Sécurité et confidentialité

Ce que fait AGILIS Care

AGILIS Care est une application web installable, utilisée par les personnes inscrites à une formation. Elle fait trois choses : elle met à disposition les contenus de la formation au rythme des ateliers, elle héberge un carnet personnel strictement privé, et elle permet au formateur de recueillir l’avis du groupe pendant une séquence en salle.

Elle n’est pas un dispositif médical, elle ne pose aucun diagnostic et elle ne délivre aucun traitement. Aucune règle du produit ne lit un carnet pour en tirer un score, une alerte ou un signalement.

Le carnet contient une météo intérieure et un mot d’émotion, deux curseurs de 1 à 10, un journal en texte libre, des repères personnels, des petites réussites et l’historique d’exercices de régulation. Répétés dans le temps et croisés, ces éléments permettent de conclure sur l’état de santé mentale d’une personne. Le carnet est donc traité comme un ensemble de données concernant la santé au sens de l’article 9 du RGPD, et il repose sur le consentement explicite de la personne, recueilli individuellement sur son appareil, jamais en salle.

Qui est responsable, qui est sous-traitant

L’organisme de formation qui inscrit les participants est responsable de traitement : il décide des finalités et des moyens. Agilis Management édite et exploite AGILIS Care en qualité de sous-traitant, pour son compte et sur son instruction documentée.

Les formateurs agissent sous l’autorité du responsable de traitement. Leur accès se limite aux données pédagogiques de leurs propres sessions.

L’employeur des participants n’a aucun rôle : pas de compte, pas d’accès, pas de destinataire. Ce n’est pas une règle interne, c’est une absence dans le modèle de données : il n’existe pas de rôle établissement, et aucun écran ne pourrait lui montrer quoi que ce soit.

Le commanditaire d’une formation n’a pas non plus de compte. Il reçoit, en fin de parcours, le bilan de la session : des chiffres de groupe et des dates, sans aucun nom.

• Quatre rôles seulement, non cumulatifs : propriétaire de plateforme, administrateur d’organisme, formateur, participant. Aucun rôle employeur, aucun rôle observateur.

  Tenu par la base de donnéesLes fonctions d’autorisation de la base décident de chaque lecture. Un identifiant d’organisme forcé dans une adresse rend zéro ligne.

• L’identité juridique du responsable de traitement et l’adresse de son contact protection des données sont saisies par l’organisme lui-même, dans un écran de l’application, et se reportent automatiquement dans la mention d’information lue par ses participants.

  Tenu par le code de l’applicationLa page « Vos données » est un modèle unique rempli par la fiche de l’organisme. Un contrôle automatique du dépôt échoue s’il reste un champ non résolu dans un texte affiché à un participant.

Ce qui est traité, et à quel titre

Sept traitements, et aucun autre. Une fonction nouvelle entre dans ce tableau avant d’être ouverte, jamais après.

• Traitement

  Compte et parcours de formation

  Finalité

  Donner accès à l’application, rattacher la personne à son groupe, ouvrir les contenus au rythme des ateliers

  Fondement

  Intérêt légitime de l’organisme de formation à réaliser l’action de formation et à en démontrer la réalisation

  Personnes concernées

  Participants

• Traitement

  Carnet personnel

  Finalité

  Permettre à la personne de suivre sa propre santé émotionnelle

  Fondement

  Consentement explicite, article 9.2.a, recueilli individuellement et distinct de l’accès à la formation

  Personnes concernées

  Participants

• Traitement

  Liste des inscrits d’une session

  Finalité

  Permettre au formateur d’animer son groupe

  Fondement

  Intérêt légitime, limité aux seules données de rattachement

  Personnes concernées

  Participants

• Traitement

  Sondages de salle

  Finalité

  Faire vivre la séquence pédagogique du moment

  Fondement

  Intérêt légitime, sur des réponses qui ne portent aucun identifiant de personne et sont effacées le soir même

