Politique de confidentialité de CertyAcademy
Quelles données CertyAcademy traite, pourquoi, combien de temps, et comment exercer vos droits.
Version : CERTYACADEMY-LEGAL-2026-10-25
1. Responsable du traitement
Le responsable du traitement est l’éditeur de CertyAcademy : Benjelloun Consulting, Audit et Expertise, S.A.R.L. AU au capital de 100 000 MAD, siège : Immeuble Perla Oficinas, angle rue Oujda et rue Tantan, 1er étage n° 5, Tanger (Maroc), RC Tanger 540409, ICE 003019492000082. Pour toute question ou demande sur vos données : contact@certynex.com.
Lorsqu’une société ou un cabinet vous invite, il est responsable du traitement pour le suivi de formation qu’il organise pour ses collaborateurs ; pour ce suivi, CERTYNEX agit comme son sous-traitant, dans le cadre du contrat de groupe.
Représentant dans l’Union européenne (article 27 du RGPD) : en cours de désignation ; dans l’attente, vos demandes sont reçues à contact@certynex.com.
2. Données traitées
Compte : prénom, nom, adresse e-mail, langue préférée, mot de passe conservé uniquement sous forme d’empreinte (argon2id), date de confirmation de l’adresse, version et date d’acceptation des CGU et de la présente politique.
Groupe : type (société ou cabinet), raison sociale, ICE si vous l’indiquez, rôles, unités, invitations, parcours assignés, version et date du texte d’information du suivi par le groupe et, si vous l’avez donné, consentement au suivi détaillé (version, date).
Apprentissage : réponses aux exercices, leçons lues, résultats d’examens et de quiz, temps passé estimé sur les pages des parcours (compté lorsque la page est affichée et que vous êtes actif) et date de dernière activité.
Sécurité : sessions (empreinte du jeton seulement), codes de connexion (empreinte seulement, 10 minutes), journal de sécurité où l’adresse e-mail et l’adresse IP figurent sous forme d’empreinte (donnée pseudonymisée, qui reste une donnée personnelle).
Registre des essais : empreinte (HMAC, calculée avec une clé secrète) de l’adresse e-mail d’un particulier, ou de la raison sociale et de l’ICE d’un groupe, pour empêcher les essais répétés. Cette donnée pseudonymisée n’est pas effacée avec le compte.
Demandes d’accès : nom, adresse e-mail, formule, organisation, nombre de licences, message et adresse IP sous forme d’empreinte ; une copie est adressée par e-mail à contact@certynex.com.
Journaux d’administration : actions des administrateurs d’un groupe (invitations, rôles, désactivations, parcours), visibles par les administrateurs du groupe, et actions de l’administration CERTYNEX (ouverture d’accès, essais accordés). Lorsqu’un administrateur supprime son compte, ses actions restent dans le journal sous la mention « Ancien administrateur », sans donnée permettant de l’identifier.
3. Finalités et bases légales
Fournir le service, votre parcours et votre progression sur tous vos appareils : exécution du contrat.
Sécuriser les comptes, prévenir les abus (limitations de tentatives, adresses jetables refusées) et diagnostiquer les incidents : intérêt légitime.
Permettre à un groupe de suivre la formation de ses collaborateurs : intérêt légitime du groupe à organiser et suivre la formation qu’il met en place, pour le suivi de base (formations assignées, leçons terminées, résultats d’examen) ; consentement, que vous pouvez refuser ou retirer sans conséquence sur votre accès, pour le suivi détaillé (scores aux quiz, temps passé estimé, dernière activité).
Empêcher les essais gratuits répétés (registre des essais) : intérêt légitime.
Répondre à une demande d’accès complet : mesures précontractuelles prises à votre demande.
Tenir les journaux d’administration : intérêt légitime (traçabilité et sécurité).
4. Destinataires
Vous-même ; les administrateurs et responsables d’équipe autorisés de votre groupe, dans les limites du texte d’information affiché lors de l’adhésion pour le suivi de base et, pour le suivi détaillé, du consentement que vous avez donné ; nos sous-traitants techniques, pour l’exécution du service. Vos données ne sont ni vendues ni utilisées à des fins publicitaires.
5. Hébergement et sous-traitants
Application : Vercel Inc. (États-Unis), fonctions exécutées à Francfort (Allemagne). Base de données : PostgreSQL hébergé par Neon (États-Unis) dans l’Union européenne (Francfort, Allemagne). E-mails transactionnels (codes de connexion, réinitialisation, invitations, demandes d’accès) : Brevo (France), sans pixel ni lien de suivi.
Vercel et Neon étant des sociétés américaines, un accès à vos données depuis les États-Unis ne peut être exclu. Ces transferts sont encadrés par les garanties contractuelles prévues dans les accords de traitement des données de ces prestataires. Pour les données relevant de la loi n° 09-08, les formalités de transfert auprès de la CNDP sont en cours.
6. Durées de conservation
Compte et données d’apprentissage : tant que vous utilisez le service ; effacés après 3 ans sans connexion, ou sur votre demande.
Inscription dont le code n’a pas été saisi : 7 jours. Invitation non acceptée : 90 jours. Journal de sécurité : 12 mois.
Registre des essais : 3 ans à compter du début de l’essai, y compris après la suppression du compte. Demandes d’accès : 12 mois, copie adressée par e-mail comprise. Journaux d’administration du groupe et de CERTYNEX : 12 mois.
Code de connexion : 10 minutes. Lien de réinitialisation du mot de passe : 30 minutes. Session : fermée après 30 minutes d’inactivité, 12 heures au plus.
7. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de portabilité, d’opposition et de limitation, et pouvez retirer à tout moment votre consentement au suivi détaillé par un groupe.
Depuis la page Compte, vous exportez vos données (fichier JSON) et effacez votre compte (sous réserve du registre des essais et des journaux décrits au § 6). Pour toute autre demande : contact@certynex.com ; nous répondons dans un délai d’un mois.
Vous pouvez aussi introduire une réclamation auprès de l’autorité de protection des données compétente : la CNDP (www.cndp.ma) au Maroc ou, si vous résidez dans l’Union européenne, l’autorité de protection des données de votre pays de résidence.
8. Loi n° 09-08 (Maroc)
Pour les personnes et les traitements relevant du droit marocain, le traitement est soumis à la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Les formalités auprès de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) sont en cours.
9. Sécurité
Mots de passe hachés (argon2id), codes et jetons conservés sous forme d’empreinte, connexions chiffrées, cookies de session protégés (httpOnly, Secure), code demandé à chaque connexion, limitation des tentatives et déconnexion après inactivité.
11. Modifications
Cette politique peut évoluer ; chaque version porte un numéro. En cas de changement important, nous vous en informons.