Politique de confidentialité

L'application est en phase de test et n'est pas encore publiée. Cette politique décrit son fonctionnement à la publication ; elle sera mise à jour si ce fonctionnement change.

011. Responsable du traitement

Le responsable du traitement de vos données est [Raison sociale à compléter], [Forme juridique et capital à compléter], dont le siège social est situé [Adresse du siège à compléter] ([RCS / SIREN à compléter]), ci-après « nous ».

Pour toute question sur vos données ou pour exercer vos droits : support@ssiapacademy.fr.

Cette politique s'applique à l'application mobile SSIAP Academy et au site ssiapacademy.fr. Elle vous informe conformément aux articles 13 et 14 du règlement (UE) 2016/679 sur la protection des données (RGPD) et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

022. Nos principes

• Le strict nécessaire. Chaque donnée sert une fonction précise de l'application. Les durées de conservation sont appliquées automatiquement par nos serveurs, chaque jour.
• Le cloisonnement. Votre numéro de téléphone et votre adresse de connexion ne sont connus que du service qui gère les comptes. Les services de progression, d'examens, de classement, d'abonnement, de notifications, d'assistant et d'équipes ne connaissent qu'un identifiant technique aléatoire, et chacun a sa propre base de données.
• Des codes jamais conservés en clair. Le code de connexion n'est conservé que sous la forme d'une empreinte, et le contenu des SMS et des courriels de connexion n'est pas enregistré.
• Le téléphone d'abord. L'essentiel de l'application fonctionne sans réseau ; nos serveurs servent à sauvegarder et à synchroniser.
• Ni publicité, ni revente, ni profilage publicitaire.

033. Données conservées sur nos serveurs

Les tableaux suivants indiquent, pour chaque catégorie de données, sa finalité, sa base légale au sens de l'article 6 du RGPD et sa durée de conservation maximale. « Durée du compte » signifie : jusqu'à la suppression de votre compte, que vous la demandiez ou qu'elle intervienne automatiquement après trois ans sans aucune connexion. À la suppression du compte, toutes ces données sont effacées, à la seule exception des traces anonymes du journal de sécurité (article 9).

Compte et connexion

Progression

Examens, attestations et scénarios

Classement

Abonnement Premium

Nous n'avons jamais accès à vos coordonnées bancaires : elles restent chez Apple ou chez Google.

Notifications

Assistant

Équipe de votre établissement

Ces données n'existent que si vous rejoignez l'équipe de votre établissement avec le code qu'il vous remet, ou si l'éditeur vous désigne responsable d'un établissement qui a souscrit l'offre équipe.

Journaux techniques

Les numéros de téléphone, adresses électroniques, codes et jetons sont masqués automatiquement dans ces journaux.

Ce que nous ne collectons pas

L'application ne demande l'accès ni à votre position, ni à vos contacts, ni à vos photos, ni à votre micro. Elle peut solliciter deux autorisations, chacune depuis un bouton que vous pressez : les notifications, et l'appareil photo, seulement pour lire le QR code d'une attestation dans l'écran « Vérifier une attestation » — aucune image n'est enregistrée ni envoyée, seul le numéro lu part au service de vérification. Elle ne collecte aucune donnée de santé, ne contient aucun outil publicitaire ou de mesure d'audience, et n'utilise pas l'identifiant publicitaire de votre téléphone.

044. Ce site

Ce site ne dépose aucun cookie, n'utilise aucun traceur ni outil de mesure d'audience et ne fait appel à aucun service tiers : ses polices de caractères sont hébergées sur notre propre serveur. En savoir plus.

Le formulaire de contact n'envoie rien : il ouvre votre messagerie avec un message prérempli. Si vous nous écrivez, nous utilisons votre adresse et votre message pour vous répondre, sur la base de notre intérêt légitime, et les conservons le temps nécessaire au traitement de votre demande et à son suivi.

Lorsque vous vérifiez une attestation, le numéro saisi, ou lu dans le QR code, est envoyé à notre serveur, qui renvoie le résultat. Aucune information sur vous n'est demandée. Seules la date de la vérification et l'attestation concernée sont enregistrées, pour que son titulaire sache qu'elle a été vérifiée. Pour ne compter qu'une fois des vérifications répétées, votre adresse IP est utilisée sous une forme chiffrée, gardée une heure au plus en mémoire et jamais enregistrée.

