Politique de confidentialité
1. Objet de cette politique
Cette politique explique quelles données personnelles sont traitées lorsque vous utilisez la plateforme BySince et l'application mobile Cartographe, pourquoi, par qui, pendant combien de temps, et comment exercer vos droits. Elle s'applique conformément au règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ».
2. Qui est responsable de vos données ?
2.1. Votre organisation est responsable de traitement
La plateforme est mise à votre disposition par votre organisation (votre employeur, votre établissement, votre organisme de formation). C'est elle qui décide de vous y créer un compte et de ce qu'elle y suit : activités, parcours, compétences, évaluations, bilans, badges. Elle est responsable de traitement de ces données. Elle vous doit sa propre information, qui complète la présente politique.
2.2. Since & Co est sous-traitant
[à compléter] (« Since & Co »), éditeur de la plateforme, traite ces données pour le compte de votre organisation et sur ses instructions, en qualité de sous-traitant au sens de l'article 28 du RGPD. Ses engagements figurent dans l'accord de sous-traitance.
2.3. Les cas où Since & Co est responsable de traitement
Since & Co décide seule des traitements suivants et en est responsable :
- la sécurité de la plateforme : authentification, historique de connexion, journaux techniques, prévention des abus ;
- la preuve de votre acceptation des conditions générales d'utilisation et de votre consentement à l'IA ;
- le journal d'usage de l'IA et la conservation chiffrée des clés d'API ;
- la gestion de la relation avec les organisations clientes et le traitement des demandes d'assistance.
Coordonnées de Since & Co : voir les mentions légales.
3. Quelles données sont traitées ?
| Catégorie | Données | Origine |
|---|---|---|
| Identité et compte | Identifiant de connexion, nom, prénom, adresse e-mail (facultative selon les organisations), photo ou avatar, langue, organisation, service, groupes, profils métier, rôles et droits, état du compte. | Votre organisation ; vous-même. |
| Sécurité | Mot de passe (haché), date de son dernier changement, réglages de double authentification (secret de l'application d'authentification, code temporaire envoyé par e-mail), appareils de confiance, dates de connexion, adresse IP, navigateur. | Vous-même ; collecte automatique. |
| Apprentissage et compétences | Inscriptions aux parcours, progression, ressources consultées, fiches imprimées, acquis validés, évaluations et bilans, carnet de compétences, expériences déclarées, compétences proposées ou reconnues, données de polyvalence, badges obtenus. | Vous-même ; votre tuteur ; les personnes habilitées de votre organisation. |
| Contenus | Textes, documents et images que vous déposez ; mention de votre qualité d'auteur ou de relecteur ; commentaires de relecture. | Vous-même. |
| Captures de terrain (application Cartographe) | Enregistrements sonores, photographies et vidéos réalisés sur site, avec leur horodatage ; transcription des enregistrements. Ces captures peuvent contenir la voix, l'image et les propos de personnes, y compris de personnes qui n'ont pas de compte. | Le cartographe ; les personnes enregistrées. |
| Conditions et consentements | Version des conditions générales acceptée, date et langue d'acceptation ; consentement à l'IA : date, version des conditions, date de retrait éventuel ; accord donné pour la délivrance d'un badge. | Vous-même ; votre tuteur pour le badge. |
| Intelligence artificielle | Clés d'API que vous enregistrez (chiffrées ; quatre derniers caractères lisibles ; libellé ; dates de test et de dernière utilisation) ; journal d'usage (qui, quand, fonctionnalité, fournisseur, modèle, clé utilisée, succès ou échec, volumes). | Vous-même ; collecte automatique. |
| Assistance | Contenu de vos demandes d'assistance et échanges associés ; informations techniques sur votre navigateur et la page concernée, jointes à la demande pour permettre le diagnostic. | Vous-même. |
| Journal d'audit | Actions d'administration sensibles réalisées dans une organisation : auteur, date, nature de l'action. | Collecte automatique. |
La plateforme n'a pas vocation à recevoir des données sensibles au sens de l'article 9 du RGPD (santé, opinions, appartenance syndicale…). Ne les saisissez pas dans les champs libres.
