1. Engagement et cadre légal

MIBsoft accorde une importance majeure à la protection des données personnelles et s'engage à respecter :

• Le Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») ;
• La loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
• Les recommandations et lignes directrices de la CNIL et du Comité européen de la protection des données (CEPD).

2. Rôles de MIBsoft

MIBsoft intervient à un double titre selon la nature des données :

2.1 Responsable de traitement

MIBsoft est responsable de traitement pour :

• Les données des prospects et visiteurs du site (formulaires de contact, newsletter, démos) ;
• Les données des comptes administrateurs des centres clients (gestion contractuelle, facturation, support) ;
• Les données techniques (logs de connexion, métriques de performance) ;
• Les données comptables liées aux factures.

2.2 Sous-traitant

MIBsoft agit en qualité de sous-traitant au sens de l'article 28 du RGPD pour :

• Les données des formateurs créées par les centres clients ;
• Les données des stagiaires (identité, scores, présences, résultats QCM) ;
• Les contenus pédagogiques propres au centre.

Pour ces traitements, le centre de formation est responsable de traitement et un Data Processing Agreement (DPA) encadre la sous-traitance.

3. Données collectées et finalités

3.1 Données de compte (centre, formateur, stagiaire)

3.2 Données d'usage pédagogique

3.3 Données de paiement et facturation

3.4 Données de support et contact

3.5 Données techniques et logs

3.6 Enregistrement et transcription des réunions

Le module CSE permet d'enregistrer une réunion ou un quart d'heure sécurité, puis d'en produire un compte rendu écrit. C'est une fonction facultative : elle ne se déclenche que si quelqu'un lance l'enregistrement, et l'application reste entièrement utilisable sans elle.

Ce qui se passe pour cet enregistrement, précisément :

• il est transcrit par Gladia, prestataire spécialisé, dont le traitement est annoncé en Union européenne [à confirmer par écrit auprès du prestataire]. Le fichier ne lui est pas téléversé : il lui est mis à disposition par une adresse signée et temporaire de notre espace de stockage ;
• nous ne demandons au prestataire ni analyse de sentiment, ni détection d'émotion, ni résumé : seulement la langue et la distinction des intervenants ;
• dès le texte récupéré, nous demandons nous-mêmes au prestataire d'effacer l'audio, la transcription et leurs métadonnées, sans attendre son délai de conservation par défaut. Le résultat de cette suppression est consigné avec la séance, afin qu'on puisse répondre à la question « qu'est devenu l'enregistrement ? » autrement que par « je crois que oui » ;
• de notre côté, l'enregistrement est effacé dès la validation du texte et, en tout état de cause, au plus tard sept jours après son dépôt, par une purge automatique.

Les participants doivent être informés de l'enregistrement avant qu'il ne commence. Cette information relève de l'organisateur de la réunion, c'est-à-dire du Client, qui est responsable de traitement pour cette séance.

4. Durées de conservation

5. Destinataires des données

Les données sont accessibles, dans la stricte limite de leurs missions, à :

• Les salariés et prestataires habilités de MIBsoft (support, équipe technique, comptabilité) ;
• Les sous-traitants techniques listés sur la page sous-traitants ;
• Gladia, pour la seule transcription des réunions enregistrées, dans les conditions décrites au 3.6 — et pour la durée strictement nécessaire à celle-ci, puisque nous lui demandons l'effacement dès le texte récupéré ;
• Les autorités administratives ou judiciaires en cas de réquisition légale.

Aucune donnée n'est vendue, louée ni cédée à des fins commerciales à des tiers.

6. Transferts hors Union européenne

Les données sont hébergées en Union européenne (Supabase — Frankfurt, Allemagne). Toutefois, certains sous-traitants ont leur siège hors UE :

• Stripe Payments Europe Ltd (Irlande, UE) — traitement principal en UE ; pas de transfert sortant pour les paiements européens ;
• Vercel Inc. (USA) — frontend, possible transit de logs techniques ;
• Mailgun (région UE) — métadonnées d'envoi d'emails transactionnels ;
• Anthropic PBC (USA) — le texte que vous soumettez aux fonctions d'assistance à la rédaction (analyse d'accident, visite de sécurité, évaluation d'un risque). Ces fonctions sont facultatives : ne rien leur soumettre suffit à ce qu'aucune donnée ne parte. Les données transmises ne servent pas à entraîner les modèles ;
• GitHub Inc. (USA / Microsoft) — code source uniquement, pas de données clients ;
• Google Fonts (USA) — pas de cookie ni de profilage.

Ces transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne (décision UE 2021/914 du 4 juin 2021) et, le cas échéant, par l'adhésion au cadre EU-US Data Privacy Framework (DPF).

7. Sécurité des données

MIBsoft met en œuvre des mesures techniques et organisationnelles adaptées (voir PSSI), notamment :

• Chiffrement TLS 1.3 en transit, AES-256 au repos ;
• Authentification renforcée (Supabase Auth, hachage des mots de passe argon2/bcrypt) ;
• Isolation multi-tenants par Row Level Security (PostgreSQL) ;
• Sauvegardes Point-In-Time Recovery 7 jours ;
• Journalisation et détection d'anomalies ;
• Sensibilisation et habilitation du personnel ;
• Procédure de gestion des incidents (voir procédure incidents).

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès aux données vous concernant ;
• Droit de rectification des données inexactes ou incomplètes ;
• Droit à l'effacement (« droit à l'oubli ») dans les conditions de l'article 17 ;
• Droit à la limitation du traitement ;
• Droit à la portabilité de vos données dans un format structuré, couramment utilisé et lisible par machine ;
• Droit d'opposition pour les traitements fondés sur l'intérêt légitime ;
• Droit de retirer votre consentement à tout moment pour les traitements qui en dépendent ;
• Droit de définir des directives relatives au sort de vos données après votre décès (article 85 loi Informatique et Libertés).

9. Comment exercer vos droits

Pour exercer vos droits, vous pouvez :

• Adresser un email à dpo@mibsoft.fr ;
• Envoyer un courrier postal à : MIBsoft — DPO — 173 rue de Courcelles, 75017 Paris ;
• Pour les stagiaires et formateurs, contacter d'abord votre centre de formation (responsable de traitement).

Une réponse vous sera apportée dans un délai d'un mois à compter de la réception de votre demande (extensible à 3 mois en cas de complexité ou de demandes multiples, conformément à l'article 12 du RGPD). Une pièce d'identité pourra être demandée en cas de doute raisonnable sur votre identité.

10. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07
• Téléphone : 01 53 73 22 22
• Site : www.cnil.fr/fr/plaintes

11. Modifications de la politique

Cette politique peut être mise à jour pour refléter des évolutions techniques, légales ou organisationnelles. La date de dernière mise à jour figure en tête de document. Les modifications substantielles font l'objet d'une notification spécifique par email.