Politique de confidentialité.

1. Responsable du traitement

Le responsable du traitement est Maxime-Romain Boulenc, entrepreneur individuel exerçant sous le nom commercial MRB (SIRET 107 872 590 00016), dont les coordonnées figurent dans les mentions légales. Pour toute question relative à la protection des données, le contact est : dpo@passerelle-ia.com.

2. Données collectées

La plateforme collecte uniquement les données nécessaires à son fonctionnement :

• Données de compte : nom, adresse courriel, mot de passe haché lorsque l’inscription se fait par courriel, date de création, niveau d’offre, identifiant Google et avatar lorsque l’utilisateur choisit la connexion avec Google.
• Données d’usage : progression dans les modules de formation et les modules autonomes, sujets et réponses publiés dans la communauté.
• Données de communication et d’abonnement : demandes d’abonnement, paiements enregistrés manuellement, identifiants Stripe nécessaires au rattachement et à la résiliation de l’abonnement, historique des messages envoyés ou échoués (sujet, contenu, statut, horodatage).
• Données techniques : identifiant de session, journal SMTP local pour le diagnostic des envois de courriels.

Aucune donnée n’est transmise à un service d’intelligence artificielle tiers, puisque la plateforme n’en intègre aucun.

3. Finalités et bases légales

• Exécution du contrat (article 6.1.b RGPD) : gestion du compte, traitement des demandes d’abonnement, suivi des paiements, ouverture des accès, connexion avec Google lorsque l’utilisateur choisit ce mode d’authentification, envoi des messages liés au service.
• Intérêt légitime (article 6.1.f) : sécurité du service, prévention de la fraude, modération de la communauté, journalisation technique des échanges courriel.
• Obligation légale (article 6.1.c) : conservation des éléments comptables et facturation, lorsque celle-ci sera mise en place.
• Consentement (article 6.1.a) : pour toute communication non strictement liée au compte.

4. Durées de conservation

• Données de compte : pendant toute la durée d’usage du service, puis jusqu’à 12 mois après la dernière connexion en cas d’inactivité.
• Données de paiement : 10 ans à compter de la clôture de l’exercice comptable concerné, conformément aux obligations légales françaises.
• Demandes d’abonnement et historique de communications : 5 ans à compter de la dernière interaction.
• Journaux techniques (mail.log) : 12 mois maximum.
• Tokens de réinitialisation de mot de passe : durée de validité du lien (1 heure par défaut), puis suppression différée.

5. Destinataires des données

Les données sont accessibles à l’éditeur et aux personnes habilitées par lui, dans la stricte limite de leurs missions. Aucune donnée n’est cédée ou louée à des tiers à des fins commerciales. Les données peuvent être transmises à des sous-traitants techniques (hébergeur, prestataire de courriel SMTP, prestataire de paiement Stripe, fournisseur d’identité Google lorsque l’utilisateur choisit la connexion Google) dans la stricte mesure nécessaire à la fourniture du service.

6. Transferts hors Union européenne

L’hébergement et le service de courriel utilisés sont localisés dans l’Union européenne. Aucun transfert de données vers des pays tiers n’est prévu dans le cadre du fonctionnement nominal de la plateforme. Si une telle situation devait évoluer, l’information serait actualisée et les garanties appropriées (clauses contractuelles types, décisions d’adéquation) seraient mises en œuvre.

7. Sécurité

L’éditeur met en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données : hachage des mots de passe (algorithme PHP PASSWORD_DEFAULT), jetons CSRF sur chaque formulaire, en-têtes de sécurité HTTP, transport chiffré des messages SMTP avec STARTTLS, limitation des tentatives de connexion, protection du dossier data/ contre l’accès direct, journalisation des actions sensibles.

8. Droits des personnes concernées

Conformément au RGPD, l’utilisateur dispose des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement et définition de directives post-mortem. Pour exercer ces droits, contactez dpo@passerelle-ia.com. Une réponse est apportée dans un délai d’un mois, sauf demande complexe.

L’utilisateur dispose également du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL, 3 place de Fontenoy, 75007 Paris, www.cnil.fr).

9. Cookies et traceurs

La plateforme utilise uniquement les cookies strictement nécessaires à son fonctionnement : cookie de session pour maintenir l’authentification de l’utilisateur. Aucun cookie de mesure d’audience tiers, aucun traceur publicitaire et aucun cookie de réseau social ne sont déposés. Le consentement préalable n’est pas requis pour ce type de cookies (article 82 de la loi Informatique et Libertés).

Les exercices et autoévaluations des fiches de formation sont sauvegardés dans un dossier utilisateur protégé sur le serveur afin de permettre une reprise réelle de la progression depuis un autre appareil connecté au même compte. Certaines préférences strictement ergonomiques peuvent rester conservées localement lorsqu’elles ne présentent pas d’enjeu de suivi pédagogique.

10. Modification de la présente politique

La présente politique peut être actualisée à tout moment. La version en vigueur est celle publiée sur la plateforme. En cas d’évolution significative, les utilisateurs seront informés par courriel ou par notification dans leur espace.