  Personnes concernées

  Personnes présentes en salle, sans compte

• Traitement

  Rappel doux

  Finalité

  Envoyer au plus une notification par jour, à l’heure et aux jours choisis par la personne

  Fondement

  Consentement, donné par un bouton de réglage et par l’autorisation de l’appareil, retirable d’un geste

  Personnes concernées

  Participants

• Traitement

  Bilan de session et preuves de certification

  Finalité

  Rendre compte de la formation et documenter les indicateurs Qualiopi

  Fondement

  Obligation légale et réglementaire pour les preuves, exécution du contrat de formation pour le bilan

  Personnes concernées

  Participants, en effectifs de groupe uniquement

• Traitement

  Fiche d’un intervenant

  Finalité

  Réunir les informations de rigueur d’un formateur, et les pièces attendues par la certification Qualiopi

  Fondement

  Exécution du contrat qui lie l’intervenant à l’organisme, et obligation légale pour les pièces de certification

  Personnes concernées

  Formateurs et administrateurs

Un huitième traitement existe, en dehors de la relation de formation : la demande d’accès déposée depuis le site public par une personne qui souhaite ouvrir un espace. Son responsable de traitement est Agilis Management, et son fondement est la demande elle-même. Elle enregistre ce que la personne écrit, plus l’adresse réseau tronquée à ses premiers chiffres, qui sert uniquement à limiter les demandes.

Aucun traitement ne repose sur une décision automatisée au sens de l’article 22. Aucun profilage n’est réalisé, et aucun contenu du carnet n’est analysé, ni pour déclencher un message, ni pour alimenter un indicateur.

Où vivent les données

Les comptes, les parcours, les carnets et les réponses de salle sont enregistrés dans une base PostgreSQL hébergée par Supabase, dans l’Union européenne, à Francfort.

Les fichiers de l’application (le code, les images, les polices) sont distribués par Vercel, qui voit passer l’adresse de connexion des appareils. Aucune donnée de carnet ne transite par un traitement de Vercel : l’application parle directement à la base depuis le navigateur.

Les codes de connexion et les courriels d’invitation partent par Resend, depuis une adresse de l’éditeur.

Les documents PDF produits à l’avance et les pièces déposées par un intervenant vivent dans des compartiments de stockage privés, sans aucune politique de lecture directe : ils ne se récupèrent que par une adresse signée de deux minutes, délivrée après contrôle du droit de la personne.

• Trois sous-traitants ultérieurs, nommés, et aucun autre : Supabase (base de données et authentification), Vercel (distribution des fichiers), Resend (envoi des courriels). Les trois sont des sociétés établies aux États-Unis, dont l’encadrement est détaillé dans la liste des sous-traitants du dossier téléchargeable.

  Tenu par le code de l’applicationLa politique de sécurité du site n’autorise de connexion sortante que vers le site lui-même, vers la base à Francfort, et vers le répertoire public des entreprises de l’État. Un contrôle automatique du dépôt échoue si le code appelle une adresse que cette politique ne nomme pas.

• Aucun traceur publicitaire, aucun outil de mesure d’audience, aucun partage avec un réseau social, aucun outil de suivi d’erreurs. L’application n’affiche donc aucun bandeau cookies, parce qu’elle n’a rien à faire accepter.

  Tenu par le code de l’applicationAucune bibliothèque de mesure ni de suivi d’erreurs ne figure dans les dépendances de l’application, et la politique de sécurité interdirait leur appel.

• Un seul appel sort vers un tiers depuis un écran : le répertoire public des entreprises de l’État, interrogé au moment où un organisme se crée à partir de son numéro SIRET. Il ne porte que ce que la personne tape, jamais une donnée de participant.

  Tenu par le code de l’applicationC’est la seule origine extérieure autorisée par la politique de sécurité, en dehors de la base de données.

Ce que le formateur ne voit jamais, et comment c’est tenu

C’est le point sur lequel tout le reste repose. Le formateur ne voit rien du carnet : aucune valeur, aucune moyenne, aucune tendance, aucun indicateur d’usage, même binaire, même anonyme. Il ne sait pas non plus qui a activé son carnet et qui ne l’a pas fait.

