est votre organisme de formation. Nous transmettons, nous n'arbitrons pas. Ses coordonnées figurent sur votre espace et sur la page de la formation.
Les conditions de cette sous-traitance figurent dans notre accord de sous-traitance (DPA), accessible à eclassroom.fr/dpa.
| Vous êtes | Sur quoi | Qui décide | À qui écrire |
|---|---|---|---|
| Formateur / organisme | Votre compte, votre abonnement, votre support | Eclassroom | dpo@eclassroom.fr |
| Formateur / organisme | Les données de vos apprenants | Vous | — |
| Apprenant | Votre inscription, votre progression, vos résultats | Votre organisme | Votre organisme |
| Apprenant | Le compte que vous avez créé vous-même | Eclassroom | dpo@eclassroom.fr |
| Visiteur du site | Votre navigation | Eclassroom | dpo@eclassroom.fr |
2. Ce que nous traitons, pourquoi, et sur quel fondement#
| Finalité | Données | Base légale | Conservation |
|---|---|---|---|
| Créer et gérer votre compte | Nom, prénom, e-mail, mot de passe chiffré, rôle | Exécution du contrat (art. 6.1.b) | Durée du compte, puis [12] mois |
| Fournir la plateforme | Formations, modules, quiz, fichiers déposés | Exécution du contrat | Durée du compte + délai d'export (90 j) |
| Gérer l'abonnement et facturer | Identité, adresse, SIRET, historique de facturation | Exécution du contrat + obligation légale (art. 6.1.b et 6.1.c) | 10 ans — obligation comptable, art. L.123-22 C. com. |
| Assurer le support | E-mail, contenu des échanges | Intérêt légitime (art. 6.1.f) — vous répondre | [3] ans après le dernier échange |
| Sécuriser la plateforme | Journaux de connexion, adresse IP, horodatage | Intérêt légitime — prévenir les accès frauduleux | 12 mois |
| Mesurer l'audience du site | Pages consultées, provenance — sans cookie ni identifiant persistant | Intérêt légitime — mesure d'audience exemptée | [13] mois |
| Vous informer des évolutions du service | Intérêt légitime — information contractuelle | Durée du compte | |
| Prospection commerciale | E-mail, nom | Consentement (art. 6.1.a) | 3 ans après le dernier contact |
| Suivre la progression des apprenants | Avancement, résultats, temps passé, travaux rendus | Pour le compte du Formateur — sa base légale, pas la nôtre | Selon les instructions du Formateur |
| Produire des recommandations d'intervention pédagogique | Voir §7 — traitement à part | Pour le compte du Formateur | Voir §7 |
3. Qui reçoit vos données#
Nos sous-traitants, leur fonction, leur pays et la garantie encadrant les transferts hors Union européenne sont publiés et tenus à jour à eclassroom.fr/sous-traitants.
| Prestataire | Fonction | Pays | Hors UE |
|---|---|---|---|
| Supabase | Base de données et authentification | Francfort, Allemagne | Non |
| Cloudflare R2 | Stockage des fichiers | Union européenne | Non |
| n8n (auto-hébergé) | Orchestration des traitements | OVH, France | Non |
| Brevo | E-mails transactionnels | France | Non |
| Stripe | Paiements | Irlande et États-Unis | Oui — clauses contractuelles types |
| OpenAI | Génération de contenus et copilote (§7) | États-Unis | Oui — clauses contractuelles types |
| Zoho | SMTP du support | [À COMPLÉTER] |
[À COMPLÉTER] |
Nous ne vendons, ne louons et n'échangeons aucune donnée. Nous ne les communiquons à des tiers que sur réquisition d'une autorité judiciaire ou administrative compétente.
En cas de cession de l'entreprise, les données seraient transmises à l'acquéreur, tenu des mêmes obligations, et vous en seriez informé préalablement.
4. Transferts hors de l'Union européenne#
Deux de nos prestataires traitent des données depuis les États-Unis : Stripe et OpenAI.
Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, complétées par les mesures techniques et organisationnelles de chaque prestataire.
