Article 1 Responsable du traitement
Le responsable des traitements décrits dans la présente politique est LearnGdP SAS, 679 Avenue de la République, 59800 Lille, France – téléphone : 03 74 09 54 79 – courriel : contact@learngdp.fr – SIRET 838 002 715 00012 – TVA FR84 838002715.
Article 2 Principes
LearnGdP traite les données personnelles nécessaires à la fourniture, à la sécurisation et à l’amélioration de ses formations et services. LearnGdP recherche la minimisation des données : seules les informations pertinentes au regard des finalités poursuivies doivent être collectées ou communiquées à ses prestataires.
LearnGdP ne vend pas les données personnelles des apprenants et ne les communique pas à des tiers pour leur propre prospection commerciale sans base juridique appropriée.
Article 3 Données traitées
| Contexte | Données susceptibles d’être traitées |
|---|---|
| Compte | Nom, prénom, nom d’utilisateur, adresse électronique, identifiants techniques et informations facultatives renseignées dans le profil. |
| Formation | Inscriptions, progression, pages et ressources consultées, durée ou événements de consultation, réponses aux quiz, notes, tentatives, livrables, contributions et discussions. |
| Reconnaissance | Résultats nécessaires à l’attribution de badges, attestations, certificats et autres modalités de reconnaissance. |
| Paiement | Références de transaction, produit acheté, montant, état du paiement, informations de facturation nécessaires. Les données complètes de carte sont traitées par Stripe. |
| Support | Nom, email, contenu des échanges et pièces jointes volontairement transmises. |
| Technique et sécurité | Adresse IP, dates et heures, navigateur, journaux techniques, événements de connexion et données nécessaires à la sécurité et au diagnostic. |
| Examen surveillé | Données d’identité et, selon l’examen, images webcam, captures d’écran, son et données techniques nécessaires à la surveillance et à l’analyse d’un incident. Une copie de pièce d’identité peut-être collectée pour nous permettre la confirmation de votre identité. Elle vous sera demandée avant l'examen au démarrage de la surveillance. Nous la conservons que le temps nécessaire à cette confirmation (1 à 2 semaines) . |
Article 4 Finalités et bases juridiques
| Finalité | Base envisagée |
|---|---|
| Créer et administrer le compte, fournir les cours et services demandés, enregistrer progression et résultats | Exécution de la relation contractuelle ou mesures précontractuelles. |
| Organiser les évaluations, examens, délivrer les reconnaissances | Exécution du service ; intérêt légitime pour garantir l’intégrité lorsque pertinent. |
| Authentifier et surveiller certains examens | Exécution du service d’examen et intérêt légitime de LearnGdP à garantir l’identité du candidat, l’équité et l’intégrité de l’évaluation. |
| Sécuriser la plateforme, détecter les abus et incidents | Intérêt légitime et, selon le cas, obligations légales. |
| Facturation, comptabilité et obligations fiscales | Exécution du contrat et obligations légales. |
| Messages indispensables au déroulement d’un cours, relances d’avancement, informations de service | Exécution du service et/ou intérêt légitime selon le message. |
| Prospection ou communications promotionnelles distinctes | Consentement ou autre base autorisée selon le destinataire et le contexte. |
| Statistiques, amélioration pédagogique et recherche | Intérêt légitime, données agrégées/anonymisées lorsque possible ; autre base si requise par la nature du projet. |
Article 5 Destinataires et prestataires
Les données sont accessibles aux personnes de LearnGdP qui en ont besoin pour leurs missions et, dans les limites nécessaires, aux partenaires ou prestataires participant au service.
Amazon Web Services (AWS)
AWS héberge l’infrastructure Open edX et des données générées par la plateforme. La plateforme actuelle Sumac et ses services principaux sont hébergés en Europe (Francfort, eu-central-1). Des données de l’ancienne plateforme Juniper et des archives associées demeurent en Europe (Irlande, eu-west-1). Il s’agit d’une séparation entre anciennes et nouvelles plateformes et non d’une réplication systématique des données pédagogiques.