Cette garantie n’est pas une promesse d’interface, et ce n’est pas une règle que l’on se donne. C’est une absence dans la base de données, et une absence est plus solide qu’une interdiction : il n’y a rien à contourner.

• Le carnet vit dans un schéma de base de données séparé du reste de l’application, et ses cinq tables ne portent aucun identifiant d’organisme, de session ni d’établissement. Le carnet ne sait pas à quel organisme appartient la personne.

  Tenu par la base de donnéesUn banc d’étanchéité lit la structure réelle de la base et vérifie l’absence de ces colonnes.

• Sur ce schéma, il n’existe qu’une seule politique par table : lecture, écriture et suppression réservées à la personne dont l’identifiant correspond au compte connecté. Aucune politique n’existe pour un formateur, un administrateur ou un propriétaire de plateforme.

  Tenu par la base de donnéesUn compte formateur réel, connecté avec son propre jeton, rend zéro ligne sur chacune des cinq tables. Un refus de politique rend zéro ligne et aucune erreur : c’est bien la valeur qui est relue, pas le code de retour.

• Aucune fonction élevée en privilèges ne lit ce schéma. C’est le seul moyen de contourner l’absence de politique, et il n’en existe aucune.

  Tenu par la base de donnéesLe banc d’étanchéité parcourt le corps de toutes les fonctions de la base et échoue si l’une d’elles nomme le schéma du carnet.

• Le rôle anonyme, celui d’un visiteur sans compte, ne lit aucune table du carnet.

  Tenu par la base de donnéesMesuré par le même banc, table par table.

• Un compte participant ne lit pas le carnet d’un autre compte participant.

  Tenu par la base de donnéesDeux comptes réels, deux carnets réellement écrits, la lecture croisée rend zéro ligne.

• Aucune tendance de groupe ne s’affiche en dessous de cinq réponses. En dessous, l’application écrit « données insuffisantes » plutôt que de laisser deviner qui a répondu quoi. Le seuil est une contrainte de la base, et la colonne qui le porte n’est pas modifiable depuis un écran.

  Tenu par la base de donnéesContrainte de vérification sur la table des sondages, et retrait du droit de modification sur cette colonne.

• Les réponses aux sondages de salle sont un objet entièrement séparé du carnet : autre table, autre autorisation, autre durée de vie. Elles ne portent aucun identifiant de personne, aucune ne remonte dans un carnet, et aucune météo de carnet ne descend dans un écran projeté.

  Tenu par la base de donnéesLa table des réponses ne porte pas de colonne d’utilisateur : aucune jointure ne pourrait rattacher une réponse à une personne.

Le sondage projeté et le carnet restent donc deux gestes distincts, et le formateur le dit en salle : une personne qui veut garder sa météo du jour l’écrit aussi dans son carnet, où elle seule la relira.

Le cloisonnement entre organismes

Plusieurs organismes partagent la même plateforme. Aucun ne voit les sessions, les participants, les contenus ni les intervenants d’un autre.

• Aucune lecture n’est possible sans organisation. Un identifiant d’organisme forcé dans une adresse par une personne qui n’y appartient pas rend zéro ligne, et non une erreur que l’on pourrait interpréter.

  Tenu par la base de donnéesUn test de cloisonnement automatisé joue deux comptes réels, un par organisme, et croise leurs lectures.

• Les droits d’un formateur sur une session sont des colonnes de la base, jamais un document de configuration interprété par l’application.

  Tenu par la base de donnéesColonnes booléennes de la table des formateurs de session, lues par les politiques.

• Les fichiers déposés sont rangés par organisme puis par session, et ne se récupèrent que par une adresse signée de courte durée.

  Tenu par la base de donnéesLes compartiments de stockage des documents et des pièces n’ont aucune politique de lecture directe : personne ne les lit sans passer par le contrôle de droit.