Comme tout serveur web, celui qui héberge ce site reçoit l'adresse IP de votre appareil pour pouvoir vous envoyer les pages. Ces journaux sont traités comme indiqué à l'article 3.

055. Données enregistrées sur votre téléphone

Pour fonctionner sans réseau, l'application enregistre sur votre téléphone, dans son espace de stockage privé, votre profil, votre progression, vos résultats, vos attestations, vos 100 derniers messages avec l'assistant, vos préférences et la liste des activités en attente d'envoi. Votre jeton de session est rangé dans le stockage sécurisé du système (trousseau sur iPhone, Keystore sur Android).

Ces données ne quittent votre téléphone que pour être synchronisées avec votre compte, dans les conditions décrites à l'article 3. Le détail figure sur la page Cookies et stockage local.

066. Destinataires et prestataires

Au sein de l'Éditeur, seules les personnes habilitées accèdent à vos données, dans la limite de leurs missions de support et d'exploitation. Les prestataires suivants les traitent pour notre compte et sur nos instructions, en qualité de sous-traitants au sens de l'article 28 du RGPD :

Apple et Google. Les notifications sont remises à votre téléphone par le service d'Apple (iPhone) ou de Google (Android). Lorsque vous vous abonnez, Apple ou Google encaisse le paiement et traite vos données de paiement pour son propre compte, selon sa propre politique de confidentialité. Nous recevons seulement la preuve de l'achat et l'état de l'abonnement, que nous faisons vérifier par la boutique.

Les personnes qui vérifient une attestation. Toute personne à qui vous remettez une attestation peut, grâce à son numéro ou à son QR code, voir l'examen concerné, les dates de délivrance et d'expiration, le score et la validité. La vérification ne communique ni votre nom, ni vos coordonnées. Vous voyez dans l'application combien de fois chacune de vos attestations a été vérifiée, sans savoir par qui.

Les autres utilisateurs. Si vous participez au classement, votre pseudonyme, votre rang, vos points et votre niveau SSIAP sont visibles des autres utilisateurs de l'application. Votre type de profil ne l'est jamais.

Votre employeur. Rien ne lui est transmis, sauf si vous rejoignez l'équipe de votre établissement avec le code qu'il vous remet. Ses responsables voient alors le nom et la fonction que vous indiquez, l'avancement de vos modules et vos attestations d'examen blanc avec leurs échéances. Ils ne voient jamais vos réponses, les examens que vous n'avez pas réussis, vos conversations avec l'assistant, votre numéro ni votre adresse, ni votre série, vos points ou votre classement. Ce texte vous est présenté avant que vous confirmiez, et vous pouvez quitter l'équipe à tout moment depuis votre profil ; l'établissement garde alors ce qu'il voyait à la date de votre départ, sans mise à jour, pendant 365 jours au plus.

Nous ne vendons ni ne louons vos données. Nous pouvons être tenus de les communiquer à une autorité judiciaire ou administrative qui nous les demande dans le cadre de la loi.

077. Transferts hors de l'Union européenne

Deux prestataires sont établis aux États-Unis : Anthropic, pour l'assistant, et Expo, pour l'acheminement des notifications. Les données qui leur sont transmises peuvent donc être traitées hors de l'Union européenne, de même que celles qui transitent par les services de notification d'Apple et de Google.

Ces transferts sont encadrés par l'une des garanties prévues au chapitre V du RGPD : la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis, lorsque le prestataire y a adhéré, ou à défaut les clauses contractuelles types adoptées par la Commission européenne. Vous pouvez obtenir des informations sur ces garanties en écrivant à support@ssiapacademy.fr.

Pour limiter ce qui sort de l'Union, l'assistant ne transmet ni votre nom, ni votre numéro, ni votre niveau SSIAP, ni aucun identifiant de compte, et un test automatique vérifie qu'aucun identifiant ne figure dans ce qui est envoyé. Une notification ne contient que son titre, son texte et l'écran de l'application à ouvrir.

Nos propres serveurs sont loués auprès de Hostinger International Ltd. Pays du centre de données : [pays du centre de données à vérifier].

088. Sécurité

• Les échanges entre l'application et nos serveurs sont chiffrés (HTTPS).
• La connexion se fait sans mot de passe, par un code à usage unique valable 5 minutes et limité à 5 essais.
• Votre jeton de session est conservé dans le stockage sécurisé du téléphone ; les jetons d'accès expirent au bout de 15 minutes.
• Chaque service a sa propre base de données : une faille dans l'un ne donne pas accès aux données des autres.
• Aucune clé d'accès à un prestataire n'est embarquée dans l'application : elles restent sur nos serveurs.
• Des sauvegardes régulières permettent de restaurer le service après un incident.

