Politique de confidentialité

Le responsable du traitement des données collectées via ce site est :

• Raison sociale : ITDEVFR IT DEV FRANCE
• Marque commerciale : Zeroday Cyber Academy
• Forme juridique : EURL au capital de 500 €
• Siège social : 48 rue Turgot, 59420 Mouvaux, France
• SIREN : 911 883 486 — SIRET (siège) : 911 883 486 00019
• RCS Lille Métropole — Code NAF 62.02A
• Représenté par Naïm Aouaichia, gérant
• Email contact protection des données : contact@zerodaycyberacademy.com
• Téléphone : +33 6 25 58 22 70

Délégué à la protection des données (DPO)

ITDEVFR IT DEV FRANCE n'est pas soumise à l'obligation de désigner un DPO (art. 37 RGPD : autorité publique exclue, absence de suivi régulier et systématique à grande échelle, absence de traitement à grande échelle de données sensibles). Le rôle de référent protection des données est assuré directement par Naïm Aouaichia, gérant. Toute demande relative aux données personnelles peut être adressée à contact@zerodaycyberacademy.com.

Les données sont collectées au point de collecte (formulaires du site, échanges email, inscription LMS) et minimisées à ce qui est nécessaire à la finalité poursuivie (art. 5.1.c RGPD).

Données d'identification et de contact

• Catégories : prénom, nom, email, téléphone (avec indicatif international), statut professionnel renseigné librement.
• Finalités : instruction des candidatures aux formations, prise de rendez-vous, envoi des programmes pédagogiques, suivi commercial, contact à votre demande.
• Bases légales : consentement (art. 6.1.a RGPD) au moment du dépôt du formulaire ; exécution de mesures précontractuelles (art. 6.1.b) après prise de contact ; intérêt légitime (art. 6.1.f) pour le suivi d'un prospect ayant initié l'échange.

Données pédagogiques (stagiaires inscrits)

• Catégories : progression des modules, devoirs déposés et notes, résultats de quiz, historique d'activité LMS (connexions, temps passé par leçon), échanges via le chat pédagogique, attestations de formation.
• Finalités : exécution du contrat de formation, suivi de l'assiduité (indicateurs Qualiopi 1, 8, 11), délivrance des attestations, amélioration continue des formations.
• Bases légales : exécution du contrat (art. 6.1.b) ; obligation légale (art. 6.1.c) — Référentiel National Qualité (RNQ Qualiopi), tenue des registres et conservation comptable.

Données de financement (analyse d'éligibilité)

• Catégories : statut professionnel (TNS / salarié), type de structure (SAS, SASU, EURL, SARL, EI), pays d'immatriculation, présence de salariés, ancienneté de la structure.
• Finalité : évaluation de l'éligibilité aux dispositifs de financement professionnel (OPCO, fonds personnel, etc.), restitution d'un diagnostic interne.
• Base légale : consentement (art. 6.1.a). L'analyse n'est pas conservée à des fins de profilage ; chaque soumission donne lieu à une analyse indépendante.

Données comportementales (mesure d'audience)

• Catégories : pages vues, parcours de navigation, durée de session, type d'appareil, navigateur, localisation approximative (pays/région via IP anonymisée), heatmaps et enregistrements anonymisés (Microsoft Clarity), UTM d'origine de campagne.
• Finalité : mesure d'audience anonymisée et amélioration ergonomique du site.
• Base légale : consentement explicite (art. 6.1.a + délibération CNIL n° 2020-091), recueilli via le bandeau de gestion des cookies. Aucun cookie d'audience n'est déposé tant que vous n'avez pas accepté.

Données de réclamation et de satisfaction (Qualiopi)

• Catégories : contenu de la réclamation, identité du déposant, notes et commentaires des questionnaires de satisfaction (à mi-parcours, en fin de formation, à 90 jours).
• Finalité : traçabilité Qualiopi (RNQ indicateurs 28 et 30), amélioration continue des formations.
• Base légale : obligation légale (art. 6.1.c) — Référentiel National Qualité.

Les durées de conservation sont fixées en fonction de la finalité du traitement et des obligations réglementaires applicables. Au terme de la durée, les données sont effacées ou anonymisées de façon irréversible.

• Prospects et leads commerciaux (CRM) : 3 ans à compter du dernier contact effectif (recommandation CNIL pour la prospection B2C). Au-delà, archivage intermédiaire ou suppression.
• Données pédagogiques de stagiaires inscrits : 10 ans à compter de la fin de la formation (obligation Qualiopi + conservation comptable).
• Réclamations et questionnaires de satisfaction Qualiopi : 10 ans (RNQ).
• Données techniques de connexion (logs serveur) : 13 mois maximum (recommandation CNIL).
• Cookies analytiques anonymisés (GA4) : 2 ans maximum, hors préférences utilisateur.
• Cookies de mémorisation du choix de consentement (zd_consent_v1) : 13 mois maximum (CNIL).

[TODO Naïm — confirmer ces durées avant audit Qualiopi blanc du 22/06/2026. Les valeurs ci-dessus correspondent aux recommandations standard CNIL/Qualiopi mais doivent être validées dans le registre des traitements interne.]

Vos données peuvent être traitées par les sous-traitants techniques listés ci-dessous, dans le strict cadre des finalités énoncées. Aucun sous-traitant n'est autorisé à utiliser vos données pour son propre compte (art. 28 RGPD, clauses contractuelles types ou DPA en place).

