Politique de confidentialité · EDERLÉ FORMATION

1. Préambule

EDERLÉ FORMATION édite une plateforme en mode SaaS dédiée aux organismes de formation certifiés Qualiopi exerçant dans le secteur sportif : associations, clubs, fédérations, comités départementaux. La plateforme couvre le cycle complet d'une formation : catalogue public, inscriptions, conventions, plannings, émargement, évaluations et conformité au Référentiel National Qualité.

Cette politique s'applique à toute personne qui :

navigue sur le site vitrine d'EDERLÉ FORMATION ;
crée un compte (apprenant, formateur, administrateur, financeur, auditeur) ;
s'inscrit à une formation référencée sur la plateforme ;
nous adresse un message via le formulaire de contact ou de réclamation ;
est mentionné dans un dossier de formation géré par un organisme client.

Le présent document est daté et versionné. Sa dernière mise à jour est indiquée en tête. Toute évolution significative donne lieu à une information préalable des utilisateurs disposant d'un compte actif (notification dans l'espace personnel et, le cas échéant, courriel).

2. Responsable de traitement et DPO

Le responsable du traitement de vos données personnelles, au sens de l'article 4.7 du RGPD, est :

Raison sociale: EDERLE (nom commercial : EDERLÉ FORMATION)
Forme juridique: Société par actions simplifiée (SAS)
Siège social: 12 rue Rameau, 78000 Versailles, France
SIRET: 103 662 151 00010
N° de déclaration d'activité: [À COMPLÉTER — NDA Préfecture de région]
Courriel de contact RGPD: [À COMPLÉTER — dpo@ederle.fr ou rgpd@ederle.fr]

Lorsque vous utilisez la plateforme dans le cadre d'une formation organisée par un organisme client (votre club, votre fédération, votre employeur, etc.), cet organisme agit également comme responsable de traitement pour les données qu'il collecte directement à votre sujet (par exemple votre inscription, votre émargement, vos évaluations). EDERLÉ FORMATION intervient alors comme sous-traitant de cet organisme au sens de l'article 28 du RGPD, dans le cadre d'un contrat de sous-traitance dédié.

Délégué à la protection des données

Conformément aux articles 37 à 39 du RGPD, un point de contact dédié à la protection des données est mis en place. Vous pouvez le solliciter pour toute question relative au traitement de vos données ou à l'exercice de vos droits.

Désignation: [À COMPLÉTER — DPO obligatoire (art. 37 RGPD) ou désignation volontaire]
Nom / fonction: [À COMPLÉTER — nom du DPO ou intitulé du point de contact RGPD]
Courriel dédié: [À COMPLÉTER — dpo@ederle.fr]
Adresse postale: EDERLE — À l'attention du DPO, 12 rue Rameau, 78000 Versailles
N° d'enregistrement CNIL: [À COMPLÉTER si DPO obligatoire — n° de désignation auprès de la CNIL]

3. Données que nous collectons

EDERLÉ FORMATION applique le principe de minimisation : nous ne collectons que les données strictement nécessaires aux finalités décrites au paragraphe 4. Les catégories suivantes peuvent être collectées selon votre usage de la plateforme.

Données d'identification : civilité, nom, prénom, date de naissance lorsqu'elle conditionne l'accès à une formation (majorité, prérequis d'âge fédéral), genre lorsque l'attestation réglementaire l'exige.
Coordonnées : adresse postale, adresse électronique, numéro de téléphone.
Données de compte : identifiant, mot de passe stocké sous forme hachée (Argon2id), historique des connexions, paramètres d'authentification à double facteur lorsqu'ils sont activés.
Données professionnelles et pédagogiques : fonction, structure de rattachement, parcours antérieur, prérequis déclarés, expériences sportives, pièces justificatives (carte professionnelle d'éducateur sportif, attestations PSC1/PSE1, diplômes fédéraux).
Données financières : informations de facturation, financeur mobilisé (OPCO, France Travail, employeur, autofinancement), montants pris en charge et reste à charge. EDERLÉ FORMATION ne stocke aucune donnée de carte bancaire : les paiements éventuels transitent par un prestataire spécialisé conforme PCI-DSS.
Données d'assiduité et d'émargement : horodatage d'arrivée et de départ, statut de présence, signature électronique horodatée. La géolocalisation peut être collectée pour vérifier la présence sur le lieu de formation, exclusivement après votre consentement explicite et avec une précision adaptée (ville/lieu).
Données d'évaluation : réponses aux questionnaires de positionnement, d'acquis, de satisfaction à chaud et à froid (J+30, J+90). Ces réponses peuvent être pseudonymisées pour les analyses statistiques agrégées.
Données techniques de navigation : adresse IP, identifiant de session, type de navigateur et système d'exploitation, pages consultées, journaux d'audit applicatifs. Ces données servent la sécurité de la plateforme et la traçabilité Qualiopi.
Données issues d'un échange direct : message envoyé via le formulaire de contact, contenu d'une réclamation et pièces jointes éventuelles.

