Politique de protection des données personnelles

Introduction

26 Academy s'engage dans une conformité continue avec le Règlement général sur la protection des données du 27 avril 2016, renforçant sa politique pour que les données soient collectées de manière transparente, confidentielle et sécurisée.

La politique décrit comment 26 Academy traite les données personnelles des visiteurs sur www.26academy.com et sa plateforme e-learning. Elle fait partie intégrante des Conditions Générales d'Utilisation. L'organisation peut modifier cette politique. Les utilisateurs sont invités à consulter régulièrement la version en vigueur. Les modifications majeures seront communiquées par email. La continuation d'utilisation des services implique l'acceptation des mises à jour.

Quelles données personnelles sont collectées et pour quelles finalités ?

Lors de l'inscription, 26 Academy collecte : noms, prénoms, adresse email (pour compte, notifications, newsletter), mini-biographie facultative, pseudo, avatar, adresse postale, sexe, numéro de téléphone, adresse IP et informations de réseaux sociaux.

L'organisation utilise les Learning Analytics pour analyser les cours suivis, exercices, chapitres complétés, parcours et projets, permettant l'analyse et le suivi de progression.

Les données sont collectées lors de : navigation sur la plateforme, création/modification de compte, formulaires de contact, candidatures de formation et contacts au Service Client.

Pourquoi utilisons-nous des cookies ?

Un « cookie » est un fichier texte déposé lors de la visite. 26 Academy utilise les cookies pour la navigation, l'optimisation et la personnalisation. Types de cookies utilisés :

• strictement nécessaires au fonctionnement ;
• analytiques (Google Analytics) ;
• fonctionnels (personnalisation) ;
• de ciblage (tiers).

Formes : temporaires (actifs jusqu'à fermeture du navigateur) ; permanents/traceurs (conservation prolongée).

Bases légales des traitements (art. 6 RGPD)

Chaque traitement de données personnelles est appuyé sur une base légale explicite :

• Contrat — gestion du compte apprenant, exécution de la formation, facturation, suivi pédagogique (art. L.6353-1 du Code du travail). Sans ces données, le contrat ne peut pas être exécuté.
• Consentement (art. 6.1.a et art. 7 RGPD) — newsletter, cookies non essentiels (analytics, ciblage), chat Sarah, contact téléphonique/SMS/WhatsApp. Retrait possible à tout moment sans justification.
• Intérêt légitime (art. 6.1.f) — sécurité de la plateforme, prévention de la fraude, statistiques internes non identifiantes, amélioration des services.
• Obligation légale (art. 6.1.c) — déclarations Qualiopi, archivage comptable et fiscal, conservation des documents pédagogiques (Code du travail), traçabilité CPF.

Vos données sont-elles partagées avec des tiers ?

26 Academy ne vend ni ne loue vos données. Vos données peuvent être transmises à des sous-traitants techniques nommément identifiés ci-dessous, à des partenaires institutionnels (Caisse des Dépôts pour Mon Compte Formation, France Travail, OPCO, organismes certificateurs France Compétences), ou à toute autorité compétente sur réquisition légale.

Chaque sous-traitant est lié à 26 Academy par un accord de traitement des données (DPA) conforme à l'article 28 du RGPD : finalités strictement encadrées, mesures de sécurité contractualisées, interdiction de réutilisation à d'autres fins, droit d'audit, obligation de notification en cas d'incident.

Sous-traitants nominatifs

Cette liste est tenue à jour ; toute évolution donnera lieu à une mise à jour de la présente politique. Pour obtenir copie d'un DPA spécifique, contactez notre DPO (cf. section finale).

Transferts de données hors Union européenne

Certains de nos sous-traitants sont établis aux États-Unis (Vercel, ActiveCampaign, Anthropic, Google, Meta, LinkedIn). Conformément à l'article 44 et suivants du RGPD, ces transferts sont encadrés par les mécanismes suivants :

• Clauses contractuelles types (CCT) adoptées par la Commission européenne (décision 2021/914) — intégrées à chaque DPA et complétées, le cas échéant, par des mesures supplémentaires (chiffrement, pseudonymisation, accès strict).
• EU-US Data Privacy Framework (DPF) — lorsque le sous-traitant y est certifié (Google, Meta, LinkedIn notamment), nous nous appuyons en priorité sur cette adéquation reconnue par la Commission européenne (décision du 10 juillet 2023).
• Évaluation d'impact sur les transferts (Transfer Impact Assessment, post-Schrems II) menée et documentée pour chaque sous-traitant non-UE traitant des données identifiantes.

Aucune donnée sensible (au sens de l'article 9 RGPD : santé, opinions, données biométriques, etc.) n'est transférée hors UE.

Intelligence artificielle (chat Sarah, diagnostic) — art. 22 RGPD & art. 50 AI Act

26 Academy utilise des modèles d'intelligence artificielle pour deux services :

• Chat Sarah — assistant conversationnel basé sur Claude, modèle de langage fourni par Anthropic (PBC, États-Unis). Vous échangez avec une IA, pas avec un humain. Un bandeau de consentement préalable est affiché lors de votre première ouverture du chat, conformément à l'article 50 du Règlement (UE) 2024/1689 sur l'IA. Les messages sont traités par Anthropic pour générer une réponse, puis conservés 24 heures maximum sur Upstash (UE) pour assurer la continuité de la conversation. Aucun message n'est utilisé pour entraîner des modèles tiers.
• Diagnostic d'orientation — algorithme d'analyse multi-critères (situation, motivation, projet) qui propose des parcours compatibles à partir de vos réponses. Le score affiché est indicatif et ne constitue ni un avis juridique, ni médical, ni financier.

