Ce que nous traitons,
pourquoi, et jusqu’à quand.

1.1 Responsable du traitement

SAS SOCIETE GENERALE DE TRANSITIONS (nom commercial *Hector Transitions*), 138 B Corniche des Oliviers, 06000 Nice, RCS Nice 100 815 406.

Contact pour toute question ou demande relative aux données : contact@hector-transitions.fr.

Aucun délégué à la protection des données n'est désigné.

a) Compte et authentification

Données : nom, adresse électronique, statut de vérification de l'adresse, mot de passe sous forme d'empreinte, rôle, activation de l'authentification à deux facteurs et ses secrets et codes de secours, jetons de session, adresse IP et agent utilisateur associés à chaque session, jetons de vérification et de réinitialisation, compteurs de limitation de débit.

Finalité : créer et sécuriser l'accès personnel à la plateforme. Base légale : exécution du contrat (article 6.1.b du RGPD) ; intérêt légitime pour la sécurisation des accès (article 6.1.f).

b) Inscription et parcours de formation

Données : référence publique d'apprenant, adresse électronique normalisée, inscriptions et leur statut, dates d'activation et d'achèvement, droits d'accès, activités d'apprentissage (leçon consultée, type d'activité, horodatage, données associées), état de progression (unités achevées, pourcentage), résultats d'évaluation, attestations délivrées et leur base de délivrance.

Finalité : dispenser l'action de formation, assurer le suivi pédagogique, évaluer et attester. Base légale : exécution du contrat (article 6.1.b) ; obligation légale pour la justification de la réalisation (article 6.1.c), l'article R. 6313-3 du code du travail imposant au dispensateur de justifier la réalisation de l'action par tout élément probant.

c) Commande et paiement

Données : commandes et lignes de commande, montant, devise, statut, référence de session de paiement, événements de notification du prestataire de paiement.

Finalité : traiter la commande, encaisser, tenir la comptabilité, gérer les remboursements et les litiges. Base légale : exécution du contrat (article 6.1.b) ; obligation légale comptable et fiscale (article 6.1.c).

Aucune donnée de carte bancaire n'est collectée, traitée ni conservée par Hector Transitions. Le paiement s'effectue sur une page hébergée par Stripe.

d) Courriers électroniques transactionnels

Données : référence d'utilisateur, type de message, clé d'idempotence, statut d'envoi et tentatives. L'adresse électronique n'est résolue qu'au moment de l'envoi et n'est pas stockée dans la base métier.

Finalité : notifier l'activation d'un accès, la vérification d'une adresse, la réinitialisation d'un mot de passe. Base légale : exécution du contrat (article 6.1.b).

e) Demandes et réclamations

Données : identité, coordonnées professionnelles, description du besoin, calendrier, informations d'adaptation communiquées volontairement.

Sécurité renforcée : le contenu de la demande est chiffré (AES-256-GCM) avant enregistrement. Le demandeur est identifié dans les traitements internes par une référence pseudonyme dérivée de son adresse par empreinte à clé. Les événements internes ne contiennent que des références techniques.

Finalité : comprendre la demande, y répondre, orienter le dossier, tracer le traitement des réclamations. Base légale : mesures précontractuelles et exécution du contrat (article 6.1.b) ; intérêt légitime pour le traitement des réclamations (article 6.1.f).

Déchiffrement pour répondre. Répondre suppose de lire la demande et de connaître l'adresse électronique de son auteur : la charge chiffrée est donc déchiffrée à deux moments, et à ces deux moments seulement — à l'ouverture du dossier par une personne habilitée dans la console d'administration, et au moment de l'envoi d'un message par le service d'acheminement. Chaque déchiffrement est inscrit dans un journal d'accès portant la référence de la demande, la finalité, l'auteur et l'horodatage. Aucune adresse électronique de demandeur n'est conservée en clair dans la file d'envoi : celle-ci ne porte que la référence de la demande.