4. Pourquoi ces données sont-elles traitées ?
| Finalité | Base légale | Responsable |
|---|---|---|
| Créer et gérer les comptes, les rôles et les droits | Déterminée par votre organisation : en général l'exécution du contrat de travail ou de formation, ou son intérêt légitime à organiser la formation et la transmission des savoir-faire. | Votre organisation |
| Décrire les activités, construire les parcours, suivre la progression, évaluer les acquis, tenir le carnet de compétences, établir des bilans, piloter la polyvalence | Déterminée par votre organisation, comme ci-dessus ; le cas échéant, ses obligations légales en matière de formation et de sécurité. | Votre organisation |
| Recueillir des enregistrements, photos et vidéos sur le terrain | Déterminée par votre organisation : intérêt légitime ou consentement des personnes enregistrées, selon les cas. | Votre organisation |
| Délivrer et publier des badges numériques | Accord de l'apprenant, recueilli avant la délivrance. | Votre organisation |
| Utiliser les fonctionnalités d'IA | Consentement de l'utilisateur qui les déclenche, révocable ; pour le contenu traité, base déterminée par votre organisation. | Votre organisation ; le titulaire de la clé d'API pour la relation avec le fournisseur |
| Sécuriser la plateforme : authentification, double authentification, historique de connexion, journaux, détection des abus | Intérêt légitime de Since & Co et de ses clients à la sécurité du service ; obligation de sécurité (article 32 du RGPD). | Since & Co |
| Conserver la preuve de l'acceptation des conditions et du consentement à l'IA | Intérêt légitime de Since & Co à prouver l'opposabilité de ses conditions, y compris après la suppression du compte, pour la constatation, l'exercice ou la défense de droits en justice ; obligation de démontrer le consentement (article 7 du RGPD). | Since & Co |
| Tenir le journal d'usage de l'IA | Intérêt légitime : sécurité, assistance, information du titulaire de la clé, facturation le cas échéant. | Since & Co |
| Envoyer les e-mails de service : code de connexion, réinitialisation du mot de passe, notifications | Exécution du service demandé par votre organisation. | Votre organisation ; Since & Co pour la sécurité |
| Répondre aux demandes d'assistance | Exécution du contrat conclu avec votre organisation. | Since & Co |
| Sauvegarder et restaurer les données | Obligation de sécurité (article 32 du RGPD). | Since & Co, pour le compte de votre organisation |
La plateforme n'utilise vos données ni pour de la publicité, ni pour de la prospection, ni pour vous profiler. Elle ne comporte aucun outil de mesure d'audience tiers. Elle ne prend aucune décision individuelle automatisée (voir les conditions générales, article 18).
5. Qui a accès à vos données ?
5.1. Au sein de votre organisation
- les administrateurs de votre organisation, qui peuvent aussi se connecter temporairement à votre place à des fins d'assistance ;
- votre ou vos tuteurs, pour votre progression et vos acquis ;
- les personnes disposant de droits « ressources humaines », pour les bilans, le carnet de compétences et la polyvalence, dans la limite de leurs droits ;
- les autres utilisateurs, pour les contenus dont vous êtes l'auteur ;
- le cas échéant, l'organisation mère ou les filiales avec lesquelles votre organisation partage des contenus.
Les données de chaque organisation sont cloisonnées des autres.
5.2. Chez Since & Co
Le personnel habilité de Since & Co (exploitation, assistance, développement) peut accéder aux données lorsque c'est nécessaire à l'hébergement, à la maintenance, à la sécurité ou à une demande d'assistance. Il est tenu à la confidentialité. Vos clés d'API personnelles ne lui sont pas accessibles depuis l'interface.
