Confidentialité & protection des données

2. Personne référente RGPD

CVMB FORMATION n'est pas tenue de désigner un Délégué à la protection des données (DPO) au titre de l'article 37 du RGPD (l'organisme ne traite ni des données sensibles à grande échelle, ni des activités de surveillance régulière et systématique). Néanmoins, par bonne pratique, une personne référente est désignée pour traiter toute demande RGPD :

• Référente RGPD : Caty FERNANDES, Directrice Générale
• Email dédié : contact@immobilierformation.com (objet « Demande RGPD »)
• Délai de réponse : 1 mois maximum à compter de la réception (RGPD art. 12-3), prorogeable de 2 mois en cas de complexité

3. Catégories de données collectées

CVMB FORMATION collecte uniquement les catégories de données suivantes, en application du principe de minimisation (RGPD art. 5-1-c) :

CVMB FORMATION ne collecte aucune donnée sensible au sens de l'article 9 du RGPD (origine ethnique, opinions politiques ou religieuses, santé, orientation sexuelle, etc.). La seule exception encadrée concerne la mention volontaire d'un handicap par le stagiaire — uniquement aux fins d'adaptation pédagogique, traitée avec une vigilance accrue, et conservée dans une table dédiée à accès restreint. Pendant l'entretien de positionnement ASCENSION, l'enregistrement est mis en pause le temps d'échanger sur un éventuel besoin lié à un handicap.

4. Finalités des traitements et bases légales

Chaque traitement est fondé sur une base légale au sens de l'article 6 du RGPD :

5. Sous-traitants et destinataires des données

Conformément à l'article 28 du RGPD, CVMB FORMATION recourt à des sous-traitants pour exécuter certains traitements. Tous présentent des garanties suffisantes et sont liés par un Data Processing Agreement (DPA) ou des Clauses contractuelles types européennes :

Aucune donnée n'est cédée, vendue ou louée à des tiers à des fins commerciales. Les sous-traitants ci-dessus agissent exclusivement sur instruction écrite de CVMB FORMATION, dans la stricte limite de la finalité de leur prestation.

6. Durées de conservation

Les données sont conservées pendant les durées strictement nécessaires à la finalité du traitement, conformément aux obligations légales et réglementaires :

• Données pédagogiques + administratives Qualiopi (positioning_tests, orders, conventions signées, attestations, évaluations chaud/froid) : 10 ans à compter de la fin de la formation, en application des obligations Qualiopi (Décret 2019-565, Arrêté 31/05/2023) et fiscales (Code commerce L.123-22).
• Tickets de support (Indicateur 19) : 3 ans à compter de la dernière interaction (RGPD art. 5-1-e).
• Factures et données comptables : 10 ans à compter de la clôture de l'exercice (Code commerce L.123-22 + L.123-22).
• Données de paiement Stripe : conservées par Stripe pendant 7 ans à des fins de lutte anti-fraude et obligations légales (PCI-DSS).
• Prospects sans achat (positioning_tests sans order associé) : 3 ans à compter du dernier contact (CNIL recommandation marketing direct B2B/B2C).
• Enregistrements, transcriptions et résumés des entretiens de positionnement ASCENSION : 1 an à compter de l'entretien, puis suppression chez l'éditeur (Fathom). Les enseignements généraux qui en sont tirés, sans nom ni détail permettant de reconnaître un candidat, peuvent être conservés. La fiche de positionnement suit les durées ci-dessus (10 ans en cas d'entrée en formation, 3 ans sinon).
• Données de mesure d'audience GA4 : 14 mois par défaut (paramétrage GA4), avec consentement.
• Données de mesure d'audience DataFast : 25 mois maximum à compter de leur collecte, avec consentement (recommandation CNIL sur les outils de mesure d'audience). À l'échéance, nous supprimons ces données chez l'éditeur.
• Cookies non essentiels : 13 mois maximum (recommandation CNIL délibération 2020-091).
• Hash SHA-256 des IP anti-spam : 3 mois à compter de la soumission du formulaire.

À l'expiration de la durée de conservation, les données sont supprimées ou anonymisées de manière irréversible (RGPD art. 5-1-e — limitation de la conservation).

7. Transferts de données hors Union européenne

Certains de nos sous-traitants sont établis aux États-Unis ou y ont leur maison-mère (Stripe, Vercel, Google, Microsoft, Resend, Calendly, Fathom). Lorsqu'un transfert de données vers les États-Unis est techniquement nécessaire au fonctionnement du service, il est encadré par :

• Le Data Privacy Framework UE-US (en vigueur depuis le 10 juillet 2023, suite à la décision d'adéquation de la Commission européenne) auquel les sous-traitants concernés adhèrent et qui remplace le Privacy Shield invalidé par l'arrêt Schrems II (CJUE, 16 juillet 2020).
• Des Clauses contractuelles types européennes (CCT, décision UE 2021/914) signées avec chaque sous-traitant.
• Le choix systématique de la région européenne d'hébergement quand l'option existe : Resend en eu-west-1 Dublin, Supabase en eu-west-3 Paris, fonctions serveur Vercel à Paris (région cdg1).

À l'exception de l'outil DataFast décrit ci-dessous, CVMB FORMATION ne procède à aucun transfert de données vers un pays tiers ne disposant pas d'une décision d'adéquation ou de garanties appropriées au sens des articles 44 à 49 du RGPD.

