Accueil · Informations légales
Registre des activités de traitement
Publié au titre de l’article 30 du RGPD, pour permettre à chaque organisme client de le verser à son propre registre.
Dernière mise à jour : 12/08/2026
1. Responsable de traitement et sous-traitant
Qualiomatic est une plateforme multi-organismes. La qualification varie selon les données, comme détaillé dans la politique de confidentialité :
- pour les données des stagiaires et des personnes gérées dans l’application, l’organisme de formation client est responsable de traitement et l’éditeur agit en sous-traitant (art. 28) ;
- pour les données de ses propres clients (comptes administrateurs, facturation, mesure d’audience interne), l’éditeur est responsable de traitement.
Éditeur : FI-DATA — coordonnées complètes aux mentions légales. Aucun délégué à la protection des données n’a été désigné, cette désignation n’étant pas requise au titre de l’article 37 du RGPD : l’activité de l’éditeur n’implique ni suivi régulier et systématique à grande échelle, ni traitement à grande échelle de données visées à l’article 9. Les demandes relatives à la protection des données sont traitées à l’adresse contact@fi-data.fr.
2. Traitements mis en œuvre
| Traitement | Finalité | Base légale | Personnes concernées |
|---|---|---|---|
| Gestion des comptes et des accès | Authentifier les utilisateurs, appliquer les rôles et cloisonner les organismes | Exécution du contrat | Administrateurs, formateurs, stagiaires, auditeurs |
| Gestion des sessions de formation | Organiser les sessions, inscrire les stagiaires, produire les documents légaux | Exécution du contrat conclu par l’organisme | Stagiaires, formateurs, clients de l’organisme |
| Émargement numérique | Prouver la présence effective par demi-journée (signature, horodatage, IP, appareil) | Obligation légale de l’organisme (art. L.6362-1 du code du travail) | Stagiaires, formateurs |
| Évaluation et satisfaction | Mesurer les acquis et la satisfaction (indicateurs Qualiopi 11, 12 et 30) | Obligation légale et intérêt légitime (certification) | Stagiaires |
| Bilan pédagogique et financier (BPF) | Produire la déclaration annuelle (cerfa 10443*17) | Obligation légale de l’organisme | Stagiaires (données agrégées) |
| Facturation des abonnements | Encaisser et justifier les abonnements à la plateforme | Exécution du contrat et obligation légale comptable | Administrateurs des organismes clients |
| Sécurité et journalisation | Tracer les accès et les actions sensibles, détecter les abus | Intérêt légitime de l’éditeur et de l’organisme | Tous les utilisateurs |
| Mesure d’audience interne | Comprendre l’usage de l’application pour l’améliorer | Intérêt légitime de l’éditeur | Tous les utilisateurs connectés |
3. Catégories de données et durées de conservation
La colonne « Effacement » indique le sort de chaque catégorie lorsqu’une personne exerce son droit à l’effacement. Les pièces marquées « Conservée (preuve) » subsistent : le droit à l’effacement cède devant l’obligation de conservation qui pèse sur l’organisme de formation (art. 17.3.b du RGPD). L’identité y est alors remplacée par un pseudonyme.
| Catégorie de données | Durée de conservation | Justification | Effacement |
|---|---|---|---|
| Comptes utilisateurs (identifiant, e-mail, mot de passe haché, rôles) | Vie du compte, puis anonymisation 30 jours après la demande de suppression | Exécution du contrat : sans compte, pas d’accès au service. | Pseudonymisée |
| Sessions de connexion (jeton, dernière activité) | 30 jours glissants (expiration du jeton), purgés automatiquement | Sécurité du service (intérêt légitime). | Effacée |
| Jetons à usage unique (vérification d’adresse, invitation, réinitialisation, recueil du besoin, positionnement) | De 1 heure à 45 jours selon le type, à usage unique | Sécurité du service (intérêt légitime). | Effacée |
| Fiches stagiaires et formateurs (identité, coordonnées, entreprise, notes internes) | Vie du dossier de formation, puis pseudonymisation sur demande d’effacement | Exécution du contrat conclu par l’organisme de formation. | Pseudonymisée |
| Émargements : signatures, horodatages, adresse IP et empreinte d’appareil | 3 ans à compter de la fin de l’action de formation, au minimum | Obligation légale de l’organisme (contrôle administratif et financier, art. L.6362-1 du code du travail) : ces pièces survivent à une demande d’effacement, rattachées au pseudonyme. | Conservée (preuve) |
| Résultats d’évaluation, positionnement, acquis et attestations | 3 ans à compter de la fin de l’action de formation, au minimum | Obligation légale et exigences Qualiopi (indicateurs 11 et 12) : preuve de l’atteinte des objectifs. | Conservée (preuve) |
| Recueil du besoin exprimé par le client commanditaire (contexte, attentes, contraintes, besoins d’adaptation) | 3 ans à compter de la fin de l’action de formation, au minimum | Exigence Qualiopi (indicateur 4) : prouver que le besoin a été analysé avec l’entreprise ou le financeur avant la prestation. Écrit par le commanditaire lui-même (lien à usage unique, valable 45 jours) ou consigné par l’organisme — dans les deux cas c’est une pièce du dossier, pas une donnée de confort. | Conservée (preuve) |