EDERLÉ FORMATION ne collecte pas de catégories particulières de données au sens de l'article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses, données de santé, etc.), sauf situation strictement nécessaire à une obligation légale ou à une formation aux premiers secours (PSC1/PSE1). Dans ce cas, le traitement fait l'objet d'une garantie spécifique (analyse d'impact AIPD, art. 35 RGPD) et de mesures de sécurité renforcées.

La très grande majorité de vos données est collectée directement auprès de vous. Certaines peuvent l'être indirectement (article 14 RGPD), notamment lorsque votre employeur ou votre organisme de rattachement vous inscrit à une session de formation. Dans ce cas, nous vous informons dans un délai d'un mois à compter de la collecte ou, au plus tard, lors de la première communication adressée.

4. Pour quelles finalités et sur quelles bases légales

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale précise. Le tableau ci-dessous récapitule, pour chacun des traitements mis en œuvre par EDERLÉ FORMATION, la finalité poursuivie, la base légale invoquée, les catégories de données et de destinataires concernés, ainsi que la durée de conservation appliquée.

Inventaire des traitements EDERLÉ FORMATION
Traitement	Finalité	Base légale	Catégories de données	Destinataires	Durée de conservation
Compte utilisateur	Permettre l'accès à la plateforme et l'authentification.	Contrat — art. 6.1.b	Identité, courriel, mot de passe haché, journaux de connexion, paramètres 2FA.	Organisme de formation rattaché, équipe technique EDERLÉ FORMATION.	Durée d'activité du compte + 3 ans après la dernière connexion, puis suppression ou anonymisation.
Inscription à une formation	Exécuter la convention tripartite de formation, gérer le dossier administratif et pédagogique.	Contrat — art. 6.1.b	Identité, coordonnées, expérience, prérequis, pièces justificatives, données de financement.	Organisme de formation, financeur (OPCO, employeur, etc.) lorsqu'applicable.	Durée de la formation + 10 ans (CNIL, délibération n° 2018-264 ; obligations Qualiopi et comptables).
Émargement	Apporter la preuve d'assiduité exigée par le Code du travail et par le financeur.	Obligation légale — art. 6.1.c (art. L.6353-1 Code du travail)	Identité, signature électronique, horodatage, géolocalisation optionnelle avec consentement explicite.	Organisme de formation, financeur, auditeur Qualiopi, tiers d'horodatage (TSA).	10 ans à compter de la fin de la session.
Évaluations	Suivre la qualité pédagogique, mesurer la satisfaction, justifier la certification Qualiopi.	Intérêt légitime — art. 6.1.f + obligation Qualiopi	Réponses aux questionnaires, scores, synthèses, commentaires libres.	Organisme de formation, organisme certificateur Qualiopi en cas d'audit.	Durée de la formation + 3 ans ; 5 ans pour les preuves présentées à l'auditeur Qualiopi (cycle de certification).
Réclamations (Ind. 31 RNQ)	Recueillir, instruire et tracer le traitement d'une insatisfaction.	Obligation légale — art. 6.1.c (obligation Qualiopi)	Identité, coordonnées, formation et session concernées, description, pièces jointes.	Organisme de formation, auditeur Qualiopi.	5 ans (cycle de certification Qualiopi).
Mesure d'audience anonymisée	Établir des statistiques agrégées de fréquentation du site vitrine.	Consentement — art. 6.1.a ou exemption CNIL si conformité au référentiel	Pages consultées, durée, type de terminal, identifiant tronqué et anonymisé.	Organisme de formation (interne) ; aucun transfert tiers à des fins publicitaires.	13 mois maximum (durée recommandée par la CNIL).
Formulaire de contact et newsletter	Répondre à une demande, transmettre des informations sur les formations.	Consentement — art. 6.1.a	Identité, courriel, sujet, message libre.	Équipe commerciale et pédagogique de l'organisme.	12 mois après le dernier échange ou la dernière interaction, sauf inscription effective à une formation.
Signature électronique (convention, émargement)	Apporter une force probante aux documents contractuels et aux preuves d'assiduité.	Contrat — art. 6.1.b + règlement eIDAS	Identité, signature électronique, jeton d'horodatage qualifié, traces d'audit.	Organisme de formation, prestataire de signature et tiers d'horodatage.	10 ans (article 1366 du Code civil, force probante des écrits électroniques).
Compte formateur	Gérer l'intervention pédagogique, vérifier les habilitations et qualifications.	Contrat — art. 6.1.b	Identité, coordonnées, diplômes (BPJEPS, DEJEPS, etc.), habilitations PSC1/PSE1, carte professionnelle d'éducateur sportif, RIB.	Organisme de formation, auditeur Qualiopi.	Durée du contrat d'intervention + 5 ans pour les preuves de qualification (Ind. 16-17 Qualiopi).
Aménagement de parcours (Ind. 22 RNQ)	Adapter le parcours aux besoins liés à un handicap déclaré.	Obligation légale — art. 6.1.c (loi 2005 ; certification Qualiopi)	Description de l'aménagement, décision motivée, référent handicap.	Organisme de formation, référent handicap, auditeur Qualiopi.	Durée de la formation + 5 ans, puis anonymisation.
Journal d'audit applicatif	Tracer les accès et actions sensibles pour la sécurité et la conformité Qualiopi.	Intérêt légitime — art. 6.1.f	Identifiant utilisateur, action effectuée, horodatage, adresse IP, agent.	Administrateurs habilités, auditeur en cas de contrôle.	13 mois pour les journaux courants, conservation prolongée en cas d'incident jusqu'à clôture.

