Politique de confidentialité d'Habiléo

Habiléo est un logiciel en ligne (SaaS) édité par EYNOR. Il permet aux organismes de formation en habilitation électrique de gérer leurs sessions, leurs stagiaires, leurs évaluations théoriques et pratiques, leurs attestations de fin de formation, le planning et le dossier administratif de leurs formateurs intervenants.

Sommaire

1. L'essentiel : à qui devez-vous vous adresser ?
2. Identité et coordonnées
3. Les deux niveaux de responsabilité
4. Données collectées, par catégorie
5. Finalités et bases légales
6. Trois données qui méritent une explication : date de naissance, signature, RIB
7. Origine des données et caractère obligatoire
8. Destinataires des données
9. Sous-traitants ultérieurs
10. Localisation des données et absence de transfert hors Union européenne
11. Durées de conservation
12. Vos droits et comment les exercer
13. Réclamation auprès de la CNIL
14. Cookies et traceurs
15. Absence de décision automatisée et de profilage
16. Sécurité
17. Violation de données
18. Mise à jour de la présente politique
19. Textes cités

1. L'essentiel : à qui devez-vous vous adresser ?

Habiléo est un outil utilisé par des organismes de formation. L'éditeur ne décide ni qui est inscrit à une session, ni quel avis figure sur une attestation, ni combien de temps un dossier de stagiaire est conservé. Ces décisions appartiennent à l'organisme de formation.

Si vous êtes stagiaire (vous avez suivi une formation à l'habilitation électrique et une attestation a été établie à votre nom) : votre interlocuteur est l'organisme de formation qui a organisé la session. Ses coordonnées figurent en en-tête de votre attestation, avec son numéro SIRET et son numéro de déclaration d'activité. C'est lui qui répond à vos demandes d'accès, de rectification ou d'effacement. L'éditeur d'Habiléo n'a pas le droit de répondre à votre place : il ne traite vos données que sur instruction écrite de l'organisme.

Si vous êtes formateur intervenant (indépendant sous-traitant d'un organisme de formation, dont les pièces administratives sont déposées dans Habiléo) : votre interlocuteur est également l'organisme de formation donneur d'ordre, pour tout ce qui concerne votre dossier d'intervenant (CV, diplômes, attestation de vigilance, RIB) ainsi que l'existence même de votre compte, son rôle et son image de signature : c'est lui qui décide d'ouvrir, de suspendre ou de fermer votre accès.

Si vous êtes utilisateur du logiciel (administrateur ou formateur disposant d'un compte) et que votre demande porte sur ce que l'éditeur décide lui-même, c'est-à-dire le mécanisme d'authentification, les sessions de connexion, les journaux techniques et de sécurité ou la facturation de l'abonnement : votre interlocuteur est l'éditeur, à l'adresse hello@eynor.fr. Pour tout ce qui touche au contenu de votre compte et à son maintien, votre interlocuteur reste l'organisme de formation.

Une demande adressée au mauvais interlocuteur n'est pas perdue : l'éditeur transmet à l'organisme de formation concerné, sous 3 jours ouvrés, toute demande qu'il reçoit et qui relève de la responsabilité de cet organisme, et il en informe la personne en lui indiquant l'identité et les coordonnées de cet organisme. Ce délai est celui que l'éditeur s'est engagé à respecter à l'article 8.1 de l'accord de sous-traitance conclu avec chaque organisme.

2. Identité et coordonnées

2.1 L'éditeur d'Habiléo

2.2 L'organisme de formation utilisateur

Chaque organisme de formation qui utilise Habiléo renseigne dans le logiciel sa raison sociale, son adresse, son téléphone, son adresse e-mail, son site web, son SIRET, son numéro de déclaration d'activité et, le cas échéant, son numéro de certification Qualiopi. Ces informations sont reprises sur les attestations qu'il délivre. Elles constituent ses coordonnées de responsable de traitement.

Pour le déploiement pilote, l'organisme de formation utilisateur est [RAISON SOCIALE DE L'ORGANISME DE FORMATION], dont les coordonnées complètes sont : [ADRESSE COMPLÈTE] · [TÉLÉPHONE] · [ADRESSE E-MAIL] · SIRET [SIRET] · déclaration d'activité n° [NUMÉRO DE DÉCLARATION D'ACTIVITÉ].

2.3 L'hébergeur

OVH SAS, 2 rue Kellermann, 59100 Roubaix, France · téléphone : 1007 (depuis la France). Les serveurs utilisés se trouvent dans un datacenter situé sur le territoire français.

3. Les deux niveaux de responsabilité

Le RGPD distingue le responsable de traitement, qui détermine les finalités et les moyens d'un traitement (article 4.7), et le sous-traitant, qui traite les données pour le compte du responsable (article 4.8). Habiléo relève des deux qualifications, selon la donnée concernée.

Conséquence pratique du niveau 2 : l'éditeur ne traite les données des stagiaires et des intervenants que sur instruction documentée de l'organisme de formation (article 28.3 a du RGPD). Il s'interdit expressément tout usage pour son propre compte : pas de réutilisation commerciale, pas de revente, pas de statistiques nominatives, pas d'entraînement de modèle d'intelligence artificielle sur les dossiers de stagiaires. Cette interdiction n'est pas une politique interne révocable : l'article 28.10 du RGPD prévoit qu'un sous-traitant qui détermine lui-même les finalités et les moyens d'un traitement devient responsable de ce traitement, avec l'ensemble des obligations et des sanctions qui en découlent.

