Politique de confidentialité

Article 1 — Responsable du traitement

Le responsable du traitement, c’est-à-dire l’entité qui détermine les finalités et les moyens des traitements décrits ci-après, est l’éditeur de la plateforme OctoFin, dont l’identité complète figure à l’article 1 des conditions générales.

À compléter avant mise en ligne : dénomination sociale, adresse du siège social et, le cas échéant, coordonnées du délégué à la protection des données. La désignation d’un délégué n’est pas obligatoire au vu de l’activité actuelle, mais si un délégué est désigné, ses coordonnées doivent figurer dans la présente politique et être communiquées à la CNIL.

Pour toute question, demande d’exercice de droits ou réclamation relative à vos données, vous pouvez nous écrire à support@octofin.io. Les utilisateurs disposant d’un compte peuvent également passer par l’espace de support intégré à la plateforme.

Article 2 — Nos principes

Les engagements ci-dessous ne sont pas des déclarations d’intention : ils décrivent la manière dont la plateforme est effectivement construite, et chacun peut être vérifié à la lecture des articles qui suivent.

• Minimisation. Nous ne collectons que les données nécessaires au fonctionnement du service. Aucune donnée n’est demandée « au cas où ».
• Aucune commercialisation. Nous ne vendons, ne louons ni n’échangeons vos données personnelles, à quelque titre et avec qui que ce soit.
• Aucun profilage publicitaire. Nous n’utilisons aucun traceur publicitaire, aucun pixel de réseau social et aucun outil de mesure d’audience comportementale.
• Aucun entraînement de modèles. Nous n’exploitons pas vos données pour entraîner des systèmes d’intelligence artificielle, et nous n’autorisons pas nos prestataires à le faire.
• Réversibilité. Vous pouvez supprimer votre compte et vos données directement depuis votre espace personnel, sans avoir à nous en faire la demande.

Article 3 — Origine des données

Les données que nous traitons proviennent de trois sources, et de trois seulement.

• Vous-même, lorsque vous créez votre compte, complétez votre profil, répondez à des questions, déposez un compte rendu, écrivez au support ou renseignez votre adresse sur une page de ressources.
• Votre usage du service, qui génère automatiquement des données de progression et des éléments techniques de connexion décrits aux articles 4 et 6.
• Des tiers, dans des cas limités : votre fournisseur d’identité si vous vous connectez via un compte externe, notre prestataire de paiement pour le statut d’une transaction, et un établissement partenaire lorsque celui-ci ouvre un accès en votre faveur.

Nous n’achetons aucun fichier, ne procédons à aucun enrichissement de données auprès de courtiers et ne collectons aucune information vous concernant sur des sources publiques ou des réseaux sociaux.

Article 4 — Données traitées, finalités et bases légales

Chaque traitement est présenté ci-dessous avec les catégories de données concernées, la finalité poursuivie et la base légale qui l’autorise au sens de l’article 6 du RGPD.

Article 5 — Assistant conversationnel et fournisseurs de modèles

La plateforme intègre un assistant fondé sur des modèles de langage exploités par des prestataires tiers. Ce fonctionnement implique que certaines données quittent nos serveurs : nous le détaillons ici afin que vous puissiez décider en connaissance de cause de l’utiliser ou non.

Article 6 — Protection des contenus et détection des usages anormaux

Nos contenus pédagogiques constituent l’objet même du service et représentent l’essentiel de sa valeur. Nous mettons donc en œuvre des mesures de protection qui impliquent le traitement de certaines données vous concernant. Nous les détaillons ici par souci de transparence, ces traitements étant rarement documentés ailleurs.

Article 7 — Paiement et facturation

Les paiements sont traités par un prestataire de services de paiement certifié au niveau 1 de la norme PCI-DSS, standard de sécurité de l’industrie des cartes de paiement.

Vos coordonnées bancaires sont saisies directement dans un environnement appartenant à ce prestataire. Elles ne transitent à aucun moment par nos serveurs, n’y sont jamais conservées, et nos équipes n’y ont matériellement jamais accès.

Ce que nous conservons : un identifiant technique vous rattachant au dossier client détenu par ce prestataire, l’historique des accès achetés, les montants correspondants et la date d’échéance de votre accès.

Base légale : exécution du contrat pour la gestion de votre accès, et respect d’une obligation légale s’agissant de la conservation des pièces comptables (art. 6.1.c), conformément à l’article L.123-22 du Code de commerce.

Article 8 — Ressources gratuites et prospection

Nos pages de ressources vous permettent d’accéder à des documents téléchargeables en contrepartie de la communication de votre adresse électronique.

• Données collectées : votre adresse électronique et la page depuis laquelle la demande a été formulée, cette dernière nous permettant de savoir quelles ressources suscitent le plus d’intérêt.
• Finalité : vous transmettre les ressources demandées et, le cas échéant, vous adresser des communications relatives à nos offres et à nos nouveaux contenus.
• Base légale : votre consentement (art. 6.1.a), recueilli au moment où vous renseignez votre adresse, après information sur l’usage qui en sera fait.
• Retrait du consentement : vous pouvez le retirer à tout moment, soit par le lien de désinscription figurant dans chacun de nos envois, soit en nous écrivant. Le retrait est sans effet sur la licéité des traitements effectués avant celui-ci.