| Commentaires libres de satisfaction (verbatims) | Vie du dossier, effacés sur demande d’effacement | La note chiffrée suffit à l’indicateur 30 ; le verbatim est du texte libre, principal vecteur de ré-identification. | Effacée |
| Signatures du règlement intérieur | 3 ans à compter de la signature, au minimum | Preuve de l’information du stagiaire (obligation de l’organisme). | Conservée (preuve) |
| Progression ludique de l’espace stagiaire (XP, séries, achievements) | Vie du compte, effacée sur demande d’effacement | Confort d’usage : aucune obligation de conservation. | Effacée |
| Suivi pédagogique individuel (supports téléchargés, temps passé sur les présentations) | Vie du dossier de formation, effacé sur demande d’effacement | Suivi pédagogique de l’organisme. L’assiduité, elle, est prouvée par l’émargement, qui est conservé. | Effacée |
| Progression des visites guidées | Vie du compte, effacée sur demande d’effacement | Confort d’usage : aucune obligation de conservation. | Effacée |
| Journal d’activité des comptes et des organismes | Vie du compte ou de l’organisme ; libellés pseudonymisés sur demande d’effacement | Sécurité et traçabilité des accès (intérêt légitime). | Pseudonymisée |
| Mesure d’audience interne de la plateforme (pages consultées, présence) | 180 jours, purge automatique | Intérêt légitime de l’éditeur : amélioration du service. Réservé au superadmin. | Effacée |
| Supports de cours et présentations déposés par l’organisme | Vie du compte de l’organisme | Exécution du contrat : ce sont les contenus de l’organisme, pas des données de stagiaire. | Conservée (preuve) |
| Pièces justificatives des intervenants (CV, diplômes, références) | Cycle de certification Qualiopi (3 ans) après la dernière intervention, conservées malgré une demande d’effacement | Exigence Qualiopi (indicateur 21) : l’organisme doit pouvoir justifier les compétences de ses intervenants à tout moment du cycle (audit initial, surveillance, renouvellement). Le droit à l’effacement cède devant cette obligation de conservation (art. 17.3.b) : la fiche est pseudonymisée, la pièce reste. Un intervenant qui ne souhaite pas laisser ses coordonnées peut fournir un CV anonymisé, qui prouve la compétence tout autant. | Conservée (preuve) |
| Abonnements et pièces de facturation | 10 ans | Obligation légale comptable (art. L.123-22 du code de commerce). | Conservée (preuve) |
4. Destinataires et sous-traitants ultérieurs
- OVH SAS (France) — hébergement des serveurs et des bases de données, au sein de l’Union européenne ;
- Stripe Payments Europe, Limited (Irlande) — encaissement des abonnements ; les données de carte bancaire sont collectées directement par Stripe, l’éditeur n’y a jamais accès ;
- envoi des e-mails transactionnels : assuré par l’infrastructure de l’éditeur, sans prestataire de routage tiers.
Aucune donnée n’est cédée, louée ou revendue à des tiers, et aucun traitement publicitaire ou de profilage commercial n’est réalisé. Les transferts hors Union européenne sont détaillés au §5 de la politique de confidentialité.
5. Mesures de sécurité
- mots de passe conservés sous forme d’empreinte irréversible à sel aléatoire ;
- liens d’invitation, de vérification et de réinitialisation à usage unique, expirants, stockés en empreinte ;
- cloisonnement des données par organisme, contrôlé à chaque lecture et à chaque écriture ;
- contrôle du rôle à l’accès de chaque fichier déposé ; noms de stockage générés par le serveur ;
- rôle « auditeur » en lecture seule sur des données anonymisées ;
- journalisation des actions sensibles et des accès administrateur ;
- sauvegardes régulières et purge automatique des données de mesure d’audience au-delà de 180 jours.
6. Exercice des droits
Chaque utilisateur connecté peut, depuis la page Mon compte de son espace :
- télécharger l’intégralité de ses données personnelles au format JSON (droit d’accès et de portabilité, art. 15 et 20), tous organismes confondus ;
- demander la suppression de son compte (droit à l’effacement, art. 17). La demande est confirmée par e-mail et reste annulable pendant 30 jours ; passé ce délai, l’identité est effacée de manière irréversible et remplacée par un pseudonyme sur les pièces conservées.
Un stagiaire peut également adresser sa demande à son organisme de formation, qui dispose dans son espace d’une fonction d’anonymisation appliquant exactement les mêmes règles. Pour les données dont l’éditeur est responsable de traitement, la demande passe par la page Contact.
7. Contrat de sous-traitance (DPA)
Le contrat de sous-traitance au sens de l’article 28 du RGPD, entre l’organisme client et l’éditeur, est l’annexe 1 des conditions générales : accord de traitement des données (DPA). Il est en vigueur dès l’acceptation des conditions générales à la création du compte — l’article 28.9 du RGPD admettant l’écrit sous forme électronique, aucune signature manuscrite n’est requise. L’organisme retrouve la date et la version acceptées dans la page « Paramètres » de son espace, et peut y télécharger l’accord pour son propre dossier RGPD.