Politique de confidentialité

La présente politique explique comment vos données personnelles sont traitées lorsque vous utilisez Kitbloc (le site www.kitbloc.com, l'application web, les pages publiées et les applications associées — le « Service »). Elle est établie conformément au Règlement (UE) 2016/679 (« RGPD »), à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés ») et à l'article 82 de cette loi pour les cookies.

1. Responsable du traitement

Formation Continue Réunion
117, rue Sainte-Marie, 97400 Saint-Denis, La Réunion, France
SIRET : 818 358 269 00012
Contact données personnelles : [email protected]

Contenus des espaces de travail. Lorsqu'une organisation (entreprise, organisme de formation, établissement…) utilise Kitbloc pour ses propres utilisateurs, apprenants ou contacts, elle est responsable du traitement des données qu'elle y dépose, et Formation Continue Réunion agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Un accord de traitement des données (DPA) est disponible sur demande. Les personnes concernées exercent alors leurs droits en priorité auprès de cette organisation.

2. Données traitées, finalités et bases légales

Finalité	Données	Base légale (art. 6 RGPD)
Création et gestion du compte, authentification	Nom, adresse email, mot de passe (non conservé en clair), photo de profil, identifiant du fournisseur de connexion (Google), éléments de connexion et d'authentification	Exécution du contrat
Fourniture du Service (espaces de travail, documents, bases de données, cours, jeux, publications)	Contenus que vous créez, importez ou partagez ; membres et rôles des espaces de travail ; progression pédagogique	Exécution du contrat
Fonctionnalités d'intelligence artificielle (génération de contenus, recherche)	Consignes, documents et extraits transmis, résultats générés, requêtes	Exécution du contrat
Connexions à des services tiers que vous activez (services Google)	Autorisations d'accès, données des services connectés strictement nécessaires à la fonctionnalité demandée	Exécution du contrat, à votre initiative
Facturation et paiements	Plan souscrit, historique de facturation, données transmises par le prestataire de paiement (jamais votre numéro de carte)	Exécution du contrat ; obligation légale (comptabilité)
Emails de service (vérification, sécurité, facturation, notifications)	Adresse email, nom	Exécution du contrat
Sécurité, prévention de la fraude et des abus, diagnostic des erreurs	Adresse IP, navigateur, horodatages, journaux de sécurité, rapports d'erreur	Intérêt légitime (sécuriser le Service)
Correction par IA des réponses rédigées	Texte de la réponse uniquement (sans nom, e-mail ni identifiant) ; note et commentaire générés	Exécution du contrat
Vidéos externes intégrées aux leçons (YouTube, Vimeo)	Adresse IP et traceurs déposés par le fournisseur de la vidéo, uniquement si vous l'autorisez	Consentement (voir § 7)
Mesure d'audience et amélioration du produit	Données d'usage associées à un identifiant interne pseudonymisé (sans nom, e-mail, adresse IP ni texte libre)	Consentement (voir § 7)
Mesure d'audience anonyme du site public	Pages consultées, provenance, type d'appareil et de navigateur, langue, pays et ville (adresse IP non conservée)	Intérêt légitime (mesure d'audience exemptée de consentement, voir § 7)
Réponse à vos demandes (support, contact, exercice de droits)	Identité, coordonnées, contenu de la demande	Intérêt légitime ; obligation légale pour l'exercice des droits

Nous ne vendons pas vos données, ne les utilisons pas à des fins publicitaires et n'utilisons pas vos contenus pour entraîner des modèles d'intelligence artificielle.

3. Connexion avec Google et services Google

Si vous choisissez « Se connecter avec Google », nous recevons de Google votre nom, votre adresse email, votre photo de profil et un identifiant de compte, uniquement pour créer ou retrouver votre compte Kitbloc. Si vous connectez un service Google (Drive, Docs, Sheets, Agenda, Gmail, Forms), Kitbloc n'accède qu'aux données nécessaires à l'action que vous demandez (par exemple lire un document que vous sélectionnez ou envoyer un email en votre nom).