Nous ne transmettons jamais ces adresses à des tiers à des fins de prospection, et ne les intégrons à aucune base commercialisée.

Article 9 — Comptes ouverts par un établissement

Lorsque votre accès est ouvert dans le cadre d’une convention conclue entre l’éditeur et une école, une université ou une association, cet établissement peut avoir connaissance du rattachement de votre compte à sa licence, de la date d’activation de cet accès et de son statut.

Nous ne communiquons pas à l’établissement le détail de votre activité pédagogique — ni vos réponses, ni vos scores, ni vos indices de maîtrise, ni vos notes personnelles, ni vos comptes rendus d’entretiens — sauf disposition contraire expressément portée à votre connaissance avant l’ouverture de votre accès.

Dans le cadre de ces conventions, l’éditeur et l’établissement déterminent contractuellement leurs rôles respectifs au regard du RGPD. L’établissement demeure responsable des traitements qu’il opère de son côté, notamment la constitution de la liste de ses membres bénéficiaires.

Article 10 — Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes habilitées de l’éditeur, dans la limite stricte de leurs attributions et selon un principe de moindre privilège, ainsi qu’aux sous-traitants énumérés ci-dessous. Chacun d’eux est lié par un contrat conforme à l’article 28 du RGPD, ne traite les données que sur instruction documentée de l’éditeur et présente des garanties suffisantes en matière de sécurité.

• Hébergement applicatif — mise à disposition du service sur internet et exécution du code de la plateforme.
• Base de données, authentification et stockage de fichiers — conservation de l’ensemble des données du service et gestion des sessions authentifiées.
• Prestataire de services de paiement — traitement des transactions et conservation des moyens de paiement.
• Fournisseurs de modèles de langage — génération des réponses de l’assistant conversationnel (voir l’article 5).
• Service d’acheminement d’e-mails — envoi des messages transactionnels et, le cas échéant, des communications auxquelles vous avez consenti.

À compléter avant mise en ligne : remplacer chaque catégorie ci-dessus par la dénomination commerciale exacte du prestataire retenu, et tenir cette liste à jour. La CNIL recommande de nommer les sous-traitants plutôt que de les désigner par leur seule catégorie, afin que la personne concernée puisse exercer un contrôle effectif.

Nos sous-traitants peuvent eux-mêmes recourir à des sous-traitants ultérieurs, sous réserve de notre autorisation et du maintien du même niveau d’obligations. En dehors des cas énumérés ci-dessus, vos données ne sont communiquées à des tiers que sur réquisition d’une autorité judiciaire ou administrative habilitée, et dans les limites de cette réquisition.

Article 11 — Transferts hors Union européenne

Certains de nos sous-traitants, notamment les fournisseurs de modèles de langage, sont susceptibles de traiter des données en dehors de l’Union européenne. Lorsque de tels transferts ont lieu, ils sont encadrés par les garanties appropriées prévues au chapitre V du RGPD : décision d’adéquation de la Commission européenne reconnaissant un niveau de protection substantiellement équivalent, ou clauses contractuelles types adoptées par la Commission, assorties le cas échéant de mesures supplémentaires.

À compléter avant mise en ligne : préciser, pour chaque sous-traitant, la localisation effective de l’hébergement et le mécanisme de transfert applicable. La mention « centres de données situés dans l’Union européenne » qui figurait dans la version antérieure de cette politique doit être vérifiée région par région avant d’être réaffirmée, faute de quoi elle constituerait une information inexacte au sens de l’article 13 du RGPD.

Vous pouvez obtenir une copie des garanties mises en place en nous en faisant la demande.

Article 12 — Durées de conservation

Nous ne conservons vos données que le temps nécessaire aux finalités pour lesquelles elles ont été collectées, augmenté le cas échéant des durées imposées par la loi.

• Compte et progression pédagogique — pendant toute la vie du compte, puis effacement lors de sa suppression.
• Données techniques de connexion (article 6.1) — douze (12) mois, puis purge automatique par une tâche planifiée quotidienne.
• Relevé des tentatives de captation (article 6.2) — douze (12) mois.
• Conversations avec l’assistant — pendant la vie du compte, effacées lors de sa suppression.
• Adresses collectées sur les pages de ressources — trois (3) ans à compter du dernier contact que vous avez eu avec nous, conformément à la recommandation de la CNIL en matière de prospection.
• Messages adressés au support — trois (3) ans à compter de la clôture de la demande, afin de pouvoir retracer un échange en cas de réclamation ultérieure.
• Pièces comptables liées aux achats — dix (10) ans, en application de l’article L.123-22 du Code de commerce. Cette obligation légale survit à la suppression du compte : les données concernées sont alors isolées et ne servent plus qu’à satisfaire cette obligation.

