Politique de confidentialité · MDA Performance
MDA PERFORMANCE attache la plus grande importance au respect de la vie privée et à la protection des données personnelles de ses utilisateurs, prospects, stagiaires et candidats. La présente politique décrit, en application du Règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée (Informatique et Libertés), les traitements de données mis en œuvre dans le cadre des activités de MDA Performance · Univers Digital · IA, sites internet, SEO/SEA, cybersécurité, productivité.
1. Définitions
- Donnée à caractère personnel · toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (article 4, 1 RGPD).
- Traitement · toute opération effectuée sur des données personnelles · collecte, enregistrement, organisation, conservation, modification, consultation, utilisation, communication, diffusion, effacement (article 4, 2 RGPD).
- Responsable de traitement · personne morale ou physique qui détermine les finalités et les moyens du traitement (article 4, 7 RGPD). Pour le présent traitement · MDA PERFORMANCE.
- Sous-traitant · personne qui traite des données pour le compte du responsable de traitement (article 4, 8 RGPD). Liste fournie en section 6.
- Utilisateur · toute personne physique accédant au Site ou utilisant les services proposés.
- Stagiaire · bénéficiaire d'une formation ou d'un accompagnement professionnel.
- Cookie · fichier texte ou identifiant déposé sur le terminal de l'utilisateur (cf. politique cookies).
2. Identité du responsable de traitement
Pour les traitements décrits ci-après, le responsable est ·
SIREN ·
979675691 · RCS · Paris 979 675 69110 rue de Penthièvre
75008 Paris
Représentant légal · David MOATÉ
Contact RGPD · davidmoate@mda-performance.fr · Tél. +33 6 51 89 18 94
MDA PERFORMANCE et son entité jumelle (MDA Consulting) sont deux personnes morales distinctes au sein du Groupe MDA. Chaque entité est responsable de traitement pour ses propres activités. Pour les traitements partagés (formulaire de contact global, newsletter Groupe MDA), elles peuvent agir en qualité de responsables conjoints de traitement au sens de l'article 26 RGPD, avec un accord interne définissant les responsabilités respectives.
3. Données collectées
Les données sont collectées directement (formulaires sur le Site, prises de contact, signature de convention) ou indirectement (transmission par un partenaire OPCO, France Travail, ou via une plateforme de financement type EDOF / Mon Compte Formation, conformément aux conditions de ces tiers).
3.1 Données des prospects et visiteurs
Lorsque vous remplissez un formulaire de contact, demandez une documentation ou téléchargez un programme ·
- Identité · civilité, nom, prénom
- Coordonnées · email, téléphone fixe et/ou mobile
- Entreprise · raison sociale, fonction, SIRET (facultatif)
- Message libre · contenu de votre demande, sujet, ressource consultée
- Données techniques · adresse IP hachée (SHA-256), user-agent, horodatage
3.2 Données des stagiaires et clients
Lorsque vous suivez une formation ou un accompagnement conseil ·
- Identité complète · civilité, nom, prénom, date de naissance (si CPF ou attestation officielle)
- Coordonnées · email, téléphones, adresse postale
- Données professionnelles · employeur, fonction, ancienneté, OPCO de rattachement, numéro CPF (le cas échéant)
- Données pédagogiques · positionnement initial, présence aux séances, livrables produits, évaluation, attestation de fin de formation
- Données financières · facturation, dossier OPCO ou prise en charge, RIB pour CPF, justificatifs
- Documents légaux · convention signée, devis, attestation d'assiduité (Qualiopi indicateur 32)
3.3 Données des candidats au recrutement
Lorsque vous postulez à une offre publiée sur /recrutement ·
- Identité · nom, prénom, photo de profil (facultative)
- Coordonnées · email, téléphone, adresse postale
- Parcours professionnel · CV, dernier diplôme, compétences, type d'emploi recherché, prétentions salariales (facultatif), permis B
- Lettre de motivation
Vous pouvez à tout moment retirer ces données via davidmoate@mda-performance.fr.
