Politique de confidentialité
Xam4All, une solution BarroTech, traite deux catégories de données, qui ne relèvent pas du même responsable : celles que BarroTech traite pour son propre compte, et celles qu’elle traite pour le compte d’une organisation cliente qui forme ses membres.
1. Données traitées par BarroTech pour son propre compte
BarroTech (SASU (société par actions simplifiée unipersonnelle), 47 rue Vivienne, 75002 Paris) est responsable du traitement des données suivantes :
- Compte : nom, adresse email, mot de passe (jamais conservé en clair : seule une empreinte calculée par Supabase Auth est enregistrée), facteur de double authentification, codes de secours (conservés uniquement en empreinte). Base légale : exécution des conditions d’utilisation.
- Préférences : langue, thème et couleur d’affichage, langue audio et sous-titres du lecteur. Base légale : exécution des conditions d’utilisation.
- Historique de formation : position de lecture de chaque leçon, leçons terminées, tentatives de quiz (réponses, score, seuil, date), modules validés. Il reste attaché au compte, y compris si la personne quitte son organisation. Base légale : exécution des conditions d’utilisation.
- Attestations de réussite, délivrées à la demande de la personne quand un parcours est terminé : nom tel qu’il figure alors sur le compte, parcours, modules validés, scores, dates et code de vérification. Toute personne qui dispose du code ou du lien peut consulter l’attestation, sans compte ; la page n’affiche pas l’adresse email, et elle n’est pas indexée par les moteurs de recherche. Elle n’affiche l’organisation que pour le membre d’une organisation sur devis qui a déposé son logo : son nom et son logo y figurent alors, figés à la délivrance, et la personne en est informée avant de demander son attestation. L’administrateur de l’organisation de la personne peut la consulter. Base légale : exécution des conditions d’utilisation.
- Appareils et session unique : identifiant aléatoire déposé dans un cookie, que la base ne conserve que sous forme d’empreinte à clé secrète (HMAC) ; libellé du navigateur et du système (par exemple « Chrome · macOS »), sans version précise ; dates de première et de dernière connexion et nombre de connexions ; empreinte à clé secrète de la dernière adresse IP. Lorsqu’une connexion ferme une autre session, le motif est enregistré pour l’expliquer à l’appareil déconnecté. Base légale : intérêt légitime à sécuriser les comptes et à faire respecter le caractère nominatif des licences.
- Alertes de sécurité : 11e appareil refusé, ou trois nouveaux appareils en 7 jours (libellé de l’appareil, date). Base légale : intérêt légitime à sécuriser les comptes.
- Journal d’audit : actions sensibles (connexions, échecs, changements de rôle, achats, acceptation des conditions de vente), auteur, date, empreinte de l’adresse IP et identification du navigateur. Base légale : intérêt légitime à prévenir et détecter les accès frauduleux.
- Limitation des tentatives : compteurs d’échecs ou d’envois associés à l’adresse IP, à l’adresse email ou au compte, enregistrés uniquement sous forme d’empreinte à clé secrète (jamais en clair) et effacés automatiquement. Base légale : intérêt légitime à protéger le service contre les abus.
- Filigrane des vidéos : une partie de l’adresse email et un identifiant du compte s’affichent sur la vidéo en cours de lecture. Rien n’est enregistré à cette occasion. Base légale : intérêt légitime à protéger les contenus.
- Facturation des organisations : nom de l’organisation, adresse email de l’acheteur, identifiants Stripe du client et de l’abonnement, statut, nombre de licences, échéance. L’adresse de facturation, le numéro de TVA et la carte sont saisis chez Stripe : Xam4All ne reçoit aucune donnée de carte. Base légale : exécution du contrat et obligations comptables.
- Demandes d’offre entreprise (depuis un compte connecté) : organisation, nom, adresse email, téléphone facultatif, nombre d’utilisateurs, message. Enregistrées, puis signalées par email à l’équipe ; un accusé de réception est envoyé au demandeur. Base légale : mesures précontractuelles prises à sa demande.
- Formulaire « Former vos équipes » (page d’accueil, sans compte) : organisation, nom, adresse email, téléphone facultatif, nombre de personnes, type de structure, message. Le message est envoyé par email à l’équipe ; rien n’est enregistré en base, hormis le compteur anti-abus et une ligne de journal sans coordonnées (type de structure, nombre de personnes). Une vérification anti-robot (case « Je ne suis pas un robot ») est calculée par votre navigateur : elle ne dépose aucun cookie, ne fait appel à aucun service tiers, et seule une empreinte de la vérification est gardée deux jours au plus, pour qu’elle ne serve qu’une fois. Base légale : mesures précontractuelles prises à la demande de la personne.
- Mesure d’audience, sans cookie : à chaque page vue, la page consultée (sans ses paramètres ni ses identifiants), le site d’où vient la visite (son nom de domaine seulement), les paramètres de campagne éventuels, le pays déduit de l’adresse IP, le type d’appareil, le navigateur et le système (sans version) et la langue. Le visiteur n’est désigné que par un condensat calculé avec une valeur aléatoire renouvelée chaque jour puis effacée : l’adresse IP n’est pas conservée, et ces statistiques ne permettent ni de relier deux journées ni de retrouver une personne. Elles servent uniquement à mesurer la fréquentation du service et ne sont pas croisées avec les comptes. Les robots et les pages de l’équipe ne sont pas comptés. Base légale : intérêt légitime à mesurer l’audience du service. Vous pouvez vous y opposer à tout moment depuis la page cookies.