Article 13 — Cookies et traceurs

Nous n’utilisons que des cookies strictement nécessaires à la fourniture du service que vous demandez : maintien de votre session authentifiée d’une page à l’autre, mémorisation de préférences d’affichage telles que le thème clair ou sombre, et protection contre certaines attaques.

Ces cookies sont dispensés de recueil préalable du consentement en application du 2° du II de l’article 82 de la loi Informatique et Libertés, qui exempte les traceurs ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, ou strictement nécessaires à la fourniture d’un service expressément demandé.

Nous n’employons aucun cookie publicitaire, aucun traceur de réseau social, aucun pixel de suivi et aucun outil de mesure d’audience comportementale. Si cela devait changer, un bandeau de recueil du consentement serait mis en place avant tout dépôt, et la présente politique serait mise à jour en conséquence.

Article 14 — Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque, conformément à l’article 32 du RGPD. Sans en dévoiler le détail, qui affaiblirait leur efficacité, ces mesures comprennent notamment :

• le chiffrement systématique des échanges entre votre navigateur et nos serveurs, avec activation du mécanisme de sécurité de transport strict ;
• un cloisonnement des accès appliqué au niveau de la base de données elle-même, de sorte qu’une requête ne puisse jamais retourner que les données auxquelles son auteur a droit ;
• la conservation des mots de passe sous forme de condensats salés, calculés par un algorithme dédié à cet usage ;
• une politique de mot de passe imposant une longueur minimale et écartant les mots de passe figurant dans des corpus compromis ;
• la limitation du nombre de tentatives de connexion et de requêtes, afin de contenir les attaques automatisées ;
• la journalisation des accès d’administration et la limitation stricte des habilitations ;
• la séparation des environnements et la revue régulière du code au regard des référentiels de sécurité applicables.

Article 15 — Violations de données

Aucun système d’information n’étant infaillible, nous avons défini une procédure de traitement des violations de données. En cas de violation susceptible d’engendrer un risque pour vos droits et libertés, nous la notifierons à la CNIL dans les meilleurs délais et, si possible, dans un délai de soixante-douze (72) heures après en avoir pris connaissance, conformément à l’article 33 du RGPD.

Lorsque la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, nous vous en informerons également dans les meilleurs délais, en des termes clairs, conformément à l’article 34 du RGPD : nature de la violation, conséquences probables, mesures prises et recommandations pour en atténuer les effets.

Article 16 — Vos droits et leur exercice

Vous disposez, dans les conditions et limites prévues par le RGPD, des droits suivants sur les données qui vous concernent.

• Droit d’accès — obtenir la confirmation que des données vous concernant sont traitées et, le cas échéant, en recevoir une copie.
• Droit de rectification — faire corriger des données inexactes ou compléter des données incomplètes.
• Droit à l’effacement — obtenir la suppression de vos données, sous réserve des obligations légales de conservation mentionnées à l’article 12.
• Droit à la limitation — obtenir le gel temporaire d’un traitement, notamment le temps que nous vérifiions l’exactitude de données contestées.
• Droit à la portabilité — recevoir dans un format structuré, couramment utilisé et lisible par machine les données que vous nous avez fournies.
• Droit d’opposition — vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime, notamment ceux décrits à l’article 6.
• Droit de retirer votre consentement — à tout moment, pour les traitements qui en dépendent, sans que ce retrait n’affecte la licéité de ce qui a été fait avant.

Article 17 — Mineurs

Le service s’adresse à un public étudiant, majoritairement majeur. Conformément à l’article 45 de la loi Informatique et Libertés, un mineur de moins de quinze (15) ans ne peut consentir seul au traitement de ses données à caractère personnel : l’inscription requiert alors le consentement conjoint du mineur et du titulaire de l’autorité parentale.

S’il apparaissait qu’un compte a été créé par un mineur de moins de quinze ans sans cet accord, nous procéderions à sa suppression et à l’effacement des données associées dans les meilleurs délais après en avoir été informés.

Article 18 — Sort des données après le décès

Conformément à l’article 85 de la loi Informatique et Libertés, vous pouvez définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès. Ces directives peuvent être générales, auprès d’un tiers de confiance certifié, ou particulières, en nous les adressant directement.

À défaut de directives, vos héritiers peuvent nous demander la clôture de votre compte et l’effacement de vos données, sur justification de leur qualité.

Article 19 — Modification de la présente politique

Nous pouvons faire évoluer cette politique, notamment pour tenir compte de nouveaux traitements, d’un changement de prestataire ou d’une évolution du cadre légal. La date de dernière mise à jour figure en tête de page.

En cas de modification substantielle — nouvelle finalité, nouveau destinataire, nouvelle base légale — nous vous en informons par tout moyen approprié avant son entrée en vigueur, et recueillons votre consentement lorsque celui-ci est requis.