Messages automatiques. La réception d'une demande déclenche deux messages : un accusé de réception adressé au demandeur, dont le texte est un gabarit fixe déterminé par le type de demande et annonçant un délai de réponse d'un jour ouvré, et une notification interne adressée aux adresses de l'organisme. Aucun de ces messages n'est composé librement. La réponse de fond, elle, est rédigée par une personne et envoyée depuis la console.

f) Assistance

Données : référence publique de dossier, demandeur, type, statut, priorité, échéance de traitement, date de clôture. Finalité : assurer l'assistance technique et pédagogique. Base légale : exécution du contrat (article 6.1.b), cette assistance étant une composante obligatoire de l'action de formation à distance en application de l'article D. 6313-3-1 du code du travail.

g) Journal d'audit et sécurité

Données : type d'événement, référence de l'acteur, référence du sujet, identifiant de corrélation, source, horodatages, données associées. Finalité : garantir la traçabilité des actions, détecter les anomalies, permettre la reconstitution en cas d'incident, et établir la preuve de la réalisation des actions. Base légale : intérêt légitime (article 6.1.f) ; obligation légale de justification de la réalisation (article 6.1.c).

1.3 Principe propre à la formation professionnelle

Conformément à l'article L. 6353-9 du code du travail, les informations demandées, sous quelque forme que ce soit, au candidat à une action de formation, au stagiaire ou à l'apprenti ne peuvent avoir comme finalité que d'apprécier son aptitude à suivre l'action de formation. Ces informations doivent présenter un lien direct et nécessaire avec la formation, et le candidat est tenu d'y répondre de bonne foi.

Hector Transitions ne collecte aucune donnée sans rapport direct avec l'inscription, le déroulement, l'évaluation ou le financement de la formation.

1.4 Absence de traceurs et de mesure d'audience

La plateforme n'utilise aucun outil de mesure d'audience, aucun traceur publicitaire et aucun cookie tiers.

Les seuls cookies déposés sont ceux strictement nécessaires au fonctionnement du service : le cookie de session émis lors de la connexion à un compte. Conformément à l'article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée, ces cookies sont exemptés de consentement préalable ; aucun bandeau de recueil du consentement n'est donc affiché.

Aucune donnée n'est transmise à un réseau social, à une régie publicitaire ni à un service d'analyse comportementale.

1.5 Destinataires et sous-traitants

Les données ne sont ni vendues, ni louées, ni communiquées à des tiers à des fins commerciales. Elles sont accessibles aux seules personnes habilitées d'Hector Transitions, et aux sous-traitants suivants :

1.6 Transferts hors de l'Union européenne

Tant que cet inventaire n'est pas établi, aucune affirmation d'absence de transfert hors Union européenne n'est portée dans cette politique.

1.7 Durées de conservation

À l'expiration de ces durées, les données sont supprimées ou anonymisées.

1.8 Sécurité

Les mesures suivantes sont mises en œuvre : chiffrement des échanges (HTTPS), authentification à deux facteurs, limitation du nombre de tentatives de connexion, chiffrement du contenu des demandes avant enregistrement, pseudonymisation du demandeur dans les traitements internes, journal d'audit immuable, analyse antivirus des fichiers, absence de stockage de données de carte bancaire, séparation entre la base d'identité et la base métier, contrôle de signature et anti-rejeu sur les notifications de paiement, sauvegardes automatiques avec vérification d'intégrité.

Deux limites connues, énoncées sans atténuation : les sauvegardes ne sont pas chiffrées, et aucune copie hors site n'est configurée à ce jour. Les deux sont ouvertes et doivent être corrigées avant tout traitement de données réelles d'apprenants.

1.9 Vos droits

Vous disposez, dans les conditions prévues par le RGPD, des droits d'accès (article 15), de rectification (article 16), d'effacement (article 17), de limitation (article 18), de portabilité (article 20) et d'opposition (article 21), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Ces droits s'exercent auprès de contact@hector-transitions.fr. Une vérification proportionnée de votre identité pourra être demandée. Une réponse vous est apportée dans un délai d'un mois, pouvant être prolongé de deux mois en cas de complexité.

Limite à connaître. Certaines données ne peuvent pas être effacées à la demande tant que subsiste une obligation légale de conservation — notamment les pièces comptables et les éléments justifiant la réalisation d'une action de formation.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

1.10 Modifications

Toute modification substantielle de la présente politique est portée à la connaissance des personnes concernées et la date de dernière mise à jour est indiquée en tête du document.

---

PARTIE JUSTIFICATIVE

---