Politique de confidentialité

Le responsable du traitement des données collectées via ce site est :

• Raison sociale : ITDEVFR IT DEV FRANCE
• Marque commerciale : Zeroday Cyber Academy
• Forme juridique : EURL au capital de 500 €
• Siège social : 48 rue Turgot, 59420 Mouvaux, France
• SIREN : 911 883 486. SIRET (siège) : 911 883 486 00019
• RCS Lille Métropole. Code NAF 62.02A
• Représenté par Naïm Aouaichia, gérant
• Email contact protection des données : contact@zerodaycyberacademy.com
• Téléphone : +33 6 25 58 22 70

Délégué à la protection des données (DPO)

ITDEVFR IT DEV FRANCE n'est pas soumise à l'obligation de désigner un DPO (art. 37 RGPD : autorité publique exclue, absence de suivi régulier et systématique à grande échelle, absence de traitement à grande échelle de données sensibles). Le rôle de référent protection des données est assuré directement par Naïm Aouaichia, gérant. Toute demande relative aux données personnelles peut être adressée à contact@zerodaycyberacademy.com.

Les données sont collectées au point de collecte (formulaires du site, échanges email, inscription LMS) et minimisées à ce qui est nécessaire à la finalité poursuivie (art. 5.1.c RGPD).

Données d'identification et de contact

• Catégories : prénom, nom, email, téléphone (avec indicatif international), statut professionnel renseigné librement.
• Finalités : instruction des candidatures aux formations, prise de rendez-vous, envoi des programmes pédagogiques, suivi commercial, contact à votre demande.
• Bases légales : consentement (art. 6.1.a RGPD) au moment du dépôt du formulaire ; exécution de mesures précontractuelles (art. 6.1.b) après prise de contact ; intérêt légitime (art. 6.1.f) pour le suivi d'un prospect ayant initié l'échange.

Prospection professionnelle (B2B)

• Personnes concernées : professionnels contactés à leur adresse email professionnelle, au titre de leurs fonctions.
• Origine des données : collecte au point de contact, et collecte depuis des sources accessibles au public · notamment les profils professionnels publics publiés sur des réseaux ou plateformes professionnels (réseaux sociaux professionnels, forges et plateformes de projets publiques).
• Base légale : intérêt légitime (art. 6.1.f RGPD), développement de l'activité de formation professionnelle auprès de professionnels dont les fonctions sont en rapport direct avec l'offre proposée. Le régime applicable à la sollicitation par voie électronique est celui de l'article L.34-5 du code des postes et des communications électroniques, qui dispense de consentement préalable la prospection adressée à un professionnel sur son adresse professionnelle, dès lors qu'elle concerne son activité.
• Lien personnalisé et suivi d'engagement : lorsqu'une ressource est adressée à un professionnel identifié, le lien transmis peut contenir un identifiant technique chiffré (non lisible par le destinataire) permettant de rattacher, à la personne concernée, la date d'envoi, la consultation de la page et l'éventuel dépôt de son adresse email. Cette mesure a pour seule finalité d'évaluer l'intérêt manifesté et d'adapter la pertinence des communications ultérieures. Base légale : intérêt légitime (art. 6.1.f RGPD). Aucune décision produisant des effets juridiques n'est prise sur ce seul fondement, et la personne peut s'y opposer à tout moment (voir « Opposition » ci-dessous).
• Information au titre de l'article 14 RGPD : lorsque les données n'ont pas été collectées auprès de la personne elle-même, la présente politique tient lieu d'information et le premier message adressé rappelle l'origine des données ainsi que le droit d'opposition.
• Opposition : à tout moment, sans motif, par le lien de désinscription du message ou à contact@zerodaycyberacademy.com. L'opposition est prise en compte sans délai et l'adresse est portée en liste de non-sollicitation.
• Durée de conservation : 3 ans à compter du dernier contact effectif.

Personnes inscrites volontairement

• Personnes concernées : toute personne ayant rempli un formulaire du site, candidature, demande de programme, inscription à un webinaire, accès à une ressource.
• Origine des données : collecte directe auprès de la personne, au point de collecte.
• Base légale : consentement (art. 6.1.a RGPD) au moment du dépôt du formulaire, puis exécution de mesures précontractuelles (art. 6.1.b) après prise de contact.
• Retrait du consentement : à tout moment, par le lien de désinscription ou par email, sans que cela remette en cause la licéité des traitements effectués auparavant.
• Durée de conservation : 3 ans à compter du dernier contact effectif.

