1. Identité du responsable de traitement
Jean-Luke-Junior Delhaise
Entrepreneur individuel (EI)
SIRET : 802 926 022 00038
36 Rue Notre-Dame, 08600 Givet, France
Email : contact@altrisconseil.fr
- Responsable de traitement pour les données collectées sur kursio.fr.
- Sous-traitant au sens de l'article 28 RGPD pour les données saisies par les associations clientes.
2. Rôles RGPD
Kursio opère selon deux rôles distincts au sens du RGPD :
- Responsable de traitement : pour les données collectées à l'occasion de la création de compte (email, nom, informations de facturation), de la navigation sur kursio.fr (analytics, cookies) et des communications avec les clients.
- Sous-traitant : pour toutes les données saisies par les associations clientes dans la plateforme (données des élèves, des membres, des groupes, des cours, des messages, etc.). Dans ce cadre, l'association est responsable de traitement et Kursio agit selon ses instructions. Les conditions de ce traitement sont formalisées dans l'Accord de traitement de données (DPA).
3. Données collectées et finalités
3.1 Données collectées lors de l'inscription
| Donnée | Finalité | Base légale |
|---|---|---|
| Email (administrateur) | Création de compte, communications transactionnelles | Exécution du contrat |
| Nom complet (administrateur) | Identification, facturation | Exécution du contrat |
| Nom de l'association | Identification du tenant | Exécution du contrat |
| Données de paiement (Stripe) | Traitement de l'abonnement | Exécution du contrat |
3.2 Données saisies par les associations dans la plateforme
En qualité de sous-traitant, Kursio traite pour le compte des associations les catégories de données suivantes :
- Données des membres (administrateurs, professeurs, parents) : email, nom complet, rôle, avatar.
- Données des élèves : nom complet, date de naissance, photo (optionnel), besoins spécifiques (champ libre pouvant contenir des données de santé), statut adulte/mineur.
- Données pédagogiques : présences, compétences, bulletins, cahier de textes, portfolio, objectifs.
- Communications : messages privés et de groupe, pièces jointes.
- Données financières : suivi des cotisations (libellé, montant, statut, dates). Aucun numéro de carte ou RIB n'est stocké.
- Consentements : type, date, adresse IP, horodatage.
3.3 Données de navigation (site marketing kursio.fr)
Sous réserve du consentement de l'utilisateur, les outils suivants collectent des données de navigation :
| Outil | Données collectées | Finalité | Transfert hors UE |
|---|---|---|---|
| Google Analytics 4 | IP, user agent, pages visitées, événements | Mesure d'audience | Google LLC, USA (SCC) |
| Google Ads (gtag) | IP, conversions, clics publicitaires | Mesure de conversion publicitaire | Google LLC, USA (SCC) |
| Meta Pixel | IP, user agent, événements de conversion | Retargeting publicitaire | Meta Platforms Inc., USA (SCC) |
Aucun de ces outils n'est chargé sans consentement préalable et explicite de l'utilisateur.
3.4 Données sensibles
Le champ « besoins spécifiques » des profils élèves est un champ libre. Il peut contenir des données de santé au sens de l'article 9 RGPD (allergies, handicaps, traitements médicaux). Ces données sont saisies et contrôlées exclusivement par l'association cliente, responsable de traitement. Kursio ne les consulte jamais en dehors des opérations de sous-traitance strictement nécessaires.
3.5 Données relatives aux mineurs
La grande majorité des élèves gérés dans Kursio sont des mineurs. Leurs données sont saisies par les associations clientes (administrateurs, professeurs), qui en sont responsables de traitement. Kursio, en qualité de sous-traitant, ne sollicite pas directement de données auprès des mineurs et ne dispose d'aucun accès à ces données en dehors des opérations de sous-traitance autorisées et tracées.
4. Durées de conservation
Chaque catégorie de données a une durée de conservation propre, alignée sur l'obligation légale ou l'intérêt légitime qui la justifie. Au-delà de ces durées, les données sont supprimées de manière définitive et irréversible.
| Catégorie | Durée | Base légale |
|---|---|---|
| Factures et données de facturation | 10 ans | Art. L123-22 Code de commerce |
| Consentements CGV / DPA / cookies | 5 ans | Art. 2224 Code civil (prescription) |
| Journal d'audit (anonymisé) | 3 ans | Art. 30 RGPD |
| Logs serveur (accès, authentification) | 1 an | Recommandation CNIL |
| Données analytics (Google Analytics) | 13 mois | Paramétrage GA4 |
| Données de navigation (cookies tiers) | 90 jours à 13 mois | Selon outil (Meta Pixel, Google Ads, GA4) |
| Emails transactionnels (logs Resend) | 90 jours | Paramétrage Resend |
| Données d'un compte en litige actif (gel) | Durée du litige + 5 ans | Art. 6.1.f RGPD (intérêt légitime) |
| Toutes les autres données opérationnelles | Suppression sous 7 jours après résiliation | Art. 17 RGPD (droit à l'effacement) |
Gel en cas de litige (legal hold) : en cas de litige actif (mise en demeure, procédure judiciaire en cours ou imminente), les données opérationnelles du compte concerné peuvent être conservées au-delà de 7 jours, pour la durée du litige augmentée de 5 ans (article 7.3 des CGV). Cette conservation est portée à la connaissance du Client par email. Base légale : intérêt légitime (article 6.1.f RGPD), strictement limité à l'exercice ou la défense d'un droit en justice.
