Politique de confidentialité

Le responsable du traitement est l'éditeur du site Profawz (voir mentions légales).

Pour toute question concernant vos données : contact@profawz.fr

Profawz collecte uniquement les données strictement nécessaires au service :

• Compte utilisateur : nom, prénom, e-mail, numéro de téléphone, mot de passe (haché bcrypt — jamais en clair), niveau (1^ère ou 2^ème année BTS pour les alternants)
• Compte responsable de formation : nom de l'établissement
• Bilans d'alternance : entreprise d'accueil, dates, compétences, photos, observations rédigées par l'alternant
• Évaluations pédagogiques (cours / TPs) : intitulé, date, évaluations de compétences saisies par le formateur
• Bilans de fin de semestre : note, synthèse, compétences validées / à acquérir, archivés par année scolaire
• Bulletins : notes par matière, appréciations, pièces jointes (PDF) téléversés par le responsable
• Messages internes : conversations directes, conversations de groupe, échanges avec le tuteur d'entreprise (texte + pièces jointes)
• Tuteurs entreprise : nom, prénom, e-mail, téléphone, entreprise (uniquement lorsqu'un tuteur évalue ou réserve un RDV)
• Réservations d'agenda : créneaux horaires, identité du tuteur, lien visio facultatif
• Données techniques : adresse IP (logs de connexion / sécurité brute-force), user-agent (navigateur)

Aucune donnée sensible (origine ethnique, santé, opinion politique, etc.) n'est collectée. Aucune donnée bancaire n'est collectée ni traitée par la plateforme : le règlement de l'accès se fait hors plateforme dans le cadre d'une convention bilatérale.

• Dossiers étudiants (profil, bilans, évaluations, bulletins, messages) : conservés pendant la formation puis anonymisés automatiquement 12 mois après la fin de la formation (date de fin de la promotion ou de clôture de l'inscription). Le responsable de formation est alerté 60, 30 et 7 jours avant. Les statistiques pédagogiques restent disponibles sous forme anonyme.
• Demande de suppression d'un compte : exécutée 30 jours après la demande (délai d'annulation), puis effacement ou anonymisation des données personnelles.
• Fermeture d'un établissement : suppression des comptes et contenus de l'établissement ; seules la dénomination de l'établissement, l'identité du contact et les règlements sont conservés.
• Pièces comptables et règlements : 10 ans (art. L123-22 du Code de commerce).
• Journal d'audit (actions sensibles, connexions) : [À COMPLÉTER — durée retenue, recommandée : 12 mois].
• Tentatives de connexion échouées : 1 heure (purge automatique).

Vos données ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales. Elles sont accessibles uniquement :

• aux utilisateurs autorisés au sein de votre établissement (responsable, formateurs, alternants concernés selon leur rôle) ;
• au tuteur entreprise lorsqu'un alternant lui transmet son code tuteur ;
• à l'éditeur de Profawz pour des opérations de support technique ou pour la suspension manuelle d'un établissement (cf. CGV § 04).

Sous-traitants RGPD :

• Hébergement de l'application et de la base de données : [À COMPLÉTER — nom du prestataire et région d'hébergement]
• Resend Inc. (e-mails transactionnels, États-Unis — encadré par les clauses contractuelles types de la Commission européenne, CCT 2021/914)

Aucun prestataire de paiement n'intervient : aucune donnée bancaire ne transite ni n'est stockée par Profawz.

• Mots de passe stockés en bcrypt (jamais en clair, irréversible).
• Communications chiffrées en HTTPS / TLS 1.2+ de bout en bout.
• Cookies de session httpOnly + secure + SameSite=None (immune au vol par XSS).
• Protection brute-force : 10 tentatives max par compte en 15 min.
• Données séparées par établissement (isolation multi-tenant stricte par establishment_id).
• Suspension manuelle par l'éditeur : possibilité de bloquer instantanément l'accès de tout l'établissement (responsable + formateurs + alternants) sans suppression des données.
• Journal d'audit des actions sensibles (connexions, suppressions, changements de statut, accès administrateur).
• Sauvegardes : [À COMPLÉTER — fréquence et durée de conservation des sauvegardes].

Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment des droits suivants :

• Droit d'accès à vos données personnelles (art. 15) ;
• Droit de rectification de toute donnée inexacte (art. 16) ;
• Droit à l'effacement (« droit à l'oubli », art. 17) — depuis « Mon compte » → « Données et confidentialité » (exécution après un délai de 30 jours, annulable) ;
• Droit à la limitation du traitement (art. 18) ;
• Droit à la portabilité (art. 20) — export immédiat au format JSON depuis « Mon compte » → « Données et confidentialité » ;
• Droit d'opposition au traitement pour motif légitime (art. 21) ;
• Droit de retirer votre consentement à tout moment.

Pour exercer l'un de ces droits, écrivez à contact@profawz.fr en justifiant de votre identité. Réponse sous 30 jours maximum.

En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

Profawz n'utilise aucun cookie publicitaire ni de mesure d'audience. Seuls les cookies strictement nécessaires (session de connexion) sont déposés. Détail dans la politique cookies.

Les données opérationnelles sont stockées en Union européenne. Seul le service e-mail Resend est basé aux États-Unis : il est encadré par les clauses contractuelles types de la Commission européenne (CCT 2021/914) garantissant un niveau de protection équivalent.

Cette politique peut être mise à jour. Toute modification substantielle sera notifiée par e-mail aux comptes responsables au moins 15 jours avant son entrée en vigueur.