Précision sur les comptes utilisateurs. La décision d'ouvrir, de suspendre ou de fermer le compte d'un formateur appartient à l'organisme de formation, qui agit sur ce point en responsable de traitement. L'éditeur est responsable de traitement pour ce qu'il décide lui-même : le mécanisme d'authentification, le hachage des mots de passe, les journaux techniques, la conservation des traces de sécurité et la facturation.

Ce qu'Habiléo ne fait pas. Le logiciel produit une attestation de fin de formation au sens de l'article L. 6353-1 du code du travail, portant un avis et les symboles NF C 18-510 proposés. Il ne délivre pas de titre d'habilitation. Le titre d'habilitation électrique est délivré, maintenu ou renouvelé par l'employeur du travailleur (article R. 4544-10 du code du travail), au vu de la formation reçue. Cette distinction est structurante : l'organisme de formation évalue et atteste, l'employeur habilite.

4. Données collectées, par catégorie

4.1 Données des stagiaires (niveau 2, organisme responsable)

4.2 Données des utilisateurs du logiciel (niveau 1 et niveau 2)

Nom, adresse e-mail, mot de passe conservé sous forme de condensat cryptographique (le mot de passe en clair n'est jamais stocké ni consultable), rôle (administrateur ou formateur), image de signature manuscrite, date d'invitation, date d'acceptation de l'invitation, indicateur de qualification au recyclage.

4.3 Registre des intervenants (niveau 2, organisme responsable)

Module déployé. Le registre des intervenants est en service dans la présente version du logiciel : dépôt des pièces par l'intervenant depuis son propre espace, contrôle et décision par l'administrateur de l'organisme, versionnement des pièces, calcul des échéances et alertes de péremption. Les limites de ce module, décrites à la section 6.3 et à la section 16, sont énoncées sans détour.

Ce module répond à deux exigences distinctes qui pèsent sur l'organisme de formation : l'obligation de vigilance du donneur d'ordre (articles L. 8222-1 et D. 8222-5 du code du travail) et l'exigence de qualification des intervenants du référentiel national qualité Qualiopi (critère 5, indicateur 21).

Sont également enregistrés, pour chaque pièce : la date de dépôt, la date de fin de validité déclarée, le statut du contrôle (en attente, validée, refusée), le motif d'un refus, l'auteur du contrôle et son horodatage, ainsi que les alertes de péremption déjà émises. Le remplacement d'une pièce ne détruit pas la précédente : elle cesse d'être la version courante et reste consultable, car un contrôle porte sur la pièce qui était valable à la date des faits.

Deux limites, dites franchement. D'une part, la date de fin de validité est déclarative : elle est saisie au dépôt et le logiciel ne la recalcule pas à partir de la date d'émission du document. Une date erronée produit une alerte erronée. D'autre part, la vérification d'authenticité de l'attestation de vigilance auprès de l'organisme de recouvrement, qu'impose l'article D. 8222-5 1° du code du travail, ne fait pas l'objet d'un enregistrement distinct dans le logiciel : seul est enregistré le contrôle générique de la pièce, avec son auteur et son horodatage. Cette vérification reste un acte de l'organisme de formation, que le dépôt d'un fichier ne réalise pas.

4.4 Journaux et traces (niveaux 1 et 2)

4.5 Alertes de recyclage et imports (niveau 2)

Alertes de recyclage : habilitation concernée, palier d'alerte (J-90, J-30, J-7), date d'envoi, adresse e-mail destinataire. Imports de fichiers : nom du fichier source, fichier lui-même, auteur de l'import, nombre de lignes traitées, importées et rejetées, et journal des rejets (qui contient les lignes en erreur, donc des données de stagiaires).

4.6 Données de la relation commerciale (niveau 1)

Coordonnées professionnelles du signataire du contrat et des contacts opérationnels de l'organisme de formation, contenu des échanges de support, factures et pièces comptables liées à l'abonnement.

4.7 Évaluation pratique du savoir-faire (niveau 2, organisme responsable)

L'habilitation électrique repose sur une formation théorique et sur une mise en situation pratique. Ce que le logiciel conserve de cette mise en situation :

4.8 Questionnaires et passation des épreuves théoriques (niveau 2)

Pour réclamer sa place, le stagiaire se désigne dans la liste de sa session et confirme sa date de naissance. Cet écran n'affiche jamais les noms en entier, et le nombre d'essais y est plafonné : sans cela, il aurait suffi de scanner le code affiché en salle pour lire la liste des participants.

4.9 Planning et abonnement calendrier (niveaux 1 et 2)

Un formateur peut demander à recevoir ses interventions dans son agenda habituel. Le logiciel conserve alors le condensat du jeton d'abonnement, jamais le jeton lui-même, sa préférence d'affichage du lieu, la date de dernière consultation par l'agenda et, le cas échéant, la date de révocation.

Le fichier servi à l'agenda contient les références, intitulés, dates, lieux et nombre d'inscrits des sessions. Aucun nom de stagiaire n'y figure. L'adresse d'abonnement constitue son unique secret : elle est révocable à tout moment, et remplacer l'abonnement invalide immédiatement l'ancienne adresse.

