CMA France — Formation

Préambule

CMA France et les chambres de métiers et de l'artisanat de région (ci-après « les CMA ») attachent une importance particulière à la protection des données personnelles des utilisateurs de la plateforme de formation, qu'ils soient apprenants, tuteurs ou administrateurs de la plateforme.

La présente politique précise, pour chacune de ces catégories, les données traitées, les finalités poursuivies, les bases légales, les destinataires et les durées de conservation.

1. Identité et coordonnées des responsables de traitement

CMA France, établissement public administratif de l’Etat est le responsable de traitement.

Adresse de contact : 12 avenue Marceau, 75008 Paris

Contact du Délégué à la Protection des Données (DPD) : dpd@cma-france.fr

Les chambres de métiers et de l'artisanat de région, en tant qu'elles assurent le suivi pédagogique des apprenants sur leur territoire. Pour en savoir plus sur le traitement de vos données à caractère personnel par les CMA régionales vous pouvez consulter leur politique de confidentialité en annexe du présent document.

1.1 Responsabilité conjointe du traitement (article 26 du RGPD)

CMA France et les CMA de région agissent en qualité de responsables conjoints du traitement au sens de l'article 26 du RGPD :

• CMA France assure ou confie a un tiers l'édition , l'hébergement et l'administration générale de la plateforme ;
• les CMA de région assurent le suivi pédagogique de leurs apprenants respectifs.

2. Catégories de personnes concernées

La plateforme s'adresse à trois catégories d'utilisateurs, dont les traitements de données diffèrent :

• Apprenants : personnes suivant une formation via la plateforme ;
• Tuteurs : personnels des CMA de région assurant l'accompagnement pédagogique des apprenants de leur ressort ;
• Administrateurs de la plateforme : personnels habilités à la gestion technique et fonctionnelle du service.

3. Données collectées, finalités et bases légales par catégorie d'utilisateur

3.1 Apprenants

Données	Obligatoire	Durée de conservation
Nom d'utilisateur, nom, prénom, adresse de courriel	Oui	3 ans à compter de la dernière connexion
Mot de passe (stocké sous forme hachée, jamais en clair)	Oui	Durée de vie du compte
Données de suivi pédagogique (notes, favoris, complétion des activités, rapports)	Oui	3 ans à compter de la dernière connexion
Informations de connexion (horodatage, durée)	Oui	12 mois glissants (finalité de sécurité, art. 32 RGPD)
Messages publiés sur le blog/forum	Non	3 ans à compter de la dernière connexion
Informations renseignées dans le plan de formation	Non	3 ans à compter de la dernière connexion
Adresse IP / données de localisation	Oui	12 mois glissants

 

Finalités et bases légales :

Finalité	Base légale (article 6 du RGPD)
Suivi des formations en ligne, délivrance d'une attestation de suivi/réussite	Exécution du contrat de formation (art. 6.1.b) ; obligation légale (art. 6.1.c) lorsque l'attestation résulte d'une exigence réglementaire
Réponse aux questions, demandes, prises de contact	Exécution d'une mission d'intérêt public de CMA France ou de la CMA (art. 6.1.e)
Études statistiques et de secteur	Exécution d'une mission d'intérêt public de CMA France, sous réserve de pseudonymisation ou d'anonymisation (art. 6.1.e)
Sécurité de la plateforme (journalisation, lutte contre la fraude)	Exécution d'une mission d'intérêt public de CMA France (art. 6.1.e)

 

3.2 Tuteurs (personnels des CMA de région)

Données	Finalité	Base légale	Durée de conservation
Identité professionnelle, courriel professionnel, identifiant	Accès à la plateforme, accompagnement pédagogique	Exécution du contrat de travail/mandat (art. 6.1.b) ou mission d'intérêt public (art. 6.1.e)	Durée de la fonction + 12 mois
Affectation aux apprenants suivis, appréciations pédagogiques	Suivi et accompagnement des apprenants du ressort régional	Exécution du contrat de travail/mandat (art. 6.1.b) ou mission d'intérêt public (art. 6.1.e)	Durée du parcours de formation de l'apprenant concerné
Informations de connexion	Sécurité, traçabilité des accès	Mission d'intérêt public (art. 6.1.e)	12 mois glissants

3.3 Administrateurs de la plateforme

Données	Finalité	Base légale	Durée de conservation
Identité professionnelle, courriel professionnel, identifiant, habilitations	Administration technique et fonctionnelle	Mission d'intérêt public (art. 6.1.e)	Durée de la fonction + 12 mois
Journaux d'administration (actions réalisées, connexions)	Traçabilité, sécurité, preuve en cas d'incident	mission d'intérêt public (art. 6.1.e); obligation légale le cas échéant	12 mois glissants, prolongeable en cas d'investigation en cours

 

4. Destinataires des données

L'accès aux données est restreint aux personnes habilitées, selon une gestion des accès par rôle :

