HAHAPI

Informations légales

Politique de confidentialité

Ce que nous collectons, pourquoi, sur quel fondement, pour combien de temps, qui y a accès, et comment reprendre la main. Sans jargon inutile, mais sans rien omettre.

Dernière mise à jour :

Notre principe : la minimisation

Nous ne collectons que les données nécessaires pour vous répondre et organiser une formation. Aucun profilage, aucune revente, aucune prospection non sollicitée, aucune décision automatisée. Ce site ne comporte ni cookie publicitaire, ni bouton de réseau social, ni police de caractères chargée depuis un serveur tiers : les polices sont embarquées dans le site, ce qui évite de transmettre votre adresse IP à un tiers dès l'ouverture d'une page.

Responsable du traitement

Le responsable du traitement des données collectées sur ce site est HAPI Formations & Conseils, représenté par Hayet Achfari.

Aucun délégué à la protection des données (DPO) n'est désigné : la structure n'entre dans aucun des cas de désignation obligatoire prévus par l'article 37 du RGPD. Les demandes sont traitées directement par la responsable du traitement.

Données collectées

Via le formulaire de contact

Les champs marqués comme obligatoires sont les seuls indispensables au traitement de votre demande. Les autres sont facultatifs : ne pas les remplir n'empêche pas l'envoi.

  • Nom, obligatoire, pour vous adresser une réponse nominative.
  • Adresse e-mail, obligatoire, c'est le canal de réponse.
  • Téléphone, facultatif, si vous préférez être rappelé.
  • Structure, facultatif, pour situer le contexte (EHPAD, association, établissement de santé…) et calibrer la réponse.
  • Sujet, obligatoire, pour orienter la demande.
  • Message, obligatoire, c'est votre demande elle-même.

Merci de ne pas faire figurer dans le champ « message » de données sensibles au sens de l'article 9 du RGPD, ni de données concernant des personnes accompagnées : ce formulaire n'est pas un canal sécurisé pour des données de santé.

Via le formulaire de réclamation

Le formulaire de réclamation collecte, en plus des mêmes coordonnées, la qualité en laquelle vous nous écrivez, l'objet de la réclamation, la formation concernée, la date des faits, votre description et, si vous le souhaitez, ce que vous attendez. Ces éléments sont nécessaires pour qualifier, instruire et tracer la réclamation. Une référence unique vous est communiquée dès l'envoi, puis la réclamation est transmise à la direction, qui l'inscrit sous cette référence à notre registre des réclamations : c'est cette traçabilité qu'exige notre démarche qualité et que peut vérifier un auditeur.

Le recueil et l'instruction reposent sur votre consentement (article 6.1.a du RGPD). La conservation de la trace du traitement repose ensuite sur notre intérêt légitime (article 6.1.f) à pouvoir démontrer que les réclamations sont effectivement traitées. Retirer votre consentement arrête l'instruction ; la trace déjà constituée est conservée trois ans à compter de la clôture, durée du cycle de certification.

Un accusé de réception automatique vous est adressé à l'adresse indiquée. Comme pour le formulaire de contact, merci de ne pas faire figurer dans votre description de données de santé ni d'informations concernant des personnes accompagnées.

Lors de la navigation

L'hébergeur journalise techniquement les requêtes reçues (adresse IP, horodatage, page demandée), comme tout serveur web, pour assurer le fonctionnement et la sécurité du service. Par ailleurs, si, et seulement si, vous acceptez la mesure d'audience, des statistiques de navigation agrégées sont produites, sans cookie ni identifiant persistant.

Lors d'une inscription à une formation

Les données nécessaires à l'organisation, au suivi et à la traçabilité de l'action de formation (identité, coordonnées professionnelles, structure employeuse, émargements, évaluations) sont collectées dans le cadre contractuel, en dehors de ce site. Elles sont détaillées dans les conditions générales de vente.

Finalités, bases légales et durées de conservation

Chaque traitement repose sur une base légale précise, au sens de l'article 6 du RGPD. Il n'y a pas de traitement « au cas où » : sans finalité, pas de collecte.

Traitements mis en œuvre par ce site et par l'organisme.
Finalité Données concernées Base légale Durée de conservation
Répondre à une demande d'information ou de devis Nom, e-mail, téléphone, structure, sujet, message Consentement, art. 6.1.a (case à cocher explicite, non pré-cochée, dans le formulaire) 3 ans à compter du dernier échange, puis suppression
Instruire et tracer une réclamation Nom, e-mail, téléphone, structure, qualité (participant, commanditaire, financeur), objet, formation concernée, date des faits, description, attente Consentement, art. 6.1.a (case à cocher explicite dans le formulaire de réclamation) 3 ans à compter de la clôture de la réclamation, durée du cycle de certification pendant lequel le registre peut être présenté à un auditeur, puis suppression
Organiser et suivre une action de formation Identité, coordonnées professionnelles, structure employeuse Exécution du contrat ou de la convention de formation, art. 6.1.b ; obligations légales de l'organisme, art. 6.1.c Durée de l'action, puis archivage : 5 ans (pièces justificatives de l'activité de formation), 10 ans pour les pièces comptables
Mesurer l'audience du site Statistiques de navigation agrégées (pages vues, provenance). Aucun cookie, aucun identifiant persistant Consentement, art. 6.1.a (bannière) Statistiques agrégées, non rattachables à une personne. Votre choix de consentement est conservé 6 mois, puis redemandé
Assurer la sécurité et la disponibilité du site Journaux techniques de l'hébergeur, adresse IP Intérêt légitime, art. 6.1.f (prévention des abus et des envois automatisés) Selon la politique de journalisation de l'hébergeur. Pour la limitation anti-spam du formulaire, l'adresse IP reste 10 minutes en mémoire vive et n'est jamais enregistrée

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment. Le retrait ne remet pas en cause la licéité de ce qui a été fait avant, mais met fin au traitement pour l'avenir.