C'est l'agenda choisi par le formateur qui vient lire ce fichier. Si son éditeur est établi hors de l'Union européenne, le planning lui est communiqué, comme pour tout calendrier auquel on s'abonne. Cette communication résulte du choix du formateur et non d'un traitement mis en œuvre par l'éditeur ou par l'organisme ; l'information figure à l'écran d'abonnement.

4.10 Périmètre de déplacement des intervenants (niveau 2)

Les départements dans lesquels un intervenant accepte de se déplacer, déclarés par lui-même. Cette donnée sert à indiquer à l'organisme qui peut couvrir une session. Elle ne comporte ni adresse personnelle, ni coordonnée géographique, ni suivi de déplacement.

5. Finalités et bases légales (article 6 du RGPD)

Chaque traitement repose sur une base légale identifiée. Lorsque la base est l'intérêt légitime (article 6.1 f), l'intérêt poursuivi est précisé, comme l'exige l'article 13.1 d du RGPD.

5.1 Traitements dont l'éditeur est responsable (niveau 1)

Aucune prospection commerciale n'est réalisée à partir des données de stagiaires ou d'intervenants saisies par un organisme de formation.

5.2 Traitements dont l'organisme de formation est responsable (niveau 2)

La base légale est déterminée par l'organisme de formation. Les qualifications ci-dessous sont celles que retient Habiléo par défaut et que l'organisme confirme dans son registre des activités de traitement (article 30 du RGPD).

6. Trois données qui méritent une explication : date de naissance, signature, RIB

6.1 La date de naissance du stagiaire, obligatoire

Habiléo refuse d'enregistrer un stagiaire sans date de naissance. Ce n'est pas un choix de confort, et il mérite d'être justifié plutôt que subi.

Raison n° 1, l'identification sur un document qui engage la sécurité des personnes. L'attestation de fin de formation sert à l'employeur pour délivrer un titre d'habilitation électrique (article R. 4544-10 du code du travail). Ce titre autorise une personne nommément désignée à intervenir sur ou à proximité d'installations électriques. Une confusion d'identité, sur une population de plusieurs milliers de stagiaires, expose une personne non formée à un risque d'électrisation ou d'électrocution, et l'employeur à une faute inexcusable. La date de naissance est le seul attribut stable qui départage deux homonymes.

Raison n° 2, la fiabilité de l'historique. Le rapprochement des dossiers repose sur le quadruplet nom, prénom, date de naissance, employeur. Sans date de naissance, deux stagiaires homonymes du même employeur fusionnent en un seul dossier : l'un se voit attribuer les habilitations de l'autre, et le second disparaît des alertes de recyclage.

Minimisation. Seule la date de naissance est collectée : ni le lieu de naissance, ni le nom de naissance, ni le numéro de sécurité sociale, ni aucune pièce d'identité. C'est l'application de l'article 5.1 c du RGPD (données adéquates, pertinentes et limitées à ce qui est nécessaire).

Conséquence d'un refus. Sans date de naissance, l'inscription ne peut pas être enregistrée et l'attestation ne peut pas être établie.

6.2 La signature manuscrite numérisée du formateur

Le formateur signe l'attestation directement à l'écran. L'image de sa signature est enregistrée, associée à un horodatage, au nom du signataire figé au moment de la signature et à une empreinte de scellement (condensat SHA-256 liant le signataire, l'image, le document et l'horodatage). Toute modification ultérieure de l'attestation rompt ce sceau et oblige à re-signer.

Trois précisions honnêtes :

• La signature est utilisée pour authentifier un document, jamais pour identifier une personne. Elle n'est comparée à aucune autre signature, elle n'alimente aucun dispositif de reconnaissance et elle n'est traitée par aucun procédé technique d'identification unique. Elle ne relève donc pas des catégories particulières de données de l'article 9 du RGPD, qui visent les données biométriques traitées aux fins d'identifier une personne physique de manière unique. Si une fonction de comparaison automatique de signatures devait être ajoutée un jour, ce traitement changerait de nature et cette politique serait révisée avant sa mise en service.
• Le nom du signataire est figé sur l'attestation. Il survit à la fermeture du compte du formateur, parce qu'un document daté et signé doit rester lisible et opposable après le départ de son auteur. C'est une limite assumée au droit à l'effacement, fondée sur l'article 17.3 e du RGPD (constatation, exercice ou défense de droits en justice).
• La signature graphique n'est pas une signature électronique qualifiée au sens du règlement (UE) n° 910/2014. Le sceau décrit ci-dessus est un mécanisme de preuve interne, pas une certification par un tiers de confiance.

6.3 Le relevé d'identité bancaire des formateurs indépendants

Le registre des intervenants conserve le relevé d'identité bancaire du formateur, sous la forme du document que celui-ci dépose lui-même. C'est une donnée bancaire, dont le détournement conduit directement à une fraude au virement. Elle appelle donc un régime plus strict que les autres pièces du dossier.