EC2, sauvegardes RDS, snapshots EC2, CloudWatch et SES de la plateforme actuelle sont principalement configurés en eu-central-1. RDS et S3 existent dans les deux régions européennes en fonction de la génération de plateforme. Certains services AWS sont globaux, notamment Route 53, IAM et le support, et peuvent impliquer le traitement de métadonnées ou des accès internationaux. AWS prévoit un DPA et l’application automatique des clauses contractuelles types lorsque nécessaire.
OVH
SAS OVH, 2 rue Kellermann – 59100 Roubaix – France RCS Lille Métropole 424 761 419 00045 Code APE 2620Z
OVH héberge notamment le dispositif de proctoring développé par LearnGdP (OVHCloud) et le stockage objet associé hébergé en France. Les captures et enregistrements de surveillance sont destinés au contrôle de l’examen et ne sont pas utilisés à des fins publicitaires. OVH prévoit un DPA prévoit un DPA et l’application automatique des clauses contractuelles types lorsque nécessaire.
Stripe
Stripe est utilisé pour les ventes grand public. Pour un compte situé en Europe, le DPA de Stripe prévoit une relation avec Stripe Payments Europe, Limited. Stripe peut agir comme sous-traitant pour certains traitements et comme responsable de traitement pour ses propres obligations, notamment de paiement, sécurité, prévention de la fraude et conformité réglementaire. LearnGdP ne collecte pas le numéro complet de carte bancaire.
Brevo
Brevo. Sendinblue, SAS immatriculée au RCS de Paris sous le numéro 498 019 298 dont le siège social est situé 9-17, rue Salneuve 75017 Paris
Brevo est utilisé pour gérer les listes de diffusion et envoyer des informations de service, relances d’avancement et autres messages liés aux formations. LearnGdP transmet des données limitées telles que le nom, l’adresse email, la formation ou cohorte, l’avancement, la note globale ou le statut utile à la sélection du message.
LearnGdP ne transmet pas à Brevo les notes question par question, les détails de tentatives, les incidents de surveillance, les justificatifs d’identité ou les commentaires libres sur l’apprenant.BREVO prévoit un DPA et l’application automatique des clauses contractuelles types lorsque nécessaire
Google peut être utilisé pour Google Sheets, Docs et Slides, ainsi que pour la diffusion de vidéos YouTube et l’administration de balises via Google Tag Manager. Les services Google peuvent entraîner des traitements internationaux. Google publie des mécanismes de transfert comprenant, selon les services et situations, décisions d’adéquation, Data Privacy Framework et clauses contractuelles types.
Google Tag Manager est un conteneur technique : les conséquences en matière de consentement dépendent des balises effectivement activées.
Zendesk
Zendesk est utilisé pour l’assistance. Les données peuvent comprendre le nom, l’adresse email, le contenu des échanges et les documents que l’utilisateur choisit de transmettre. Les utilisateurs sont invités à ne pas transmettre de données sensibles ou de justificatifs d’identité sauf demande expresse de LearnGdP par un canal adapté.
Infomaniak
LearnGdP utilise des services fournis par Infomaniak, société établie en Suisse, notamment pour le suivi de notes et de groupes d'apprenants.
Les données concernées peuvent comprendre des informations d'identification, d'appartenance à un groupe ou une cohorte, ainsi que des informations relatives aux résultats et à la progression.
La Suisse bénéficie d'une décision d'adéquation de la Commission européenne permettant, sous réserve du respect des autres obligations applicables, le transfert de données personnelles depuis l'Espace économique européen sans mise en place de clauses contractuelles types pour ce seul transfert.
Centrale Lille
Centrale Lille intervient notamment dans la délivrance de certains certificats associés aux formations proposées par LearnGdP.
