1. Responsable du traitement
Le responsable du traitement est [À COMPLÉTER : raison sociale de l'éditeur], [À COMPLÉTER : adresse du siège] (voir Mentions légales). Contact données personnelles / DPO : [À COMPLÉTER : dpo@rappelforma.fr].
2. Données collectées
- Identité et compte : nom, prénom, adresse e-mail, mot de passe (haché, jamais lisible), intitulé de poste, numéro de téléphone (optionnel, pour les SMS), identifiant d'un fournisseur d'authentification tiers si vous l'utilisez.
- Certifications et habilitations : intitulés, catégories, dates d'obtention et d'expiration, organisme émetteur, numéro de certificat, justificatifs déposés (images, PDF).
- Données d'équipe (espaces Entreprise) : rattachement à une organisation, bâtiment / service, gestionnaires, historique des relances et de leur consentement (double opt-in).
- Données de mise en relation : sessions proposées, clics et demandes d'inscription auprès d'un centre, localisation approximative (ville / code postal saisis).
- Facturation (centres uniquement) : raison sociale, SIREN, coordonnées de facturation, historique des commissions.
- Données techniques : journaux de sécurité (horodatage, adresse IP utilisée transitoirement pour la limitation de débit et la lutte contre les abus), jetons de notification push si vous les activez.
- Mesure d'audience (avec votre consentement) : pages consultées, page précédente, site référent, paramètres de campagne (UTM), navigateur (user-agent), identifiant aléatoire de visiteur et de session. Aucune adresse IP n'est enregistrée dans ces données.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer votre compte, fournir le suivi des échéances et les rappels | Exécution du contrat (CGU) |
| Envoyer des rappels par SMS ou notifications push | Consentement (activable / désactivable dans Réglages) |
| Proposer des sessions de recyclage de centres partenaires | Exécution du contrat et intérêt légitime (objet même du service) |
| Pré-remplir et vérifier les justificatifs par IA | Intérêt légitime (qualité et intégrité des données) — analyse indicative, contestable |
| Partager un CV sécurité via un lien | Consentement (vous créez, paramétrez et révoquez le lien) |
| Relancer les salariés d'une entreprise | Consentement du salarié (double opt-in) |
| Facturer les commissions aux centres | Exécution du contrat et obligation légale (comptabilité) |
| Sécuriser le service (rate-limit, anti-abus, journaux) | Intérêt légitime (sécurité) et obligation légale |
| Mesurer l'audience du site | Consentement (bandeau) |
4. Durées de conservation
- Données de compte, certifications et justificatifs : pendant toute la durée d'utilisation du compte, puis suppression immédiate à la fermeture du compte (sauvegardes techniques purgées sous 30 jours).
- Comptes inactifs : après 3 ans sans connexion, un e-mail vous prévient ; sans réaction sous 60 jours, le compte et ses données sont supprimés.
- Liens de partage (CV sécurité) : jusqu'à leur date d'expiration ou leur révocation par vous.
- Mesure d'audience : données brutes 13 mois maximum, statistiques agrégées sans limite.
- Journaux de sécurité : 12 mois maximum.
- Factures et pièces comptables (centres) : 10 ans (obligation légale).
- Documents transmis à l'IA : non conservés par notre prestataire au-delà du temps nécessaire à l'analyse ; seul le résultat (champs extraits, score) est stocké avec votre certification.
5. Destinataires et sous-traitants
Vos données sont accessibles au personnel habilité de l'Éditeur, aux gestionnaires de l'entreprise à laquelle vous avez accepté d'être rattaché(e), aux centres de formation auprès desquels vous demandez une inscription (uniquement les informations utiles à cette demande), et aux personnes avec qui vous partagez volontairement un lien de CV sécurité. Elles ne sont jamais vendues.
Nous faisons appel aux sous-traitants suivants :
| Prestataire | Rôle | Localisation | Données concernées |
|---|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage des justificatifs | Union européenne (région UE du projet) | Toutes les données de compte, certifications et fichiers déposés |
| Vercel Inc. | Hébergement de l'application web et de l'API | États-Unis (siège) — exécution privilégiée en UE ; clauses contractuelles types | Journaux techniques transitoires (requêtes HTTP), aucune donnée stockée durablement |
| Resend Inc. | Envoi des e-mails transactionnels (rappels, invitations, confirmations) | États-Unis — clauses contractuelles types | Adresse e-mail, contenu du message (intitulé de la certification, date d'échéance) |
| Brevo (Sendinblue SAS) | Envoi des SMS de rappel (uniquement si vous activez l'option SMS) | France / Union européenne | Numéro de téléphone mobile, contenu du SMS |
| Stripe Payments Europe Ltd. | Facturation et encaissement des commissions des centres de formation | Irlande (UE) ; transferts intragroupe encadrés | Identité du centre, coordonnées de facturation, moyens de paiement (jamais stockés par nous) |
| Anthropic PBC | Vérification assistée par IA des justificatifs (extraction des champs, détection d'anomalies) | États-Unis — clauses contractuelles types ; API sans conservation à des fins d'entraînement | Le document déposé (image ou PDF) est transmis à l'API le temps de l'analyse |
| Base Adresse Nationale (api-adresse.data.gouv.fr) | Géocodage des adresses de centres et de villes pour proposer des sessions proches | France (service public) | Adresse postale ou ville, sans identifiant de personne |
6. Transferts hors Union européenne
Vos données sont stockées dans l'Union européenne (Supabase, région UE). Certains prestataires (Vercel, Resend, Anthropic) sont établis aux États-Unis ou peuvent y accéder aux données depuis ce pays. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification du prestataire au EU-US Data Privacy Framework. Une copie des garanties applicables peut être obtenue en écrivant à [À COMPLÉTER : dpo@rappelforma.fr].