L'utilisation et le transfert à toute autre application des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (« Limited Use »). Ces données ne sont ni vendues, ni utilisées pour de la publicité, ni pour entraîner des modèles d'IA généralistes, et ne sont lues par un humain qu'avec votre accord explicite, pour des raisons de sécurité ou pour respecter la loi. Vous pouvez révoquer l'accès à tout moment depuis les paramètres de connexions de Kitbloc ou depuis votre compte Google.

4. Intelligence artificielle

Lorsque vous utilisez une fonctionnalité d'IA, les éléments nécessaires (votre consigne et les contenus que vous fournissez ou sélectionnez) sont transmis au fournisseur de modèle retenu pour produire la réponse. Les contenus générés par IA peuvent être inexacts ou incomplets : vérifiez-les avant de les utiliser ou de les publier. Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé.

Si vous configurez votre propre clé de fournisseur d'IA (« BYOK »), les données sont transmises à ce fournisseur selon le contrat que vous avez conclu avec lui.

Correction par IA des réponses rédigées. Les réponses rédigées aux exercices et évaluations sont corrigées avec l'aide d'une IA. Ce traitement fait partie du service (exécution du contrat) et n'est pas facultatif. Seul le texte de la réponse est transmis : votre nom, votre e-mail et vos identifiants ne le sont jamais, et ils sont masqués s'ils apparaissent dans la réponse. Aucun résultat n'est décidé par une IA seule : un formateur peut relire et modifier la note, et vous pouvez lui demander une relecture.

Le fournisseur par défaut de ce modèle est établi en Chine : cela entraîne un transfert de données hors de l'Union européenne (voir § 6). L'organisation qui utilise Kitbloc peut choisir un autre fournisseur, notamment européen.

5. Destinataires

Vos données sont accessibles aux seules personnes habilitées de Formation Continue Réunion, aux membres des espaces de travail auxquels vous participez (selon leurs rôles) et à des prestataires agissant sur nos instructions, liés par un contrat conforme à l'article 28 du RGPD. Ces prestataires appartiennent aux catégories suivantes :

• hébergeurs : Hetzner Online GmbH (Allemagne), Leaseweb Netherlands B.V. (Pays-Bas), Clever Cloud SAS (France) ;
• prestataires de stockage et de diffusion de fichiers ;
• prestataires d'envoi d'e-mails ;
• prestataires de mesure d'audience et de suivi des erreurs techniques ;
• prestataires de paiement (dont ceux utilisés par les pages publiées par les organisations) : Paddle, qui vend les abonnements en tant que revendeur (« Merchant of Record ») et agit comme responsable de traitement distinct selon sa propre politique de confidentialité ;
• fournisseurs de services d'intelligence artificielle ;
• Google, si vous utilisez la connexion avec Google ou connectez un service Google.

Nous pouvons également communiquer des données aux autorités lorsque la loi l'exige. Nous ne vendons pas vos données.

6. Transferts hors de l'Union européenne

Vos données sont hébergées dans l'Union européenne. Certains prestataires (e-mail, mesure d'audience, paiement, services d'IA, Google) sont établis aux États-Unis ou y traitent des données : ces transferts reposent sur le cadre de protection des données UE–États-Unis pour les entreprises certifiées ou, à défaut, sur les clauses contractuelles types de la Commission européenne.

Correction par IA : transfert vers la Chine. Le fournisseur par défaut de la correction des réponses rédigées est établi en Chine, pays qui ne bénéficie pas d'une décision d'adéquation. Le transfert est encadré par les clauses contractuelles types de la Commission européenne, complétées de mesures supplémentaires. Seul le texte de la réponse est transmis ; votre nom, votre e-mail et vos identifiants ne le sont jamais.

Vous pouvez obtenir une copie des garanties applicables en écrivant à [email protected].

7. Cookies et traceurs

Le Service utilise des cookies et un stockage local strictement nécessaires : session d'authentification, sécurité, préférences d'affichage (langue, thème) et mémorisation de votre choix de consentement. Ils sont exemptés de consentement (article 82 de la loi Informatique et Libertés).