Les données nécessaires à l'établissement, à la vérification ou à la délivrance de ces certificats peuvent être communiquées à Centrale Lille.
Association « Les Amis du MOOC GdP »
L'association Les Amis du MOOC GdP intervient notamment dans l'attribution et la gestion de bourses ou d'exonérations permettant à certains apprenants de bénéficier de services normalement payants.
Les informations communiquées à l'association sont limitées à celles nécessaires à l'instruction et à la gestion de ces dispositifs.
Partenaires entreprises et établissements
Lorsqu’un apprenant participe dans le cadre d’un partenariat, des informations de suivi peuvent être communiquées à l’entreprise ou à l’établissement concerné conformément au cadre convenu : inscription, progression, note globale, réussite et éléments nécessaires au tableau de bord de la cohorte. Le périmètre dépend de la convention applicable.
Article 6 Transferts hors Espace économique européen
LearnGdP privilégie l’hébergement européen pour les données principales de la plateforme. Certains prestataires ou services globaux peuvent toutefois impliquer un accès ou un transfert hors de l’EEE. Selon le cas, ces transferts reposent sur une décision d’adéquation, le Data Privacy Framework pour les organismes américains couverts, les clauses contractuelles types de la Commission européenne et/ou des garanties complémentaires prévues par les prestataires.
Article 7 Proctoring et données d’examen
Pour certains examens authentifiés ou surveillés, LearnGdP peut traiter des données supplémentaires afin de vérifier l’identité du candidat, contrôler les conditions de passage et permettre l’examen d’un incident. Le dispositif est développé par LearnGdP et hébergé chez OVHcloud.
Selon la configuration de l’examen, des points de contrôle peuvent comprendre une image de webcam, une capture d’écran et un extrait ou enregistrement audio. L’accès est limité aux personnes habilitées à assurer ou contrôler la surveillance.
Article 8 Cookies, stockage local et JavaScript
La plateforme Sumac nécessite JavaScript et utilise des traceurs techniques indispensables à son fonctionnement. L’inventaire actuellement observé sur le learner dashboard comprend notamment :
| Traceur | Finalité | Durée observée |
|---|---|---|
| csrftoken | Protection des formulaires contre les attaques CSRF | environ 12 mois |
| sessionid | Gestion et maintien de la session authentifiée | environ 2 semaines |
Ces traceurs sont nécessaires à la fourniture du service demandé et leur blocage peut empêcher la connexion ou le fonctionnement de la plateforme. Ils ne nécessitent pas de consentement préalable lorsqu’ils restent strictement nécessaires. La désactivation de JavaScript peut également rendre tout ou partie de la plateforme inutilisable.
Article 9 Durées de conservation
Les données ne sont conservées que pendant la durée nécessaire à leur finalité, puis supprimées, anonymisées ou archivées lorsque leur conservation demeure nécessaire pour une obligation légale, la défense de droits ou la conservation légitime de l’historique pédagogique.
Tableau de référence destiné à la Politique de confidentialité LearnGdP.