7. Sécurité
Chiffrement des échanges (HTTPS), chiffrement au repos chez nos hébergeurs, mots de passe hachés, contrôle d'accès ligne par ligne en base de données (Row Level Security), liens de partage à jeton aléatoire révocables, limitation de débit et journalisation des accès sensibles. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous vous en informerons ainsi que la CNIL dans les délais légaux.
8. Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :
- Accès et portabilité : obtenir une copie de vos données (export depuis votre espace ou sur demande).
- Rectification : corriger vos informations directement depuis votre tableau de bord ou vos Réglages.
- Effacement : supprimer votre compte à tout moment depuis Réglages → Supprimer mon compte. La suppression est immédiate et irréversible (voir les CGU, article 9).
- Opposition et limitation : vous opposer à un traitement fondé sur l'intérêt légitime, ou en demander la limitation.
- Retrait du consentement : à tout moment, pour les SMS, les notifications push, les liens de partage (révocation) et la mesure d'audience (voir section 10).
- Directives post-mortem : définir le sort de vos données après votre décès.
Pour exercer ces droits : [À COMPLÉTER : dpo@rappelforma.fr] ou par courrier à l'adresse du siège. Nous répondons sous un mois (prolongeable de deux mois pour les demandes complexes). Une pièce justifiant votre identité peut être demandée en cas de doute raisonnable. Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
9. Mineurs
Le Service s'adresse aux personnes majeures ou aux mineurs de plus de 15 ans engagés dans un parcours professionnel (apprentissage, stage) avec l'accord de leur représentant légal. Nous ne collectons pas sciemment de données de mineurs de moins de 15 ans.
10. Cookies et traceurs
Rappel Forma n'utilise aucun cookie publicitaire ni traceur de réseaux sociaux, et aucun outil d'analyse tiers. Les traceurs utilisés sont les suivants :
10.1 Cookies strictement nécessaires (exemptés de consentement)
- Session d'authentification Supabase (cookies
sb-*-auth-token) : vous maintient connecté(e) de façon sécurisée. Durée : le temps de la session, renouvelée automatiquement tant que vous utilisez le service ; supprimés à la déconnexion. - Choix de consentement (
rf_consent, localStorage) : mémorise votre réponse au bandeau afin de ne pas vous la redemander. Durée : 13 mois maximum (vous pouvez l'effacer depuis les paramètres de votre navigateur). - Service worker et notifications push : uniquement si vous installez l'application ou activez les notifications dans Réglages.
10.2 Mesure d'audience first-party (soumise à consentement)
Pour comprendre quelles pages sont consultées et améliorer le site, nous utilisons une mesure d'audience développée et hébergée par nos soins, sans aucun tiers :
- un identifiant de visiteur aléatoire (
rf_vid) stocké dans le localStorage de votre navigateur, et un identifiant de session (rf_sid) en sessionStorage, effacé à la fermeture de l'onglet ; - les données envoyées : page consultée, page précédente, site référent (uniquement s'il est externe), paramètres UTM, user-agent, indicateur « connecté ou non » ;
- pas d'adresse IP enregistrée, pas de recoupement avec votre identité, pas de partage avec des tiers, pas de suivi entre sites.
Cette mesure n'est activée que si vous cliquez sur « Accepter » dans le bandeau. Si vous refusez, rien n'est envoyé. Vous pouvez changer d'avis à tout moment en effaçant les données de site de votre navigateur (le bandeau réapparaîtra) ou en nous écrivant. Les identifiants rf_vid et rf_sid ne sont créés qu'après votre accord.
11. Modifications
Cette politique peut évoluer, notamment en cas de changement de prestataire ou de fonctionnalité. La date de mise à jour figure en haut de page ; en cas de modification substantielle, vous en serez informé(e) par e-mail ou par une notification dans le service.
Une question ? Consultez la page Contact.