Nous ne prétendons pas que ces garanties suppriment tout risque : elles l'encadrent. Si vous préférez qu'aucune donnée vous concernant ne parte aux États-Unis, écrivez-nous — pour l'assistance à la rédaction et le copilote, une désactivation est possible au niveau de votre organisme.
5. Vos droits#
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès et de retirer votre consentement à tout moment lorsqu'il fonde le traitement.
Comment les exercer — écrivez à dpo@eclassroom.fr. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe, auquel cas nous vous en informons.
Nous ne vous demanderons pas de pièce d'identité par principe. Nous ne le ferons que si un doute raisonnable subsiste sur votre identité, conformément à la position de la CNIL — exiger systématiquement une carte d'identité pour exercer un droit revient à collecter plus de données que le droit exercé n'en concerne.
Si vous êtes apprenant et que votre demande porte sur votre inscription, votre progression ou vos résultats, adressez-vous d'abord à votre organisme de formation : c'est lui qui décide. Si vous ne parvenez pas à l'identifier, écrivez-nous, nous vous orienterons.
Réclamation — vous pouvez à tout moment saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.
6. Sécurité#
Chiffrement des échanges (HTTPS/TLS), chiffrement des mots de passe, cloisonnement des accès par rôle, journalisation des accès, sauvegardes régulières, hébergement des données principales dans l'Union européenne.
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, nous vous en informerons dans les meilleurs délais, conformément à l'article 34 du RGPD.
Aucun dispositif n'est infaillible et nous ne prétendrons pas le contraire.
7. Le cas particulier du copilote de rétention#
Nous traitons ce point à part parce qu'il est le plus sensible et qu'il mérite d'être lu.
Ce que fait le copilote#
Le copilote de rétention analyse la situation des apprenants d'une formation — avancement, résultats aux évaluations, régularité de connexion, signaux de décrochage — et propose au formateur une recommandation d'intervention : qui relancer, sur quoi, avec quel message.
Ce qui est transmis, et à qui#
Pour produire cette recommandation, des données nominatives d'apprenants sont transmises à OpenAI, aux États-Unis : prénom, éléments de progression, résultats, indicateurs de décrochage.
Nous l'écrivons en toutes lettres parce que c'est exactement le genre d'information qu'une politique de confidentialité a tendance à noyer.
Qui est responsable de quoi#
| Rôle | Qui |
|---|---|
| Responsable de traitement | L'organisme de formation — c'est lui qui décide d'activer le copilote et d'agir sur ses recommandations |
| Sous-traitant | Eclassroom |
| Sous-traitant ultérieur | OpenAI |
La base légale est celle du responsable de traitement : l'intérêt légitime de l'organisme à assurer le suivi pédagogique de ses apprenants, ou l'exécution du contrat de formation qui le lie à eux.
Les garanties#
- Aucune décision automatisée. La recommandation est proposée au formateur, qui décide seul d'agir ou non. Il n'y a ni notation automatique, ni exclusion, ni sanction produite par le système, et donc pas de décision individuelle automatisée au sens de l'article 22 du RGPD.
- Aucune donnée de santé n'est traitée : nos conditions interdisent aux formateurs d'en collecter (Annexe 1, §1 bis de la politique d'usage acceptable).
- Les données transmises ne servent pas à entraîner de modèle.
- Transfert encadré par clauses contractuelles types.
- L'organisme peut désactiver le copilote pour tout ou partie de ses formations.
Ce que l'organisme doit faire de son côté#
Puisqu'il est responsable de traitement, il lui appartient d'informer ses apprenants de l'existence de ce traitement et du transfert hors Union européenne qu'il implique. Nous lui fournissons le texte à reprendre dans sa propre information.
8. Modification de cette politique#
Toute modification substantielle vous sera notifiée par courrier électronique au moins trente jours avant son entrée en vigueur, comme le prévoit l'article 3 de nos conditions générales d'utilisation. Les versions antérieures restent consultables sur demande.
9. Nous écrire#
Délégué à la protection des données : dpo@eclassroom.fr
Adresse postale : Freddy Terrado, Chemin du Vivier, 66430 Bompas, France