Donnée	Apprenant concerné	Tuteur(s) affecté(s)	Administrateurs plateforme	CMA France	Sous-traitants techniques
Données d'identité et de contact	Oui (les siennes)	Oui (apprenants de son ressort)	Oui (finalité technique, accès restreint et journalisé)	Oui	Oui (sous contrat art. 28)
Données de suivi pédagogique	Oui (les siennes)	Oui (apprenants de son ressort)	Non, sauf incident technique	Oui (statistiques, si possible anonymisées)	Non, sauf prestataire pédagogique sous contrat
Journaux de connexion	Non	Non	Oui	Sur demande motivée	Oui (hébergeur)

 

CMA France recourt à des sous-traitants au sens de l'article 28 du RGPD pour l'hébergement et la maintenance technique de la plateforme :

-                           hébergeur : OVH, 2 rue Kellermann, 59100 Roubaix

-                           Editeur du LMS : EDUNAO, 10 Rue de Louvois, 75002 Paris

 Ces prestataires sont liés par un contrat garantissant un niveau de protection conforme au RGPD.

5. Transferts de données en dehors de l'Union européenne

CMA France ne transfère pas les données personnelles en dehors de l'Union européenne.

6. Cookies et traceurs

La plateforme est susceptible de déposer des cookies strictement nécessaires à son fonctionnement (authentification, maintien de session), qui ne requièrent pas de consentement préalable conformément aux recommandations de la CNIL. Si des cookies de mesure d'audience ou de personnalisation sont utilisés, le consentement préalable de l'utilisateur sera recueilli via un bandeau dédié, conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL du 17 septembre 2020.

7. Sécurité des données (article 32 du RGPD)

CMA France met en œuvre des mesures techniques et organisationnelles proportionnées, notamment :

• stockage des mots de passe sous forme hachée ;
• chiffrement des flux de données (protocole TLS) ;
• gestion des accès par rôle (apprenant / tuteur / administrateur) selon le principe du moindre privilège ;
• journalisation des connexions et des actions d'administration ;
• procédures de sauvegarde et de restauration.

8. Décisions automatisées et profilage

La plateforme ne recourt à aucune décision entièrement automatisée produisant des effets juridiques ou vous affectant de manière significative au sens de l'article 22 du RGPD. Les données de suivi (notes, taux de complétion) sont utilisées exclusivement à des fins d'accompagnement pédagogique par les tuteurs, sans décision automatique d'exclusion, de sanction ou de non-délivrance d'attestation.

9. Durées de conservation

Les durées de conservation figurent dans les tableaux du point 3, propres à chaque catégorie de personnes concernées. À l'issue de ces durées, les données sont supprimées ou anonymisées, sauf obligation légale de conservation plus longue (finalité probatoire ou comptable, par exemple) ou archivage justifié.

10. Vos droits sur vos données personnelles

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants, quelle que soit votre qualité (apprenant, tuteur, administrateur) :

• Droit d'accès (art. 15) : obtenir la confirmation qu'un traitement est mis en œuvre et en obtenir une copie ;
• Droit de rectification (art. 16) ;
• Droit à l'effacement (art. 17), dans les limites prévues par la loi (notamment lorsque la conservation résulte d'une obligation légale) ;
• Droit à la limitation du traitement (art. 18) ;
• Droit à la portabilité (art. 20), pour les données que vous nous avez fournies et traitées sur la base du contrat ou du consentement ;
• Droit d'opposition (art. 21), pour les traitements fondés sur l'intérêt légitime ;
• Droit de retirer votre consentement à tout moment, lorsque le traitement en repose (sans remise en cause des traitements déjà effectués) ;
• Droit de définir des directives post-mortem (art. 85 de la loi Informatique et Libertés) ;
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr), sans préjudice de tout autre recours administratif ou juridictionnel.

Modalités d'exercice

Vous pouvez exercer vos droits :

• par courriel à dpd@cma-france.fr ; ou
• par courrier postal à : Délégué à la Protection des Données (DPD), CMA France, 12 avenue Marceau, 75008 Paris.

Conformément à l'article 12§6 du RGPD et aux recommandations de la CNIL, une copie de pièce d'identité n'est demandée qu'en cas de doute raisonnable sur votre identité, et non de façon systématique.

CMA France s'engage à répondre à votre demande dans un délai d'un mois à compter de sa réception, délai pouvant être porté à trois mois pour les demandes complexes ou nombreuses (art. 12§3 du RGPD), avec information préalable du motif de la prolongation.

11. Sort des données à caractère personnel après le décès

Conformément à l'article 85 de la loi du 6 janvier 1978 modifiée, vous pouvez définir des directives générales ou particulières relatives à la conservation, à l'effacement et à la communication de vos données personnelles après votre décès, en vous adressant au DPD de CMA France (dpd@cma-france.fr ou par courrier à l'adresse ci-dessus).

12. Mise à jour de la politique

La présente politique peut être mise à jour pour tenir compte des évolutions légales, réglementaires ou techniques. Toute modification substantielle fera l'objet d'une information des utilisateurs de la plateforme.

Dernière mise à jour : septembre 2026