Ce qui est en place, vérifié dans le code du logiciel :

• Finalité unique : permettre à l'organisme de formation de payer les prestations du formateur indépendant. Aucune autre utilisation.
• Base légale : article 6.1 b du RGPD, exécution du contrat de sous-traitance.
• Habiléo n'exécute aucun paiement. Le logiciel ne se connecte à aucun établissement bancaire, n'émet aucun ordre de virement et ne transmet le relevé d'identité bancaire à aucun tiers. Il ne fait que le conserver pour l'organisme.
• Stockage hors de la racine web : le document n'est jamais servi en statique par le serveur web. Il n'est délivré que par une adresse authentifiée, après un contrôle qui vérifie à la fois le rôle du demandeur et l'appartenance du formateur à son organisme.
• Accès restreint : le relevé d'identité bancaire n'est consultable que par le formateur lui-même, depuis son propre espace, et par les utilisateurs de l'organisme disposant du rôle d'administrateur. Il n'apparaît sur aucun export destiné à un auditeur Qualiopi ni sur aucune pièce transmise à un tiers.
• Traçabilité de la lecture : chaque consultation d'une pièce sensible (relevé d'identité bancaire, attestation de vigilance, extrait d'immatriculation) par un administrateur est journalisée avec l'auteur, le type de pièce et l'horodatage. Le dépôt et le remplacement d'une pièce sont journalisés au même titre que les autres écritures.
• Effacement anticipé : voir la section 11.

Ce qui n'est pas en place, et qu'il serait malhonnête de laisser croire :

• Le fichier n'est pas chiffré applicativement au repos, distinctement du reste du disque. Sa protection repose sur le contrôle d'accès applicatif et sur les droits du système de fichiers du serveur.
• Le changement de coordonnées bancaires ne déclenche aucune notification à l'adresse électronique du formateur ni à l'administrateur de l'organisme. Une substitution frauduleuse laisse donc une trace au journal, mais n'alerte personne spontanément.

Ces deux points figurent à l'inventaire des écarts de l'annexe 2, paragraphe 11, de l'accord de sous-traitance, avec leur engagement de correction.

Fondements : articles 5.1 c (minimisation), 5.1 f (intégrité et confidentialité) et 32 (sécurité adaptée au risque) du RGPD.

7. Origine des données et caractère obligatoire de leur fourniture

Les stagiaires ne fournissent généralement pas leurs données eux-mêmes. Elles sont saisies ou importées par l'organisme de formation, à partir des informations transmises par l'employeur du stagiaire qui commande la formation, ou par le formateur lors de la session. L'article 14 du RGPD impose d'indiquer cette source : c'est fait ici.

Les formateurs intervenants fournissent eux-mêmes leurs pièces administratives. Le refus de fournir l'attestation de vigilance URSSAF ou la pièce d'immatriculation empêche l'organisme de formation de satisfaire à son obligation légale de vigilance (article L. 8222-1 du code du travail), sous peine de solidarité financière pour le paiement des impôts, cotisations et rémunérations dus (article L. 8222-2). L'organisme peut donc, en conséquence d'un tel refus, ne pas confier de session au formateur concerné. Le refus de fournir un relevé d'identité bancaire empêche seulement le paiement par virement.

Le caractère obligatoire de chaque donnée de stagiaire est le suivant : nom, prénom et date de naissance sont obligatoires (sans eux, aucune attestation) ; l'employeur, l'adresse e-mail et le téléphone sont facultatifs, mais l'absence d'adresse e-mail empêche l'envoi dématérialisé de l'attestation et l'alerte de recyclage.

8. Destinataires des données

Les données ne sont ni vendues, ni louées, ni cédées, ni transmises à des tiers à des fins publicitaires. Elles sont accessibles :

Toute personne autorisée par l'éditeur à accéder aux données de production est soumise à un engagement de confidentialité écrit, conformément à l'article 28.3 b du RGPD.

9. Sous-traitants ultérieurs

L'éditeur ne fait appel à un sous-traitant ultérieur que dans le respect des articles 28.2 et 28.4 du RGPD : autorisation du responsable de traitement, répercussion contractuelle des mêmes obligations, et responsabilité pleine et entière de l'éditeur devant l'organisme de formation quant à l'exécution par ce sous-traitant.

La liste à jour des sous-traitants ultérieurs est communiquée à tout organisme de formation client sur simple demande. Toute adjonction ou tout remplacement fait l'objet d'une information préalable, assortie d'un droit d'objection au bénéfice de l'organisme.

10. Localisation des données et absence de transfert hors Union européenne

Aucune donnée traitée dans Habiléo n'est transférée en dehors de l'Union européenne.

Le serveur applicatif, la base de données, les fichiers (attestations PDF, images de signature, pièces administratives des intervenants, fichiers d'import) et les sauvegardes sont hébergés par OVH SAS dans un datacenter situé en France.

Aucun mécanisme de transfert du chapitre V du RGPD (décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes) n'a donc à être mis en œuvre, faute de transfert. Si un tel transfert devait un jour devenir nécessaire, il ferait l'objet d'une modification préalable de la présente politique, d'un avenant au contrat de sous-traitance et d'une information de l'organisme de formation, conformément aux articles 28.3 a et 44 à 49 du RGPD.