EDERLÉ FORMATION ne procède à aucune prise de décision entièrement automatisée produisant des effets juridiques à votre encontre, au sens de l'article 22 du RGPD. L'éventuel score de positionnement ou la décision d'acquis d'une formation reste toujours validé par un formateur ou un responsable pédagogique humain. Aucun profilage à finalité commerciale n'est mis en œuvre.

5. Combien de temps conservons-nous vos données

Les durées indiquées au tableau précédent sont appliquées techniquement : à l'issue de la durée prévue, un traitement automatisé mensuel procède soit à l'anonymisation des données (lorsqu'une obligation légale impose la conservation des seules informations non personnelles, par exemple à des fins comptables ou Qualiopi), soit à leur suppression définitive.

Le principe applicable est le suivant :

Données contractuelles et comptables : 10 ans, en application des articles L.123-22 du Code de commerce et 102 B du Livre des procédures fiscales.
Données pédagogiques Qualiopi : durée alignée sur le cycle de certification (5 ans) pour les preuves présentées à l'auditeur, et 10 ans pour les preuves d'assiduité.
Données de prospection commerciale (newsletter, contact) : 12 mois à compter du dernier contact, conformément aux recommandations de la CNIL.
Cookies et traceurs : 13 mois maximum pour la durée de vie d'un cookie de mesure d'audience ; 13 mois maximum pour le stockage de votre choix de consentement.
Comptes inactifs : un compte sans connexion depuis 3 ans est notifié par courriel, puis anonymisé ou supprimé à défaut de réactivation.

6. À qui transmettons-nous vos données

Vos données ne sont jamais vendues ni louées. Elles sont accessibles à un cercle restreint et déterminé de destinataires, selon le strict principe du « besoin d'en connaître ».

6.1 Destinataires internes et clients

L'organisme de formation auprès duquel vous êtes inscrit ou pour lequel vous intervenez : équipe administrative, équipe pédagogique, référent handicap.
Le financeur (OPCO, employeur, France Travail) lorsque votre formation est financée via un dispositif tiers : pour les besoins de la prise en charge, du suivi et du contrôle.
L'organisme certificateur Qualiopi et tout auditeur mandaté, dans le cadre des audits de certification ou de surveillance.
Les équipes techniques d'EDERLÉ FORMATION, sur la base d'un accès tracé et strictement limité aux interventions nécessaires.

6.2 Sous-traitants (article 28 RGPD)

EDERLÉ FORMATION recourt à des sous-traitants techniques pour la bonne exécution de la plateforme. Chacun d'entre eux est lié par un contrat de sous-traitance (Data Processing Agreement) conforme à l'article 28 du RGPD, qui encadre la nature, la finalité, la durée et les mesures de sécurité applicables au traitement.