Deux choix facultatifs et indépendants vous sont proposés :

• Mesure d'audience produit : activée uniquement avec votre consentement. Elle repose sur un identifiant interne pseudonymisé, sans nom, e-mail ni adresse IP, et dépose un cookie d'une durée d'un an.
• Vidéos externes (YouTube, Vimeo) : les fournisseurs de ces vidéos peuvent déposer des traceurs. Sans votre accord, la vidéo ne se charge pas et un encart la remplace.

Refuser ne change rien à votre accès aux cours. Chaque choix se modifie ou se retire à tout moment depuis les réglages de confidentialité, aussi simplement qu'il a été donné. Aucun cookie publicitaire ni traceur de réseau social n'est déposé.

Le site public (pages de présentation et contenus publics, jamais l'application) fait l'objet d'une mesure d'audience anonyme, sans cookie, qui produit uniquement des statistiques agrégées. Elle est exemptée de consentement selon les recommandations de la CNIL. Vous pouvez vous y opposer ci-dessous ; votre choix est mémorisé dans votre navigateur.

8. Durées de conservation

• Compte et contenus : pendant toute la durée d'utilisation du compte. À la suppression du compte, les données sont effacées de la base active, puis des sauvegardes à l'expiration de leur cycle de rotation.
• Éléments placés dans la corbeille : 30 jours, puis suppression définitive.
• Journaux techniques : 30 jours.
• Mesure d'audience : données conservées 1 an ; cookie : 1 an ; choix de consentement (accord ou refus) : 6 mois, puis nous vous le redemandons.
• Mesure d'audience anonyme : statistiques conservées 25 mois au maximum ; choix d'opposition : jusqu'à ce que vous le retiriez.
• Données de facturation : 10 ans (article L123-22 du Code de commerce).
• Demandes d'exercice de droits : le temps de leur traitement, puis archivées pour la durée de prescription applicable.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données (chiffrement des échanges, contrôle des accès, sauvegardes). En cas de violation de données présentant un risque, nous notifions la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées.

10. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 21 du RGPD), du droit de retirer votre consentement à tout moment, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Vous pouvez modifier vos informations, exporter vos données et supprimer votre compte directement depuis les paramètres de votre profil, ou écrire à [email protected]. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Suppression du compte. La suppression efface votre compte et vos données. Si vous supprimez votre compte avant d'avoir validé un module, votre progression est effacée et la validation n'est plus possible : nous vous conseillons d'attendre la validation. Vos badges peuvent, à votre choix, être conservés sous forme pseudonymisée (sans votre nom) ; sans ce choix, ils sont effacés avec le compte. Vous pouvez exporter vos données avant de supprimer votre compte.

Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/plaintes.

11. Délégué à la protection des données

Nous n'avons pas désigné de délégué à la protection des données. Pour toute question : [email protected].

12. Mineurs

Le Service n'est pas ouvert aux moins de 15 ans pour le moment : l'inscription leur est refusée, car l'accord du titulaire de l'autorité parentale, requis en France avant 15 ans pour les traitements fondés sur le consentement, n'est pas encore mis en place. Une déclaration d'âge vous est demandée lors de l'inscription ou de l'acceptation des conditions ; si vous déclarez avoir moins de 15 ans, cette déclaration est conservée comme preuve du refus et l'accès au Service n'est pas accordé. Vous pouvez à tout moment demander l'export ou la suppression de votre compte et de vos données, ou nous écrire à l'adresse de contact de la présente politique.

13. Modifications

Cette politique peut être mise à jour. En cas de modification substantielle, les titulaires de compte sont informés par email ou dans l'application avant son entrée en vigueur.

Hébergement

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne
• Leaseweb Netherlands B.V., Hessenbergweg 95, 1101 CS Amsterdam, Pays-Bas
• Clever Cloud SAS, 3 rue de l'Allier, 44000 Nantes, France