1. Qui est responsable de vos données
Strigi édite une plateforme de formation en ligne proposée aux organismes de formation. Selon la façon dont vous nous rencontrez, nous jouons deux rôles différents.
Strigi, responsable de traitement
Pour les visiteurs du site strigi.fr, les personnes qui nous écrivent, nos prospects et nos clients (les comptes de l’espace client), c’est Strigi (la société ORKALI, SAS immatriculée au RCS de Paris sous le numéro 109 477 158) qui décide de ce qui est collecté et pourquoi : nous sommes responsable de traitement.
Strigi, sous-traitant de votre école
Pour les apprenants, formateurs et administrateurs d’une plateforme (par exemple ecole.strigi.fr), c’est l’organisme de formation qui est responsable de traitement. Strigi agit comme sous-traitant (article 28 du RGPD) : nous hébergeons et traitons ces données uniquement pour son compte et selon ses instructions. Les règles qui nous lient à l’école figurent dans l’accord de sous-traitance annexé à nos conditions d’utilisation.
Contact pour toute question sur vos données : contact@strigi.fr. Adresse postale : ORKALI (Strigi), 47 rue Vivienne, 75002 Paris.
2. Les données que nous traitons
Visiteurs du site et prospects
- Formulaire de contact : nom, société, adresse e-mail, téléphone, nombre d’apprenants, message, et l’adresse IP de l’envoi (lutte contre les abus).
- Suivi commercial : historique de nos échanges, rendez-vous, notes internes et étape de la discussion, saisis par l’équipe Strigi.
Clients Strigi (espace client)
- Compte : nom, prénom, adresse e-mail, téléphone, société, photo de profil (facultative), mot de passe (conservé uniquement sous forme chiffrée irréversible), dates de connexion.
- Plateformes : nom et adresse de chaque plateforme, forfait et modules, coordonnées de l’entreprise (raison sociale, adresse, SIRET, TVA, responsable).
- Relation avec votre conseiller : messages échangés, rendez-vous, présence en ligne dans l’espace client.
Utilisateurs d’une plateforme (pour le compte de l’école)
- Identité : nom, prénom, adresse e-mail, téléphone, date de naissance, photo de profil (facultative).
- Connexion : rôle, date de dernière connexion, jeton de session.
- Parcours pédagogique : progression, temps passé, résultats et copies d’évaluation, corrections, signatures de présence, attestations, questionnaires de positionnement et de satisfaction, réponses aux sondages, notes personnelles.
- Communications : messagerie, forum, messages échangés pendant les réunions.
- Documents déposés : fichiers envoyés par l’apprenant, y compris les justificatifs demandés par l’école.
- Surveillance des évaluations : pendant une évaluation, la plateforme compte les sorties de page, changements d’onglet ou de fenêtre, tentatives de copier-coller, clics droits, raccourcis bloqués et tentatives de capture d’écran. Ces compteurs sont visibles des formateurs de l’école. Aucune caméra, aucun micro et aucun enregistrement d’écran ne sont utilisés.
- Google (facultatif) : adresse e-mail Google et jeton d’accès, si un formateur ou un administrateur connecte son compte pour créer ses liens Google Meet (section 5).
Données techniques
Nos serveurs enregistrent les adresses IP dans leurs journaux techniques, et les utilisent pour limiter les tentatives de connexion répétées. L’équipe Strigi garde un journal de ses propres actions d’administration, adresse IP comprise. Les e-mails de service envoyés par les plateformes (bienvenue, mot de passe, notifications) ne contiennent aucun pixel de suivi d’ouverture.
3. Finalités, bases légales et durées
Quand Strigi est responsable de traitement :
| Traitement | Base légale | Durée de conservation |
|---|---|---|
| Répondre à une demande de contact | Mesures précontractuelles (art. 6.1.b) | 3 ans après le dernier contact |
| Suivi commercial des prospects (CRM) | Intérêt légitime : développer notre activité (art. 6.1.f) | 3 ans après le dernier contact |
| Compte client, plateformes, conseiller | Exécution du contrat (art. 6.1.b) | Durée du compte ; suppression immédiate à la demande du client (section 8) |
| Photo de profil | Exécution du contrat (art. 6.1.b), photo facultative | Jusqu’à son retrait ou la suppression du compte |
| Journal des actions de l’équipe Strigi | Intérêt légitime : sécurité (art. 6.1.f) | 1 an |
| Journaux techniques du serveur | Intérêt légitime : sécurité (art. 6.1.f) | 14 jours |
Pour le compte des écoles, à défaut d’instruction contraire de leur part :
| Traitement | Base légale (décidée par l’école) | Durée appliquée par Strigi |
|---|---|---|
| Comptes, parcours pédagogique, évaluations, attestations | Exécution du contrat de formation | Durée du compte, puis effacement définitif 4 ans après sa suppression |
| Surveillance des évaluations | Intérêt légitime : garantir la sincérité des évaluations | Comme l’évaluation à laquelle elle se rapporte |
| Messagerie, forum, réunions | Intérêt légitime : fonctionnement de la formation | Durée du compte + 4 ans |
| E-mails de service (bienvenue, mot de passe, notifications) | Exécution du contrat | Journal d’envoi conservé avec le compte |
| Lien Google Meet | Consentement du formateur | Jusqu’à la déconnexion du compte Google |
4. Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles ne sont accessibles qu’aux personnes qui en ont besoin : l’équipe Strigi pour les données dont elle est responsable ou pour assister une école, et, sur une plateforme, les administrateurs et formateurs de l’école selon leurs droits.