| Données stockées | Finalités | Durée de conservation |
|---|---|---|
| Compte utilisateur actif | Création et gestion du compte, authentification, accès à la plateforme et aux formations | Pendant l'utilisation du compte |
| Compte utilisateur inactif | Permettre une reprise d'activité et préserver temporairement l'accès aux parcours | Réexamen après 2 ans d'inactivité ; suppression ou anonymisation des données qui ne sont plus nécessaires |
| Inscriptions aux formations | Gestion des inscriptions, accès aux cours et historique des parcours | Pendant la formation puis 3 ans après la dernière activité, sauf données soumises à une durée spécifique |
| Progression et activité pédagogique détaillée | Suivi de l'avancement, accompagnement, tableaux de bord et continuité pédagogique | Pendant la formation puis 3 ans après la dernière activité ; suppression ou anonymisation au-delà lorsque les données détaillées ne sont plus nécessaires |
| Résultats consolidés et notes globales | Établissement des résultats, suivi des acquis et attribution des reconnaissances | Pendant le parcours puis selon la durée nécessaire aux reconnaissances auxquelles ils se rapportent ; à défaut 3 ans après la dernière activité |
| Livrables et productions des apprenants | Évaluation, accompagnement pédagogique et suivi des réalisations | Pendant le parcours puis 3 ans après la fin du parcours, sauf nécessité particulière ou anonymisation |
| Badges | Reconnaissance de la validation d'une étape du parcours | Pendant la durée de validité du badge, lorsqu'elle existe ; à défaut, tant que sa mise à disposition reste pertinente |
| Attestations de réussite | Délivrance, mise à disposition et vérification de l'authenticité | Pendant la durée de validité de l'attestation |
| Certificats | Délivrance, mise à disposition et vérification de l'authenticité | Pendant la durée de validité du certificat |
| Données nécessaires à la vérification d'une attestation ou d'un certificat | Vérification de l'authenticité et prévention des utilisations frauduleuses | Pendant la durée de validité du document concerné |
| Commandes et paiements | Gestion des achats, paiements, remboursements et réclamations | Pendant la relation commerciale puis archivage selon les obligations légales et délais de prescription applicables |
| Factures et pièces comptables | Comptabilité et respect des obligations fiscales et comptables | 10 ans |
| Données Brevo | Envoi des messages de service, informations, relances et communications liées à la progression | Pendant la formation ou la relation avec LearnGdP puis 3 ans maximum après la dernière relation pertinente, sous réserve des droits d'opposition applicables |
| Tickets et échanges Zendesk | Assistance, résolution des difficultés et suivi des incidents | Pendant le traitement puis 3 ans après la clôture, sauf nécessité particulière |
| Logs techniques | Sécurité, maintenance, diagnostic et analyse des incidents | En principe 12 mois maximum ; conservation spécifique possible lorsqu'un incident le justifie |
| Traces détaillées d'activité pédagogique | Analyse des parcours, amélioration pédagogique et production d'indicateurs | Sous forme identifiable pendant 3 ans après la dernière activité ; conservation plus longue possible après anonymisation effective |
| Captures webcam, écran et enregistrements du proctoring | Surveillance des examens, contrôle de leur déroulement et traitement des incidents | 3 mois après l'examen, pouvant être prolongés jusqu'à 6 mois en cas d'incident ou de contestation |
| Données techniques du proctoring | Identification de la session, horodatage, fonctionnement et traçabilité de l'examen | 6 mois, sauf informations nécessaires au résultat ou à la gestion d'un incident |
| Copies éventuelles de pièces d'identité | Vérification de l'identité lors d'un examen authentifié | Temps strictement nécessaire à la vérification puis suppression au plus tard après 1 mois, sauf litige ou obligation particulière |
| Données relatives aux bourses et exonérations | Instruction et gestion des aides et exonérations | Pendant leur gestion puis 3 ans, sous réserve des obligations comptables éventuellement applicables |
| Données des apprenants bénéficiant d'une licence établissement ou entreprise | Gestion de la licence, inscription, suivi de cohorte et tableaux de bord du partenaire | Base active jusqu'à 18 mois à compter du début de la période concernée, puis archivage intermédiaire jusqu'à 3 ans |
| Tableaux de bord partenaires | Suivi pédagogique des cohortes et exécution de la convention avec l'établissement ou l'entreprise | Disponibles opérationnellement pendant 18 mois, puis archivage jusqu'à 3 ans si nécessaire au suivi de la convention |
| Données utilisées pour la recherche | Recherche scientifique, analyse des apprentissages et amélioration des dispositifs | Selon le protocole du projet ; anonymisation privilégiée pour toute conservation de longue durée |
| Données historiques Juniper | Continuité des parcours, migration, historique et maintien des reconnaissances délivrées | Suppression ou anonymisation progressive selon la nature des données ; les attestations et certificats suivent leur durée de validité respective |
| Attestations et certificats Juniper | Maintien de l'accès aux reconnaissances historiques et vérification de leur authenticité | Pendant leur durée de validité respective |
Article 10 Recherche et statistiques
Les données de formation peuvent être utilisées pour produire des statistiques, comprendre les parcours et améliorer les formations. Lorsque des données sont mises à disposition de chercheurs extérieurs au besoin opérationnel direct, LearnGdP privilégie l’anonymisation ou, lorsque l’anonymisation n’est pas possible, un cadre documenté précisant les finalités, données, destinataires et garanties.
