Dernière mise à jour : 24 avril 2026
1. Responsable de traitement
SARL GRAPHIK IMPACT
96 avenue Charles de Gaulle, 08000 Charleville-Mézières
SIRET : 538 110 040 000 36
Email : contact@graphik-impact.com
Téléphone : 03 24 33 43 87
Graphik Impact exploite la plateforme formation.graphik-impact.com en qualité d'organisme de formation professionnelle (n° d'activité 44080081608, DREETS Grand Est) et agit en tant que responsable de traitement au sens de l'article 4.7 du Règlement (UE) 2016/679 (RGPD).
2. Référent protection des données (DPO)
Kevin Boisard est désigné en qualité de référent à la protection des données personnelles.
Pour toute question relative à vos données : k.boisard@graphik-impact.com
3. Données collectées et finalités
Nous collectons uniquement les données strictement nécessaires aux finalités suivantes :
| Finalité | Données collectées | Base légale |
|---|---|---|
| Gestion des inscriptions et conventions | Nom, prénom, email, téléphone, employeur, fonction, SIRET employeur, coordonnées OPCO le cas échéant | Exécution du contrat (art. 6.1.b RGPD) |
| Positionnement et prérequis pédagogiques | Réponses au questionnaire de positionnement, niveau déclaré, objectifs individuels | Exécution du contrat (art. 6.1.b) |
| Suivi pédagogique et émargement | Émargements électroniques (horodatés), signatures électroniques, présences/absences | Obligation légale (art. 6.1.c) - traçabilité formation professionnelle |
| Évaluation des acquis | Résultats des évaluations d'entrée et de sortie, quiz, mises en pratique | Exécution du contrat (art. 6.1.b) |
| Satisfaction et amélioration continue | Réponses aux questionnaires de satisfaction à chaud (J+0) et à froid (J+30), commentaires libres | Intérêt légitime (art. 6.1.f) - amélioration de la qualité des formations |
| Génération de documents réglementaires | Données d'identité et de session pour la génération automatisée de : conventions, convocations, programmes, attestations de fin de formation, certificats de réalisation, feuilles d'émargement, livrets d'accueil | Obligation légale (art. 6.1.c) - Référentiel National Qualité |
| Facturation et financement OPCO | Identité de l'employeur, SIRET, coordonnées de facturation, coordonnées OPCO, montants | Obligation légale (art. 6.1.c) - Code de commerce |
| Gestion des comptes utilisateurs | Nom, prénom, email, mot de passe chiffré, rôle (stagiaire, formateur, administrateur), date de dernière connexion | Exécution du contrat (art. 6.1.b) |
| Accessibilité et handicap | Besoins d'aménagement déclarés par le stagiaire (fiche PSH), uniquement sur base volontaire | Consentement explicite (art. 6.1.a et art. 9.2.a) - données sensibles |
| Formulaire de contact | Nom, email, objet, message | Intérêt légitime (art. 6.1.f) - réponse aux demandes |
| Réclamations qualité | Identité du réclamant, description de la réclamation, pièces jointes éventuelles | Obligation légale (art. 6.1.c) - Référentiel National Qualité, indicateur 31 |
| Mesure d'audience | Données de navigation anonymisées (pages visitées, durée, appareil, géolocalisation approximative) | Consentement (art. 6.1.a) - via bandeau Axeptio |
4. Caractère obligatoire ou facultatif des données
Les données marquées d'un astérisque (*) dans les formulaires sont obligatoires. Leur non-fourniture empêche l'inscription à la formation ou la création du compte. Les autres données sont facultatives et leur absence n'entraîne aucune conséquence sur l'accès à la formation, à l'exception de la fiche PSH dont le renseignement est libre et volontaire.
5. Destinataires des données
Vos données personnelles sont accessibles aux catégories de destinataires suivantes, dans la stricte limite de leurs attributions :
- Personnel autorisé de Graphik Impact : équipe pédagogique et administrative (accès restreint par rôle)
- Formateurs intervenant sur la session concernée (données pédagogiques de leurs stagiaires uniquement)
- OPCO du stagiaire en cas de financement (uniquement les données nécessaires à la prise en charge)
- Auditeurs Qualiopi mandatés par un organisme certificateur (dans le cadre strict d'un audit, sur justification)
- DREETS dans le cadre du Bilan Pédagogique et Financier annuel (données agrégées et anonymisées)
Sous-traitants techniques
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| OVH SAS | Hébergement serveur dédié, sauvegardes | France (Gravelines / Roubaix) |
| Axeptio | Gestion du consentement cookies (CMP) | France |
| Google Ireland Ltd | Mesure d'audience (Google Analytics 4 via Google Tag Manager), uniquement avec consentement | Irlande / UE - données configurées pour rester dans l'EEE |
Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD. Vos données ne sont jamais vendues ni cédées à des tiers à des fins commerciales.
6. Transferts hors Union européenne
Vos données sont hébergées en France sur un serveur dédié OVH. Aucun transfert de données hors de l'Espace Économique Européen (EEE) n'est réalisé. En cas de recours futur à un sous-traitant situé hors EEE, des garanties appropriées seraient mises en place (clauses contractuelles types de la Commission européenne ou décision d'adéquation).
