Politique de confidentialité

Responsable du traitement : AVESTAN SA, Rue Jacques-Balmat 5, 1204 Genève, Suisse, UID : CHE 163.269.175, est responsable du traitement des données personnelles décrit dans la présente Politique en lien avec l’exploitation des sites web, des formulaires de préinscription, des communications, de l’espace apprenant, ainsi qu’avec l’organisation et la dispense des formations, sauf indication contraire expresse au moment de la collecte.

Lorsqu’une société affiliée spécifique d’AVESTAN est l’entité contractante pour une formation déterminée, cette entité peut agir en qualité de responsable du traitement pour les opérations strictement nécessaires à la conclusion et à l’exécution de ce contrat. Dans ce cas, l’identité de l’entité concernée sera indiquée au participant au moment de l’inscription ou de la conclusion du contrat.Contact : info@avestanacademy.com | Tél. : +4122 525 25 87 | Sites : https://avestanacademy.com / https://avestan.ch
DPO / Contact vie privée : privacy@avestanacademy.com
Contact juridique / Signalement : privacy@avestanacademy.com
Portée : site, plateformes d’apprentissage, formulaires, communications, espace apprenant.
Langue de référence : français (en cas de divergence de traduction, la version française prévaut).

1.Bases légales & finalités

Exécution d’un contrat : validation des inscriptions, création et gestion des comptes apprenants, fourniture des formations (en présentiel / en ligne / hybrides), facturation via notre prestataire de paiement, suivi de la présence, délivrance des certificats, support.

Intérêt légitime : assurer la sécurité et la disponibilité de nos sites web, plateformes et services ; prévenir la fraude, les abus et les accès non autorisés ; gérer les litiges et assurer la défense de droits en justice ; produire des statistiques internes agrégées ou autrement minimisées de manière appropriée concernant les inscriptions, la présence, l’achèvement des formations et la performance des services ; vérifier, administrer et prévenir les usages abusifs des codes de réduction et des offres promotionnelles. Lorsque nous nous fondons sur l’intérêt légitime, nous estimons que ce traitement est nécessaire à la finalité poursuivie et qu’il ne porte pas une atteinte disproportionnée aux droits et libertés des personnes concernées.

Consentement : newsletters / marketing, cookies non essentiels, analyses des e-mails (ouvertures / clics), lorsque cela est applicable.

Obligation légale / conservation légale : respect des obligations comptables, fiscales, légales et réglementaires, y compris les obligations légales de conservation et les réponses aux autorités compétentes.

Répartition des bases légales par activité de traitement

Nous traitons les données personnelles selon la répartition suivante :

• Inscription et gestion du compte → Exécution d’un contrat
• Dispense de la formation et suivi de la présence → Exécution d’un contrat
• Traitement des paiements et facturation → Exécution d’un contrat et/ou obligation légale
• Prévention de la fraude et sécurité des plateformes → Intérêt légitime
• Analyses internes et amélioration du service → Intérêt légitime, limité à des analyses agrégées, statistiques ou autrement respectueuses de la vie privée, nécessaires pour évaluer les inscriptions, la présence, les taux d’achèvement, la performance des plateformes et la qualité de nos services
• Communications marketing → Consentement
• Suivi des e-mails (ouvertures / clics) → Consentement lorsque requis par le droit applicable, notamment dans l’UE / l’EEE ; lorsque le droit local autorise une telle mesure sans consentement préalable, nous nous fondons sur notre intérêt légitime à mesurer l’efficacité des communications opérationnelles ou promotionnelles, sous réserve de garanties appropriées et d’une possibilité simple d’opposition

2. Données traitées (catégories)

Données collectées via nos sites web et nos plateformes d’apprentissage (y compris les formulaires de préinscription et les comptes apprenants) :

• Données d’identité et de contact : nom, prénom, adresse e-mail, numéro de téléphone, ville
• Données professionnelles : profession, niveau d’études, statut d’étudiant et, lorsqu’une réduction étudiante est demandée, justificatif d’éligibilité tel qu’un identifiant étudiant ou tout document équivalent, collecté uniquement aux fins de vérification de l’éligibilité et conservé seulement pendant la durée nécessaire à cette vérification, au respect des obligations comptables applicables et à la gestion d’éventuels litiges y afférents
• Données d’inscription : date d’inscription, formation choisie, format (présentiel / en ligne / hybride), coupon utilisé
• Données de paiement : traitées par nos prestataires de paiement et de gestion d’apprentissage (montant payé, date de paiement) — AVESTAN ne stocke pas les données de carte bancaire
• Données de présence : feuilles de présence (matin / après-midi) pour chaque journée de formation, journaux de connexion de visioconférence
• Données de performance : résultats du quiz final (le cas échéant), type de certificat délivré (formation ou présence)
• Journaux techniques et données de connexion sur les Plateformes

3.Sources

Nous collectons des données personnelles directement auprès du participant, automatiquement par le biais de l’utilisation de nos sites web et plateformes d’apprentissage, et, lorsque cela est pertinent, auprès de prestataires tiers agissant pour notre compte ou soutenant la fourniture de nos services, tels que des prestataires de gestion d’apprentissage, de paiement, de visioconférence, d’envoi d’e-mails ou de support.