5.3. Sous-traitants et prestataires
| Prestataire | Rôle | Données concernées | Quand |
|---|---|---|---|
| [à compléter] | Hébergement de la plateforme et de sa base de données. Localisation : [à compléter]. | Toutes les données de la plateforme. | En permanence. |
| Infomaniak Network SA (Suisse) | Stockage distant des sauvegardes, lorsque la sauvegarde externalisée est activée. | Copie de la base de données et des fichiers déposés. | À chaque sauvegarde. |
| Anthropic | IA : conversion d'une transcription en fiches ; revues et rédactions lancées en exploitation. | Texte des transcriptions et contenu des fiches, qui peuvent contenir des données personnelles. | Uniquement lorsque la fonctionnalité est utilisée. |
| OpenAI | IA : transcription audio à défaut de transcription locale ; revues et rédactions au choix de l'opérateur. | Fichiers audio (voix et propos) ; contenu des fiches. | Uniquement lorsque la fonctionnalité est utilisée. |
| Google (Gemini) | IA : revues, rédactions et mots-clés, au choix de l'opérateur. | Contenu des fiches, noms des activités. | Uniquement lorsque la fonctionnalité est utilisée. |
| Stability AI | IA : génération d'images. | Description textuelle saisie. | Uniquement lorsque la fonctionnalité est utilisée. |
| Banques d'images : Wikimedia Commons, Pexels, Unsplash, Pixabay, Flickr | Recherche et import d'images d'illustration, selon la configuration. | Mots-clés de recherche, transmis par le serveur de la plateforme. Les aperçus des résultats sont chargés directement depuis la banque d'images : celle-ci reçoit alors l'adresse IP et le navigateur de la personne qui effectue la recherche. | Lors d'une recherche d'image. |
| MyMemory (Translated) | Traduction automatique du titre d'une image importée. | Titre de l'image, issu de la banque d'images. Aucune donnée personnelle. | Lors de l'import d'une image. |
| DiceBear ; Lorem Picsum | Avatars et images d'illustration par défaut. | Aucune donnée personnelle. DiceBear reçoit une valeur aléatoire hachée ; ni nom, ni adresse e-mail. Les requêtes partent du serveur de la plateforme. | À la création d'un avatar ou d'une image par défaut. |
| API « Recherche d'entreprises » (État français) | Vérification du numéro SIREN d'une entité rattachée. | Numéro SIREN de l'entité. Aucune donnée personnelle. | À la création d'une filiale. |
| jsDelivr | Distribution de bibliothèques d'affichage sur quelques écrans d'édition et d'administration. | Adresse IP et navigateur de la personne qui ouvre ces écrans, reçus directement par ces services. | À l'ouverture de ces écrans. Voir cookies et traceurs. |
Hugging Face sert uniquement au téléchargement de modèles exécutés localement : aucune donnée d'utilisateur ne lui est transmise. Le détail des fonctionnalités d'IA et des données transmises figure dans les conditions générales, article 13.
Cas des clés d'API. Lorsqu'une fonctionnalité d'IA utilise votre clé personnelle ou celle de votre organisation, le fournisseur traite les données sur le compte du titulaire de la clé, selon le contrat que ce titulaire a conclu avec lui. Lorsque Since & Co utilise ses propres moyens en exploitation, le fournisseur agit comme sous-traitant ultérieur de Since & Co.
5.4. Le public, pour les badges
La page et les données de vérification d'un badge sont publiques. Voir la section 9.
5.5. Autorités
Les données peuvent être communiquées aux autorités habilitées, sur réquisition et dans les conditions prévues par la loi.
6. Transferts hors de l'Union européenne
Les données de la plateforme sont hébergées à l'emplacement indiqué ci-dessus. Les sauvegardes distantes sont stockées en Suisse, pays reconnu par la Commission européenne comme assurant un niveau de protection adéquat.