Chiffrement, connexion, accès techniques

Les échanges circulent chiffrés sur le réseau, et l’hébergeur chiffre les volumes et les sauvegardes sur ses disques.

• Tout le trafic passe en HTTPS. Le certificat est émis et renouvelé automatiquement.

  Caractéristique du plan d’hébergementCertificat servi par l’hébergeur du site, lisible dans n’importe quel navigateur.

• Les données et les sauvegardes sont chiffrées au repos par l’hébergeur de la base.

  Caractéristique du plan d’hébergementCaractéristique publiée par l’hébergeur de la base pour son plan.

• Le site impose une politique de sécurité de contenu stricte : aucun script extérieur, aucune insertion du site dans un cadre, aucune permission de caméra, de microphone, de géolocalisation ni de paiement, et une politique de référent qui ne transmet jamais l’adresse complète d’une page à un tiers.

  Tenu par le code de l’applicationCes en-têtes sont versionnés dans la configuration de déploiement, et un contrôle automatique du dépôt échoue si le code appelle une origine que la politique ne nomme pas.

• La connexion se fait par un code à usage unique à six chiffres envoyé par courriel, valable dix minutes. Une minute au moins sépare deux demandes, une adresse en obtient au plus six par heure, et un même réseau au plus deux cents. Un mot de passe est possible si la personne en choisit un.

  Tenu par le code de l’applicationFonction serveur d’envoi du code. Les plafonds sont comptés dans la base, pas dans le navigateur : ils tiennent même si quelqu’un appelle la fonction directement.

• L’accès de maintenance de l’administrateur technique de la base est encadré par contrat, qui lui interdit de lire un carnet. Cet accès est dit aux participants eux-mêmes, dans la page « Qui voit quoi » : ils savent qu’il existe et à quoi il sert.

  Engagement contractuelArticles 4 et 5 du modèle d’accord de sous-traitance joint à ce dossier, et mention publique dans « Qui voit quoi », que tout participant peut lire sans compte.

• La clé à privilèges élevés de la base n’est jamais servie au navigateur. Elle ne vit que dans les fonctions serveur et dans les bancs d’essai.

  Tenu par le code de l’applicationLe code servi ne lit que les variables marquées publiques, et cette clé n’en fait pas partie : elle vit dans les secrets des fonctions serveur, hors du dépôt.

Combien de temps, et ce qui efface

Une durée annoncée sans mécanisme qui l’applique n’est pas une durée. Ce tableau distingue donc ce qu’une tâche de la base efface toute seule de ce qu’une procédure humaine efface sur demande.

• Donnée

  Réponses aux sondages de salle, et le jeton anti double réponse qui les accompagne

  Durée

  La journée d’atelier

  Ce qui efface

  Une tâche planifiée dans la base, qui s’exécute toutes les heures et referme chaque salle au fuseau horaire de sa propre session

• Donnée

  Journaux de sécurité (auteur, action, horodatage)

  Durée

  Six mois glissants

  Ce qui efface

  Une tâche planifiée dans la base, chaque jour. L’historique des consentements en est exclu : c’est la preuve exigée par l’article 7.1, et elle suit la durée de l’inscription

• Donnée

  Contenu du carnet

  Durée

  Effacé quand la personne le décide, sans délai

  Ce qui efface

  Un bouton dans les réglages du participant, avec double garde et mot de confirmation. Le retrait du consentement efface les cinq tables du carnet et laisse l’inscription à la formation intacte

• Donnée

  Rappel doux : heure, jours et abonnement de l’appareil

  Durée

  Jusqu’au retrait

  Ce qui efface

  Un geste dans les réglages, la déconnexion de l’appareil, ou la déclaration d’expiration de l’abonnement par le service de notification

• Donnée

  Compte entier d’un participant

  Durée

  Sur demande, traitée sous 72 heures

  Ce qui efface

  Une procédure humaine, sur simple courriel, sans justification à donner

• Donnée

  Documents PDF produits à l’avance

  Durée

  Jusqu’à la production de leur version suivante

  Ce qui efface

  Le document précédent est retiré du stockage dès que le nouveau a été déposé et relu

• Donnée

  Journaux techniques de la base, qui contiennent l’adresse de connexion des appareils

  Durée

  7 jours

  Ce qui efface

  La rotation du plan d’hébergement

Les durées du compte, de la liste des inscrits et des preuves de certification appartiennent au responsable de traitement : elles suivent son cycle Qualiopi, et c’est sa procédure qui les applique. La plateforme lui en donne le moyen : la suppression d’un compte sur demande, traitée sous 72 heures.

