Politique de Confidentialité — Plateforme ESA Insider

1.1 Objet

La présente Politique de Confidentialité a pour objet d'informer les Utilisateurs de la Plateforme ESA Insider, ainsi que les Représentants légaux des Clients mineurs, des modalités de collecte et de traitement de leurs données à caractère personnel, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n°78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».

1.2 Responsable de traitement

Le responsable du traitement des données à caractère personnel décrites dans la présente Politique est :

Vachon Lifestyle Development Consultancy F.Z.E, Free Zone Establishment de droit émirien, immatriculée auprès de la Ajman Free Zone Authority (AFZA) sous le numéro 57341, siège social : Office C1-1F-SF8569, Ajman Free Zone C1 Building, Ajman Free Zone, Émirats Arabes Unis, représentée par M. Maxence VACHON.

Contact : admin@esainsider.com

1.3 Champ d'application

La présente Politique s'applique à l'ensemble des traitements de données mis en œuvre dans le cadre de l'utilisation de la Plateforme et de l'exécution du Contrat d'Accompagnement. Elle complète, sans s'y substituer, les dispositions relatives aux données personnelles figurant à l'article 10 du Contrat d'Accompagnement et à l'article 11 des Conditions Générales d'Utilisation, ces dernières précisant qu'en cas de divergence sur un point de détail, la présente Politique prévaut en tant que document dédié destiné à refléter fidèlement la réalité du traitement.

1.4 Personnes concernées

La présente Politique concerne :

• le Client, tel que défini par les CGU ;
• le Représentant légal du Client lorsque celui-ci est mineur, en sa qualité de cosignataire du Contrat d'Accompagnement et de personne habilitée à consulter le Compte de son enfant.

2.1 Données relatives au Client

• Identité et contact : nom, prénom, adresse email, et le cas échéant numéro de téléphone.
• Données d'onboarding : niveau scolaire, choix des deux matières scientifiques.
• Données de compte : identifiants de connexion (email, mot de passe stocké de façon sécurisée).
• Données du Tracker : pour chaque élément proposé, un état parmi trois — fait, à moitié fait, ou non fait — renseigné volontairement par le Client.
• Données de progression et de suivi : cours visionnés et dates de complétion, échéances de la Méthode des J, temps passé sur la Plateforme ventilé par matière, chapitre, cours et exercice.
• Données d'assiduité : taux de présence aux Visios collectives, absences justifiées et leur motif.
• Vidéo de travail hebdomadaire soumise par le Client à son Intervenant.
• Résultat aux étapes du concours (admissibilité, admission), communiqué par le Client aux fins de vérification des conditions de la garantie de résultat prévue par le Contrat d'Accompagnement.
• Enregistrements de Visios collectives, dans les conditions de l'article 7 bis du Contrat d'Accompagnement et de l'Article 10 des CGU.
• Témoignage vidéo, en cas d'admission au concours, sur la base du consentement distinct du Client prévu à l'article 7 bis du Contrat d'Accompagnement.
• Données de connexion techniques strictement nécessaires à l'authentification et au maintien de la session, conformément à l'Article 11.4 des CGU (aucune donnée de mesure d'audience).

2.2 Données relatives au Représentant légal

Identité et contact (nom, prénom, adresse email et/ou téléphone), renseignés à la signature du Contrat d'Accompagnement.

2.3 Données de paiement

Aucune donnée de paiement n'est collectée, transmise ou conservée par la Plateforme. Le règlement des échéances prévues par le Contrat d'Accompagnement s'effectue intégralement en dehors de la Plateforme.

2.4 Absence de données sensibles

Conformément à l'article 13 du Contrat d'Accompagnement, les données renseignées par le Client via le Tracker sont de nature purement déclarative et ne comportent aucune donnée de santé, de localisation précise, financière ou intime au sens des articles 9 et 10 du RGPD.

3.1 Exécution du Contrat d'Accompagnement (art. 6.1.b RGPD)

Sur ce fondement sont traitées : les données d'identité et de contact du Client et du Représentant légal, les données d'onboarding, les données de compte, les données du Tracker, les données de progression et de suivi, les données d'assiduité, la vidéo de travail hebdomadaire, et les résultats communiqués aux étapes du concours (aux fins de vérification des conditions de la garantie de résultat).

Ces données sont nécessaires à la fourniture de l'accompagnement et à l'exécution des obligations réciproques prévues par le Contrat d'Accompagnement. À défaut, l'accompagnement ne peut être assuré.

3.2 Intérêt légitime — Enregistrement et diffusion des Visios collectives (art. 6.1.f RGPD)

L'enregistrement des Visios collectives et la diffusion d'extraits à des fins pédagogiques et promotionnelles, dans les conditions de l'article 7 bis du Contrat d'Accompagnement, reposent sur l'intérêt légitime de l'Éditeur à documenter son activité pédagogique et à assurer sa communication. Le Client (et son Représentant légal s'il est mineur) dispose d'un droit d'opposition à tout moment, dans les conditions de l'article 10.3 des CGU. S'agissant d'un Client mineur, aucun extrait le faisant apparaître de manière identifiable n'est diffusé sans l'accord préalable et exprès de son Représentant légal.