Les emails nécessaires au service (confirmation d’adresse, mot de passe oublié, invitations, alertes, accusés de réception) sont envoyés à l’adresse du compte. Aucune donnée n’est vendue, ni utilisée à des fins publicitaires ou de prospection, ni pour entraîner des modèles d’intelligence artificielle.
2. Données traitées pour le compte de votre organisation
Lorsque vous rejoignez une organisation cliente sur invitation, elle est responsable du traitement du suivi de votre formation : rattachement et rôle, profil d’apprentissage, modules ajoutés ou retirés, objectifs et tableau de bord. BarroTech agit alors en tant que sous-traitant au sens de l’article 28 du RGPD, uniquement sur ses instructions, dans le cadre de l’accord de traitement des données.
L’administrateur de votre organisation voit :
- vos nom, adresse email, rôle, statut et profil d’apprentissage ;
- votre progression : modules prévus et validés, leçons terminées, nombre de tentatives et meilleur score par module, score moyen, date de dernière activité, objectifs atteints ou en retard ;
- vos appareils des 12 derniers mois : leur nombre et, pour chacun, le navigateur et le système, les dates de première et de dernière connexion et le nombre de connexions ;
- les alertes de sécurité vous concernant ;
- un export CSV de la liste des membres, qui reprend ces informations.
Il ne voit ni vos réponses aux quiz, ni vos mots de passe et codes, ni les empreintes d’adresse IP. Pour exercer vos droits sur les données de suivi, adressez-vous d’abord à votre organisation ; BarroTech l’assiste dans le traitement de votre demande.
3. Destinataires et sous-traitants
Les données sont accessibles aux seules personnes habilitées de BarroTech, pour le fonctionnement, la sécurité et le support du service, et, pour les membres d’une organisation, à ses administrateurs dans les limites décrites ci-dessus. Les prestataires techniques sont listés sur la page sous-traitants, avec leur localisation et les garanties applicables.
Transferts hors de l’Union européenne : la base de données est hébergée en France (Paris) et l’application est exécutée en région Paris, mais Vercel, qui l’exécute, et Cloudflare, qui stocke et diffuse les vidéos, sont des sociétés américaines. Lors de la lecture d’une vidéo, votre navigateur se connecte directement à Cloudflare, qui reçoit votre adresse IP et des informations techniques sur le navigateur. Des données peuvent donc être traitées aux États-Unis. Ces transferts sont encadrés par la certification de ces prestataires au cadre de protection des données UE-États-Unis (Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne. Ce cadre réduit le risque sans le supprimer : nous préférons le dire clairement.
4. Durées de conservation
| Données | Durée |
|---|---|
| Compte, préférences, historique de formation | Tant que le compte existe. Supprimés sur demande, ou après 3 ans sans connexion, après un préavis de 30 jours envoyé par email. |
| Attestations de réussite | Tant que le compte existe ; supprimées avec lui. |
| Compte dont l’adresse n’a jamais été confirmée | 7 jours après sa création, puis supprimé. |
| Appareils | 12 mois après la dernière connexion depuis l’appareil, puis supprimés. Effacés plus tôt en cas de réinitialisation par l’administrateur. |
| Motif de fermeture d’une session | 30 jours, puis supprimé. |
| Alertes de sécurité | 12 mois, puis supprimées. |
| Journal d’audit | 12 mois, puis supprimé. |
| Compteurs anti-abus | Effacés automatiquement au-delà de 24 heures. |
| Mesure d’audience | 13 mois, puis supprimée automatiquement. La valeur aléatoire du jour est effacée le lendemain. |
| Données de suivi d’une organisation (rattachement, profils, objectifs, invitations) | Durée des licences, puis 90 jours ; supprimées après un préavis de 15 jours à l’administrateur (accord de traitement, article 11). |
| Facturation (factures, identifiants et historique d’abonnement) | 10 ans, au titre des obligations comptables (article L123-22 du Code de commerce). |
| Demandes d’offre entreprise | 3 ans après le dernier échange, puis supprimées. |
| Messages du formulaire « Former vos équipes » | 3 ans après le dernier échange, dans la messagerie de l’équipe, puis supprimés. |
5. Sécurité
Double authentification obligatoire pour tous les comptes ; une seule session active ; cloisonnement entre organisations appliqué par la base de données elle-même, sur chaque table ; le navigateur ne communique jamais directement avec la base ; cookies de session inaccessibles aux scripts de la page ; chiffrement des échanges (HTTPS) ; identifiants d’appareil et adresses IP conservés en empreinte à clé secrète ; vidéos privées, lues par des liens temporaires d’une heure ; journal d’audit ; sauvegardes quotidiennes de la base. Aucune mesure ne garantit une sécurité absolue ; en cas de violation de données, l’organisation cliente concernée et, le cas échéant, la CNIL et les personnes concernées sont informées dans les conditions prévues par le RGPD.
6. Vos droits et réclamation
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Vous pouvez modifier votre nom et vos préférences depuis votre compte. Pour toute autre demande, notamment la suppression du compte, écrivez à contact@xam4all.com. Délégué à la protection des données : Aucun délégué à la protection des données n’a été désigné : les traitements réalisés ne relèvent d’aucun des cas où la désignation est obligatoire au titre de l’article 37 du RGPD. Les demandes sont traitées directement par le président de la société.
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).
7. Cookies
Voir la page cookies.