Politique de confidentialité — Protection des données (RGPD)
Dernière mise à jour : septembre 2026
Préambule
La présente politique vise à informer les utilisateurs du site mindrampart.com des modalités de collecte, de traitement et de conservation de leurs données personnelles, conformément au RGPD (UE 2016/679) et à la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée).
MindRampart collecte uniquement les données strictement nécessaires à l'exécution de ses services. Aucune donnée sensible au sens de l'article 9 du RGPD n'est recherchée via ce site, sauf besoin d'accessibilité déclaré volontairement par l'utilisateur dans son espace personnel.
MindRampart ne constitue pas un conseil juridique au sens de la loi n° 71-1130 du 31 décembre 1971.
1. Responsable du traitement
Matthias De Forni — MindRampart
Entrepreneur individuel (micro-entreprise)
SIRET : 999 543 283 00017
Adresse : 8 place Roger Salengro, 31000 Toulouse, France
Email :
Site : https://mindrampart.com
Pour toute question relative à vos données :
MindRampart agit en qualité de responsable de traitement indépendant pour la gestion de la relation commerciale, des formulaires, de la facturation, des espaces utilisateurs et des obligations administratives. MindRampart agit en qualité de sous-traitant au sens de l'article 28 du RGPD uniquement pour les données traitées pour le compte du client dans le cadre des missions d'audit et de diagnostic en cybersécurité comportementale.
2. Données collectées
2.1 Via les formulaires publics (contact, lead magnet, diagnostic) : Prénom, nom, email professionnel, entreprise, message, consentement RGPD, adresse IP (hashée) pour rate limiting. Le champ « website » est un honeypot anti-spam ; toute soumission le renseignant est rejetée.
2.2 Espace personnel (formations) : Prénom, nom, email, genre, entreprise, besoin d'accessibilité (optionnel et déclaré volontairement), mot de passe (haché par Supabase Auth).
2.3 Données générées lors des formations : Réponses QCM pré/post, scores par thème, questionnaire de besoins, questionnaire de satisfaction, horodatage d'émargement, date de téléchargement attestation, logs d'emails (hash du destinataire).
2.4 Données commerciales : Historique devis, prestations, facturation.
2.5 Données de navigation : Umami Analytics (sans cookie, pas de données personnelles identifiables).
2.6 Via les missions d'audit cybersécurité : Dans le cadre des missions d'audit et de diagnostic en cybersécurité comportementale, MindRampart peut être amené à traiter des données relatives à l'organisation du client : organigrammes fonctionnels, processus internes, résultats d'entretiens, indicateurs de vulnérabilité humaine agrégés.
Ces données sont traitées exclusivement dans le cadre de la mission concernée, stockées sur des supports chiffrés et supprimées dans un délai de six (6) mois suivant la restitution du rapport final, sauf accord écrit de conservation entre les parties ou obligation légale. Pour ces traitements missionnels, MindRampart agit en qualité de sous-traitant (art. 28 RGPD) pour le compte du client — voir section 1.
3. Finalités du traitement
- Répondre aux demandes entrantes (formulaires de contact, lead magnets, demandes de diagnostic) ;
- Établir les devis et gérer la relation commerciale ;
- Gérer les inscriptions aux formations et sessions d'accompagnement ;
- Émettre les factures et assurer le suivi comptable ;
- Évaluer la progression pédagogique des participants (QCM, scores, diagrammes) ;
- Permettre aux dirigeants de suivre l'avancement de formation des collaborateurs qu'ils ont inscrits ;
- Réaliser les audits et diagnostics en cybersécurité comportementale et produire les livrables associés ;
- Garantir la sécurité du site et prévenir les abus (rate limiting, détection de spam) ;
- Envoyer des communications transactionnelles liées aux prestations (confirmation, accès, rapport).
