Politique de confidentialité et cookies

Politique de confidentialité et cookies

⚠️ PROJET À FAIRE VALIDER PAR UN JURISTE — ne pas publier en l’état. Ce document est un brouillon de travail rédigé spécifiquement pour Ah permis (jamais copié d’un autre site). Il doit être complété (champs entre crochets) puis validé juridiquement avant toute mise en ligne. Il n’a aucune valeur contractuelle tant qu’il n’est pas publié.

La présente politique décrit la manière dont Ah permis traite les données à caractère personnel des visiteurs, élèves, prospects et candidats, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ».

1 — Responsable de traitement

Responsable de traitement : AH PERMIS (SASU), 40 rue du Pont de Créteil, 94100 Saint-Maur-des-Fossés, SIRET 88363224200029. Contact : ahpermis.contact@gmail.com.

Ah permis n’a pas désigné de délégué à la protection des données (DPO). Pour toute question relative à vos données personnelles ou pour exercer vos droits, vous pouvez contacter Ah permis à l’adresse indiquée ci-dessus.

2 — Données collectées

• Données d’identification et de contact : nom, prénom, e-mail, téléphone, adresse.
• Données liées à l’inscription et à la formation : formation/session choisie, formule, date de naissance (lorsqu’elle est nécessaire), historique de formation.
• Données de permis (lorsqu’elles sont strictement nécessaires, ex. stage de récupération de points) : numéro de permis — accès restreint et chiffré, durée de conservation minimisée.
• Données de paiement : traitées par Stripe ; Ah permis ne conserve pas les numéros de carte (seuls des identifiants de transaction non sensibles sont conservés).
• Données de candidature (recrutement) : CV et informations professionnelles, stockés dans un espace privé à accès restreint.
• Données techniques : adresse IP (tronquée lorsque possible), journaux, données de navigation et de mesure (sous réserve de consentement).

Minimisation : seules les données nécessaires à chaque finalité sont collectées. Les données à connotation pénale ne sont pas collectées au-delà du strict nécessaire (suppression de toute donnée de « cadre » de stage).

3 — Finalités et bases légales

• Gestion des inscriptions et exécution de la formation — base légale : exécution du contrat (art. 6.1.b). Aucune case de consentement bloquante n’est imposée pour cette finalité.
• Paiement et facturation, obligations comptables — base légale : exécution du contrat et obligation légale (art. 6.1.b et 6.1.c).
• Gestion des demandes de contact — base légale : intérêt légitime / mesures précontractuelles.
• Recrutement (candidatures, CV) — base légale : intérêt légitime / mesures précontractuelles, avec consentement pour la conservation au-delà du recrutement.
• Prospection et communication commerciale — base légale : consentement (art. 6.1.a), recueilli séparément et facultatif ; retrait possible à tout moment.
• Mesure d’audience et publicité — base légale : consentement, via le bandeau cookies.
• Sécurité et lutte anti-spam — base légale : intérêt légitime.

4 — Destinataires et sous-traitants

Les données sont destinées aux services habilités d’Ah permis et à ses sous-traitants, dans la stricte limite de leurs missions et sous contrat conforme à l’article 28 du RGPD (DPA). Liste des principaux sous-traitants :

• Stripe Payments Europe (paiement) — transferts hors UE encadrés (Data Privacy Framework / clauses contractuelles types).
• Resend (envoi des e-mails transactionnels) — garanties de transfert encadrées le cas échéant.
• Vercel (hébergement du site et stockage de fichiers Blob) — transferts hors UE encadrés ; contenus du site servis depuis l’Union européenne.
• Neon (base de données PostgreSQL managée) — données hébergées dans l’Union européenne (région de Francfort, Allemagne).

Chaque sous-traitant intervient dans le cadre d’un contrat conforme à l’article 28 du RGPD ; les transferts éventuels hors Union européenne (notamment vers Stripe et Vercel) sont encadrés par des garanties appropriées (clauses contractuelles types, Data Privacy Framework). Les zones d’intervention d’Ah permis couvrent notamment Paris 13e, Saint-Maur-des-Fossés et Créteil.

5 — Durées de conservation

Les données sont conservées pour la durée nécessaire à chaque finalité, puis archivées ou anonymisées :

• Dossier élève : conservé pendant la durée de la formation, puis archivé à des fins de preuve jusqu’à 3 ans après la fin de la relation.
• Inscriptions payées et pièces comptables : 10 ans (obligation comptable), avec anonymisation anticipée des données d’identification et du numéro de permis dès qu’elles ne sont plus nécessaires.
• Inscriptions non finalisées / abandonnées : durée courte (ex. 30 à 90 jours), puis suppression ou anonymisation.
• Messages de contact : 1 à 3 ans après le dernier échange, puis anonymisation.
• Candidatures non retenues et CV : 2 ans maximum (ou suppression dès le refus, sauf consentement contraire).
• Alertes / prospects « prévenez-moi » : 3 ans ou jusqu’à notification, puis anonymisation.
• Données techniques anti-spam (IP, agent utilisateur) : 6 à 12 mois.
• Preuves de paiement (événements Stripe contenant des données personnelles) : payload brut purgé sous ~90 jours, l’idempotence étant conservée.

6 — Sécurité

Ah permis met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement du numéro de permis et accès restreint, cloisonnement des fichiers de candidature, secrets stockés en variables d’environnement, transmission sécurisée (HTTPS), journalisation et limitation des accès.

7 — Droits des personnes

Conformément au RGPD, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives relatives au sort de vos données après votre décès.

• Pour exercer ces droits : ahpermis.contact@gmail.com ou par courrier à 40 rue du Pont de Créteil, 94100 Saint-Maur-des-Fossés, en justifiant de votre identité.
• Les demandes sont enregistrées et traitées dans le délai légal d’un mois (prolongeable).
• Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris — www.cnil.fr).

8 — Cookies et traceurs

Le site utilise des cookies et traceurs. Aucun traceur non essentiel n’est déposé avant votre consentement, y compris dans le tunnel d’inscription. Le bandeau de consentement permet de tout accepter, tout refuser (au même niveau) ou de personnaliser vos choix par catégorie.

Catégories de cookies

• Cookies strictement nécessaires : fonctionnement du site, sécurité, équilibrage et étapes de paiement Stripe indispensables à la transaction. Exemptés de consentement.
• Cookies de mesure d’audience (ex. Google Analytics 4) : statistiques de fréquentation. Soumis à consentement.
• Cookies publicitaires (ex. Google Ads) : mesure et ciblage publicitaire. Soumis à consentement, avec Consent Mode v2 (par défaut « refusé » tant que le consentement n’est pas donné).

Concernant Stripe, seuls les cookies nécessaires à la sécurisation et à l’exécution du paiement sont déposés sans consentement ; les éventuels traceurs de télémétrie, d’anti-fraude étendue ou de fonctionnalités optionnelles (type Link) relèvent du consentement.

Durée et réexpression du consentement

• La durée de conservation du choix de consentement est fixée à 6 mois (borne CNIL : au plus tard ~13 mois), puis le consentement est redemandé.
• Le consentement est journalisé côté serveur (version des finalités, horodatage et choix) à titre de preuve.
• Vous pouvez modifier vos choix à tout moment via le lien « Gérer les cookies » présent en pied de page.

9 — Mise à jour

La présente politique peut être mise à jour. La version en vigueur est celle publiée sur le site, avec sa date de dernière mise à jour.