Politique de confidentialité

Qui est responsable

Le responsable du traitement décrit ici est le fournisseur désigné dans les mentions légales, 14.1 — Metropolitan Digital, Potočani 278, Tešanj, Bosna i Hercegovina — joignable à amir@ultimamemoria.ba.

Délégué à la protection des données : non désigné — aucune obligation légale.

Ce que nous traitons

• A Données du compte — civilité et titre, prénom et nom, date de naissance, adresse électronique, numéro de téléphone, adresse postale, pays, nom d’utilisateur, date d’inscription, dernière connexion.
• B Données d’authentification — le mot de passe, conservé uniquement sous forme d’empreinte cryptographique et jamais en clair, ainsi que les jetons de vérification d’adresse électronique et de réinitialisation.
• C Données d’apprentissage — réponses et scores du test d’entrée, le programme attribué (S2/200, S3/300, S10/1000), la phase et la tâche en cours, les échéances, les résultats de chaque test chronométré selon les quatre dimensions mesurées, la progression dans les modules d’exercice et les données imprimées sur un certificat.
• D Données de paiement — le fait et l’état d’un paiement, le montant et la référence renvoyée par le prestataire de paiement. Le formulaire de carte au moment du paiement est celui de Stripe, intégré à notre page : les numéros de carte parviennent directement à Stripe et ne sont jamais reçus ni conservés par nos serveurs.
• E Données de communication — le contenu des messages envoyés via le formulaire de contact ou par courriel, et la correspondance qui s’ensuit.
• F Données techniques — identifiant de session, adresse IP, date et heure de la requête, la page demandée, le navigateur et le système d’exploitation tels que déclarés par le navigateur, et les enregistrements d’erreurs.

La fourniture des données sous A et B est nécessaire à la création d’un compte ; sans elles, le service ne peut être fourni. Les données sous C naissent de la participation elle-même.

Pourquoi — et sur quelle base juridique

• A Fourniture de la plateforme, du compte, des tests, des modules d’exercice et du certificat — exécution du contrat avec l’apprenant GDPR Art. 6(1)(b).
• B Traitement des paiements, facturation et comptabilité — exécution du contrat et obligation légale Art. 6(1)(b), (c).
• C Vérification de l’adresse électronique, réinitialisation du mot de passe, messages de service concernant un cours en cours — exécution du contrat Art. 6(1)(b).
• D Réponse aux demandes — exécution du contrat ou intérêt légitime à répondre Art. 6(1)(b), (f).
• E Sécurité, prévention des abus, analyse des erreurs, maintien de la stabilité du service — intérêt légitime Art. 6(1)(f).
• F Lettre d’information ou autres messages facultatifs, s’ils sont proposés — consentement, révocable à tout moment Art. 6(1)(a).
• G Lorsque des résultats servent au perfectionnement de la méthode, ils ne sont utilisés que sous forme anonymisée et agrégée, sans nom et sans possibilité de remonter à une personne — Art. 6(1)(f).

Les résultats d’apprentissage ne sont pas utilisés pour des décisions automatisées produisant des effets juridiques. L’attribution d’un programme après le test d’entrée est une recommandation fondée sur des règles et peut être discutée avec nous à tout moment.

Cookies et journaux du serveur

La plateforme dépose un unique cookie strictement nécessaire, qui contient un identifiant de session afin qu’un apprenant connecté soit reconnu de page en page. Il est marqué httpOnly, transmis en exploitation par une connexion chiffrée, et expire automatiquement. L’enregistrement de session lui-même se trouve sur notre propre serveur de base de données, non dans le navigateur. Aucun bandeau de consentement n’est requis pour un cookie de ce type ; sans lui, le service ne peut être fourni.

L’infrastructure d’hébergement tient des journaux d’accès contenant les données décrites au 15.2 F. Ils servent la sécurité et la stabilité du service et sont supprimés ou anonymisés après 30 jours.