Journaux et traçabilité

La plateforme tient un journal des actions d’administration : création d’un organisme, création d’une session, publication d’un contenu, envoi d’une invitation, enregistrement de la fiche d’un intervenant, purge des réponses de salle, consentement donné ou retiré. Chaque ligne porte son auteur, l’organisme concerné et son horodatage.

Aucun accès au schéma du carnet ne figure dans ces journaux, pour une raison simple : il n’y en a pas.

Le compteur de la purge du soir est journalisé, mais aucune valeur de réponse ne l’est.

• Le journal est purgé à six mois glissants par une tâche quotidienne de la base.

  Tenu par la base de donnéesTâche planifiée et fonction de purge, toutes deux réservées au rôle de service.

Sauvegardes

La base est sauvegardée une fois par jour, et les sauvegardes sont conservées sept jours par le plan d’hébergement. Elles sont chiffrées, comme les volumes.

Cette rotation a une conséquence utile, et elle est écrite ici parce qu’un référent la demande : ce qu’une personne efface dans l’application disparaît aussi des sauvegardes, au plus tard sept jours après.

En cas de violation de données

La notification à la CNIL dans les 72 heures incombe au responsable de traitement, c’est-à-dire à l’organisme de formation, et l’information des personnes lui incombe aussi lorsque la violation présente un risque élevé pour elles. Compte tenu de la nature du carnet, une fuite qui le concernerait entrerait presque certainement dans ce cas.

Le rôle de l’éditeur est celui d’un sous-traitant au sens de l’article 33.2 : informer le responsable de traitement sans délai injustifié dès qu’il a connaissance d’une violation, lui fournir les éléments dont il dispose, et coopérer. Le modèle d’accord joint au dossier propose un délai de vingt-quatre heures et détaille ce que la notification contient.

Deux journaux nourrissent cette analyse : celui de la base, qui porte les adresses de connexion sur sept jours, et le journal des actions d’administration, qui porte chaque création, publication, invitation et consentement pendant six mois au moins.

Comment une personne exerce ses droits

Les demandes se présentent au responsable de traitement, dont l’adresse de contact protection des données figure dans la mention d’information que chaque participant peut lire, avec ou sans compte. Une personne a donc toujours une adresse à qui écrire : celle de son organisme, et à défaut celle de l’éditeur, qui la transmet.

L’application permet d’exercer directement l’essentiel sur le carnet, sans passer par personne.

• Accès et portabilité : la personne exporte l’intégralité de son carnet, les cinq tables, dans un fichier réutilisable, depuis ses réglages. L’export ne contient aucune réponse de sondage de salle, puisque ces réponses ne sont rattachées à personne.

  Tenu par le code de l’applicationUn banc d’essai joue l’export sur un compte réel, écrit le fichier et en relit le contenu clé par clé.

• Effacement : la personne efface le contenu de son carnet d’un geste, avec confirmation par un mot. Elle garde son accès à la formation, et personne n’est informé de cet effacement.

  Tenu par le code de l’applicationLe même geste retire le consentement enregistré et supprime les lignes des cinq tables.

• Retrait du consentement : aussi facile que le don, sans justification, sans conséquence sur la participation à la formation, et sans que le formateur en soit averti (il ne savait pas non plus que le carnet était utilisé).

  Tenu par la base de donnéesLe retrait est une fonction de la base, qui efface le carnet et laisse l’inscription intacte.