3.4 Données des experts intervenants
Pour les experts qui rejoignent notre catalogue via /expert-onboarding/{token} ·
- Identité · nom, prénom, photo de profil professionnelle
- Titre professionnel, bio, compétences phares, expériences pertinentes
- LinkedIn et coordonnées professionnelles
Ces données sont publiées sur la fiche expert en accord avec la personne, qui peut demander leur retrait à tout moment.
3.5 Données techniques (logs)
Pour la sécurité et la lutte contre la fraude · adresses IP hachées en SHA-256 (irréversible), user-agent, URL visitée, code HTTP retourné, horodatage. Aucune adresse IP en clair n'est stockée dans nos systèmes applicatifs.
4. Finalités du traitement et bases légales
Conformément à l'article 5, 1, b) RGPD, les données sont collectées pour des finalités déterminées, explicites et légitimes. Chaque traitement repose sur une base légale parmi les 6 énoncées à l'article 6 RGPD.
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Répondre aux demandes de contact et envoyer la documentation demandée | Intérêt légitime (art. 6, 1, f) · répondre à une sollicitation entrante |
| Établir un devis et conclure une convention de formation | Mesures précontractuelles puis exécution du contrat (art. 6, 1, b) |
| Exécuter et suivre les actions de formation (présence, livrables, attestation) | Exécution du contrat (art. 6, 1, b) + obligation légale Qualiopi / Code travail (art. 6, 1, c) |
| Facturer, encaisser et gérer la comptabilité | Obligation légale comptable et fiscale (art. 6, 1, c) |
| Monter et transmettre les dossiers de financement (OPCO, France Travail, CPF, AGEFICE) | Exécution du contrat + obligation légale (art. 6, 1, b et c) |
| Prospecter de nouveaux clients par email ou téléphone (relances commerciales) | Intérêt légitime (art. 6, 1, f · prospection BtoB sans consentement) ou consentement (art. 6, 1, a · BtoC ou newsletter) |
| Recruter de nouveaux experts ou collaborateurs | Mesures précontractuelles (art. 6, 1, b) · candidature spontanée ou sur poste publié |
| Améliorer le Site et nos services (statistiques d'usage anonymisées) | Intérêt légitime (art. 6, 1, f) · avec mesure d'audience exemptée de consentement le cas échéant |
| Assurer la sécurité du Site, prévenir la fraude, conserver les logs techniques | Intérêt légitime (art. 6, 1, f) + obligation légale LCEN (art. 6, 1, c) |
| Répondre aux contrôles administratifs (DREETS, OPCO, Caisse des Dépôts) | Obligation légale (art. 6, 1, c) |
5. Caractère obligatoire ou facultatif des données
Les champs marqués d'un astérisque (*) sur les formulaires du Site sont obligatoires · sans ces informations, MDA PERFORMANCE est dans l'impossibilité de répondre à votre demande ou d'exécuter la prestation. Les autres champs sont facultatifs et améliorent la pertinence de notre réponse sans la conditionner.
6. Destinataires et sous-traitants
Vos données sont accessibles aux personnes habilitées au sein de MDA PERFORMANCE (équipe pédagogique, administration, direction). Elles peuvent être communiquées aux destinataires suivants, dans la stricte mesure nécessaire à la finalité poursuivie ·
| Destinataire | Rôle | Cadre |
|---|---|---|
| OPCO (Opérateurs de compétences · 11 OPCO en France) | Prise en charge financière des formations | Obligation contractuelle / accord de branche |
| France Travail (ex-Pôle Emploi) | AIF, AFPR, POEI · demandeurs d'emploi en formation | Conventionnement spécifique |
| Caisse des Dépôts et Consignations (EDOF / Mon Compte Formation) | Gestion des financements CPF | Plateforme officielle CPF |
| AGEFICE, FIF-PL, AGEFIPH, FAF.TT, autres financeurs | Selon le statut du stagiaire (indépendant, libéral, handicap, intérim) | Conventionnement spécifique |
| DREETS Île-de-France (anciennement DIRECCTE) | Contrôle de l'organisme de formation, bilan pédagogique annuel | Obligation légale L. 6352-11 Code du travail |
| Expert-comptable et commissaire aux comptes (si applicable) | Tenue de la comptabilité, audit légal | Obligations comptables et fiscales |
| Avocats, huissiers et auxiliaires de justice (en cas de contentieux) | Constatation, exercice ou défense d'un droit en justice | Obligation légale |
6.2 Sous-traitants techniques
| Sous-traitant | Prestation | Localisation | Garanties |
|---|---|---|---|
| OVH SAS | Hébergement du Site et de la base de données | France (Roubaix) | Certification ISO 27001 · contrat de sous-traitance art. 28 RGPD |
| Brevo (Sendinblue SAS) | Envoi des emails transactionnels (confirmations, réponses contact) | Union européenne (France) | Contrat de sous-traitance art. 28 RGPD · serveurs UE |
| Pexels, Unsplash | Banques d'images (images servies depuis CDN, pas de cookies) | Union européenne / États-Unis | Aucun transfert de donnée personnelle utilisateur |
7. Transferts de données hors Union européenne
MDA PERFORMANCE ne transfère pas vos données personnelles hors de l'Union européenne dans le cadre de ses traitements principaux. L'ensemble des sous-traitants principaux (OVH, Brevo) hébergent les données sur des serveurs situés dans l'Union européenne.