Une réserve, énoncée franchement. Un formateur qui ouvre un abonnement calendrier colle lui-même l'adresse obtenue dans l'agenda de son choix. C'est ensuite cet agenda qui vient lire le fichier. Si son éditeur est établi hors de l'Union européenne, le planning du formateur lui est communiqué, exactement comme pour tout calendrier auquel on s'abonne. Cette communication ne résulte pas d'un traitement mis en œuvre par l'éditeur d'Habiléo ni par l'organisme de formation, mais du choix de la personne concernée : l'abonnement n'est ouvert que sur sa demande expresse, il est révocable à tout moment, et l'information lui est donnée à l'écran avant qu'elle ne le crée. Le fichier ainsi communiqué ne contient aucun nom de stagiaire.

11. Durées de conservation

11.1 Avertissement de méthode

Il n'existe aucun référentiel sectoriel de la CNIL applicable aux organismes de formation, et ni l'article L. 6353-1 ni l'article R. 4544-10 du code du travail ne fixent de durée de conservation. Les durées ci-dessous sont donc construites par croisement de textes, et le fondement de chacune est cité. Les durées marquées entre crochets relèvent d'une décision de l'organisme de formation, responsable de traitement, qui la documente au titre de l'article 5.2 du RGPD. Aucune durée n'est présentée ici comme légale lorsqu'elle ne l'est pas.

La conservation suit la logique en trois temps recommandée par la CNIL : base active (le dossier est utilisé), archivage intermédiaire (le dossier est clos mais doit pouvoir être produit), puis suppression ou anonymisation.

11.2 Données dont l'organisme de formation est responsable

Au terme de l'archivage intermédiaire, les données sont supprimées, ou réellement anonymisées. L'anonymisation n'est retenue que si elle satisfait les trois critères cumulatifs de l'avis 05/2014 du G29 : impossibilité d'individualiser une personne, impossibilité de corréler des jeux de données la concernant, impossibilité d'inférer des informations à son sujet. Remplacer un nom par un identifiant tout en conservant la date de naissance, l'employeur et les dates de session ne satisfait aucun de ces trois critères : ce n'est qu'une pseudonymisation, qui reste un traitement de données personnelles.

L'outil d'anonymisation et son seuil. Le logiciel comporte une fonction d'anonymisation d'un dossier de stagiaire, actionnée par l'administrateur de l'organisme sur demande de la personne. Elle supprime dans tous les cas l'adresse électronique et le numéro de téléphone. Elle ne supprime le nom, le prénom et l'employeur que lorsque plus aucune habilitation du dossier n'a expiré depuis moins de cinq ans, seuil aligné sur le délai de prescription de droit commun en matière civile. Tant que ce seuil n'est pas franchi, l'identité est conservée, parce qu'effacer le nom d'un stagiaire dont l'attestation court encore priverait de toute valeur le document que l'organisme est tenu de produire.

Ce seuil de cinq ans est plus court que l'archivage intermédiaire de dix ans retenu au tableau ci-dessus, qui est d'origine comptable. Les deux ne se contredisent pas mais ne se recouvrent pas : le seuil de cinq ans détermine ce que l'outil accepte d'effacer, la durée de dix ans détermine ce que l'organisme doit pouvoir produire. Il appartient à l'organisme de formation, responsable de traitement, de vérifier avant chaque anonymisation totale que l'obligation comptable de l'article L. 123-22 du code de commerce n'y fait pas obstacle. Ce point d'arbitrage est ouvert et signalé comme tel à l'annexe 2, paragraphe 11, de l'accord de sous-traitance.

11.3 Registre des intervenants

11.4 Données dont l'éditeur est responsable

11.5 Fin du contrat entre l'éditeur et l'organisme de formation

Au terme de la prestation, et selon le choix de l'organisme de formation (article 28.3 g du RGPD), l'éditeur restitue l'intégralité des données dans un format structuré et exploitable (données au format ouvert, attestations en PDF), ou les supprime, et détruit les copies existantes, sous réserve des obligations légales de conservation qui pèseraient sur lui. La suppression intervient au plus tard [30 jours] après la restitution validée, sauvegardes comprises au terme de leur cycle de rotation de 30 jours.

12. Vos droits et comment les exercer

12.1 Vos droits

12.2 Les limites du droit à l'effacement, dites franchement

Le droit à l'effacement n'est pas absolu. Deux exceptions prévues par l'article 17.3 du RGPD sont régulièrement applicables ici :

• Article 17.3 b : le traitement est nécessaire pour respecter une obligation légale. Une attestation de fin de formation et les pièces justifiant la réalisation de l'action relèvent des articles L. 6353-1 et L. 6362-6 du code du travail et de l'obligation comptable de l'article L. 123-22 du code de commerce.
• Article 17.3 e : le traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice. Une attestation d'habilitation électrique peut être produite des années plus tard, en cas d'accident du travail ou de contentieux prud'homal.

En pratique : une adresse e-mail ou un numéro de téléphone devenus inutiles peuvent être effacés à votre demande ; une attestation signée et l'évaluation qui la fonde ne le peuvent pas avant le terme de l'archivage intermédiaire. Tout refus est motivé, article à l'appui, et mentionne votre droit de saisir la CNIL.

12.3 À qui adresser votre demande

Précisez l'objet de votre demande et joignez, si un doute raisonnable existe sur votre identité, un justificatif (article 12.6 du RGPD). Ce justificatif n'est conservé que le temps du traitement de la demande.