Liste des sous-traitants principaux
Sous-traitant	Rôle	Localisation des données
OVH SAS	Hébergement de l'application et des bases de données.	Roubaix, France.
Digicert	Service d'horodatage qualifié (tiers de confiance — TSA), prestataire principal.	Union européenne.
Universign	Service d'horodatage qualifié (TSA), prestataire de repli.	France.
Service d'envoi de courriels transactionnels	Acheminement des courriels de confirmation, convocations, notifications.	[À COMPLÉTER — OVH Email Pro / Mailjet / SendGrid / autre]
Prestataire de signature électronique	Signature électronique avancée ou qualifiée des conventions et émargements.	[À COMPLÉTER — arbitrage A7 du C0 : Yousign, Universign ou DocuSign EU]
Outil de mesure d'audience	Statistiques anonymisées de fréquentation du site vitrine.	[À COMPLÉTER — Matomo auto-hébergé / Plausible / autre, après arbitrage C12.6]
Polices d'écriture et ressources statiques	Diffusion des polices et icônes affichées par le site.	[À COMPLÉTER — auto-hébergement prévu (P0 #4)]

La liste des sous-traitants est susceptible d'évoluer. Toute évolution significative est mentionnée dans une mise à jour de la présente politique. Vous pouvez à tout moment demander la version à jour de la liste auprès du point de contact RGPD indiqué au paragraphe 2.

6.3 Autorités publiques

Vos données peuvent être communiquées à toute autorité publique légalement habilitée à en demander la transmission (notamment dans le cadre d'une procédure judiciaire, d'un contrôle URSSAF, ou d'un contrôle de l'inspection du travail concernant la formation professionnelle continue).

7. Hébergement et transferts hors UE

L'intégralité des données traitées par EDERLÉ FORMATION est hébergée en France, sur l'infrastructure de la société OVH SAS, dans son centre de données de Roubaix. Les sauvegardes chiffrées sont également conservées en France ou, à défaut, dans un autre État membre de l'Union européenne.

À ce jour, EDERLÉ FORMATION ne procède à aucun transfert de données vers un pays situé en dehors de l'Espace économique européen. Si une évolution future devait conduire à un tel transfert (par exemple via un sous-traitant nouvellement contracté), elle serait préalablement :

encadrée par une décision d'adéquation de la Commission européenne, ou à défaut par les clauses contractuelles types adoptées par la Commission (art. 46 RGPD) ;
mentionnée dans une mise à jour de la présente politique, avec information préalable des personnes concernées ;
évaluée au regard du Transfer Impact Assessment recommandé par la CNIL depuis l'arrêt Schrems II.

8. Sécurité des données

EDERLÉ FORMATION met en œuvre des mesures de sécurité techniques et organisationnelles destinées à préserver la confidentialité, l'intégrité et la disponibilité des données traitées, en cohérence avec l'article 32 du RGPD et le référentiel OWASP Top 10.

Chiffrement en transit : toutes les communications entre vos terminaux et la plateforme sont chiffrées via TLS (HTTPS) avec en-tête HSTS activé.
Chiffrement au repos : les bases de données et sauvegardes sont chiffrées au niveau du stockage (AES-256). Les données les plus sensibles (numéros de carte professionnelle, secrets de double authentification) bénéficient en outre d'un chiffrement applicatif.
Mots de passe : stockés sous forme hachée (Argon2id), comparés à la base Have I Been Pwned au moment de leur définition pour bloquer les mots de passe compromis (article 4.1 de la délibération CNIL 2022-100).
Double authentification (2FA) : obligatoire pour tout compte administrateur de la plateforme.
Journal d'audit : les actions sensibles (consultation de données personnelles, modification de droits, export massif) sont tracées dans un journal chaîné par signature cryptographique afin d'empêcher toute altération.
Filtrage et durcissement : en-têtes HTTP de sécurité (CSP, X-Frame-Options, Permissions-Policy), limitation du débit (rate limiting) sur les points sensibles, antivirus et contrôle des fichiers téléversés par magic bytes.
Tests d'intrusion : un test d'intrusion externe (pentest) est réalisé annuellement par un prestataire qualifié, complété d'audits automatisés en continu.
Procédure de violation de données : EDERLÉ FORMATION dispose d'une procédure interne permettant, en cas de violation, de notifier la CNIL dans un délai maximum de 72 heures (article 33 du RGPD) et, si nécessaire, d'informer individuellement les personnes concernées (article 34).