Données pédagogiques (stagiaires inscrits)

• Catégories : progression des modules, devoirs déposés et notes, résultats de quiz, historique d'activité LMS (connexions, temps passé par leçon), échanges via le chat pédagogique, attestations de formation.
• Finalités : exécution du contrat de formation, suivi de l'assiduité (indicateurs Qualiopi 1, 8, 11), délivrance des attestations, amélioration continue des formations.
• Bases légales : exécution du contrat (art. 6.1.b) ; obligation légale (art. 6.1.c). Référentiel National Qualité (RNQ Qualiopi), tenue des registres et conservation comptable.

Données de financement (analyse d'éligibilité)

• Catégories : statut professionnel (TNS / salarié), type de structure (SAS, SASU, EURL, SARL, EI), pays d'immatriculation, présence de salariés, ancienneté de la structure.
• Finalité : évaluation de l'éligibilité aux dispositifs de financement professionnel (OPCO, fonds personnel, etc.), restitution d'un diagnostic interne.
• Base légale : consentement (art. 6.1.a). L'analyse n'est pas conservée à des fins de profilage ; chaque soumission donne lieu à une analyse indépendante.

Données comportementales (mesure d'audience)

Deux dispositifs distincts coexistent, avec deux bases légales différentes. La distinction est importante : elle détermine ce qui fonctionne quand vous refusez les cookies, et ce qui s'arrête.

• Mesure interne, sans outil tiers. Un identifiant technique (zdca_vid) est déposé pour tous les visiteurs afin de compter les pages vues, le temps passé sur chacune, la profondeur de lecture et les liens rompus. Les données ne quittent pas nos serveurs et ne sont transmises à aucun annonceur.
  Base légale : intérêt légitime (art. 6.1.f RGPD), connaître l'audience de notre propre site.
  Conservation : 13 mois.
• Outils tiers de mesure et de balisage. Google Analytics 4, Microsoft Clarity, Google Tag Manager : pages vues, durée de session, appareil, navigateur, localisation approximative par IP anonymisée, heatmaps et enregistrements anonymisés, UTM de campagne.
  Base légale : consentement explicite (art. 6.1.a + délibération CNIL n° 2020-091), recueilli via le bandeau de gestion des cookies. Aucun de ces outils n'est chargé tant que vous n'avez pas accepté, et le refus est aussi simple que l'acceptation.

Parcours de navigation rattaché à un prospect

Lorsque vous nous laissez vos coordonnées, candidature, demande de ressource, prise de contact, les pages consultées depuis ce navigateur sont rattachées à votre fiche, afin que la personne qui vous rappelle sache ce que vous cherchiez et ne vous fasse pas répéter.

• Catégories : pages vues, date et heure de chaque consultation, temps passé par page, canal d'arrivée.
• Finalité : préparation et personnalisation de l'échange commercial. Ces données ne servent ni au ciblage publicitaire, ni à une décision automatisée, ni à une notation.
• Base légale : intérêt légitime (art. 6.1.f RGPD) dans le cadre d'une relation commerciale que vous avez vous-même engagée.
• Conservation : 13 mois glissants. Au-delà, le parcours n'est plus consultable.
• Périmètre : la navigation dans l'espace de formation est exclue. Ce que fait un stagiaire dans ses cours relève du suivi pédagogique, jamais de la prospection.
• Votre droit d'opposition : vous pouvez vous opposer à tout moment à ce rattachement, par simple demande à contact@zerodaycyberacademy.com. Le parcours est alors dissocié de votre fiche.

Données de réclamation et de satisfaction (Qualiopi)

• Catégories : contenu de la réclamation, identité du déposant, notes et commentaires des questionnaires de satisfaction (à mi-parcours, en fin de formation, à 90 jours).
• Finalité : traçabilité Qualiopi (RNQ indicateurs 28 et 30), amélioration continue des formations.
• Base légale : obligation légale (art. 6.1.c), Référentiel National Qualité.

Lorsque vous demandez l'accès à une ressource offerte depuis la page dédiée, un compte d'accès est créé automatiquement à votre nom (adresse email), et un lien à usage unique vous est adressé par email. Ce lien vous connecte à notre plateforme d'entraînement sans que vous ayez à définir de mot de passe.

Finalités

• vous donner accès au contenu demandé et à la plateforme ;
• créer et sécuriser votre accès au moyen d'un lien à usage unique, à durée de vie limitée ;
• mesurer l'origine de votre demande (canal, campagne) afin d'évaluer la pertinence de nos actions.