Aucun contenu de pistage ni publicitaire n’est intégré. Trois sources tierces sont néanmoins contactées par le navigateur lors de l’affichage d’une page, et chacune reçoit donc l’adresse IP du visiteur : Google Fonts (fonts.googleapis.com, fonts.gstatic.com) pour les polices, et le réseau de diffusion jsDelivr (cdn.jsdelivr.net) pour le jeu d’icônes. Au moment du paiement, Stripe est contacté de la même façon. Tout le reste — feuilles de style, scripts, images, audio et vidéo — est servi depuis notre propre domaine, et la politique de sécurité du contenu du site bloque tout script hors des sources nommées ici.

Qui d’autre voit les données

• A Hébergement et base de données — Cloudflare, Inc., USA, exploitant les serveurs sur lesquels tournent la plateforme et sa base de données.
• B Prestataire de paiement — Stripe, qui traite les paiements par carte, les remboursements et les notifications de paiement. Les données de carte sont saisies directement chez Stripe et ne nous sont pas visibles. Informations de confidentialité propres à Stripe : stripe.com/privacy.
• C Envoi de courriels — Cloudflare, Inc., USA, utilisé pour la vérification, la réinitialisation du mot de passe, la confirmation de paiement et les messages de service.
• D Polices et icônes — Google (Google Fonts) et jsDelivr, qui reçoivent l’adresse IP du navigateur demandant une page, comme décrit au 15.4. Ils ne reçoivent aucune donnée de compte ni d’apprentissage.
• E Conseillers professionnels et autorités — conseillers fiscaux, auditeurs ou organismes publics, lorsqu’une obligation légale s’applique.

Les données à caractère personnel ne sont pas vendues ni transmises à des tiers à des fins publicitaires. Lorsqu’un prestataire traite des données hors de l’Espace économique européen, le transfert est encadré par des clauses contractuelles types.

Combien de temps les données sont conservées

• A Données du compte et d’apprentissage — pour la durée du compte, et pour 12 mois ensuite, afin qu’un certificat puisse être délivré à nouveau et qu’un programme achevé puisse être prouvé.
• B Factures et enregistrements de paiement — 10 ans.
• C Correspondance — 3 ans.
• D Journaux du serveur — 30 jours, voir 15.4.

Lorsqu’un compte est supprimé, les données visées sous A sont effacées ou anonymisées, sauf lorsqu’une obligation de conservation au titre du B s’applique ; ces enregistrements sont alors bloqués pour tout usage ultérieur.

Vos droits

• A Accès — confirmation que des données sont traitées, et copie de celles-ci.
• B Rectification — correction des données inexactes et complètement des données incomplètes.
• C Effacement — suppression lorsque les données ne sont plus nécessaires et qu’aucune obligation de conservation ne s’applique.
• D Limitation — traitement restreint tant qu’un litige sur l’exactitude ou la licéité est en cours.
• E Portabilité — les données que vous avez fournies, dans un format structuré et lisible par machine.
• F Opposition — au traitement fondé sur l’intérêt légitime, pour des motifs tenant à votre situation.
• G Retrait du consentement — à tout moment, avec effet pour l’avenir.
• H Réclamation — auprès d’une autorité de contrôle, en particulier celle de votre lieu de résidence : Agencija za zaštitu ličnih/osobnih podataka u Bosni i Hercegovini, Sarajevo.

Les demandes sont adressées à l’adresse de contact du 15.1 ou via le formulaire de contact. Lorsqu’une demande concerne un compte, nous pouvons demander une confirmation d’identité.

Sécurité et modifications de la présente politique

Le trafic entre le navigateur et le serveur est chiffré en exploitation. Les mots de passe ne sont conservés que sous forme d’empreintes. L’accès aux données des apprenants est limité aux comptes qui en ont besoin pour exploiter le service ; les matériels d’apprentissage ne sont livrés qu’à un apprenant connecté dont l’accès a été payé. Le site applique une politique de sécurité du contenu qui bloque les scripts externes, et les fonctions d’administration sont séparées des fonctions des apprenants.

Aucune transmission par internet ne peut être garantie absolument sûre. En cas de violation de données susceptible d’engendrer un risque élevé pour les personnes concernées, celles-ci seront informées sans retard excessif et l’autorité de contrôle compétente notifiée comme il se doit.

La présente politique peut être modifiée si le service ou la situation juridique change. La version en vigueur est celle publiée ici, portant la date indiquée en en-tête ; les modifications substantielles touchant les apprenants inscrits sont annoncées par courriel.