RGPD & Centre de confiance des données

Date d'entrée en vigueur : 1er janvier 2026

Dernière mise à jour : 5 septembre 2026

Ce document de confiance et de traitement des données est un complément, rédigé en langage clair, à notre Politique de confidentialité et à notre Aperçu de la sécurité. Il résume, en un seul endroit, la manière dont Kompunik se conforme au Règlement Général sur la Protection des Données (RGPD) de l'Union européenne : les bases légales sur lesquelles nous nous appuyons, les données que nous traitons, les sous-traitants auxquels nous faisons appel, la durée de conservation de vos données et la façon dont vous pouvez exercer vos droits.

En cas de contradiction entre le présent document et la Politique de confidentialité, cette dernière prévaut en tant que document juridiquement contraignant.

1. Responsable du traitement

Kompunik SAS 6 rue des Moulins, 13570 Barbentane, France

Contact protection des données : compliance@kompunik.org
Support général : contact@kompunik.org

Kompunik SAS est le responsable du traitement des données à caractère personnel traitées via la plateforme d'apprentissage Kompunik. Nous déterminons les finalités et les moyens du traitement de vos données à caractère personnel et sommes tenus de les protéger conformément au RGPD.

Pour les organisations (entreprises, universités) qui inscrivent leurs membres, Kompunik agit en tant que sous-traitant pour le compte de l'organisation concernant les données d'apprentissage générées au sein de leur espace, et en tant que responsable du traitement pour les données de compte et de facturation.

1.1 Les paiements relèvent d'un responsable de traitement distinct

Les abonnements personnels sont vendus par Paddle.com Market Limited (Royaume-Uni), agissant en qualité de vendeur officiel (Merchant of Record). Paddle est le vendeur de votre commande — et non un prestataire agissant sur nos instructions.

Cela a une conséquence concrète pour vos données : s'agissant du paiement lui-même, Paddle est un responsable de traitement indépendant, et non notre sous-traitant. Paddle décide seul des modalités de traitement de vos données de paiement et de fiscalité afin de satisfaire à ses propres obligations de vendeur (autorisation du paiement, contrôle de la fraude, détermination et reversement de la TVA, facturation et conservation légale). Nous ne pouvons pas donner d'instructions à Paddle sur ces finalités, et Paddle ne traite pas ces données pour notre compte.

En pratique :

Pour vos données de compte et d'apprentissage, Kompunik est le responsable du traitement. Adressez-nous vos demandes.
Pour vos données de paiement et de facturation, Paddle est le responsable du traitement. Sa propre politique de confidentialité régit ce traitement, et l'exercice de vos droits sur ces données peut devoir être adressé à Paddle — voir paddle.com/legal/privacy. Nous vous aiderons à réorienter toute demande qui nous parviendrait en premier.

Les contrats d'organisation (Entreprise et Académique) sont facturés directement par Kompunik SAS, sans intervention de Paddle ; la section 6 précise quel prestataire s'applique dans chaque cas.

2. Bases légales du traitement

Chaque catégorie de données à caractère personnel que nous traitons repose sur l'une des bases légales suivantes prévues par le RGPD (Article 6) :

Activité de traitement	Base légale
Création et maintenance de votre compte	Exécution d'un contrat (Art. 6(1)(b))
Diffusion des cours, suivi de la progression, délivrance des certificats	Exécution d'un contrat (Art. 6(1)(b))
Réception de la confirmation de votre achat afin d'activer votre licence	Exécution d'un contrat (Art. 6(1)(b))
Conservation de nos documents financiers et de règlement	Obligation légale en vertu du droit français (Art. 6(1)(c))
Envoi d'e-mails de service et de sécurité (vérification, MFA, reçus)	Exécution d'un contrat (Art. 6(1)(b))
Analyses produit calculées à partir de votre propre activité	Intérêt légitime (Art. 6(1)(f))
Fonctionnalités facultatives de communauté, de profil public et de comparaison entre pairs	Consentement (Art. 6(1)(a))
Analyses assistées par IA (Pulse manager, traductions)	Intérêt légitime, avec possibilité de refus (Art. 6(1)(f))
E-mails marketing, le cas échéant	Consentement (Art. 6(1)(a))

Vous pouvez retirer votre consentement à tout moment lorsque celui-ci constitue la base légale, sans que cela n'affecte les traitements déjà réalisés.

