Conformité RGPD

Qui est responsable des données

Pour les données des apprenants, votre organisation est responsable du traitement et BHP VR sp. z o.o., la société derrière Skillsive, est sous-traitant. Nous traitons ces données uniquement sur vos instructions, dans le cadre de l’accord de sous-traitance que votre administrateur accepte dans le tableau de bord. Pour les comptes du tableau de bord et notre contrat avec votre organisation, BHP VR sp. z o.o. est responsable du traitement.

Quelles données nous traitons

Chaque apprenant n’a besoin que d’un code à 6 chiffres et d’un pseudonyme. Votre organisation décide d’ajouter ou non le prénom et le nom, l’e-mail, le téléphone, le matricule, le poste, l’adresse, la date de naissance ou le sexe. Nous conservons aussi les résultats de formation et les certificats. Pour les personnes ayant un compte dans le tableau de bord, nous traitons le nom, l’e-mail et les données de connexion. Les actions importantes pour la sécurité, comme le téléchargement d’un certificat, sont enregistrées avec l’heure, l’adresse IP et l’appareil.

Où les données sont stockées

Les données des apprenants enregistrées dans la plateforme restent dans l’Union européenne. Les enregistrements vocaux des leçons VR comportant des commandes vocales sont traités par Meta Wit.ai aux États-Unis (voir Sous-traitants ultérieurs).

• Base de données : Azure SQL (Microsoft SQL Server), région West Europe (Pays-Bas).
• Fichiers de certificats : Azure Blob Storage, région West Europe (Pays-Bas).
• Journaux techniques : Azure, région Germany West Central, conservés 90 jours au maximum.
• Sauvegardes : sauvegardes automatiques de la base avec restauration à n’importe quel moment des 35 derniers jours et sauvegardes hebdomadaires conservées 2 semaines, dans un stockage de sauvegarde géo-redondant au sein de l’UE (North Europe, Irlande). Il n’existe aucune réplique de la base dans une autre région.

Qui nous aide à traiter les données

Quatre sous-traitants ultérieurs traitent les données des apprenants : Microsoft (hébergement Azure), Cloudflare (protection du réseau et diffusion de contenu), Twilio SendGrid (e-mails système et rappels de formation) et Meta Wit.ai (reconnaissance vocale des commandes vocales dans les leçons VR qui en comportent). La page des sous-traitants ultérieurs indique le rôle de chacun et les garanties appliquées.

Comment nous protégeons les données

Les données sont chiffrées en transit en HTTPS (TLS) et au repos en AES-256 dans la base de données et le stockage de fichiers. L’accès dépend du rôle, les données de chaque organisation sont séparées côté serveur et l’accès administrateur exige une authentification multifacteur.

Anonymisation et certificats

Lorsque votre organisation retire son consentement ou nous en donne l’instruction, les données permettant d’identifier les apprenants sont anonymisées de façon irréversible. Les certificats ne sont pas supprimés à ce moment-là : ils sont placés dans une archive à accès restreint pendant la durée de conservation définie par votre organisation (10 ans par défaut), puis supprimés définitivement.

Durée de conservation

Nous conservons les données des apprenants tant que votre organisation utilise la plateforme. À la fin du service, nous les supprimons ou les restituons, au choix de votre organisation. Les sauvegardes expirent après 35 jours et les journaux techniques au plus tard après 90 jours.

Droits des apprenants

Les apprenants peuvent demander l’accès à leurs données, leur rectification, leur effacement, la limitation du traitement ou leur portabilité, et s’opposer au traitement. Votre organisation, en tant que responsable du traitement, traite ces demandes. Si un apprenant nous écrit directement, nous transmettons sa demande sans délai et vous aidons à y répondre. Toute personne peut aussi introduire une réclamation auprès d’une autorité de protection des données.