Fathom. Les enregistrements des entretiens de positionnement ASCENSION sont hébergés aux États-Unis par Fathom Video Inc. Ce transfert est encadré par le Data Privacy Framework UE-US, auquel Fathom est certifiée, et par des clauses contractuelles types en secours. Il n'a lieu que si tu acceptes l'enregistrement de ton entretien.

DataFast. L'éditeur de cet outil, JustShipIt Pte. Ltd., est établi à Singapour, pays qui ne bénéficie pas d'une décision d'adéquation de la Commission européenne, et son infrastructure est située principalement hors de l'Union européenne, notamment aux États-Unis. Ce transfert n'a lieu que si vous acceptez DataFast dans le bandeau cookies et repose sur ce consentement (article 49-1-a du RGPD). Les données transmises (adresse IP, identifiants de visite, pages consultées et, en cas d'achat, montant, date et référence technique du paiement) ne bénéficient pas, dans ces pays, d'un niveau de protection équivalent à celui de l'Union européenne, notamment vis-à-vis des autorités publiques locales. Vous pouvez refuser ou retirer votre consentement à tout moment, sans conséquence sur l'accès au site. Les versements d'un échéancier sont transmis selon le choix fait à l'inscription ou à l'enregistrement de la carte ; vous pouvez vous y opposer à tout moment en écrivant à contact@immobilierformation.com.

8. Tes droits sur tes données personnelles

Conformément aux articles 15 à 22 du RGPD et aux articles 38 à 43 de la loi Informatique et Libertés modifiée, tu disposes des droits suivants sur tes données personnelles :

• Droit d'accès (art. 15) — obtenir la confirmation que des données te concernant sont traitées, recevoir une copie de ces données et les informations associées.
• Droit de rectification (art. 16) — faire corriger des données inexactes ou compléter des données incomplètes te concernant.
• Droit à l'effacement (« droit à l'oubli ») (art. 17) — faire supprimer tes données, sous réserve des obligations légales de conservation (Qualiopi 10 ans, comptable 10 ans).
• Droit à la limitation du traitement (art. 18) — faire suspendre temporairement un traitement le temps d'une vérification.
• Droit à la portabilité (art. 20) — recevoir tes données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV).
• Droit d'opposition (art. 21) — t'opposer à un traitement fondé sur l'intérêt légitime ou à des fins de prospection commerciale.
• Droit de retirer ton consentement (art. 7-3) à tout moment lorsque le traitement repose sur le consentement (cookies, mesure d'audience, enregistrement de l'entretien ASCENSION). Le retrait n'affecte pas la licéité du traitement effectué avant le retrait.
• Droit de définir des directives post-mortem (art. 85 loi IL) — préciser le sort de tes données après ton décès.

9. Exercice de tes droits

Pour exercer l'un de tes droits, il suffit d'écrire à contact@immobilierformation.com avec en objet « Demande RGPD » et en précisant :

• Le ou les droit(s) que tu souhaites exercer (accès, rectification, effacement, etc.)
• Les données concernées si tu peux le préciser (un parcours en particulier, une commande spécifique, etc.)
• Une copie d'une pièce d'identité uniquement si il existe un doute sur l'identité du demandeur (art. 12-6 RGPD)

CVMB FORMATION s'engage à répondre dans un délai d'un (1) mois maximum à compter de la réception de la demande (RGPD art. 12-3), prorogeable de deux mois supplémentaires en cas de complexité ou de demandes multiples (avec information préalable de la personne concernée).

L'exercice de ces droits est gratuit, sauf en cas de demandes manifestement infondées ou excessives où des frais raisonnables peuvent être appliqués (art. 12-5 RGPD).

10. Sécurité des données

CVMB FORMATION met en œuvre les mesures techniques et organisationnelles appropriées (RGPD art. 32) pour garantir un niveau de sécurité adapté au risque, notamment :

• Chiffrement des données en transit (HTTPS / TLS 1.3) sur l'ensemble du site et des appels API
• Chiffrement des données au repos sur Supabase (AES-256) et tous nos sous-traitants UE
• Clés d'API et secrets stockés en variables d'environnement Vercel marquées « Sensitive », non exposées au navigateur
• Authentification renforcée des accès administratifs (2FA obligatoire sur Supabase, Vercel, Stripe, OVH)
• Politique de Row Level Security (RLS) Supabase activée par défaut sur toutes les tables — accès limité au seul service_role côté serveur
• Hash SHA-256 des adresses IP utilisées pour la lutte anti-spam (jamais l'IP en clair)
• Headers de sécurité HTTP : Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, Referrer-Policy, Permissions-Policy (configurés dans vercel.json)
• Logs d'audit (table audit_logs) tracent chaque action significative pour permettre la détection d'anomalies

En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, CVMB FORMATION procèdera à une notification à la CNIL dans un délai de 72 heures (RGPD art. 33) et, le cas échéant, à une information directe des personnes concernées (RGPD art. 34).

11. Cookies et traceurs

La gestion des cookies déposés par immobilierformation.com est détaillée sur la page dédiée /cookies, conformément à la délibération CNIL n° SAN-2025-010 du 20 novembre 2025.

Tu peux à tout moment modifier tes préférences cookies via le lien « Gérer mes cookies » situé en bas de chaque page du site, ou directement depuis la page /cookies.

12. Mises à jour de la présente politique

La présente politique de confidentialité peut faire l'objet de mises à jour pour refléter des évolutions législatives, l'ajout de nouveaux sous-traitants ou de nouvelles finalités. La date de dernière mise à jour figure en haut de la présente page. En cas d'évolution majeure impactant les droits des personnes concernées, une notification sera adressée par email aux stagiaires actifs.