Politique de confidentialité

Dernière mise à jour : 16 octobre 2026

Version provisoire, en cours de relecture. Ce texte décrit le fonctionnement réel du logiciel. Les points marqués « à confirmer » ou « à définir » ne sont pas encore arrêtés : ils seront renseignés avant toute contractualisation, et ce texte ne sera présenté comme définitif qu’à ce moment-là.

1. Qui traite vos données

Mivtsaim est un logiciel en ligne de gestion de centres de formation d’apprentis (CFA), édité par Classeo (contact : dan@classeo.fr).

Responsable de traitement : chaque CFA client, pour les données de ses apprenants, de leurs représentants légaux, de ses formateurs, des entreprises d’accueil, de ses candidats et prospects. C’est à lui que s’adressent en premier les demandes d’exercice des droits.
Sous-traitant : Classeo, qui héberge et fait fonctionner le logiciel pour le compte du CFA, sur ses instructions (article 28 du RGPD).
Classeo, responsable de traitement, pour ses propres prospects et clients : demandes de rendez-vous et de présentation (page vidéo et prise de rendez-vous), inscription d’un centre, comptes des administrateurs de CFA, facturation.

2. Données traitées

Identité et coordonnées : nom, prénom, adresse électronique, téléphone, adresse postale, date et lieu de naissance, nationalité, photo de la carte d’étudiant, pièces d’identité fournies à la pré-inscription.
Numéro d’inscription au répertoire (NIR) : voir la section 5.
Données de scolarité et de contrat : inscriptions, notes, présences, signatures d’émargement, contrats, entreprise d’accueil, rémunération.
Données de santé (article 9 du RGPD), de façon limitée : justificatifs d’absence (arrêts de travail, motifs médicaux), aménagements liés à un handicap (reconnaissance de la qualité de travailleur handicapé) et besoins d’aménagement exprimés dans un test de positionnement.
Traçabilité d’activité en ligne des apprenants : connexions, temps de présence réelle, documents et vidéos consultés, avec adresse IP et type d’appareil.
Échanges : courriels envoyés par le centre, messages de la discussion de promotion et des conversations privées, publications du fil de promotion.
Journaux techniques : adresse IP, navigateur, horodatage des actions, erreurs applicatives, tentatives de connexion (l’adresse électronique n’y est conservée que sous forme d’empreinte).

3. Finalités et bases légales

Chaque traitement repose sur l’une des bases de l’article 6 du RGPD ; le consentement (article 6.1.a) n’est retenu que lorsqu’il s’agit vraiment d’un choix libre.

Pré-inscription (formulaire public, pièces, signature) : mesures précontractuelles prises à la demande de la personne (art. 6.1.b). Le centre peut aussi l’utiliser pour justifier de ses admissions (intérêt légitime, art. 6.1.f).
Dossier de l’apprenant, contrat d’apprentissage (CERFA), convention, dépôt auprès de l’opérateur de compétences, carte d’étudiant, enquêtes ministérielles : exécution du contrat (art. 6.1.b) et obligations légales du CFA (art. 6.1.c, Code du travail).
Émargement, assiduité et déroulés pédagogiques : obligations légales du CFA envers les financeurs et la certification Qualiopi (art. 6.1.c). Ces données servent aussi, pour l’apprenti, au calcul d’une éventuelle retenue sur salaire par l’employeur.
Traçabilité d’activité en ligne avec adresse IP : preuve d’assiduité exigée par les financeurs et par Qualiopi (art. 6.1.c et 6.1.f). Seule l’activité réelle est mesurée (onglet visible et geste ou vidéo en lecture). Elle ne concerne que les apprenants, jamais le personnel.
Tests de positionnement (Qualiopi, indicateur 8) : obligation légale du centre et mesures précontractuelles (art. 6.1.c et 6.1.b). Les réponses sont lues par l’équipe pédagogique, qui en tire une préconisation.
Notifications push (alertes sur l’appareil) : consentement (art. 6.1.a), donné en autorisant les notifications dans le navigateur ou sur l’appareil, retirable à tout moment dans ses réglages.
Discussion et fil de promotion : exécution du service pédagogique (art. 6.1.b) et intérêt légitime du centre. Les conversations privées entre un apprenant et un formateur peuvent être relues par l’administration du centre, et elle peut en retirer un message ; cette règle est affichée en tête de chaque conversation. Les parents et les entreprises n’y ont pas accès.
Conseil de perfectionnement (art. L6231-3 du Code du travail) : obligation légale (art. 6.1.c). Les séances traitent de l’organisation du centre, sans donnée nominative d’apprenti ; les indicateurs sont masqués sous trois personnes.
Prospection (page vidéo et rendez-vous) : mesures précontractuelles à la demande de la personne (art. 6.1.b) et intérêt légitime de Classeo (art. 6.1.f). Ce que vous saisissez est enregistré au fil de la saisie, même si vous n’envoyez pas le formulaire ; vous pouvez vous opposer à tout moment (art. 21).
Courriers du centre (convocations, relances, attestations) : obligations légales et intérêt légitime du CFA.
Sécurité du service (journaux, protection contre les intrusions, limitation des tentatives de connexion) : intérêt légitime (art. 6.1.f).