Sous-traitants en Union européenne

• Hetzner Online GmbH (Allemagne) — hébergement infrastructure (VPS, base de données). Datacenters en UE.
• Supabase (UE) — base de données CRM et LMS (source de vérité). Région UE configurée. [TODO Naïm — confirmer la région exacte du projet Supabase via le dashboard.]
• Brevo (France) — envoi d'emails transactionnels et marketing, gestion des contacts. Société française, hébergement UE.
• Bunny.net (Slovénie, EU Frankfurt) — diffusion des vidéos pédagogiques, stockage des fichiers (chat LMS, assignments). Zone EU Frankfurt confirmée.

Sous-traitants hors Union européenne

Les transferts hors UE sont encadrés par les clauses contractuelles types (Standard Contractual Clauses, art. 46 RGPD) et, le cas échéant, par les décisions d'adéquation de la Commission européenne. Liste des sous-traitants concernés :

• Google LLC (États-Unis) — Google Analytics 4 (mesure d'audience anonymisée), Google Tag Manager (gestion balises), Google Ads (suivi des conversions publicitaires). Données minimisées : IP anonymisée, pas de Google Signals, pas de personnalisation publicitaire activée. Recueil de consentement explicite préalable.
• Microsoft Corporation (États-Unis) — Microsoft Clarity (heatmaps, session replays anonymisés). Masquage natif des champs sensibles. Recueil de consentement explicite préalable.
• Calendly LLC (États-Unis) — prise de rendez-vous (bilan pédagogique, RDV individuels). Mécanisme DPA + SCC en place. [TODO Naïm — vérifier la version courante du DPA Calendly et signer si nécessaire.]
• Zapier Inc. (États-Unis) — webhook sortant pour 4 reasons de lead-magnet (hack, roadmap, pentest, llm). Données transitant : prénom, email, téléphone, source.
• eWebinar (États-Unis) — plateforme de webinaires automatisés. Inscription, créneau choisi, lien de participation.
• Telegram Messenger Inc. (international) — transport de notifications vers le téléphone du formateur (chat LMS) et console interne. Aucun stagiaire n'est invité à communiquer directement via Telegram.
• OpenAI Inc. (États-Unis) — modèles de langage utilisés par le chat pédagogique LMS, uniquement après inscription effective d'un stagiaire. Mode « zero data retention » négociable selon le plan API. [TODO Naïm — confirmer l'option zero data retention ou documenter la durée de rétention OpenAI.]

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) — obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (art. 16) — corriger une donnée inexacte ou incomplète.
• Droit à l'effacement (art. 17) — sous réserve des obligations légales de conservation (Qualiopi, comptable).
• Droit à la limitation (art. 18) — geler le traitement le temps d'une vérification.
• Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré, ou les faire transférer à un autre responsable.
• Droit d'opposition (art. 21) — vous opposer pour des motifs tenant à votre situation particulière. Opposition de plein droit pour la prospection commerciale.
• Droit de retrait du consentement (art. 7.3) — à tout moment, sans affecter la licéité du traitement effectué avant retrait. Notamment : retirer le consentement aux cookies depuis le bandeau (« revenir sur mes choix »).
• Directives post-mortem (article 85 LIL) — définir le sort de vos données après votre décès.

Comment exercer vos droits ?

Par email à contact@zerodaycyberacademy.com ou par courrier postal à l'adresse du siège social. Une justification d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur (art. 12.6 RGPD).

Engagement de réponse dans un délai d'un mois à compter de la réception, prolongeable de deux mois en cas de demande complexe (art. 12.3 RGPD).

Réclamation auprès de la CNIL

En cas de désaccord persistant sur le traitement de vos données, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (autorité de contrôle française) : cnil.fr/fr/plaintes.

Conformément à la délibération CNIL n° 2020-091 du 17 septembre 2020 et à la recommandation 2020-092, le site sollicite votre consentement explicite avant tout dépôt de cookie non strictement nécessaire à son fonctionnement.

Catégories de cookies utilisées

• Strictement nécessaires (sans consentement, dispensés par la CNIL) : cookies de session, jeton d'authentification administrateur, mémorisation du choix de consentement (zd_consent_v1), identifiant anonyme de lead pour les formulaires multi-étapes.
• Mesure d'audience (consentement requis) : Google Analytics 4 (_ga, _ga_*), Microsoft Clarity (_clck, _clsk, etc.). Voir le détail dans les sections dédiées des mentions légales GA4 et Microsoft Clarity.
• Marketing publicitaire (consentement requis) : Google Tag Manager pour le suivi des conversions Google Ads. Aucun cookie publicitaire n'est déposé sans consentement explicite.
• Vidéos intégrées (consentement requis) : cookies déposés par Bunny.net et Vimeo lorsque vous lancez la lecture d'une vidéo embarquée.

Comment retirer ou modifier votre consentement ?

Vous pouvez à tout moment supprimer le cookie zd_consent_v1 dans les paramètres de votre navigateur : à votre prochaine visite, le bandeau réapparaîtra et vous pourrez exprimer un nouveau choix. Le retrait du consentement n'affecte pas la licéité du traitement effectué avant retrait (art. 7.3 RGPD).

Conformément à l'article 32 RGPD, ITDEVFR IT DEV FRANCE met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

• Chiffrement TLS de bout en bout entre le navigateur et le serveur (HTTPS forcé, HSTS).
• Hébergement souverain européen (Hetzner DE) avec accès restreint au panneau d'administration.
• Authentification administrateur par mot de passe (scrypt OWASP-aligned) et JWT signé HMAC-SHA256, cookies httpOnly + Secure + SameSite=Strict.
• Verrouillage automatique après échecs d'authentification répétés. Journal d'audit conservé 10 ans pour les actions sensibles.
• Sauvegardes régulières de la base de données (politique de sauvegarde tenue par l'hébergeur).