| Prestataire | Rôle | Données concernées | Localisation |
|---|---|---|---|
| OVH SAS | Hébergement des serveurs et des bases de données | Toutes les données hébergées | France (Gravelines) |
| Mailjet (Sinch) | Envoi des e-mails | Adresse e-mail, nom, contenu du message | Union européenne |
| IONOS SE | Boîtes de réception de contact@strigi.fr | Contenu des messages que vous nous envoyez | Union européenne |
| Google LLC | Liens Google Meet (facultatif) | E-mail Google, jeton d’accès à l’agenda | Union européenne / États-Unis |
| Sauvegarde hors site | Copie chiffrée de secours | Toutes les données hébergées | France, sur un ordinateur d’un associé |
Transferts hors de l’Union européenne. Seule l’intégration Google, facultative, peut entraîner un transfert vers les États-Unis. Il est encadré par le cadre de protection des données UE–États-Unis et par les clauses contractuelles types de la Commission européenne.
Services sans transfert de vos données. La traduction automatique des cours fonctionne sur nos propres serveurs. La recherche de GIF passe par nos serveurs : Giphy reçoit les mots recherchés, jamais votre adresse IP ni votre identité. La police de caractères est hébergée chez nous.
Vidéos intégrées. Quand un cours contient une vidéo YouTube, elle est chargée depuis le domaine sans cookie de YouTube (youtube-nocookie.com). Le chargement du lecteur transmet néanmoins votre adresse IP à Google, qui en est responsable de son côté.
5. Connexion Google Meet
Si vous connectez votre compte Google, Strigi demande uniquement :
- votre adresse e-mail Google (userinfo.email), pour afficher le compte connecté ;
- l’accès à Google Agenda (calendar.events), uniquement pour créer l’événement d’une réunion planifiée et en récupérer le lien Meet. Strigi ne lit, ne modifie et ne supprime aucun autre événement.
Le jeton d’accès est chiffré (AES-256-GCM) avant d’être stocké, n’est jamais envoyé au navigateur et n’est visible d’aucun autre utilisateur. Il est supprimé dès que vous déconnectez Google depuis votre profil, ou quand votre compte est supprimé.
L’utilisation par Strigi des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d’utilisation limitée (Limited Use). Ces données ne servent à aucune publicité, ne sont pas vendues, et ne sont transmises à des tiers que dans la stricte mesure nécessaire à la fonctionnalité. Strigi n’utilise ni ne transmet les données utilisateur Google pour entraîner ou améliorer des modèles d’intelligence artificielle ou d’apprentissage automatique, généralisés ou non, y compris ceux de Strigi.
7. Sécurité
- Mots de passe chiffrés de façon irréversible (bcrypt) et limitation des tentatives de connexion.
- Jetons d’accès tiers chiffrés en AES-256-GCM.
- Une base de données distincte par école : les données d’une plateforme ne côtoient jamais celles d’une autre.
- Connexions chiffrées (HTTPS) de bout en bout.
- Accès de production réservé à l’équipe habilitée, avec journal de ses actions.
- Sauvegardes quotidiennes, dont une copie hors site chiffrée.
En cas de violation de données, nous prévenons les écoles concernées sans délai et, lorsque la loi l’exige, la CNIL dans les 72 heures ainsi que les personnes concernées.
8. Suppression et sauvegardes
Compte client
Depuis « Mon profil », un client peut supprimer son compte à tout moment. La suppression est immédiate et définitive : le compte, ses plateformes avec leurs bases de données et leurs fichiers, et les échanges avec le conseiller sont effacés. Un e-mail confirme la suppression.
Utilisateur d’une plateforme
Quand une école supprime un compte, l’accès est coupé immédiatement et les données sont effacées définitivement 4 ans plus tard, sauf instruction contraire de l’école ou obligation légale.
Sauvegardes
Les sauvegardes ne sont pas modifiées après coup : une donnée effacée en disparaît au fil de leur renouvellement, au plus tard sous 6 mois. Elles ne servent qu’à restaurer le service après un incident ; après toute restauration, les suppressions intervenues depuis sont appliquées à nouveau.
Déconnecter Google depuis votre profil supprime le jeton et le révoque auprès de Google. Vous pouvez aussi retirer l’accès depuis les paramètres de votre compte Google.
9. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données (articles 15 à 22 du RGPD).
- Clients Strigi : « Mon profil » permet de corriger vos informations, de télécharger vos données et de supprimer votre compte. Pour le reste, écrivez-nous.
- Utilisateurs d’une plateforme : adressez-vous d’abord à votre école, qui est responsable de vos données. Votre profil permet aussi de télécharger vos données. Si vous nous écrivez directement, nous transmettons votre demande à l’école.
- Prospects : vous pouvez à tout moment nous demander de ne plus vous contacter.
Écrivez à contact@strigi.fr : nous répondons sous un mois au plus. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL.
10. Modifications
Cette politique évolue avec le service. La date de mise à jour figure en haut de page ; en cas de changement important, nous prévenons les clients par e-mail.