Données traitées

• votre adresse email et, le cas échéant, le prénom communiqué ;
• un identifiant de compte et un jeton de lien chiffré (le jeton ne circule jamais en clair et n'expose aucune donnée lisible dans l'URL) ;
• des données d'origine (paramètres de campagne, réseau social de provenance lorsqu'il est connu, identifiant de visite).

Bases légales (proposées, à confirmer)

• Consentement (art. 6.1.a RGPD), recueilli au point de collecte, pour la création du compte et l'envoi du lien d'accès ;
• Intérêt légitime (art. 6.1.f RGPD) pour la mesure d'origine, à laquelle vous pouvez vous opposer à tout moment.

Durées de conservation (proposées, à confirmer)

• Lien d'accès : 7 jours ; un nouveau lien rend automatiquement le précédent inutilisable ;
• Compte d'accès et données d'origine : 3 ans à compter du dernier contact effectif.

Vous disposez sur ces données des mêmes droits que ceux décrits à la section « Vos droits » (accès, rectification, effacement, opposition), exerçables auprès de contact@zerodaycyberacademy.com. L'usage de la plateforme est par ailleurs régi par les conditions générales d'utilisation.

Les durées de conservation sont fixées en fonction de la finalité du traitement et des obligations réglementaires applicables. Au terme de la durée, les données sont effacées ou anonymisées de façon irréversible.

• Prospects et leads commerciaux (CRM) : 3 ans à compter du dernier contact effectif · durée identique pour la prospection professionnelle (B2B) et pour les personnes inscrites volontairement, conformément à la recommandation de la CNIL. Au-delà, archivage intermédiaire ou suppression.
• Données pédagogiques de stagiaires inscrits : 10 ans à compter de la fin de la formation (obligation Qualiopi + conservation comptable).
• Réclamations et questionnaires de satisfaction Qualiopi : 10 ans (RNQ).
• Données techniques de connexion (logs serveur) : 13 mois maximum (recommandation CNIL).
• Cookies analytiques anonymisés (GA4) : 2 ans maximum, hors préférences utilisateur.
• Cookies de mémorisation du choix de consentement (zd_consent_v1) : 13 mois maximum (CNIL).

Vos données peuvent être traitées par les sous-traitants techniques listés ci-dessous, dans le strict cadre des finalités énoncées. Aucun sous-traitant n'est autorisé à utiliser vos données pour son propre compte (art. 28 RGPD, clauses contractuelles types ou DPA en place).

Sous-traitants en Union européenne

• Hetzner Online GmbH (Allemagne) · Hébergement de l'infrastructure (serveur, base de données). Datacenters en Union européenne.
• Supabase (Union européenne) · Base de données du CRM et de l'espace de formation, source de vérité des données clients et stagiaires.
• Brevo (France) · Envoi des emails transactionnels et marketing, gestion de la base de contacts.
• Bunny.net (Slovénie, zone EU Frankfurt) · Diffusion des vidéos pédagogiques et stockage des fichiers déposés dans l'espace de formation.

Sous-traitants hors Union européenne

Pour chacun de ces transferts, un mécanisme d'encadrement est en place au sens du chapitre V du RGPD : clauses contractuelles types de la Commission européenne ou accord de traitement des données (DPA) conclu avec le sous-traitant. Le mécanisme est précisé ci-dessous lorsqu'il est nommément établi.

• Google LLC (États-Unis) · Mesure d'audience anonymisée, gestion des balises et suivi des conversions publicitaires. Adresse IP anonymisée.
• Microsoft Corporation (États-Unis) · Analyse du parcours de navigation, avec masquage natif des champs sensibles et consentement préalable.
• Calendly LLC (États-Unis) · Prise de rendez-vous (bilan pédagogique, entretiens individuels).
• Zapier Inc. (États-Unis) · Transmission sortante des demandes de ressources téléchargeables : prénom, email, téléphone, origine de la demande.
• eWebinar (États-Unis) · Plateforme de webinaires automatisés : inscription, créneau choisi, lien de participation.
• Telegram Messenger Inc. (International) · Transport des notifications vers le téléphone du formateur. Aucun stagiaire n'y est invité à communiquer directement.
• OpenAI Inc. (États-Unis) · Modèles de langage du chat pédagogique, uniquement après inscription effective d'un stagiaire.
• Substack Inc. (États-Unis) · Hébergement et diffusion de la newsletter (Zeroday Notes) : adresse email de l'abonné, gestion de l'abonnement et de l'envoi. Encadrement du transfert : Clauses contractuelles types (Standard Contractual Clauses) au titre du Publisher Agreement Substack, accepté en juillet 2024.