3.3 Consentement — Témoignage vidéo (art. 6.1.a RGPD)

Le témoignage vidéo réalisé par le Client en cas d'admission au concours, destiné aux supports de communication de l'Éditeur, repose sur le consentement exprès du Client. Ce consentement est libre — sa réalisation ne peut être imposée ni sanctionnée — et révocable à tout moment, dans les conditions de l'article 7 bis du Contrat d'Accompagnement.

3.4 Absence de base de consentement pour les cookies

Conformément à l'article 11.4 des CGU, la Plateforme n'utilise que des cookies strictement nécessaires à son fonctionnement, exemptés de consentement préalable en application de l'article 82 de la loi Informatique et Libertés.

3.5 Absence de prospection et de profilage

La Plateforme ne met en œuvre aucun traitement à des fins de prospection commerciale, de newsletter, ou de profilage automatisé des Utilisateurs.

4.1 Accès interne à l'Éditeur

Les données du Client sont accessibles, dans la limite de ce qui est nécessaire à l'exercice de leurs fonctions respectives, aux catégories de personnes suivantes :

• L'Administrateur : accès à l'ensemble des données de tous les Clients, aux fins de gestion et de supervision générale de la Plateforme.
• L'Intervenant : accès à l'ensemble des données des Clients de son portefeuille (données de progression, Tracker, assiduité, vidéo de travail hebdomadaire), aux fins d'assurer le suivi hebdomadaire prévu par le Contrat d'Accompagnement.
• Le Professeur : aucun accès nominatif aux données d'un Client. Les questions adressées par les Clients sur les matières scientifiques ne lui sont, le cas échéant, communiquées que de façon mutualisée, conformément à l'article 2 du Contrat d'Accompagnement.

4.2 Représentant légal

Le Représentant légal d'un Client mineur peut consulter les données figurant sur le Compte de ce dernier, dans les conditions et limites prévues aux articles 5.1 et 6.6 des CGU.

4.3 Absence de cession à des tiers

Les données ne sont ni vendues ni cédées à des tiers à des fins commerciales. Les seules communications à des tiers sont celles décrites à l'Article 5 (sous-traitants techniques nécessaires au fonctionnement de la Plateforme) et, le cas échéant, celles imposées par une obligation légale ou une décision de justice.

5.1 Recours à des sous-traitants

Pour les besoins de l'exploitation de la Plateforme, l'Éditeur a recours à des sous-traitants techniques, sélectionnés pour les garanties suffisantes qu'ils présentent quant à la mise en œuvre de mesures techniques et organisationnelles appropriées au sens de l'article 28 du RGPD.

5.2 Liste des sous-traitants

5.3 Garanties encadrant les transferts hors Union européenne

Les transferts de données vers Google et Fathom, sociétés soumises à un droit ne présentant pas un niveau de protection équivalent à celui de l'Union européenne, sont encadrés par des garanties appropriées au sens de l'article 46 du RGPD, notamment les clauses contractuelles types de la Commission européenne et, le cas échéant, l'adhésion du prestataire au cadre de certification EU-U.S. Data Privacy Framework.

5.4 Absence d'autres sous-traitants

En dehors des prestataires mentionnés au présent article, l'Éditeur ne recourt à aucun autre sous-traitant ayant accès aux données des Utilisateurs.

6.1 Principe général

Les données du Client sont conservées pendant la durée de l'accompagnement, puis supprimées dans un délai maximum de douze (12) mois suivant la fin de celui-ci, conformément à l'article 10 du Contrat d'Accompagnement.

6.2 Clôture du Compte

Le Compte est clôturé dès la fin ou la résiliation du Contrat d'Accompagnement, conformément à l'article 5.7 des CGU. Cette clôture emporte perte d'accès au Compte ; elle n'emporte pas suppression immédiate des données sous-jacentes, celles-ci demeurant conservées dans la limite du délai fixé à l'article 6.1.

6.3 Enregistrements de Visios — rediffusion interne

Les enregistrements de Visios collectives mis à disposition des Clients à des fins de suivi pédagogique (article 10.5 des CGU) sont conservés pendant une durée qui n'excède pas celle de l'accompagnement, sauf obligation légale de conservation plus longue.

6.4 Témoignage vidéo et extraits diffusés à des fins promotionnelles

Conformément à l'article 7 bis du Contrat d'Accompagnement, le témoignage vidéo du Client et les extraits de Visios diffusés à des fins pédagogiques et promotionnelles sont conservés et utilisés pendant une durée de trois (3) ans à compter de leur diffusion, sauf retrait anticipé du consentement ou exercice du droit d'opposition dans les conditions prévues par le Contrat d'Accompagnement et l'article 10.3 des CGU. À l'issue de cette durée, ou en cas de retrait, l'Éditeur retire le contenu concerné de ses supports de communication.

6.5 Obligations légales

Indépendamment des durées ci-dessus, certaines données peuvent être conservées au-delà pour la durée nécessaire au respect des obligations légales applicables à l'Éditeur (notamment comptables), sans préjudice d'un archivage sous une forme restreignant l'accès aux seules fins de cette obligation.