4. Bases légales
| Traitement | Base légale |
|---|---|
| Formulaires de contact et lead magnets | Consentement (art. 6.1.a) |
| Inscriptions et exécution des formations | Exécution du contrat (art. 6.1.b) |
| Missions d'audit et de diagnostic cybersécurité | Exécution du contrat (art. 6.1.b) |
| Attestations, conventions et facturation | Obligation légale (art. 6.1.c) |
| Indicateurs pédagogiques et suivi dirigeant | Exécution du contrat (art. 6.1.b) |
| Emails transactionnels | Exécution du contrat (art. 6.1.b) |
| Rate limiting et logs de sécurité | Intérêt légitime — sécurité (art. 6.1.f) |
| Analytics Umami | Intérêt légitime — mesure d'audience exemptée CNIL (délibération 2022-272) |
5. Outils, hébergement et stockage
| Outil | Rôle | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement de l'application | USA (CCT) |
| Supabase | Base de données utilisateurs | EU West |
| Resend | Envoi d'emails transactionnels | USA (CCT) |
| Stripe | Traitement des paiements (PCI-DSS) | USA / EU |
| Upstash | Redis — rate limiting | EU |
| Cloudflare | DNS et protection réseau | USA (CCT) |
| Umami Analytics | Mesure d'audience sans cookie | Auto-hébergé ou EU |
Aucune donnée n'est revendue ni transmise à des tiers à des fins commerciales.
CCT = transfert encadré par Clauses Contractuelles Types (art. 46 RGPD).
6. Destinataires des données
Les données sont accessibles aux seuls sous-traitants techniques listés à la section 5, dans la stricte limite de leurs attributions.
Accès dirigeant : le dirigeant peut consulter le statut de formation et les scores agrégés des collaborateurs qu'il a inscrits. Il n'a pas accès aux réponses détaillées aux questionnaires, aux données d'accessibilité ni aux motifs d'empêchement déclarés par les participants.
Missions d'audit : les données collectées lors des missions sont accessibles uniquement à Matthias De Forni dans le cadre de l'exécution de la mission. Aucun sous-traitant n'y accède, sauf infrastructure technique chiffrée (stockage local ou Supabase selon la mission).
7. Durée de conservation
| Catégorie de données | Durée de conservation |
|---|---|
| Leads et formulaires de contact | 3 ans à compter de la dernière interaction |
| Profils utilisateurs | Durée de la relation commerciale + 3 ans |
| Données de formation (évaluations, satisfaction, scores) | 5 ans à compter de la fin de la formation |
| Attestations de formation et conventions | 5 ans (obligation réglementaire) |
| Données comptables et factures | 10 ans (obligation légale) |
| Données de mission d'audit | 6 mois après restitution du rapport (sauf accord contraire écrit) |
| Logs d'emails (hash destinataire) | 1 an glissant |
| Logs de sécurité (IP hashée) | 90 jours |
À l'expiration de ces délais : suppression définitive ou anonymisation irréversible.
8. Transferts hors Union européenne
Certains sous-traitants (Vercel, Resend, Stripe, Cloudflare) sont établis aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types (art. 46 RGPD).
9. Sécurité des données
Mesures techniques et organisationnelles mises en œuvre :
- Chiffrement des communications (HTTPS / TLS) ;
- Mots de passe hachés (Supabase Auth) ; tokens httpOnly ;
- Contrôle d'accès par rôle (RLS Supabase, vérification serveur) ;
- Isolation des données par utilisateur ;
- Hachage des adresses IP (SHA-256 + sel) ;
- Logs sans données personnelles identifiables ;
- Rate limiting sur les endpoints sensibles ;
- Revue OWASP documentée ;
- Accès aux données de mission restreint à Matthias De Forni, stockage sur supports chiffrés.
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, MindRampart procédera à la notification à la CNIL dans les 72 heures (art. 33 RGPD) et informera les personnes concernées si le risque est élevé (art. 34 RGPD).
11. Vos droits
Droit d'accès (art. 15), rectification (art. 16), effacement (art. 17), limitation (art. 18), opposition (art. 21), portabilité (art. 20), retrait du consentement. Pour exercer vos droits : , en précisant votre identité. Réponse sous 1 mois (prolongeable de 2 mois si complexe). Réclamation possible auprès de la CNIL : https://www.cnil.fr — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
12. Données des mineurs
Les services MindRampart s'adressent exclusivement à des professionnels (B2B). La collecte de données de mineurs n'est pas intentionnelle. En cas de données de mineur fournies, contactez pour procéder à leur suppression.
13. Modification de la politique
La présente politique peut être mise à jour pour refléter les évolutions légales, réglementaires ou techniques. La date de dernière mise à jour figure en haut du document. En cas de modification substantielle, vous serez informé par email ou lors de votre prochaine connexion.