Aucune donnée n’est vendue, ni utilisée à des fins publicitaires. Aucune décision n’est prise par un traitement exclusivement automatisé produisant des effets juridiques (art. 22).

4. Connexion avec Google

Si vous choisissez « Se connecter avec Google », Mivtsaim reçoit uniquement votre adresse électronique, votre nom et votre photo de profil, pour vous identifier. Mivtsaim n’accède ni à vos courriels, ni à vos contacts, ni à vos fichiers par ce moyen, et ne les utilise à aucune fin publicitaire. L’usage des données reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d’usage limité (Limited Use).

5. Données sensibles : santé (art. 9) et NIR

Santé : le traitement de ces données est en principe interdit ; il est ici limité aux cas où il est nécessaire à l’exécution des obligations du centre en matière de droit du travail et de la formation (art. 9.2.b) ou repose sur la démarche volontaire de la personne qui dépose elle-même une pièce (art. 9.2.a). Le motif médical d’une absence n’est pas montré au formateur, ne figure pas dans les courriers, et l’accès aux pièces est réservé à l’administration du centre.
NIR : collecté uniquement pour le contrat d’apprentissage et les déclarations obligatoires qui l’exigent. Il est lisible de la seule administration du centre, jamais du formateur, et n’est pas transmis aux entreprises. Son encadrement relève du décret n° 2019-341 (article 22 de la loi Informatique et Libertés) ; cadre exact retenu : à confirmer.
Une analyse d’impact (AIPD, art. 35) est à réaliser et à confirmer pour les traitements portant sur ces données.

6. Mineurs

Une partie des apprenants est mineure. Le formulaire de pré-inscription affiche un texte en langage clair dès que l’âge saisi est inférieur à 18 ans. Pour un apprenant mineur, le représentant légal est destinataire de certaines informations (absences, documents à signer) et peut exercer les droits en son nom. Lorsqu’un consentement est nécessaire (notifications push, par exemple), il est recueilli auprès du jeune s’il a 15 ans révolus, sinon auprès du titulaire de l’autorité parentale (article 45 de la loi Informatique et Libertés ; application dans le logiciel : à confirmer). Un apprenant devenu majeur exerce lui-même ses droits.

7. Sous-traitants ultérieurs

Liste établie d’après le fonctionnement du logiciel. La colonne « garanties » est renseignée quand elle a été vérifiée ; sinon la mention « à confirmer » signifie que le contrat de sous-traitance (art. 28), la localisation exacte et le mécanisme de transfert restent à documenter.

Supabase : base de données, authentification et stockage des fichiers. Région d’hébergement du projet : à confirmer. Accord de traitement : à confirmer.
Hostinger : hébergement de l’application et diffusion (CDN). Localisation des serveurs : à confirmer.
Resend : envoi des courriels (destinataire, objet, contenu). Société établie hors de l’Union européenne ; mécanisme de transfert à confirmer.
Google : connexion avec un compte Google, et services d’acheminement des notifications push de Chrome et Android (Firebase Cloud Messaging). Transfert hors UE possible ; garanties à confirmer.
Google Analytics : mesure d’audience du site public, après consentement seulement (section « Cookies »). Aucune donnée de l’application connectée ne lui est envoyée.
Apple, Mozilla, Microsoft : services d’acheminement des notifications push selon le navigateur ou l’appareil de la personne. Le message transite par ces services ; il ne contient que l’alerte affichée.
YouTube et Vimeo : lecteurs vidéo intégrés à la page de présentation et aux formations en ligne (voir la section « Cookies »). Garanties à confirmer.
Cal.com : prise de rendez-vous intégrée à la page de présentation. Localisation et garanties à confirmer.
Annuaire des entreprises (recherche-entreprises.api.gouv.fr) : service public interrogé pour pré-remplir la fiche d’une entreprise à partir de son SIRET. Aucune donnée personnelle d’apprenant ne lui est transmise.
Opérateurs de compétences (OPCO) : destinataires, et non sous-traitants, du dossier de contrat que le centre leur dépose.