Nous pouvons également recevoir de tels prestataires des données limitées de confirmation ou de transaction, par exemple une confirmation de paiement, des métadonnées de connexion, des informations sur la délivrabilité des e-mails, ou des informations relatives à l’accès aux cours.

Minimisation des données et limitation des finalités : les données personnelles ne sont collectées que dans la mesure nécessaire aux finalités définies et ne sont pas traitées ultérieurement d’une manière incompatible avec ces finalités.

4. Destinataires & sous-traitants (catégories, exemples)

Nous faisons appel à des prestataires de services dans le cadre de contrats de sous-traitance de données (Data Processing Agreements – DPA) ; pour les transferts hors de Suisse / EEE, nous appliquons les Clauses contractuelles types UE / CH ainsi que, lorsque nécessaire, des garanties supplémentaires et des mesures complémentaires. Les catégories peuvent inclure :

• Hébergement / CDN / sécurité (par ex. Infomaniak, Cloudflare)
• LMS / plateforme d’apprentissage (par ex. Thinkific)
• Visioconférence (par ex. Zoom, Microsoft Teams)
• Paiements (par ex. Stripe, PayPal, TWINT (CH), SumUp)
• Envoi d’e-mails et analyse des e-mails (par ex. Infomaniak)
• Analytique et mesure d’audience (par ex. Google Analytics 4 avec anonymisation de l’IP, Matomo)
• SEO et performance (par ex. Rank Math SEO)
• Diffusion vidéo / intégrations sociales (par ex. Instagram, Vimeo, YouTube)

Nous sélectionnons avec soin nos sous-traitants et concluons avec eux des accords écrits de traitement des données. Les principales catégories de sous-traitants actuellement utilisées sont décrites dans la présente Politique. Une liste plus détaillée et à jour de nos principaux sous-traitants, incluant leur localisation principale et le mécanisme de transfert utilisé le cas échéant, peut être demandée à privacy@avestanacademy.com et peut également être mise à disposition sur notre site web ou dans notre documentation relative à la confidentialité.

Accords de traitement des données : tous les sous-traitants sont engagés sur la base d’accords écrits conformes au droit applicable en matière de protection des données, incluant notamment des obligations de confidentialité, de sécurité et d’assistance pour l’exercice des droits des personnes concernées.

Sous-sous-traitants : nos sous-traitants peuvent recourir à des sous-sous-traitants. Dans ce cas, ils sont contractuellement tenus d’offrir des garanties de protection des données équivalentes.

Responsabilité conjointe (le cas échéant) : dans certains cas limités, AVESTAN SA et un opérateur de plateforme tiers peuvent agir en qualité de responsables conjoints du traitement lorsqu’ils déterminent conjointement les finalités et les moyens d’une activité de traitement spécifique, par exemple dans le cadre de certains événements co-marqués, pages de campagne ou fonctionnalités de plateforme exploitées conjointement. Dans ce cas, l’essentiel de l’accord applicable et la répartition principale des responsabilités seront mis à la disposition des personnes concernées sur demande ou au point de collecte concerné.

5. Transferts internationaux

Lorsque des données sont transférées en dehors de la Suisse / de l’EEE, nous nous appuyons sur des mécanismes de transfert appropriés conformément au droit applicable, pouvant inclure les Clauses contractuelles types (SCC UE / CH), des décisions d’adéquation ou d’autres garanties légalement reconnues. Nous mettons en œuvre des mesures techniques et organisationnelles complémentaires adaptées au niveau de risque, y compris, notamment, le chiffrement en transit et au repos, des restrictions d’accès et des évaluations périodiques des prestataires.

Lorsque nos sous-traitants ou leurs sous-sous-traitants sont situés en dehors de la Suisse ou de l’EEE, ou lorsque des services de support, d’hébergement, d’envoi d’e-mails, d’analytique, de visioconférence ou de paiement impliquent un accès depuis de tels pays, nous veillons à ce qu’un mécanisme de transfert approprié soit en place, conformément au droit applicable. Selon les cas, il peut s’agir d’une décision d’adéquation, des Clauses contractuelles types de la Commission européenne (avec adaptations suisses lorsque requises), ou d’une autre garantie légalement reconnue.