Les fournisseurs d'IA et certains prestataires techniques (Anthropic, OpenAI, Google, Stability AI, jsDelivr, banques d'images) sont établis hors de l'Union européenne, principalement aux États-Unis, ou peuvent y traiter des données. L'utilisation des fonctionnalités correspondantes peut donc entraîner un transfert. Les garanties applicables (décision d'adéquation, clauses contractuelles types) dépendent des conditions de chaque fournisseur et, pour l'IA, de l'offre souscrite par le titulaire de la clé. Votre organisation s'en assure avant d'autoriser ces fonctionnalités. Vous pouvez en demander le détail au contact indiqué à la section 12.
Aucun transfert vers un fournisseur d'IA n'a lieu si l'IA est désactivée pour votre organisation, si vous n'avez pas donné votre consentement ou si aucune clé n'est disponible.
7. Combien de temps les données sont-elles conservées ?
Les durées de conservation des données métier sont fixées par votre organisation, responsable de traitement. À défaut d'instruction, Since & Co applique les règles suivantes.
| Données | Durée |
|---|---|
| Compte, rôles, progression, acquis, bilans, carnet de compétences | Tant que le compte existe ; jusqu'à la suppression du compte par votre organisation ou jusqu'à la fin du contrat de celle-ci. |
| Contenus déposés et captures de terrain | Jusqu'à leur suppression par votre organisation ou jusqu'à la fin du contrat. Les captures de terrain transmises par l'application Cartographe ne font l'objet d'aucune suppression automatique par défaut : leur durée de conservation est décidée par votre organisation. Les contenus que vous avez rédigés pour votre organisation lui restent acquis après la suppression de votre compte. |
| Session de connexion | Le temps de la session. Appareil de confiance : 30 jours, prolongés à chaque connexion. |
| Code de connexion envoyé par e-mail | Jusqu'à son utilisation ou son remplacement par un nouveau code. |
| Historique de connexion, journal d'audit | Historique de connexion : 12 mois. Journal d'audit : 3 ans. |
| Acceptation des conditions, consentement à l'IA | Pendant la durée du compte, puis 5 ans après sa suppression, à seule fin de preuve. Après la suppression du compte, ils sont conservés sous une forme pseudonymisée : une empreinte à clé de l'identifiant de connexion, sans nom ni adresse e-mail. |
| Clés d'API | Jusqu'à leur suppression par leur titulaire. Clés personnelles : supprimées avec le compte. Clés d'organisation : supprimées avec l'organisation. Jamais exportées. |
| Journal d'usage de l'IA | 13 mois. Si votre compte est supprimé avant ce terme, vos lignes sont conservées sans lien avec vous jusqu'à leur échéance. |
| Propositions de l'IA (revue IA), extraits de réponses d'IA inscrits au journal technique | La demande adressée à l'IA et sa réponse sont effacées 6 mois après la revue, une fois toutes ses propositions traitées ; tant qu'une proposition reste en attente, elles sont conservées. Les propositions et leur statut sont conservés pendant la durée de l'organisation. Extraits inscrits au journal technique : 30 jours. |
| Journaux techniques, journaux de l'application mobile | Journaux techniques : 30 jours. Journaux remontés par l'application mobile Cartographe : 90 jours. |
| Badges délivrés | Durablement : ils survivent à la suppression du compte pour rester vérifiables, sans lien avec celui-ci. Un badge révoqué reste signalé comme révoqué. |
| Sauvegardes | Quotidiennes : 7 jours. Hebdomadaires : 4 semaines. Mensuelles : 12 mois. Une donnée supprimée peut donc subsister jusqu'à 12 mois dans les sauvegardes, sans y être exploitée. |
| Données de l'organisation en fin de contrat | Supprimées après la période de réversibilité prévue au contrat, après un export de sécurité. |
Les suppressions automatiques sont effectuées une fois par jour : les durées ci-dessus s'entendent donc à un jour près.