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15), obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (art. 16), corriger une donnée inexacte ou incomplète.
• Droit à l'effacement (art. 17), sous réserve des obligations légales de conservation (Qualiopi, comptable).
• Droit à la limitation (art. 18), geler le traitement le temps d'une vérification.
• Droit à la portabilité (art. 20), recevoir vos données dans un format structuré, ou les faire transférer à un autre responsable.
• Droit d'opposition (art. 21), vous opposer pour des motifs tenant à votre situation particulière. Opposition de plein droit pour la prospection commerciale.
• Droit de retrait du consentement (art. 7.3) : à tout moment, sans affecter la licéité du traitement effectué avant retrait. Notamment : retirer le consentement aux cookies depuis le bandeau (« revenir sur mes choix »).
• Directives post-mortem (article 85 LIL) : définir le sort de vos données après votre décès.

Comment exercer vos droits ?

Par email à contact@zerodaycyberacademy.com ou par courrier postal à l'adresse du siège social. Une justification d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur (art. 12.6 RGPD).

Engagement de réponse dans un délai d'un mois à compter de la réception, prolongeable de deux mois en cas de demande complexe (art. 12.3 RGPD).

Réclamation auprès de la CNIL

En cas de désaccord persistant sur le traitement de vos données, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (autorité de contrôle française) : cnil.fr/fr/plaintes.

Conformément à la délibération CNIL n° 2020-091 du 17 septembre 2020 et à la recommandation 2020-092, le site sollicite votre consentement explicite avant tout dépôt de cookie non strictement nécessaire à son fonctionnement.

Catégories de cookies utilisées

• Strictement nécessaires (sans consentement, dispensés par la CNIL) : cookies de session, jeton d'authentification administrateur, mémorisation du choix de consentement (zd_consent_v1), identifiant anonyme de lead pour les formulaires multi-étapes.
• Mesure d'audience (consentement requis) : Google Analytics 4 (_ga, _ga_*), Microsoft Clarity (_clck, _clsk, etc.). Voir le détail dans les sections dédiées des mentions légales GA4 et Microsoft Clarity.
• Marketing publicitaire (consentement requis) : Google Tag Manager pour le suivi des conversions Google Ads. Aucun cookie publicitaire n'est déposé sans consentement explicite.
• Vidéos intégrées (consentement requis) : cookies déposés par Bunny.net et Vimeo lorsque vous lancez la lecture d'une vidéo embarquée.

Comment retirer ou modifier votre consentement ?

Vous pouvez à tout moment supprimer le cookie zd_consent_v1 dans les paramètres de votre navigateur : à votre prochaine visite, le bandeau réapparaîtra et vous pourrez exprimer un nouveau choix. Le retrait du consentement n'affecte pas la licéité du traitement effectué avant retrait (art. 7.3 RGPD).

Conformément à l'article 32 RGPD, ITDEVFR IT DEV FRANCE met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

• Chiffrement TLS de bout en bout entre le navigateur et le serveur (HTTPS forcé, HSTS).
• Hébergement souverain européen (Hetzner Online GmbH, Allemagne) avec accès restreint au panneau d'administration. Le serveur applicatif est orchestré via Coolify (auto-hébergement open source), installé sur ce même serveur : aucune donnée n'est répliquée hors UE.
• Authentification administrateur par mot de passe (scrypt OWASP-aligned) et JWT signé HMAC-SHA256, cookies httpOnly + Secure + SameSite=Strict.
• Verrouillage automatique après échecs d'authentification répétés. Journal d'audit conservé 10 ans pour les actions sensibles.
• Sauvegardes régulières de la base de données (politique de sauvegarde tenue par l'hébergeur).

La présente politique est susceptible d'évoluer pour tenir compte des évolutions réglementaires, techniques ou organisationnelles. Toute modification substantielle (ajout de finalité, changement de sous-traitant matériel) donnera lieu à une nouvelle sollicitation de consentement et à un avertissement sur le site.

La date de dernière mise à jour est indiquée en haut de cette page, et le détail des révisions figure ci-dessous. Les utilisateurs sont invités à consulter régulièrement cette politique.