9. Vos droits

Le RGPD et la loi Informatique et Libertés vous reconnaissent des droits que vous pouvez exercer à tout moment, gratuitement, auprès d'EDERLÉ FORMATION. Lorsque vous disposez d'un compte, ces droits sont également accessibles directement depuis votre espace personnel, rubrique « Mes données ».

Droit d'accès (art. 15)

Obtenir la confirmation que des données vous concernant sont traitées, et en recevoir une copie au format JSON et PDF.

Droit de rectification (art. 16)

Faire corriger une donnée inexacte ou compléter une donnée incomplète vous concernant.

Droit à l'effacement (art. 17)

Demander la suppression de vos données, sous réserve des obligations légales de conservation (par exemple, 10 ans pour les preuves d'assiduité).

Droit à la limitation (art. 18)

Demander la suspension temporaire d'un traitement, par exemple le temps qu'une contestation soit instruite.

Droit d'opposition (art. 21)

Vous opposer, pour des raisons tenant à votre situation, à un traitement fondé sur l'intérêt légitime ; et à tout moment, sans motif, à toute prospection commerciale.

Droit à la portabilité (art. 20)

Récupérer dans un format structuré et lisible par machine les données que vous nous avez fournies, et les transmettre à un autre responsable de traitement.

Retrait du consentement (art. 7)

Retirer à tout moment un consentement précédemment donné (newsletter, géolocalisation, cookies non essentiels). Ce retrait ne remet pas en cause les traitements antérieurs.

Directives post-mortem

Définir le sort de vos données après votre décès (loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, art. 85 de la loi Informatique et Libertés).

Comment exercer vos droits ? Trois canaux sont à votre disposition :

directement depuis votre espace personnel, rubrique « Mes données » (export, rectification, suppression de compte, opposition à la prospection) ;
en adressant un message au point de contact RGPD à l'adresse [À COMPLÉTER — dpo@ederle.fr] ;
par courrier postal à l'adresse mentionnée au paragraphe 2.

Afin de prévenir toute usurpation, une vérification de votre identité peut être demandée en cas de doute raisonnable (art. 12.6 RGPD). Votre demande est traitée dans un délai maximum d'un mois, prolongeable de deux mois en cas de complexité particulière (art. 12.3 RGPD). Vous recevez un accusé de réception immédiat.

Si un droit ne peut être pleinement satisfait (par exemple, suppression partielle en raison d'une obligation de conservation Qualiopi), la décision vous est notifiée et motivée, accompagnée de la mention des voies de recours dont vous disposez.

10. Cookies

Le site EDERLÉ FORMATION utilise un nombre limité de cookies et traceurs, présentés en détail dans notre politique de cookies. Seuls les cookies strictement nécessaires au fonctionnement du service (authentification, sécurité, mémorisation de votre choix de consentement) sont déposés sans votre accord préalable, conformément aux articles 82 de la loi Informatique et Libertés et aux lignes directrices CNIL.

Vous pouvez à tout moment modifier vos préférences cookies depuis le lien « Gérer mes cookies » présent dans le pied de page du site.

11. Réclamation auprès de la CNIL

Si, après avoir contacté EDERLÉ FORMATION, vous estimez que vos droits n'ont pas été respectés, vous disposez du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (article 77 du RGPD).

Commission: Commission nationale de l'informatique et des libertés (CNIL)
Adresse postale: 3, place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07
Téléphone: +33 (0)1 53 73 22 22
Téléservice: www.cnil.fr/plaintes

Avant de saisir la CNIL, nous vous invitons à nous contacter directement : nous nous engageons à examiner attentivement votre situation et à vous apporter une réponse motivée.

12. Modifications de la présente politique

EDERLÉ FORMATION se réserve le droit de faire évoluer la présente politique de confidentialité, notamment pour tenir compte des évolutions législatives et réglementaires, de l'ajout de nouveaux traitements ou de l'évolution de la plateforme.

Chaque version est identifiée par un numéro et une date de mise à jour, affichés en haut de la page. Les versions antérieures sont archivées et peuvent être communiquées sur demande adressée au point de contact RGPD.

En cas de modification substantielle, vous êtes informé directement (notification dans votre espace personnel et/ou courriel) au moins 15 jours avant l'entrée en vigueur de la nouvelle version, afin de vous permettre, le cas échéant, d'exercer votre droit d'opposition ou de retrait du consentement.

La présente version Version 1.0 est applicable depuis le 13 mai 2026.