Les pays concernés peuvent inclure, selon les prestataires effectivement utilisés au moment pertinent, les États-Unis, le Royaume-Uni, le Canada, ainsi que d’autres juridictions mentionnées dans notre documentation relative aux sous-traitants.

6. Durées de conservation (principes)

Comptes/contrats : durée de la relation + 10 ans (obligations comptables).
Logs techniques : 6 à 24 mois.
Prospection/marketing : jusqu’au retrait du consentement ou 3 ans après dernier contact.
Attestations : selon exigence métier/organismes (p. ex. 5 ans) si applicable.
Anonymisation/effacement ensuite.

7.Vos droits

CH (nLPD/FADP) : accès, rectification, effacement, opposition, portabilité (lorsque applicable).
UE (RGPD) : accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement.
Demande : privacy@avestanacademy.com (ou via l’espace client).
Délai de réponse indicatif : 30 jours.
Réclamation : PFPDT/EDÖB (CH) ou votre autorité de contrôle compétente (UE).

8.Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées destinées à protéger les données personnelles contre l’accès non autorisé, l’altération, la divulgation, la perte ou la destruction. Ces mesures incluent, le cas échéant, le chiffrement en transit et au repos, la gestion des accès, les habilitations fondées sur les rôles, la journalisation, les procédures de sauvegarde, la gestion des vulnérabilités, les tests, les mesures de sensibilisation du personnel et les processus de réponse aux incidents. Nous réexaminons périodiquement ces mesures au regard des risques encourus. Notification des violations lorsque la loi l’exige.

Responsabilité (accountability) : AVESTAN SA met en œuvre des mesures techniques et organisationnelles appropriées afin d’assurer et de démontrer la conformité au droit applicable en matière de protection des données (y compris le RGPD et la nLPD). Cela inclut des politiques internes, des mesures de gouvernance, des évaluations des risques et des garanties contractuelles avec les sous-traitants.

9.Cookies & traceurs

Les cookies strictement nécessaires et technologies similaires peuvent être utilisés sans consentement lorsque le droit applicable le permet, afin d’assurer le bon fonctionnement et la sécurité de nos sites web et plateformes. Dans l’UE / l’EEE, les cookies d’analytique, de mesure d’audience ou de marketing qui ne sont pas strictement nécessaires ne sont déposés qu’après obtention du consentement de l’utilisateur, et une preuve de ce consentement peut être conservée jusqu’à 12 mois ou pendant la durée nécessaire pour démontrer la conformité. Un gestionnaire de préférences permet à tout moment le retrait du consentement.

10.Mesure des e-mails (e-mail analytics)

Nous pouvons mesurer les ouvertures, clics ou autres indicateurs d’engagement relatifs aux e-mails au moyen de pixels de suivi ou de liens balisés, afin d’évaluer la performance de nos communications. Lorsque le droit applicable l’exige, en particulier dans l’UE / l’EEE pour les communications marketing, cette mesure n’est effectuée que sur la base d’un consentement préalable. Pour les communications opérationnelles, nous pouvons traiter des informations limitées relatives à la délivrabilité ou à l’engagement lorsque cela est autorisé par la loi et nécessaire pour assurer la délivrabilité, la sécurité, la continuité du service ou l’efficacité des communications. Les utilisateurs peuvent se désinscrire des e-mails marketing à tout moment via le lien figurant dans ces e-mails.

11.Mineurs

Nos services ne sont pas destinés aux mineurs et nous ne collectons pas sciemment de données personnelles concernant des enfants dans le cadre de l’inscription standard. Si nous apprenons que des données personnelles relatives à un enfant ont été collectées sans autorisation appropriée lorsque celle-ci est requise, nous prendrons des mesures raisonnables pour supprimer ces données ou régulariser la situation conformément au droit applicable.

12.Décision automatisée / profilage

Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires sur les personnes. Nous pouvons effectuer une segmentation marketing limitée ou un regroupement d’audience, lorsque cela est autorisé et, lorsque requis, sur la base du consentement, mais ce traitement ne produit pas d’effets juridiques ou significatifs similaires.

13.Modifications de la présente politique

Nous pouvons modifier la présente Politique de temps à autre afin de refléter les évolutions du droit applicable, de nos activités de traitement, de nos prestataires de services ou de nos pratiques organisationnelles. La version en vigueur, ainsi que sa date d’entrée en vigueur et, le cas échéant, la date de sa dernière mise à jour, est publiée sur notre site web. Lorsque les modifications sont substantielles, nous prendrons des mesures raisonnables pour en informer les utilisateurs par des moyens appropriés avant ou au moment de leur entrée en vigueur.