Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme Evalearn est :

2. Données collectées

Dans le cadre de la fourniture du service Evalearn, EVAVEO collecte et traite les catégories de données suivantes :

2.1 Données d'identification et de compte

• Nom et prénom
• Adresse e-mail professionnelle
• Mot de passe (stocké sous forme hachée – bcrypt, jamais en clair)
• Photo de profil (optionnelle)
• Langue préférée
• Rôle au sein de l'organisation (apprenant, formateur, administrateur, etc.)

2.2 Données d'utilisation et de progression

• Cours consultés, leçons complétées, temps passé
• Scores aux quiz et exercices d'évaluation
• Badges et certificats obtenus
• Enregistrements audio produits dans le cadre d'exercices de prononciation (traités en temps réel, non conservés)
• Contenus de messagerie interne (messages échangés entre utilisateurs)
• Commentaires laissés sur les cours et leçons
• Soumissions aux modèles de travaux écrits (Job Templates)

2.3 Données de connexion et techniques

• Adresse IP et données de session
• Type et version du navigateur
• Journaux d'accès (logs serveur)
• Cookies de session (voir section 9)

2.4 Données de l'organisation

• Nom de l'entreprise cliente, domaine, secteur d'activité
• Logo et paramètres de personnalisation de l'interface
• Informations de facturation et d'abonnement (traitées via Stripe)

3. Finalités et bases légales du traitement

4. Destinataires des données

Les données personnelles sont accessibles aux catégories de destinataires suivantes :

• Personnel EVAVEO (équipes techniques, commerciales et support), dans la limite du nécessaire ;
• Administrateurs et managers de l'organisation cliente pour les données de leurs propres utilisateurs ;
• Formateurs pour les données de progression des apprenants de leurs groupes ;
• Sous-traitants techniques agissant pour le compte d'EVAVEO, liés par un accord de traitement des données (DPA) :

EVAVEO ne vend jamais les données personnelles de ses utilisateurs à des tiers à des fins commerciales.

5. Transferts hors Union Européenne

L'hébergement principal de la plateforme est assuré par Scaleway, dont les datacenters sont situés en France (UE). Le fournisseur d'IA Mistral AI traite les données au sein de l'Union européenne (France). Certains autres sous-traitants (AWS, Stripe, Google) peuvent traiter des données hors UE.

Dans ce cas, EVAVEO s'assure que ces transferts sont encadrés par des garanties appropriées : clauses contractuelles types (CCT) de la Commission européenne, ou certification sous un cadre d'adéquation reconnu par la Commission (ex. Data Privacy Framework UE-États-Unis).

6. Durée de conservation

Des purges automatiques sont exécutées régulièrement (tokens expirés, journaux techniques, comptes anonymisés hors période de facturation, organisations archivées après le délai d'export). Détail technique : documentation interne docs/DATA_RETENTION.md .

7. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15) — obtenir une copie de vos données personnelles traitées par EVAVEO. Les utilisateurs connectés peuvent télécharger un export JSON depuis la page Profil (« Exporter mes données ») ou via l'API GET /api/account/export.
• Droit de rectification (Art. 16) — corriger des données inexactes ou incomplètes. Vous pouvez modifier la plupart de vos informations directement dans votre profil.
• Droit à l'effacement (Art. 17) — demander la suppression de vos données, sous réserve des obligations légales de conservation. Les utilisateurs connectés peuvent l'exercer depuis la page Profil (« Supprimer mon compte ») : vos données personnelles sont alors anonymisées ; si une activité a été comptabilisée sur la période de facturation en cours, l'effacement est programmé à la prochaine échéance et l'accès au compte est immédiatement suspendu.
• Droit à la limitation du traitement (Art. 18) — demander la suspension temporaire du traitement de vos données.
• Droit à la portabilité (Art. 20) — recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (export JSON self-service depuis la page Profil).
• Droit d'opposition (Art. 21) — vous opposer au traitement fondé sur l'intérêt légitime d'EVAVEO.
• Droit de retrait du consentement — retirer votre consentement à tout moment pour les traitements qui y sont soumis, sans que cela ne porte atteinte à la licéité du traitement antérieur.

8. Sécurité des données

EVAVEO met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre toute perte, accès non autorisé, divulgation, altération ou destruction :

• Chiffrement des communications via HTTPS/TLS ;
• Mots de passe stockés sous forme hachée (algorithme bcrypt) ;
• Authentification sécurisée avec gestion des sessions (NextAuth.js) ;
• Accès aux données de production restreint au personnel habilité ;
• Sauvegardes quotidiennes automatisées de la base de données ;
• Infrastructure hébergée dans des datacenters certifiés en France.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, EVAVEO s'engage à notifier la CNIL dans les 72 heures et à en informer les personnes concernées dans les meilleurs délais, conformément à l'article 33 du RGPD.

9. Cookies

La plateforme Evalearn utilise exclusivement des cookies strictement nécessaires à son fonctionnement :

Aucun cookie publicitaire ou de traçage tiers n'est déposé. Ces cookies étant strictement nécessaires au fonctionnement du service, ils ne nécessitent pas de consentement préalable au sens de la directive ePrivacy.

10. Données relatives aux mineurs

La plateforme Evalearn est destinée exclusivement à un usage professionnel par des adultes (personnes majeures). EVAVEO ne collecte pas sciemment de données personnelles concernant des personnes de moins de 16 ans. Si une telle situation était portée à sa connaissance, EVAVEO supprimerait ces données dans les meilleurs délais.

11. Intelligence artificielle et données

Certaines fonctionnalités font appel à des services d'intelligence artificielle fournis par des sous-traitants listés à l'article 4 (Mistral AI, Google Gemini, Google Cloud). Dans ce cadre :

• Les contenus saisis pour la génération de cours ou de leçons, ainsi que les échanges des sessions conversationnelles pédagogiques (agents IA), peuvent être transmis à l'API Mistral AI ; le traitement est encadré par le DPA conclu avec Mistral AI SAS (UE) ;
• Les enregistrements audio des exercices de parole sont transmis à l'API Google Speech-to-Text pour transcription en temps réel et ne sont pas conservés par EVAVEO après traitement ; la synthèse vocale (Text-to-Speech) passe par Google Cloud ;
• Les échanges des sessions de roleplay, les contenus des modèles de travaux et les prompts de génération d'images peuvent être transmis à l'API Google Gemini, conformément à la politique de Google Cloud ;
• EVAVEO n'utilise pas vos données personnelles pour entraîner ses propres modèles d'IA et ne permet pas aux sous-traitants listés de les utiliser à cette fin en dehors de la fourniture du service (selon les conditions contractuelles de chaque fournisseur).

12. Modifications de la présente politique

EVAVEO se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour se conformer à l'évolution de la réglementation. Toute modification substantielle sera notifiée aux utilisateurs via la plateforme ou par e-mail au moins 15 jours avant son entrée en vigueur. La version en vigueur est toujours consultable à l'adresse /privacy .

13. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits sur vos données ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :

14. Contact – Délégué à la Protection des Données (DPO)

Pour toute question relative au traitement de vos données personnelles ou à l'exercice de vos droits, vous pouvez contacter EVAVEO :

En l'absence de DPO désigné formellement (EVAVEO n'étant pas soumis à l'obligation de désignation selon l'Art. 37 du RGPD), le contact ci-dessus est le point d'entrée pour toute demande relative aux données personnelles.