Lorsqu’un transfert hors de l’Union européenne a lieu, il doit être encadré par une décision d’adéquation ou des clauses contractuelles types (chapitre V du RGPD) ; la vérification service par service est en cours.

8. Durées de conservation

Les durées ne sont pas encore définies de façon uniforme, et les purges automatiques qui les appliqueront ne sont pas toutes en place. Ce qui suit distingue donc ce qui est appliqué de ce qui est seulement visé.

Appliqué aujourd’hui : purge automatique des files d’envoi de notifications, du journal des appels automatiques et des alertes déjà lues (de quelques semaines à six mois selon leur nature), ainsi que des demandes d’inscription de centre non confirmées.
Durée visée, non appliquée : données de scolarité, de contrat et de preuve (émargements, signatures), durée de la formation puis durées imposées par la réglementation et les financeurs ; durée exacte à définir avec chaque centre.
À définir : traçabilité d’activité en ligne et journaux de connexion avec adresse IP, dossiers de pré-inscription non suivis d’effet, fiches de prospects, messages de discussion, journal d’audit. Tant qu’aucune durée n’est arrêtée, ces données sont conservées et cette situation sera corrigée.
Fin du contrat avec un CFA : ses données lui sont restituées sur demande puis supprimées, sauf obligation légale de conservation ; délai à définir.

9. Sécurité

Chiffrement des échanges (HTTPS), cloisonnement entre établissements assuré au niveau de la base de données, accès limité selon le rôle de chaque utilisateur, double authentification pour les administrateurs, limitation des tentatives de connexion, secrets conservés dans un coffre chiffré, journal d’audit des actions sensibles.

10. Vos droits

Vous disposez des droits d’accès (art. 15), de rectification (art. 16), d’effacement (art. 17), de limitation (art. 18), de portabilité (art. 20) et d’opposition (art. 21), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Lorsque le traitement repose sur votre consentement (art. 6.1.a), vous pouvez le retirer à tout moment (art. 7.3), sans effet sur ce qui a été fait avant.

Adressez-vous d’abord à votre centre de formation, responsable du traitement ; vous pouvez aussi écrire à dan@classeo.fr, qui transmettra au centre concerné. La réponse vous est donnée dans un délai d’un mois à compter de la demande, prolongeable de deux mois pour une demande complexe (art. 12.3). Une pièce d’identité peut être demandée en cas de doute sur votre identité.

Certaines données ne peuvent pas être effacées sur demande tant qu’une obligation légale impose de les conserver (contrat, émargement, preuves de financement) ; la demande est alors limitée et vous en êtes informé.

Vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07 — www.cnil.fr/fr/plaintes).

11. Cookies et traceurs

Le logiciel lui-même (l’application connectée) n’utilise que des cookies strictement nécessaires : maintien de la session de connexion, sécurité. Il n’utilise aucun cookie publicitaire.

Mesure d’audience du site public. Sur le site de présentation et le blog (jamais dans l’application connectée), nous mesurons l’audience avec Google Analytics 4 : pages vues, provenance, appareil, sans publicité ni recoupement publicitaire (signaux Google et personnalisation des annonces désactivés). Rien n’est chargé chez Google tant que vous n’avez pas cliqué sur « Accepter » ; « Refuser » est aussi simple et ne charge rien. Votre choix est gardé dans votre navigateur pendant 13 mois, et vous pouvez le changer à tout moment : . Base légale : votre consentement (art. 6.1.a). Les mesures transitent par Google (transfert hors Union européenne possible, garanties à confirmer).

En revanche, les lecteurs vidéo intégrés peuvent déposer leurs propres traceurs. La page de présentation charge le lecteur de YouTube au moment où vous lancez la vidéo, et les formations en ligne affichent des vidéos YouTube ou Vimeo. Ces services, soumis à leur propre politique, peuvent lire ou déposer des informations sur votre appareil. La prise de rendez-vous intégrée (Cal.com) charge également un script tiers. Le recueil de votre consentement avant ce chargement est à confirmer. Les notifications push, enfin, ne sont activées qu’avec votre autorisation explicite.