7.1 Mesures mises en œuvre

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données contre la perte, l'accès non autorisé, la divulgation ou l'altération, notamment :

• le stockage des mots de passe sous forme chiffrée, l'Éditeur n'y ayant lui-même aucun accès en clair ;
• une gestion des accès fondée sur le rôle de l'Utilisateur (Client, Intervenant, Professeur, Administrateur), limitant chacun aux seules données nécessaires à sa fonction, conformément à l'Article 4 ;
• le recours à des sous-traitants présentant des garanties de sécurité appropriées, conformément à l'Article 5.

7.2 Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, l'Éditeur notifie cette violation à l'autorité de contrôle compétente dans les délais prévus par le RGPD et, lorsque le risque est élevé, en informe directement les personnes concernées.

7.3 Rôle de l'Utilisateur

La sécurité des données dépend également de la vigilance de chaque Utilisateur, notamment quant à la confidentialité de ses identifiants, dans les conditions prévues à l'Article 5 des CGU.

8.1 Droits reconnus

Conformément au RGPD et à la loi Informatique et Libertés, chaque personne concernée (Client, Représentant légal) dispose, sur les données la concernant, des droits suivants :

• droit d'accès ;
• droit de rectification ;
• droit à l'effacement ;
• droit à la limitation du traitement ;
• droit d'opposition, notamment au traitement fondé sur l'intérêt légitime prévu à l'article 3.2 (enregistrement et diffusion des Visios collectives) ;
• droit à la portabilité, pour les données traitées sur une base contractuelle ou de consentement ;
• droit de retirer à tout moment son consentement, pour le traitement fondé sur le consentement prévu à l'article 3.3 (témoignage vidéo), sans que cela n'affecte la licéité du traitement effectué avant ce retrait ;
• droit de définir des directives relatives au sort de ses données après son décès, conformément à l'article 85 de la loi Informatique et Libertés.

8.2 Exercice des droits pour un Client mineur

Le Représentant légal exerce seul les droits mentionnés au présent article pour le compte du Client mineur, en sus des droits dont il dispose à titre personnel sur ses propres données (article 1.4).

8.3 Modalités d'exercice

Ces droits s'exercent par email à l'adresse indiquée à l'article 1.2, en précisant l'identité du demandeur et, le cas échéant, sa qualité de Représentant légal.

8.4 Délai de réponse

L'Éditeur répond à toute demande dans un délai d'un (1) mois à compter de sa réception, délai pouvant être porté à deux (2) mois en cas de demande complexe ou de nombre élevé de demandes, l'Éditeur en informant alors le demandeur dans le délai initial.

9.1 Cookies utilisés

La Plateforme n'utilise que des cookies strictement nécessaires à son fonctionnement, notamment l'authentification de l'Utilisateur et le maintien de sa session de connexion.

9.2 Absence de mesure d'audience et de traceurs publicitaires

La Plateforme ne recourt à aucun outil de mesure d'audience, ni à aucun traceur à finalité publicitaire, statistique ou de profilage.

9.3 Absence de consentement requis

Les cookies mentionnés à l'article 9.1, strictement nécessaires au fonctionnement du service demandé par l'Utilisateur, sont exemptés de consentement préalable en application de l'article 82 de la loi Informatique et Libertés et des recommandations de la CNIL relatives aux traceurs exemptés de consentement. Aucun bandeau de recueil de consentement n'est en conséquence affiché sur la Plateforme.

9.4 Évolution

Si l'Éditeur venait à recourir, à l'avenir, à des cookies ou traceurs soumis à consentement, la présente Politique serait mise à jour préalablement à leur déploiement, et le consentement de l'Utilisateur recueilli dans les conditions requises par la réglementation applicable.

Si la personne concernée estime, après avoir exercé ses droits dans les conditions de l'Article 8, que le traitement de ses données ne respecte pas la réglementation applicable, elle peut introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité de contrôle compétente, via son site : www.cnil.fr.

11.1 L'Éditeur peut modifier la présente Politique de Confidentialité à tout moment, notamment pour tenir compte d'évolutions techniques, légales ou réglementaires, ou d'un changement dans les sous-traitants ou finalités de traitement décrits aux Articles 3 et 5.

11.2 Toute modification substantielle de la présente Politique est portée à la connaissance des Utilisateurs, par annonce sur la Plateforme ou par email, au moins quinze (15) jours calendaires avant son entrée en vigueur — sauf lorsque la modification résulte d'une obligation légale impérative d'application immédiate.

11.3 La version de la présente Politique en vigueur est celle affichée sur la Plateforme à la date de connexion de l'Utilisateur. Elle mentionne sa date de dernière mise à jour.

Toute question relative à la présente Politique de Confidentialité, ainsi que toute demande d'exercice des droits prévus à l'Article 8, sont adressées à l'Éditeur à l'adresse suivante : admin@esainsider.com.

L'Éditeur n'a pas désigné de Délégué à la Protection des Données (DPO), cette désignation n'étant pas obligatoire au regard de la nature et du volume des traitements décrits dans la présente Politique.