12.4 Délais de réponse

Le responsable de traitement répond dans les meilleurs délais et au plus tard un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires, soit trois mois au total, si la demande est complexe ou si les demandes sont nombreuses ; dans ce cas, vous êtes informé de la prolongation et de ses motifs dans le délai d'un mois (article 12.3 du RGPD). En cas de refus, vous êtes informé des motifs et de vos voies de recours dans le même délai d'un mois (article 12.4).

12.5 Rôle de l'éditeur dans l'exercice de vos droits

Lorsque la demande relève de l'organisme de formation, l'éditeur ne répond pas à sa place : il l'assiste techniquement, comme l'exige l'article 28.3 e du RGPD. Si vous saisissez l'éditeur par erreur, votre demande est transmise à l'organisme concerné sous 3 jours ouvrés, et vous en êtes informé.

Précision de sincérité sur l'outillage. À la date de la présente version, sont outillés dans le logiciel :

• la rectification en ligne et la suppression d'un enregistrement ;
• le droit d'accès : l'administrateur de l'organisme déclenche l'export complet du dossier d'un stagiaire dans un fichier structuré, qui restitue son identité, ses coordonnées, chacune de ses sessions, ses résultats d'évaluation, ses habilitations proposées, ses attestations avec leur référence de scellement, et le journal des actions ayant porté sur son dossier. L'export est lui-même journalisé ;
• le droit à l'effacement, par la fonction d'anonymisation décrite à la section 11.2, qui conserve l'identité tant qu'une attestation reste opposable et efface tout au-delà ;
• la traçabilité : le journal des actions est consultable et filtrable par l'administrateur de l'organisme, par auteur, par type d'événement et par période.

Ne sont pas encore développés : l'export de portabilité au format de l'article 20, la notice d'information de l'article 15 accompagnant l'export du droit d'accès, le verrouillage au titre de la limitation et l'opposition ciblée. Pour ces quatre points, l'éditeur exécute l'opération correspondante manuellement, à la demande écrite de l'organisme de formation, sous dix jours ouvrés et sans frais, ce qui permet à celui-ci de tenir le délai d'un mois qui lui est imposé. Le développement de ces fonctions est un engagement daté pris dans l'accord de sous-traitance.

13. Réclamation auprès de la CNIL

Si vous estimez, après avoir contacté le responsable de traitement, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle française :

Commission nationale de l'informatique et des libertés (CNIL) 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07 Téléphone : 01 53 73 22 22 Site : www.cnil.fr

Une plainte peut être déposée en ligne depuis le site de la CNIL. Vous disposez également d'un recours juridictionnel.

14. Cookies et traceurs

Habiléo n'utilise aucun cookie de mesure d'audience, aucun cookie publicitaire, aucun traceur tiers et aucun bouton de réseau social. Aucune donnée de navigation n'est transmise à un tiers. Cette affirmation a été vérifiée dans le code du logiciel.

Plus largement, aucune ressource n'est chargée depuis un domaine tiers : les scripts, les feuilles de style et les polices de caractères sont compilés avec l'application et servis depuis son propre domaine. Votre navigateur n'émet donc, en consultant Habiléo, aucune requête vers un serveur extérieur, et aucune adresse IP n'est révélée à un tiers du seul fait de l'affichage d'une page. Un test automatisé vérifie cette propriété à chaque modification du code.

Les seuls cookies déposés sont des cookies techniques nécessaires au fonctionnement et à la sécurité de l'application :

Pourquoi aucune bannière de consentement ? L'article 82 de la loi n° 78-17 du 6 janvier 1978 soumet au consentement préalable les traceurs déposés sur un terminal, sauf deux exceptions : ceux dont la finalité est exclusivement de permettre ou de faciliter la communication par voie électronique, et ceux strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. Les trois cookies ci-dessus relèvent de cette seconde exception : ils servent exclusivement à vous authentifier et à sécuriser vos actions dans un service que vous demandez expressément en vous connectant. Le cookie « Se souvenir de moi » n'est déposé que sur votre action délibérée. Aucun consentement n'a donc à être recueilli, et une bannière serait ici une formalité inutile, gênante pour l'accessibilité et sans effet juridique.

Si une mesure d'audience non exemptée ou tout autre traceur devait être ajouté, un mécanisme de recueil du consentement conforme à l'article 82 serait mis en place avant son dépôt, et la présente politique serait mise à jour.

15. Absence de décision entièrement automatisée et de profilage

Habiléo ne prend aucune décision produisant des effets juridiques ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé, au sens de l'article 22 du RGPD.

• La note est saisie par le formateur ; le logiciel se borne à la comparer au seuil de réussite paramétré et à afficher le résultat de cette comparaison.
• L'avis (favorable, réservé, défavorable) et les symboles d'habilitation proposés sont décidés par le formateur, personne physique identifiée, qui signe l'attestation et en répond.
• Les alertes de recyclage sont automatiques, mais elles ne produisent aucun effet juridique : ce sont des rappels d'échéance.
• Le titre d'habilitation lui-même n'est pas délivré par le logiciel, ni par l'organisme de formation, mais par l'employeur du travailleur (article R. 4544-10 du code du travail).

Aucun profilage, aucun scoring, aucun classement automatique de stagiaires ou de formateurs n'est réalisé.