En cas de transfert hors UE futur (par exemple si nous utilisons un nouveau prestataire), nous nous engageons à respecter les conditions des articles 44 à 49 RGPD · décision d'adéquation, clauses contractuelles types adoptées par la Commission européenne, ou règles d'entreprise contraignantes (BCR). Vous serez informé(e) de tout transfert via une mise à jour de la présente politique.
8. Durées de conservation
Conformément au principe de limitation de la conservation (article 5, 1, e RGPD), nous conservons vos données pendant la durée strictement nécessaire à la finalité poursuivie. Les principales durées sont ·
| Catégorie | Durée active | Archivage intermédiaire | Source |
|---|---|---|---|
| Prospects · données de prospection | 3 ans à compter du dernier contact | — | Recommandation CNIL |
| Clients · données contractuelles | Durée de la relation contractuelle | 10 ans après fin du contrat | Art. L. 6353-1 Code travail + L. 123-22 Code commerce |
| Stagiaires · livrables pédagogiques, présence, attestations | Durée de la formation | 10 ans | Référentiel Qualiopi · indicateur 32 |
| Factures et pièces comptables | 1 an actif | 10 ans | Art. L. 123-22 Code commerce |
| Dossiers de financement CPF | 1 an actif | 10 ans | Caisse des Dépôts · art. L. 6323-9 |
| Dossiers OPCO et France Travail | Durée du dossier | 6 ans après clôture | Conventions cadres |
| Candidatures (recrutement non retenu) | 2 ans après dernier contact | Suppression | Recommandation CNIL |
| Cookies de consentement | 6 mois | — | Recommandation CNIL |
| Logs techniques (IP hachée) | 12 mois | — | LCEN art. 6-II |
9. Vos droits sur vos données
Conformément aux articles 15 à 22 RGPD, vous bénéficiez des droits suivants ·
- Droit d'accès · obtenir confirmation que des données vous concernant sont traitées et recevoir une copie de ces données (art. 15).
- Droit de rectification · faire corriger des données inexactes ou compléter des données incomplètes (art. 16).
- Droit à l'effacement · « droit à l'oubli », sous réserve des obligations légales de conservation (art. 17).
- Droit à la limitation · suspendre temporairement un traitement contesté (art. 18).
- Droit à la portabilité · recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (art. 20).
- Droit d'opposition · vous opposer à un traitement, y compris au profilage (art. 21). Voir la page droit d'opposition.
- Droit de retirer son consentement · à tout moment, sans effet rétroactif (art. 7 § 3).
- Droit de définir des directives post-mortem · sur la conservation, l'effacement et la communication de vos données après votre décès (art. 85 LIL).
- Droit de ne pas faire l'objet d'une décision automatisée · y compris le profilage produisant des effets juridiques significatifs (art. 22). Aucune décision automatisée significative n'est mise en œuvre par MDA PERFORMANCE.
9.1 Modalités d'exercice
Adressez votre demande à davidmoate@mda-performance.fr ou par courrier à l'adresse du siège (voir section 2). En cas de doute raisonnable sur votre identité, une copie d'un titre d'identité comportant votre signature pourra vous être demandée (article 12 § 6 RGPD).