Destinataires et sous-traitants

Vos données sont traitées par Hayet Achfari et, le cas échéant, par les intervenants strictement concernés par votre demande. Elles ne sont jamais vendues, louées, ni cédées à des tiers à des fins commerciales.

Trois prestataires techniques interviennent en qualité de sous-traitants, chacun pour une fonction précise :

Sous-traitants au sens de l'article 28 du RGPD.
Prestataire Rôle Données concernées Localisation
Vercel Inc. Hébergement du site Journaux techniques, données transmises par le formulaire Société de droit américain, voir « Transferts » ci-dessous
Resend, Inc. Acheminement des e-mails issus du formulaire Nom, e-mail, téléphone, structure, message Société de droit américain, voir « Transferts » ci-dessous
Sanity Gestion du contenu éditorial (formations, articles, pages) Aucune donnée personnelle de visiteur : uniquement le contenu publié Sans objet pour les visiteurs : ce service ne reçoit aucune donnée vous concernant
Plausible Analytics Mesure d'audience, uniquement après votre consentement explicite Statistiques agrégées, sans cookie ni identifiant Union européenne

Vos données peuvent également être communiquées à un financeur (OPCO, France Travail, employeur) lorsque c'est nécessaire à la prise en charge de la formation que vous demandez, ainsi qu'à l'administration ou à un organisme certificateur dans le cadre d'un contrôle, sur fondement légal.

Transferts hors de l'Union européenne

Nous préférons vous le dire clairement plutôt que de l'écrire en petits caractères : l'hébergeur du site et le service d'acheminement des e-mails sont des sociétés de droit américain. Des données peuvent donc être traitées ou transiter en dehors de l'Union européenne.

Ces transferts s'inscrivent dans les mécanismes prévus au chapitre V du RGPD : clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) et, lorsque le prestataire y a adhéré, certification au titre du Data Privacy Framework UE, États-Unis (décision d'adéquation du 10 juillet 2023).

Le mécanisme exact retenu dépend de l'engagement contractuel de chaque prestataire. Nous ne l'affirmons donc pas ici prestataire par prestataire tant que les accords ne sont pas signés et vérifiés, voir l'encart ci-dessous.

Sous-traitance et registre

Les accords de sous-traitance (article 28 du RGPD) sont conclus avec les prestataires et le registre des activités de traitement (article 30) est tenu par l'organisme. Cette page est mise à jour si le mécanisme de transfert retenu par l'un des prestataires venait à différer de ce qui est décrit ci-dessus.

Sécurité

Le site est servi exclusivement en HTTPS. Les données du formulaire sont transmises dans le corps d'une requête chiffrée et ne transitent jamais par l'adresse d'une page : une URL est journalisée par les serveurs, les relais et l'historique du navigateur, ce qui en fait un mauvais endroit pour un e-mail ou un message. Les accès aux outils d'administration sont nominatifs et protégés.

Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, la CNIL serait notifiée dans les 72 heures et vous seriez informé sans délai, conformément aux articles 33 et 34 du RGPD.

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :

  • Droit d'accès, obtenir la confirmation que vos données sont traitées et en recevoir une copie.
  • Droit de rectification, faire corriger une donnée inexacte ou compléter une donnée incomplète.
  • Droit à l'effacement, demander la suppression de vos données, sous réserve des obligations légales de conservation qui s'imposent à un organisme de formation.
  • Droit d'opposition, vous opposer à un traitement fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière.
  • Droit à la limitation, demander le gel d'un traitement, par exemple le temps de vérifier l'exactitude d'une donnée contestée.
  • Droit à la portabilité, recevoir, dans un format structuré et lisible par machine, les données que vous nous avez fournies sur la base du consentement ou d'un contrat.
  • Droit de retirer votre consentement, à tout moment, aussi simplement que vous l'avez donné.
  • Droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi « Informatique et Libertés »).

Comment les exercer

Une réponse vous sera apportée dans un délai d'un mois. Ce délai peut être prolongé de deux mois pour une demande complexe, vous en seriez alors informé, avec les motifs, dans le mois suivant votre demande.

Un justificatif d'identité peut être demandé en cas de doute raisonnable sur l'identité du demandeur. Ce justificatif n'est conservé que le temps de la vérification.

Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés :

Nous saisir au préalable n'est pas une obligation : c'est simplement souvent plus rapide.

Cookies et traceurs

Aucun traceur non essentiel n'est déposé avant votre consentement explicite. Refuser est aussi simple qu'accepter, et votre choix reste modifiable à tout moment.

Le détail des traceurs, la conservation de votre choix et le moyen de le retirer sont présentés sur la page Gestion des cookies.

Évolution de cette politique

Cette politique peut être modifiée pour tenir compte d'évolutions légales, techniques ou organisationnelles. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle des finalités, votre consentement sera à nouveau sollicité.