16. Sécurité

En application de l'article 32 du RGPD, les mesures suivantes sont mises en œuvre. Elles sont décrites telles qu'elles sont réellement appliquées, sans promesse au-delà.

Sur le service

• Chiffrement des échanges entre votre navigateur et le serveur par TLS (HTTPS), avec certificat renouvelé automatiquement.
• Mots de passe conservés uniquement sous forme de condensat cryptographique ; ni l'éditeur ni l'organisme de formation ne peuvent lire un mot de passe.
• Cookies de session marqués HttpOnly, Secure en production, et SameSite « Lax ».
• Protection systématique contre la falsification de requête inter-site (jeton CSRF).
• Verrou de connexion : cinq tentatives d'authentification par minute au maximum, comptées par couple adresse électronique et adresse IP. La clé de comptage est un condensat : aucune adresse électronique n'y figure en clair. Combiner les deux critères est délibéré : limiter sur la seule adresse IP laisserait tester un mot de passe sur des dizaines de comptes, limiter sur la seule adresse électronique permettrait de verrouiller à distance le compte d'un formateur en le noyant de tentatives. La création de compte est limitée séparément.
• Aucun fichier n'est servi en statique. Attestations archivées, images de signature, logos, fichiers d'import et pièces des intervenants sont écrits hors de la racine du serveur web. Le logiciel ne comporte plus d'espace de stockage exposé par le serveur web, ni de lien symbolique vers un tel espace, et le serveur web refuse par surcroît toute requête vers un chemin de stockage. Chaque fichier est délivré par une adresse authentifiée qui vérifie d'abord l'autorisation du demandeur, puis servi avec une politique de sécurité de contenu neutralisant tout contenu actif que le document pourrait embarquer.
• Traçabilité de la lecture des pièces sensibles : la consultation d'un relevé d'identité bancaire, d'une attestation de vigilance ou d'un extrait d'immatriculation est journalisée, car lire une telle pièce est un acte qui doit laisser une trace, au même titre que la modifier.
• Journal des actions consultable : l'administrateur de l'organisme accède au journal des actions de son organisme et le filtre par auteur, par type d'événement et par période.
• Aucune ressource tierce n'est chargée par les pages du logiciel. Scripts, feuilles de style et polices de caractères sont compilés et servis depuis le domaine du service. Aucune requête n'est émise par votre navigateur vers un domaine tiers, et le service ne dépend ni de la disponibilité ni de l'intégrité d'un dépôt public extérieur. Un test automatisé contrôle cette propriété à chaque modification du code.
• Cloisonnement strict entre organisations : chaque requête est filtrée sur l'organisation de l'utilisateur connecté, et ce cloisonnement fait l'objet de tests automatisés exécutés à chaque modification du code. Un organisme ne peut pas voir les stagiaires d'un autre.
• Gestion des rôles : les fonctions d'administration (organisation, invitations, registre des intervenants, relevés d'identité bancaire) sont réservées aux comptes administrateurs.
• Journalisation des créations, modifications et suppressions, avec auteur, horodatage et valeurs avant et après.
• Suppression réversible des enregistrements métier, afin qu'une fausse manœuvre ne détruise jamais définitivement une attestation.
• Scellement des attestations signées par condensat SHA-256 : toute modification postérieure à la signature rompt le sceau et impose une nouvelle signature.

Sur l'infrastructure

• Serveur hébergé par OVH en France, accès administrateur par clé SSH uniquement, connexion root désactivée, port d'administration non standard.
• Pare-feu restrictif, blocage automatique des tentatives d'intrusion répétées sur les accès d'administration du serveur, mises à jour de sécurité du système appliquées automatiquement.
• En-têtes de sécurité posés par le serveur web : politique de sécurité de contenu restreignant les sources de scripts, de styles, d'images et de polices au seul domaine du service ; interdiction d'interprétation de type de contenu ; interdiction d'inclusion dans un cadre tiers ; politique de référent restrictive ; désactivation des interfaces de l'appareil (caméra, microphone, géolocalisation, paiement, périphériques USB) ; en-tête de sécurité stricte de transport.
• Sauvegarde quotidienne chiffrée de la base de données et des fichiers : le dispositif de sauvegarde refuse de s'exécuter en l'absence de phrase secrète et chiffre chaque archive en AES-256 avant toute écriture sur disque, donc a fortiori avant tout envoi vers un stockage distant. La copie en clair est détruite immédiatement après chiffrement. Rétention de 30 jours, restauration testée avant la mise en service.