Précisez la nature de votre demande, vos coordonnées et, si possible, les détails permettant d'identifier le traitement concerné.
9.2 Délais de réponse
1 mois à compter de la réception de la demande complète (article 12 § 3 RGPD), prolongeable de 2 mois en cas de complexité ou de demandes multiples. Vous serez informé(e) du report et de ses motifs dans le délai initial.
Sauf demande manifestement infondée ou excessive (notamment répétitive), l'exercice des droits est gratuit (article 12 § 5).
10. Sécurité des données
MDA PERFORMANCE met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 RGPD ·
- Chiffrement en transit · communication HTTPS / TLS 1.3 sur toutes les pages, HSTS preload 1 an.
- Authentification · mots de passe hachés en Argon2id (paramètres OWASP), sessions cookies
HttpOnly + SameSite=Strict + Secure. - Anti-CSRF · jeton 32 octets sur tous les POST/PUT/DELETE, vérifié en temps constant.
- Rate-limiting · 5 tentatives de login / 15 min / IP (anti brute-force), endpoints contact 5 / jour / IP.
- Pseudonymisation · adresses IP hachées (SHA-256 + sel applicatif) dans tous les logs.
- Accès interne · principe du moindre privilège · seuls les administrateurs accèdent au CRM, traçabilité des opérations admin.
- Sauvegardes · sauvegardes quotidiennes chez l'hébergeur OVH, conservation 30 jours.
- Headers de sécurité · X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin, CSP en cours de durcissement.
- Mise à jour · dépendances logicielles maintenues, audit semestriel.
En cas de violation de données personnelles présentant un risque élevé pour les droits et libertés des personnes concernées, MDA PERFORMANCE s'engage à ·
- Notifier la CNIL dans les 72 heures suivant la connaissance de la violation (article 33 RGPD).
- Informer individuellement les personnes concernées dans les meilleurs délais (article 34 RGPD).
- Documenter la violation dans un registre interne disponible en cas de contrôle.
11. Cookies
Le détail des cookies utilisés par le Site, leur finalité, leur durée et les modalités de paramétrage figurent dans la politique cookies dédiée, commune aux deux entités du Groupe MDA.
12. Données concernant les mineurs
Le Site n'est pas destiné aux mineurs de moins de 15 ans. Conformément à l'article 8 RGPD et à l'article 7-1 LIL, le consentement au traitement de données d'un mineur de moins de 15 ans nécessite l'autorisation conjointe du titulaire de l'autorité parentale.
Si vous êtes parent ou tuteur d'un mineur ayant communiqué des données sur le Site sans votre consentement, contactez davidmoate@mda-performance.fr pour obtenir leur suppression.
13. Recours auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés ·
3 place de Fontenoy · TSA 80715
75334 PARIS CEDEX 07
Téléphone · 01 53 73 22 22
Formulaire en ligne · www.cnil.fr/fr/plaintes
Vous disposez également d'un droit de recours juridictionnel devant le tribunal compétent (article 79 RGPD · juge du domicile du défendeur ou du lieu d'exécution).
14. Modifications de la politique
La présente politique peut évoluer pour tenir compte des modifications légales, réglementaires, jurisprudentielles ou techniques. Toute modification substantielle sera signalée sur le Site par une mise à jour de la date en haut de cette page. Pour les évolutions impactant directement vos droits, une notification spécifique pourra être envoyée par email aux personnes concernées.
L'utilisation continue du Site après publication des modifications vaut acceptation de la version modifiée.
15. Contact
Pour toute question relative à la présente politique de confidentialité ou à l'exercice de vos droits ·
- Email · davidmoate@mda-performance.fr (objet « Données personnelles · [votre demande] »)
- Téléphone · +33 6 51 89 18 94
- Courrier postal · MDA PERFORMANCE · 10 rue de Penthièvre, 75008 Paris
MDA PERFORMANCE n'a pas l'obligation légale de désigner un Délégué à la Protection des Données (DPO) au sens de l'article 37 RGPD. Un point de contact unique reste néanmoins disponible pour faciliter l'exercice de vos droits.