• Suppression du compte entier : une phrase par courriel suffit, sans justification à donner, et la demande est traitée sous 72 heures. L’adresse et le délai sont écrits dans les réglages du participant.

  Tenu par une procédure humaineProcédure humaine. Les réglages du participant affichent l’adresse et le délai, et ouvrent un courriel déjà rédigé.

• Rectification : chaque écrit du carnet se modifie ou se supprime ligne à ligne dans l’application.

  Tenu par le code de l’applicationÉcrans du carnet, côté participant.

Les demandes reçoivent une réponse sous un mois. Si la réponse ne convient pas, la personne peut saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Réversibilité et sortie

Un organisme qui arrête d’utiliser AGILIS Care récupère ce qui lui appartient, et ce qui lui appartient est ce que la plateforme détient pour lui : ses sessions, ses participants, ses contenus, ses bilans et ses documents.

La récupération se fait de deux façons. Le bilan de chaque session s’exporte depuis l’application, en fichier tableur et en PDF : effectifs, contenus publiés, dates d’ouverture, journées. Le reste, contenus pédagogiques compris, s’obtient par une extraction que l’éditeur fournit sur demande, dans un format réutilisable.

Les carnets, eux, ne sont jamais remis à l’organisme, ni à la sortie, ni à aucun autre moment. Ils appartiennent aux personnes, qui les exportent elles-mêmes. Un contrat qui prévoirait leur restitution à l’organisme serait en contradiction avec tout ce qui précède, et nous ne le signerions pas.

La suppression des données d’un organisme à la fin de la relation est prévue par le modèle d’accord de sous-traitance, au choix du responsable de traitement entre restitution et effacement.

Hébergement de données de santé : la certification HDS

La question se pose dès que l’on traite le carnet comme une donnée de santé, et voici la position retenue : la certification d’hébergeur de données de santé n’est pas requise pour AGILIS Care dans cette configuration.

La certification s’impose à qui héberge, pour le compte d’un tiers, des données de santé recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, au sens du Code de la santé publique. La première condition est remplie : le carnet est traité comme une donnée de santé. La seconde ne l’est pas : les données sont recueillies dans le cadre d’une action de formation professionnelle continue, aucun professionnel de santé n’intervient en cette qualité, aucun diagnostic n’est posé, et aucune donnée n’est partagée avec un professionnel de santé, un établissement de soins ou un service de santé au travail.

Cette position tient à ce que le dispositif fait, et ces quatre garanties sont ce qui la tient : aucun psychologue, médecin du travail ou infirmier n’obtient d’accès à titre professionnel ; aucun instrument de dépistage ni score clinique n’est ajouté ; l’application n’oriente vers aucune consultation avec transmission de données ; le dispositif n’est pas vendu à un service de santé au travail. Chacune de ces garanties est une exclusion écrite au dossier de conception, et toute évolution sur l’une d’elles rouvre la question avant d’être engagée.

Un organisme peut retenir un hébergeur certifié par exigence propre, sans y être tenu par la loi. La base est un logiciel libre et se redéploie chez un hébergeur français certifié : cette trajectoire est documentée, elle a un coût, et elle se discute avant la signature.

Cette position est argumentée et communicable ; comme toute qualification juridique, elle gagne à être confirmée par écrit par votre délégué à la protection des données ou votre conseil.

Souveraineté, distincte de la conformité

Les trois sous-traitants techniques sont des sociétés de droit américain, et la base de données est hébergée en Europe. Leurs transferts sont encadrés prestataire par prestataire, par la certification au cadre de protection des données entre l’Union européenne et les États-Unis ou par les clauses contractuelles types de la Commission européenne, comme le détaille la liste des sous-traitants jointe à ce dossier.

La souveraineté est une question distincte de la conformité, et elle se traite au contrat. Un organisme qui souhaite un hébergement souverain le demande avant la signature : la base est un logiciel libre, elle peut être redéployée chez un hébergeur établi en France, et l’éditeur documente et chiffre cette trajectoire à la demande. L’article 7 du modèle d’accord de sous-traitance porte cet engagement.