À des fins de recherche :
Les données recueillies seront également utilisées par l’équipe de recherche de Rémi Bachelet à l’École Centrale de Lille, incluant des collaborateurs issus d’autres universités, notamment Sorbonne Université (François Bouchet), Université Lumière Lyon 2 (Rawad Chaker), Université de Lille (Jean Heutte)…. à des fins de recherche sur la base de données anonymisées. Il s’agit d’analyser les cours suivis, les exercices, chapitres complétés, parcours et projets. Ces données pourront être utilisées pour divers aspects :
recueillir les expériences utilisateurs et en suivre la progression ;
mettre en place un suivi et des statistiques de votre motivation (mesure de l’attrition) ;
utilisation de données agrégées d’une cohorte pour prédire la performance d’étudiants dans une session suivante ;
analyser les interactions entre apprenants pour identifier des liens avec la performance ;
identifier des corrélations entre la réussite et les réponses à certaines questions des questionnaires recherche dans le but de soutenir davantage les futurs apprenants.
Ces analyses ne seront jamais utilisées pour affecter négativement la note d’apprenants, passés ou futurs, ou pour effectuer une discrimination en fonction des profils d’apprenants pouvant être créés ou déduits.
Article 11 Sécurité
LearnGdP met en œuvre des mesures techniques et organisationnelles adaptées au risque : contrôle des habilitations, authentification, journalisation, sauvegardes, séparation des environnements, chiffrement lorsque disponible et limitation des données transmises aux prestataires.
Article 12 Vos droits
Dans les conditions prévues par le RGPD, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de certains traitements et, lorsque les conditions sont réunies, exercer votre droit d’opposition ou à la portabilité. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer pour l’avenir.
Une demande peut être adressée à LearnGdP SAS, 679 Avenue de la République, 59800 Lille, France, ou à l’adresse électronique indiquée ci-dessous. Une preuve d’identité ne sera demandée que lorsque cela est nécessaire pour vérifier l’identité du demandeur.
Vous disposez également du droit d’introduire une réclamation auprès du médiateur de la consommation ou auprès de la Commission nationale de l’informatique et des libertés (CNIL).
Article 13 Suppression du compte
La suppression d’un compte n’entraîne pas nécessairement l’effacement immédiat de toutes les données. Certaines informations peuvent devoir être conservées en archive lorsqu’elles sont nécessaires au respect d’une obligation légale, à la comptabilité, à la gestion d’un document de reconnaissance déjà délivré, à la sécurité ou à la défense de droits.
Article 14 Évolution de la politique
La présente politique peut évoluer afin de refléter les changements de la plateforme, des services, des prestataires ou de la réglementation. La date de la version en vigueur est indiquée en tête du document.
Article 15 Contact
LearnGdP SAS – 679 Avenue de la République, 59800 Lille, France – téléphone : 03 74 09 54 79 – contact@learngdp.fr.
Article 16 Médiateur de la consommation
En cas de litige entre le client et l'entreprise, ceux-ci s'efforceront de trouver une solution amiable. À défaut d'accord amiable, le consommateur a la possibilité de saisir gratuitement le médiateur de la consommation dont relève le professionnel, à savoir CM2C, dont l'adresse est 49 Rue de Ponthieu, 75008 Paris et le site internet est https://www.cm2c.net/.