En cas de violation de données présentant un risque pour vous, nous la notifierons à la CNIL et, si le risque est élevé, nous vous en informerons, conformément aux articles 33 et 34 du RGPD.

099. Suppression du compte

Depuis l'application, écran « Mes données », le bouton « Supprimer mon compte » efface votre compte à tout moment. Voici ce qui se passe :

1. 1

   Sur votre téléphone

   Les données enregistrées par l'application sont effacées immédiatement.

2. 2

   Sur le service des comptes

   Votre compte, votre numéro, votre adresse, votre profil, vos sessions et vos demandes de code sont supprimés.

3. 3

   Sur les autres services

   La suppression leur est transmise, et chacun efface ce qui vous concerne. Si l'un d'eux est momentanément injoignable, la suppression est reprise automatiquement chaque jour. L'effacement est complet au plus tard dans les 30 jours.

Si votre téléphone n'est pas connecté au moment de la suppression, seules ses données sont effacées : reconnectez-vous avec le même numéro ou la même adresse puis recommencez, ou écrivez-nous à support@ssiapacademy.fr.

Ne subsistent que les traces anonymes prouvant que la suppression a eu lieu et, jusqu'à leur renouvellement ([durée à fixer]), les sauvegardes du serveur, qui ne sont utilisées qu'en cas de restauration après incident. Un compte sans aucune connexion pendant trois ans est supprimé automatiquement, de la même façon.

1010. Vos droits

Vous disposez des droits suivants sur vos données (articles 15 à 22 du RGPD) :

• Accès : savoir si nous traitons vos données et en obtenir une copie.
• Rectification : corriger une donnée inexacte, par exemple votre nom sur une attestation.
• Effacement : supprimer votre compte et vos données, directement depuis l'application.
• Portabilité : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine.
• Opposition : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime.
• Limitation : demander le gel temporaire d'un traitement, par exemple le temps de vérifier une donnée que vous contestez.
• Retrait du consentement : à tout moment, pour les notifications (réglages du téléphone ou de l'application), pour le classement (en le quittant) et pour l'équipe de votre établissement (en la quittant, depuis votre profil), sans remettre en cause ce qui a été fait auparavant.
• Directives après le décès : définir ce que deviennent vos données après votre mort (article 85 de la loi Informatique et Libertés).

Comment les exercer

• Dans l'application, écran « Mes données » : exportez votre profil, votre progression, vos examens, vos attestations et vos conversations au format JSON, ou supprimez votre compte, sans avoir à nous écrire. L'export reprend les données présentes sur votre téléphone.
• Par courriel, à support@ssiapacademy.fr, pour toute autre demande, notamment pour obtenir une copie de l'ensemble des données conservées sur nos serveurs. Indiquez le numéro ou l'adresse associés à votre compte ; nous pourrons vous demander de confirmer que vous en êtes bien le titulaire.

Nous répondons dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois pour une demande complexe ; nous vous en informerions alors dans le premier mois (article 12 du RGPD).

1111. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), sur cnil.fr ou par courrier (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07), conformément à l'article 77 du RGPD. Nous vous invitons à nous écrire d'abord : la plupart des difficultés se règlent directement.

1212. Décisions automatisées

Un contrôle automatique de vraisemblance vérifie chaque examen blanc, notamment sa durée, avant la délivrance d'une attestation. Un examen jugé invraisemblable reste dans votre historique mais ne donne pas d'attestation. Aucune autre décision vous concernant n'est prise de façon automatisée. Si vous contestez ce contrôle, écrivez-nous : une personne de notre équipe réexaminera la situation.

1313. Mineurs

L'application s'adresse à des personnes qui se forment aux métiers de la sécurité incendie ; elle n'est pas destinée aux enfants. Lorsqu'un traitement repose sur votre consentement (notifications, classement) et que vous avez moins de 15 ans, ce consentement doit être donné conjointement par vous et par le ou les titulaires de l'autorité parentale (article 45 de la loi Informatique et Libertés).

1414. Modifications

Nous pouvons modifier cette politique pour tenir compte d'une évolution de l'application, d'un prestataire ou de la loi. La date de mise à jour figure en tête de page. En cas de changement important, vous en serez informé dans l'application avant qu'il ne s'applique.