Politique de confidentialité

Ce que nous collectons, pourquoi, combien de temps nous le gardons, et comment vous gardez la main.

Qui est responsable

À COMPLÉTER est responsable des traitements décrits ci-dessous. Pour toute question ou pour exercer vos droits : À COMPLÉTER.

Une exception importante. Pendant une mission d’audit, les pièces que vous nous transmettez contiennent des données concernant vos salariés : cartes professionnelles, plannings, bulletins de paie, suivi de santé. Sur ces données, vous restez responsable de traitement et ANM Consulting agit comme sous-traitant, au sens de l’article 28 du RGPD. Cette répartition est formalisée dans un avenant à la lettre de mission, qui précise nos obligations, la durée de conservation et les conditions de restitution ou de suppression.

Ce que nous traitons

Gestion des demandes de contact et de la prospection

Finalité —: Répondre aux demandes reçues par le formulaire de contact et envoyer la checklist CNAPS demandée.
Données —: Nom, email, société, effectif, message.
Base légale —: Intérêt légitime (prospection entre professionnels), et consentement pour l’envoi de la checklist.
Conservation —: 3 ans à compter du dernier contact resté sans suite (durée recommandée par la CNIL en prospection).

Comptes du portail client

Finalité —: Donner à chaque client l’accès au suivi de sa mission.
Données —: Email, nom, fonction, organisation de rattachement, journaux de connexion.
Base légale —: Exécution du contrat de mission.
Conservation —: Durée de la relation contractuelle, puis 5 ans (prescription de droit commun).

Dossiers de mission d’audit

Finalité —: Conduire l’audit : pièces remises par le client, constats, plan d’actions, rapport.
Données —: Pièces transmises par le client, qui contiennent des données relatives à SES salariés (identité, cartes professionnelles, plannings, bulletins de paie, suivi de santé).
Base légale —: Exécution du contrat de mission. Sur les données des salariés du client, ANM Consulting agit comme SOUS-TRAITANT du client, qui reste responsable de traitement.
Conservation —: Durée de la mission, puis archivage 5 ans à des fins de preuve. Suppression ou restitution sur demande du client.

Suivi des parcours de formation

Finalité —: Suivre la progression, délivrer les attestations, justifier auprès des financeurs.
Données —: Identité, progression, résultats de quiz, horodatage des connexions.
Base légale —: Exécution du contrat et obligation légale (organisme de formation).
Conservation —: Conservation longue imposée par la réglementation de la formation professionnelle : ne pas purger sans vérifier la durée applicable.

Qui d’autre y a accès

Nous ne vendons ni ne louons aucune donnée. Nous faisons appel aux prestataires suivants, strictement pour faire fonctionner le service :

Vercel Inc. — Hébergement du site et du portail. États-Unis · Clauses contractuelles types + Data Privacy Framework
Supabase — Base de données, authentification et stockage des pièces. Union européenne (région Paris, eu-west-3) · Données hébergées dans l’UE
Resend — Envoi des emails transactionnels (lien de connexion, demandes de pièces, notifications). États-Unis · Clauses contractuelles types
Stripe — Paiement des formations et de l’abonnement (à activer en phase 4). Irlande / États-Unis · Clauses contractuelles types

La base de données et les pièces déposées sont hébergées dans l’Union européenne (région de Paris). Chaque client ne peut accéder qu’à son propre dossier : le cloisonnement est appliqué au niveau de la base elle-même, pas seulement de l’interface.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Écrivez à À COMPLÉTER : nous répondons sous un mois.

Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL — cnil.fr/fr/plaintes — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Sécurité

Connexion par lien à usage unique (pas de mot de passe à retenir ni à fuiter), chiffrement des échanges, cloisonnement des données par organisation au niveau de la base, et accès aux pièces limité aux personnes concernées par la mission. Les notes de travail internes ne sont visibles par un client que lorsqu’elles ont été explicitement publiées.