5. Transferts de données hors Union européenne
Certains sous-traitants de Kursio sont établis hors de l'Union européenne. Tous les transferts sont encadrés par des Clauses Contractuelles Types (SCC) adoptées par la Commission européenne, conformément à l'article 46 RGPD.
| Sous-traitant | Service | Localisation | Garantie |
|---|---|---|---|
| Supabase Inc. | Base de données + stockage | Frankfurt EU (Allemagne) | Serveurs UE · DPA signé |
| Vercel Inc. | Hébergement web + CDN | USA + edge UE | SCC + DPA signé |
| Stripe Inc. | Paiement | USA + Stripe Payments Europe (Irlande) | SCC + DPA signé |
| Resend Inc. | Emails transactionnels | USA | SCC + DPA signé |
| Google LLC | Analytics + Ads | USA | SCC + DPA Google signé |
| Meta Platforms Inc. | Pixel publicitaire | USA | SCC (Conditions Meta Business Tools) |
| Apple (APNS) | Notifications push iOS | USA / EU | Conditions Apple Developer |
| Google (FCM) | Notifications push Android | USA / global | SCC (Conditions Firebase) |
| Google Fonts | Polices web (site marketing) | USA | IP transmise, mentionnée à titre d'information |
| OVH SAS | Gestion DNS | France (UE) | Traitement en UE |
| Cloudflare Inc. | Captcha anti-bot Turnstile (widget support kursio.fr) | UE + USA (Anycast) | SCC + DPA Cloudflare signé |
5bis. Messagerie de support Kursio
Kursio met à disposition une messagerie de support disponible à trois endroits : le widget de chat flottant sur kursio.fr (accessible sans compte), l'onglet « Support Kursio » dans l'application web et mobile (pour les clients connectés), ainsi que l'adresse hello@kursio.fr.
5bis.1 Données collectées
| Donnée | Finalité | Base légale |
|---|---|---|
| Nom et email | Identification du demandeur, envoi des réponses | Mesures précontractuelles (art. 6.1.b) ou exécution du contrat |
| Contenu du message et pièces jointes | Traiter la demande | Exécution du contrat ou intérêt légitime |
| Adresse IP (hachée) | Anti-abus, rate limiting, prévention du spam | Intérêt légitime (art. 6.1.f) |
| User-agent | Diagnostic technique en cas de bug | Intérêt légitime |
| Page d'origine (URL) | Comprendre le contexte de la demande | Intérêt légitime |
| Token magique HMAC (visiteur non-inscrit) | Permettre l'accès à la conversation depuis l'email reçu, sans création de compte | Mesures précontractuelles |
5bis.2 Pas de cookie tiers dans le widget
Le widget de chat sur kursio.fr ne dépose aucun cookie de tracking. L'authentification du visiteur non-inscrit est assurée par un lien magique signé (HMAC SHA-256) envoyé par email. Le captcha utilisé est Cloudflare Turnstile, choisi pour son absence de cookie tiers (conforme RGPD sans bannière de consentement préalable).
5bis.3 Durées de conservation
| Type | Durée | Justification |
|---|---|---|
| Ticket ouvert | Tant que la conversation est active | Finalité active |
| Ticket fermé (client existant) | 3 ans après fermeture | Preuve commerciale + suivi qualité support |
| Ticket fermé (visiteur non-inscrit, non converti) | 1 an après fermeture | Prospection commerciale (LOPD/CNIL) |
| Ticket marqué spam | 6 mois | Sécurité système |
| Pièces jointes | Identique au ticket parent | Minimisation |
| Notes internes opérateur | Identique au ticket parent | Cohérence dossier support |
5bis.4 Droit à l'effacement (art. 17)
Vous pouvez à tout moment demander la suppression de votre conversation support :
- Client connecté : bouton « Supprimer ma conversation (RGPD) » dans la page de chaque ticket (web et mobile).
- Visiteur non-inscrit : bouton équivalent sur la page de conversation accessible via le lien magique reçu par email.
- Demande par email : envoi à contact@altrisconseil.fr, traitée sous 30 jours.