Pas de décision automatisée à effet juridique ou significatif (art. 22 RGPD). Les recommandations IA sont des suggestions ; toute orientation, inscription ou refus de prise en charge fait l'objet d'une revue par un conseiller humain. Vous pouvez à tout moment demander une intervention humaine, contester une recommandation, ou exprimer votre point de vue en contactant notre équipe pédagogique (support@26academy.com) ou notre DPO.

Les modèles IA peuvent produire des informations imprécises ou incorrectes. Aucun conseil juridique, médical ou financier ne doit être tiré du chat Sarah. En cas de doute, contactez un conseiller humain. Aucun traitement IA n'est effectué sur des données sensibles (santé, opinions, orientation, etc.).

Comment sont protégées vos données personnelles ?

26 Academy applique les mesures de sécurité technologiques et organisationnelles reconnues pour éviter perte, détournement, consultation, modification ou divulgation non autorisée. Les utilisateurs s'engagent à conserver la confidentialité de leurs identifiants, ne pas partager leurs comptes et déclarer toute utilisation non autorisée.

Quelle est la durée de conservation des données personnelles ?

Les données sont supprimées après une période adaptée à la nature du traitement :

• Parcours non-diplômants : 5 ans après dernière utilisation ;
• Comptes suspendus : 2 ans après suspension ;
• Parcours diplômants / certifiants : selon durées légales et réglementaires applicables (Code du travail, Qualiopi, traçabilité CPF) ;
• Leads et contacts CRM (ActiveCampaign) : 3 ans après la dernière interaction active (ouverture, clic, soumission), puis suppression automatique ;
• Historique chat Sarah (Upstash) : 24 heures, TTL technique non prolongeable ;
• Logs serveur (Vercel) : 30 jours ;
• Diagnostic d'orientation (Supabase) : 3 ans après dernière interaction, sauf demande de suppression antérieure ;
• Réponses aux formulaires de contact : 3 ans à compter du dernier échange.

Êtes-vous mineur ?

Conformément à la loi française pour une République numérique (art. 7-1 de la loi 78-17 modifiée), le traitement des données d'un mineur de moins de 15 ans est subordonné au consentement conjoint du mineur et du titulaire de l'autorité parentale. Si vous avez moins de 15 ans, lisez cette politique avec votre parent ou représentant légal et obtenez son accord avant toute inscription. Vous (ou votre représentant légal) pouvez à tout moment exercer le droit à l'oubli.

Utilisation en relation avec les réseaux sociaux

L'utilisation conjointe peut entraîner collecte et échange de données entre réseaux sociaux et 26 Academy. L'organisation n'est pas responsable de l'utilisation par les réseaux sociaux. Les utilisateurs contrôlent directement leurs paramètres de confidentialité sur ces plateformes.

Quels sont vos droits ?

Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) — obtenir copie des données vous concernant ;
• Droit de rectification (art. 16) — corriger ou compléter une donnée inexacte ;
• Droit à l'effacement / droit à l'oubli (art. 17) — demander la suppression de vos données ;
• Droit à la limitation du traitement (art. 18) ;
• Droit à la portabilité (art. 20) — récupérer vos données dans un format structuré, couramment utilisé et lisible par machine ;
• Droit d'opposition (art. 21) — refuser un traitement fondé sur un intérêt légitime ou sur la prospection commerciale ;
• Droit de retirer votre consentement (art. 7.3) — applicable à la newsletter, aux cookies non essentiels, au chat Sarah et au consentement téléphonique/SMS/WhatsApp ;
• Droit à une intervention humaine sur les recommandations IA (art. 22) — voir la section dédiée ci-dessus.

Démarchage téléphonique. Si vous ne souhaitez plus être contacté par téléphone, vous pouvez à tout moment retirer votre consentement par email à david@26academy.com. Vous pouvez également vous inscrire gratuitement au registre Bloctel : 26 Academy le consulte avant tout démarchage, conformément à la loi 2022-1587 du 19 décembre 2022 et aux articles L.223-1 et suivants du Code de la consommation.

Pour exercer ces droits : email à david@26academy.com ou courrier à 26 Academy – Data Protection, 17 rue d'Orléans, 92200 Neuilly-sur-Seine, France. Une réponse vous est apportée dans un délai d'un mois à compter de la réception de votre demande. Vous pouvez par ailleurs introduire une réclamation auprès de la CNIL (cnil.fr/fr/plaintes).

Comment nous contacter — coordonnées Data Protection Officer

Le Délégué à la protection des données (DPO) de 26 Academy est David TROJMAN, joignable à l'adresse david@26academy.com.

Pour toute question, réclamation, recommandation ou commentaire relatif à vos données personnelles : david@26academy.com, ou par courrier à 26 Academy – Data Protection, 17 rue d'Orléans, 92200 Neuilly-sur-Seine, France. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).