8. Comment vos données sont-elles protégées ?
- connexion chiffrée (HTTPS) ; cookies de session protégés ;
- mots de passe hachés ; règles de complexité ; renouvellement tous les deux mois ;
- double authentification par application ou par e-mail, au choix de l'utilisateur ;
- cloisonnement des données par organisation, contrôlé à chaque accès ;
- droits d'accès par rôle ; journal d'audit des actions d'administration sensibles ;
- clés d'API chiffrées (AES-256-GCM), jamais réaffichées, masquées dans les journaux techniques ;
- chiffrement des captures de l'application Cartographe sur l'appareil et pendant leur transport, lorsque l'organisation l'a activé (voir les conditions générales, article 9.5) ;
- sauvegardes régulières, dont une copie distante transférée par connexion chiffrée.
En cas de violation de données, Since & Co informe l'organisation concernée dans les conditions de l'accord de sous-traitance.
9. Cas particulier des badges
Un badge Open Badges est, par nature, vérifiable publiquement. Sa page et ses données de vérification sont accessibles à tous sur internet, sans connexion, et le restent durablement. Votre adresse e-mail n'y figure jamais en clair : seule une empreinte salée est publiée. Votre nom n'y figure pas. Vous choisissez de partager ou non votre badge.
Un badge n'est délivré qu'avec votre accord. Pour obtenir son retrait, demandez sa révocation à votre tuteur ou à votre organisation : les données publiques indiqueront que le badge est révoqué. Le motif de révocation est affiché publiquement.
10. Intelligence artificielle et données personnelles
- L'IA est facultative, soumise à votre consentement, révocable à tout moment depuis votre profil, et désactivable par votre organisation.
- Les fonctionnalités d'IA ne transmettent ni votre nom, ni votre e-mail, ni votre identifiant. Le contenu traité (transcriptions, enregistrements, fiches) peut toutefois contenir des données personnelles, y compris celles de personnes enregistrées sur le terrain.
- La suggestion de compétences et la transcription locale sont réalisées sur les serveurs de la plateforme, sans tiers.
- Since & Co n'entraîne aucun modèle avec vos données. L'usage qu'en fait un fournisseur tiers dépend de ses propres conditions.
- Aucune décision vous concernant n'est prise par une IA.
Le cadre complet figure aux articles 11 à 24 des conditions générales.
11. Vos droits
Vous disposez des droits suivants sur vos données :
- accès : savoir si des données vous concernant sont traitées et en obtenir une copie ;
- rectification : faire corriger des données inexactes ; vous pouvez modifier vous-même une partie de votre profil ;
- effacement : obtenir la suppression de vos données, dans les limites prévues par la loi ;
- limitation : obtenir le gel temporaire d'un traitement ;
- portabilité : recevoir, dans un format structuré, les données que vous avez fournies, lorsque le traitement repose sur votre consentement ou sur un contrat ;
- opposition : vous opposer, pour des raisons tenant à votre situation, à un traitement fondé sur l'intérêt légitime ;
- retrait du consentement : à tout moment, pour l'IA (depuis votre profil) et pour les badges (par la révocation) ;
- directives post-mortem : définir le sort de vos données après votre décès.
Comment les exercer ?
- Adressez-vous d'abord à votre organisation (son administrateur ou son délégué à la protection des données) : elle est responsable de la plupart des traitements. Since & Co l'assiste pour vous répondre.
- Pour les traitements dont Since & Co est responsable (section 2.3), écrivez à : [à compléter].
Une réponse vous est apportée dans un délai d'un mois, qui peut être prolongé de deux mois si la demande est complexe. Un justificatif d'identité ne vous sera demandé qu'en cas de doute raisonnable.
Réclamation
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL) : 3, place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
12. Contact
Contact pour la protection des données chez Since & Co : [à compléter].
Adresse postale : [à compléter], [à compléter].
13. Cookies
La plateforme n'utilise que des cookies et des traceurs strictement nécessaires à son fonctionnement ou à la mémorisation de vos préférences d'affichage. Ils sont détaillés dans la page cookies et traceurs.
14. Évolution de cette politique
Cette politique est versionnée. Chaque version porte un numéro et une date d'effet ; les versions antérieures restent consultables. La liste des sous-traitants est mise à jour à chaque changement.