7. Durées de conservation
| Type de données | Durée de conservation | Fondement |
|---|---|---|
| Données d'inscription et pédagogiques (émargements, évaluations, attestations, certificats) | Durée de la formation + 5 ans | Obligation Qualiopi / art. R.6313-3 et suivants du Code du travail |
| Documents comptables (factures, conventions financières) | 10 ans | Art. L.123-22 du Code de commerce |
| Comptes utilisateurs inactifs | Suppression automatique après 3 ans sans connexion | Recommandation CNIL |
| Demandes via formulaire de contact | 1 an après la dernière interaction | Intérêt légitime |
| Réclamations qualité | 5 ans après clôture | Obligation Qualiopi (indicateur 31) |
| Fiche PSH (données de santé) | Durée de la formation + 5 ans, accès restreint | Obligation Qualiopi (indicateurs 16 et 26) |
| Cookies analytiques | 13 mois maximum | Recommandation CNIL |
| Journaux de connexion (logs serveur) | 12 mois | LCEN art. 6-II |
À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
8. Vos droits
Conformément au RGPD (articles 15 à 22) et à la loi Informatique et Libertés, vous disposez des droits suivants :
- Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
- Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes.
- Droit à l'effacement (art. 17) : demander la suppression de vos données, sous réserve des obligations légales de conservation (Qualiopi 5 ans, comptabilité 10 ans).
- Droit à la limitation du traitement (art. 18) : suspendre temporairement le traitement de vos données.
- Droit d'opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime, pour motifs tenant à votre situation particulière.
- Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV).
- Droit de retirer votre consentement (art. 7.3) : à tout moment, sans affecter la licéité du traitement antérieur.
- Droit de définir des directives post-mortem (art. 85 loi Informatique et Libertés) : organiser le sort de vos données après votre décès.
Comment exercer vos droits
Adressez votre demande à Kevin Boisard, référent protection des données :
Email : k.boisard@graphik-impact.com
Courrier : SARL Graphik Impact - Protection des données, 96 avenue Charles de Gaulle, 08000 Charleville-Mézières
Merci de joindre un justificatif d'identité. Nous vous répondons dans un délai d'1 mois maximum (prolongeable de 2 mois en cas de complexité, avec notification motivée).
Si vous êtes stagiaire, vous pouvez également exporter vos données personnelles ou demander la suppression de votre compte directement depuis votre espace personnel sur la plateforme.
9. Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité de vos données :
- Chiffrement HTTPS (TLS 1.2+) de l'ensemble des échanges
- Authentification renforcée des comptes utilisateurs (hachage bcrypt des mots de passe)
- Hébergement sur serveur dédié en France (OVH), avec pare-feu applicatif
- Sauvegardes régulières chiffrées
- Accès restreint au personnel habilité, selon le principe du moindre privilège (RBAC par rôle : admin, formateur, stagiaire)
- Journalisation des accès et actions sensibles
- Mises à jour de sécurité régulières de la plateforme et de ses dépendances
10. Cookies et traceurs
10.1. Cookies essentiels (pas de consentement requis)
| Cookie | Finalité | Durée |
|---|---|---|
| Session NextAuth | Authentification et maintien de la session utilisateur | Durée de la session (ou 30 jours si « rester connecté ») |
| Axeptio (consentement) | Mémorisation de vos choix en matière de cookies | 12 mois |
| Service Worker | Cache applicatif pour le fonctionnement hors-ligne (PWA) | Persistant (nettoyé à la déconnexion) |
10.2. Cookies soumis à consentement
| Cookie / Service | Finalité | Durée |
|---|---|---|
| Google Analytics 4 (via GTM) | Mesure d'audience anonymisée : pages visitées, durée, parcours utilisateur, appareil | 13 mois maximum |
La gestion de votre consentement est assurée par Axeptio (ID client : 69eb7640a5fdad575e27d381). Vous pouvez modifier vos préférences à tout moment en cliquant sur le lien « Gérer mes cookies » en pied de page ou via le bandeau qui s'affiche lors de votre première visite.
Google Tag Manager (conteneur GTM-KQ9WFS5P) est configuré pour respecter le Consent Mode v2 : aucune donnée n'est transmise à Google Analytics tant que vous n'avez pas donné votre consentement via Axeptio.
11. Application installable (PWA)
La plateforme est disponible en tant qu'application web progressive (PWA). Si vous choisissez de l'installer sur votre appareil, un Service Worker gère le cache local pour permettre un fonctionnement partiel hors connexion. Aucune donnée personnelle supplémentaire n'est collectée par ce biais. Le cache peut être supprimé en désinstallant l'application ou en vidant les données du site dans les paramètres de votre navigateur.
12. Profilage et décision automatisée
La plateforme ne réalise aucun profilage au sens de l'article 22 du RGPD. Aucune décision produisant des effets juridiques ou affectant significativement les stagiaires n'est prise sur le seul fondement d'un traitement automatisé. Les évaluations des acquis font l'objet d'une validation humaine par le formateur référent.
13. Données des mineurs
Les formations proposées par Graphik Impact s'adressent à un public professionnel adulte. La plateforme n'est pas destinée aux personnes de moins de 16 ans. Si un mineur de plus de 16 ans participe à une formation dans le cadre d'un contrat d'apprentissage ou de professionnalisation, le consentement du représentant légal est recueilli préalablement pour le traitement des données.
14. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits en matière de protection des données ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente :
Commission Nationale de l'Informatique et des Libertés (CNIL)
3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Site : cnil.fr/fr/plaintes
15. Modifications de cette politique
Cette politique peut être mise à jour pour refléter l'évolution de nos pratiques ou de la réglementation. La date de dernière mise à jour figure en haut de page. En cas de modification substantielle, nous vous en informerons par email ou via une notification sur la plateforme.