3. Données à caractère personnel que nous traitons

Identité et compte : nom, adresse e-mail, mot de passe haché, langue préférée, rôle et appartenance à une organisation.
Authentification : horodatages de connexion, paramètres MFA et identifiants SSO de Google Workspace ou Microsoft Entra ID (le cas échéant).
Données d'apprentissage : progression dans les cours, réponses aux quiz et aux auto-évaluations, résultats de diagnostic, tactiques, playlists et certificats.
Données communautaires (sur adhésion volontaire) : publications, commentaires, réactions et informations de profil public que vous choisissez de partager.
Données de paiement : nom de facturation, historique des transactions et statut de l'abonnement. Nous ne recevons ni ne stockons jamais les numéros de carte complets ou les cryptogrammes visuels (CVV). Pour les abonnements personnels, ces données sont transmises directement à Paddle en tant que vendeur officiel ; pour la facturation des organisations, directement à Stripe. Ce qui nous parvient se limite aux identifiants nécessaires pour activer et maintenir votre licence : une référence client et de transaction, le montant et la devise débités, et la date de renouvellement.
Données techniques : identifiant de session anonyme, informations sommaires sur l'appareil et le navigateur, et analyses de pages en propre utilisées pour améliorer le produit.

Nous ne vendons pas de données à caractère personnel, nous n'utilisons pas de cookies publicitaires tiers, et nous n'exécutons pas de traceurs tiers tels que Google Analytics.

4. Vos droits au titre du RGPD

En vertu du RGPD, vous disposez du droit :

D'accès — obtenir une copie des données à caractère personnel que nous détenons à votre sujet.
De rectification — corriger des données inexactes ou incomplètes.
D'effacement (« droit à l'oubli ») — demander la suppression de votre compte et de vos données.
De limitation — nous demander de restreindre le traitement dans certaines circonstances.
De portabilité — recevoir vos données dans un format structuré et lisible par machine.
D'opposition — vous opposer à un traitement fondé sur l'intérêt légitime.
De retrait du consentement — pour tout traitement fondé sur le consentement.

Comment les exercer :

En libre-service : depuis les paramètres de votre compte, vous pouvez exporter vos données à caractère personnel à tout moment et supprimer directement votre compte.
Par e-mail : écrivez à compliance@kompunik.org. Nous répondons à toutes les demandes dans un délai de 30 jours, comme l'exige le RGPD.

Vous avez également le droit d'introduire une réclamation auprès de votre autorité de contrôle locale. En France, il s'agit de la CNIL (Commission Nationale de l'Informatique et des Libertés — cnil.fr).

5. Conservation des données

Catégorie de données	Durée de conservation
Données de compte et d'apprentissage	Pendant toute la durée de vie de votre compte
Données de compte supprimé	Effacées dans un délai de 30 jours suivant la demande de suppression
Documents financiers et de facturation	7 ans (obligation légale en vertu du droit français)
Résultats de diagnostic	90 jours (expiration automatique)
Historique des analyses générées par IA	90 jours (expiration automatique)
Analyses de pages anonymes	Agrégées ; aucun identifiant personnel à long terme
Journaux d'audit	Conservés à des fins de sécurité et de conformité, puis renouvelés par rotation

Lorsqu'une durée de conservation prend fin, les données sont supprimées ou anonymisées de manière irréversible.

6. Sous-traitants

Nous faisons appel à un nombre restreint de sous-traitants soigneusement sélectionnés pour exploiter la plateforme. Chacun traite les données à caractère personnel sur nos instructions, est lié par un accord de traitement des données (DPA) au titre de l'article 28 du RGPD et applique des garanties appropriées. Les données sont hébergées dans l'UE (Frankfurt, Allemagne) partout où le prestataire propose un hébergement régional.