La suppression effectue une anonymisation immédiate (nom, email, contenu des messages du requester remplacés par des valeurs neutres). Les messages de l'opérateur et les métadonnées non personnelles sont conservés pour les besoins de statistiques internes (qualité du support).
5bis.5 Notification d'une réponse
Lorsque l'opérateur Kursio (Jean-Luke Delhaise) répond à une conversation support, vous recevez une notification email automatique. Vous pouvez vous désabonner de ces notifications en clôturant la conversation depuis l'application ou en demandant l'effacement de vos données.
6. Accès aux données par l'opérateur Kursio
6.1 Principe de minimisation
L'équipe Kursio n'accède aux données des associations qu'en cas de nécessité opérationnelle stricte (support, résolution d'incident, maintenance). Tout accès est conditionné à la saisie d'un motif obligatoire et est tracé dans le journal d'audit.
6.2 Périmètre d'accès autorisé
L'opérateur Kursio ne peut accéder, dans le cadre du support, qu'aux données suivantes :
- Liste des membres (sans données de santé ni date de naissance des mineurs),
- Structure des groupes et planning des sessions,
- Statistiques de présence agrégées,
- Statut des cotisations (sans détail des moyens de paiement).
6.3 Données inaccessibles à l'opérateur
L'opérateur ne peut en aucun cas accéder aux données suivantes :
- Messages privés et pièces jointes de la messagerie,
- Documents uploadés par l'association,
- Bulletins de compétences, cahiers de textes, portfolios,
- Données de santé des élèves (champ besoins spécifiques),
- Dates de naissance des élèves mineurs.
7. Procédure de suppression des données (droit à l'effacement)
Conformément à l'article 17 RGPD, tout administrateur d'association peut demander la suppression complète de ses données en adressant une demande à contact@altrisconseil.fr. La procédure est la suivante :
- L'accès au compte est immédiatement suspendu.
- Un email est adressé à tous les administrateurs de l'association, indiquant la date de suppression définitive (7 jours plus tard) et un lien permettant d'annuler la procédure.
- Pendant ce délai de 7 jours, la suppression peut être annulée par tout administrateur ou par l'opérateur.
- À l'expiration du délai, toutes les données sont supprimées définitivement par cascade : membres, élèves, groupes, cours, messages, documents, cotisations, fichiers Storage.
- Un email de confirmation de suppression est adressé aux ex-administrateurs.
- Les entrées du journal d'audit sont conservées 3 ans sous forme anonymisée (le nom de l'association est remplacé par un identifiant neutre).
8. Droits des personnes concernées
Conformément au RGPD, toute personne dont les données sont traitées dispose des droits suivants :
- Droit d'accès (article 15) : obtenir une copie des données vous concernant.
- Droit de rectification (article 16) : corriger des données inexactes ou incomplètes.
- Droit à l'effacement (article 17) : demander la suppression de vos données.
- Droit à la limitation du traitement (article 18) : restreindre l'utilisation de vos données.
- Droit à la portabilité (article 20) : recevoir vos données dans un format structuré et lisible.
- Droit d'opposition (article 21) : vous opposer à certains traitements.
Pour exercer ces droits, adressez votre demande à : contact@altrisconseil.fr
En cas de réponse insatisfaisante, vous disposez du droit d'introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés) : www.cnil.fr
9. Sécurité
Kursio met en œuvre les mesures techniques et organisationnelles suivantes pour protéger les données :
- Chiffrement des communications (HTTPS/TLS sur toutes les URL),
- Authentification par JWT + refresh token stockés en cookies httpOnly et Secure,
- Contrôle d'accès par Row Level Security (RLS) sur toutes les tables de la base de données,
- Accès aux fichiers sensibles exclusivement par URL signées à durée limitée,
- Journal d'audit horodaté et non modifiable,
- Sauvegardes automatiques quotidiennes sur 7 jours glissants (plan Supabase Pro),
- Séparation stricte des données entre associations (isolation multi-tenant),
- Journalisation de tout accès opérateur aux données du Client (motif obligatoire, horodatage, traçabilité),
- Procédure de notification de violation de données dans les 72 heures conformément à l'article 33 RGPD.
10. Cookies
Pour une information complète sur les cookies utilisés par Kursio, consultez le lien « Gérer mes cookies » en bas de chaque page du site kursio.fr. Vous pouvez à tout moment modifier votre consentement.
11. Modifications de la présente politique
La présente Politique de confidentialité peut être mise à jour à tout moment. En cas de modification substantielle, les utilisateurs en seront informés par email ou par notification dans l'application. La date de dernière mise à jour figure en haut de ce document.
12. Contact DPO / Référent protection des données
Kursio ne dispose pas d'un délégué à la protection des données (DPO) au sens de l'article 37 RGPD, la désignation n'étant pas obligatoire pour un éditeur de la taille de Kursio.
Pour toute question relative à la protection de vos données : contact@altrisconseil.fr