Ce qui n'est pas encore en place, dit franchement

Une politique de confidentialité qui ne décrirait que les mesures présentes serait incomplète. À la date de la présente version, les mesures suivantes ne sont pas mises en œuvre, et l'inventaire complet, avec les échéances de correction, figure à l'annexe 2, paragraphe 11, de l'accord de sous-traitance conclu avec chaque organisme de formation :

• pas d'authentification à double facteur ;
• pas de journalisation dédiée des connexions réussies et échouées avec adresse IP : le verrou de connexion arrête une attaque en cours, il ne constitue pas une piste d'audit des authentifications ;
• la journalisation des consultations couvre les pièces sensibles du registre des intervenants, mais pas la consultation des attestations archivées et des images de signature, et elle ne recueille aucun motif d'accès ;
• pas de chiffrement applicatif des données au repos au niveau des colonnes de la base, ni du relevé d'identité bancaire déposé au registre des intervenants ;
• aucune notification n'est émise lors d'un changement de coordonnées bancaires d'un intervenant ;
• la politique de sécurité de contenu tolère encore les styles en ligne, nécessaires aux écrans existants ; l'en-tête de sécurité stricte de transport démarre volontairement à une durée courte, à porter à un an après un premier renouvellement de certificat sans incident ;
• pas de dispositif d'archivage intermédiaire distinct de la base active, ni de purge automatique à l'échéance des durées de conservation : ces opérations sont exécutées sur instruction écrite de l'organisme de formation ;
• la page de création de compte reste accessible sur l'instance de production, sa fermeture après création du premier compte administrateur relevant d'une consigne d'exploitation et non de la configuration.

Vos obligations

La sécurité est partagée. Il vous appartient de choisir un mot de passe robuste et unique, de ne pas le communiquer, de ne pas laisser une session ouverte sur un poste partagé, et de signaler sans délai toute utilisation suspecte de votre compte.

Limites assumées. Aucun système n'est infaillible. Les mesures ci-dessus visent un niveau de sécurité adapté au risque, comme l'exige l'article 32 du RGPD, et sont réévaluées à chaque évolution significative du logiciel.

17. Violation de données

En cas de violation de données à caractère personnel, l'éditeur, agissant comme sous-traitant, notifie l'organisme de formation dans les meilleurs délais et au plus tard [24 heures] après en avoir pris connaissance, avec les éléments dont il dispose : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables et mesures prises. Ce délai contractuel est plus court que le délai légal de 72 heures dont dispose l'organisme pour notifier la CNIL (article 33 du RGPD), précisément pour lui permettre de le respecter.

L'éditeur assiste l'organisme dans la communication aux personnes concernées lorsque l'article 34 du RGPD l'impose. Lorsque l'éditeur est lui-même responsable de traitement (niveau 1), il notifie directement la CNIL et, le cas échéant, les personnes concernées.

18. Mise à jour de la présente politique

La présente politique peut être modifiée pour tenir compte d'une évolution du logiciel, de l'ajout d'un sous-traitant ultérieur, d'un changement de la réglementation ou d'une recommandation de la CNIL.

• Chaque version porte un numéro et une date de mise à jour, en tête de document.
• Les versions successives sont conservées et communicables sur demande.
• Toute modification substantielle (nouvelle finalité, nouveau destinataire, nouveau sous-traitant ultérieur, transfert hors Union européenne, allongement d'une durée de conservation) fait l'objet d'une information préalable des organismes de formation clients par e-mail, avec un préavis de [30 jours], et d'un message dans l'application.
• Les corrections de forme sont publiées sans préavis et signalées dans l'historique des versions.

Historique des versions

19. Textes cités

Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) : articles 4.7 et 4.8 (définitions), 5 (principes), 6 (licéité), 9 (catégories particulières), 12 à 22 (droits des personnes), 28 (sous-traitance), 30 (registre), 32 (sécurité), 33 et 34 (violations), 44 à 49 (transferts). Texte consolidé sur EUR-Lex

Loi n° 78-17 du 6 janvier 1978 modifiée : article 82 (traceurs), Légifrance · article 85 (directives post-mortem).

Code du travail : article L. 6353-1 (attestation de fin de formation) · article L. 6362-6 (contrôle administratif et financier) · articles L. 6316-1 et L. 6316-3 (certification qualité) · article R. 4544-10 (habilitation délivrée par l'employeur) · article L. 8222-1 et article L. 8222-2 (vigilance et solidarité financière) · article R. 8222-1 (seuil de 5 000 euros hors taxes) · article D. 8222-5 (pièces à obtenir et périodicité semestrielle) · article L. 6351-1 (déclaration d'activité).

Code de commerce : article L. 123-22 (conservation décennale des documents comptables et pièces justificatives).

Livre des procédures fiscales : article L. 102 B (conservation sexennale des pièces soumises au droit de communication).

Référentiel national qualité : décret n° 2019-565 du 6 juin 2019 (critère 5, indicateur 21 et indicateur 27) · décret n° 2026-728 du 1er août 2026, applicable au 1er novembre 2026 (indicateur 27 modifié : traçabilité de la conformité dans les contrats de sous-traitance).

Norme NF C 18-510 : référentiel technique des opérations sur ouvrages électriques, auquel renvoie l'article R. 4544-3 du code du travail. La périodicité de recyclage de trois ans en est une préconisation, non une obligation légale.

Doctrine de la CNIL : sous-traitance et exemple de clauses · durées de conservation · anonymisation (avis 05/2014 du G29 du 10 avril 2014, trois critères cumulatifs) · droit d'accès · droit à l'effacement · délibération n° 2019-093 du 4 juillet 2019 (lignes directrices sur les traceurs).

Ce document décrit l'état du logiciel Habiléo à sa date de mise à jour. Il est rédigé par l'éditeur et complété, pour ce qui relève de sa responsabilité, par chaque organisme de formation utilisateur. Il ne se substitue ni au contrat d'abonnement, ni à l'accord de sous-traitance conclu en application de l'article 28 du RGPD, qui lui sont annexés.