Sous-traitant	Finalité	Localisation des données
MongoDB Atlas	Base de données principale (comptes, données d'apprentissage)	UE — Frankfurt
DigitalOcean Spaces	Stockage des médias, des certificats et des fichiers	Région UE, chiffré au repos
Vercel	Hébergement et diffusion de l'application	Région de fonctions UE (Frankfurt)
Upstash Redis	Limitation du débit	UE — Frankfurt
Stripe	Traitement des paiements pour la facturation des organisations (Entreprise et Académique) uniquement — PCI-DSS niveau 1	UE/US avec CCT
Resend	Envoi d'e-mails transactionnels	UE/US avec CCT
Google & Microsoft	Connexion SSO facultative (OAuth)	UE/US avec CCT
OpenAI	Analyses manager assistées par IA (refus possible)	US avec CCT
DeepL	Traduction de contenu	UE (Allemagne)
Sentry	Surveillance des erreurs	UE/US avec CCT

Nous tenons à jour une liste des sous-traitants. Si nous ajoutons ou remplaçons un sous-traitant d'une manière qui affecte substantiellement le traitement de vos données, nous mettrons à jour cette page.

6.1 Responsables de traitement indépendants (et non sous-traitants)

La partie ci-dessous ne figure délibérément pas dans le tableau précédent, car la qualifier de sous-traitant serait inexact :

Partie	Rôle	Pourquoi ce n'est pas un sous-traitant
Paddle.com Market Limited	Vendeur officiel (Merchant of Record) des abonnements personnels	Paddle vous vend en son propre nom et détermine les finalités et les moyens du traitement de vos données de paiement et de fiscalité afin de satisfaire à ses propres obligations légales de vendeur. Il s'agit d'un responsable de traitement indépendant au sens de l'article 4(7) du RGPD, qui n'agit pas sur nos instructions.

Lorsque vous êtes en relation directe avec Paddle, c'est la politique de confidentialité de Paddle qui s'applique à ce traitement. Voir la section 1.1.

7. Transferts internationaux de données

Notre infrastructure est conçue pour maintenir les données à caractère personnel au sein de l'Union européenne dans la mesure du possible. Lorsqu'un sous-traitant traite des données en dehors de l'UE (par exemple, aux États-Unis), le transfert est protégé par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne, ainsi que par des garanties techniques supplémentaires telles que le chiffrement en transit et au repos.

Les données de paiement des abonnements personnels parviennent à Paddle.com Market Limited au Royaume-Uni. Les transferts vers le Royaume-Uni reposent sur la décision d'adéquation de la Commission européenne concernant le Royaume-Uni tant qu'elle est en vigueur, et sur les Clauses Contractuelles Types à défaut. Paddle étant un responsable de traitement indépendant et non notre sous-traitant (section 1.1), ce transfert relève de ses propres mécanismes de transfert, et non des nôtres.

8. Mesures de sécurité (résumé)

Une description complète est disponible dans notre Aperçu de la sécurité. En bref :

Chiffrement partout : TLS 1.2+ en transit ; AES-256 au repos.
Contrôle d'accès : autorisations basées sur les rôles, MFA et comptes de service au moindre privilège.
URL signées : les médias sont diffusés via des liens signés à durée limitée (expiration après 1 heure).
Confidentialité par défaut : les profils sont privés sauf si vous choisissez de les rendre publics.
Isolation des locataires : les données de chaque organisation sont strictement cloisonnées.
Application renforcée : validation côté serveur, assainissement des contenus, requêtes paramétrées, CSP et limitation du débit.

9. Notification des violations de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons l'autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance, et informerons les utilisateurs concernés dans les meilleurs délais, comme l'exigent les Articles 33 et 34 du RGPD. Notre objectif interne est d'entamer l'investigation et la remédiation dans un délai de 48 heures suivant la détection.

10. Cookies et traçage

Kompunik utilise uniquement les cookies et le stockage local strictement nécessaires au fonctionnement du service (session d'authentification, sécurité, préférence linguistique), ainsi que des analyses en propre respectueuses de la vie privée. Nous n'utilisons pas de cookies publicitaires ni de traçage intersites. Une bannière de cookies est affichée aux nouveaux visiteurs, et les détails sont disponibles dans notre Politique de confidentialité.

11. Données des enfants

Kompunik ne s'adresse pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données à caractère personnel auprès d'enfants. Si vous pensez qu'un enfant nous a communiqué des données à caractère personnel, veuillez contacter compliance@kompunik.org et nous les supprimerons.

12. Contact

Pour toute question relative à vos données, au présent document de confiance et de traitement des données, ou pour exercer vos droits au titre du RGPD :