Annexe de traitement des données personnelles applicable aux clients professionnels de CyberLouis.
Dernière mise à jour: Version 1.1 — 9 septembre 2026
Pour les données personnelles que le client confie à CyberLouis afin de fournir la plateforme à ses collaborateurs, le client agit comme responsable de traitement et GROUPE ALRIC comme sous-traitant. Le présent accord s’applique pendant la durée du contrat de service.
Le traitement porte sur l’hébergement, l’authentification, l’administration des comptes, la formation, le suivi de progression, les simulations autorisées, l’assistance et la sécurité du service. Sa nature comprend la collecte, l’enregistrement, la consultation, l’organisation, la transmission nécessaire au fonctionnement du service, la conservation et la suppression ou restitution en fin de contrat.
GROUPE ALRIC traite les données uniquement sur instructions documentées du client, y compris pour les transferts vers un pays tiers ou une organisation internationale, sauf obligation du droit de l’Union ou du droit français applicable. Dans ce dernier cas, GROUPE ALRIC informe le client avant le traitement, sauf interdiction légale. Si une instruction paraît contraire à la réglementation applicable, GROUPE ALRIC en informe le client sans délai et peut suspendre l’instruction concernée jusqu’à sa clarification.
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. GROUPE ALRIC met en œuvre les mesures techniques et organisationnelles appropriées au regard des risques, notamment des mesures de contrôle d’accès, de séparation des accès, de journalisation et de protection des échanges, adaptées au service et à l’état de l’art.
GROUPE ALRIC assiste raisonnablement le client, compte tenu de la nature du traitement et des informations disponibles, pour répondre aux demandes d’exercice des droits, réaliser une analyse d’impact, consulter l’autorité compétente et respecter les obligations de sécurité applicables.
En cas de violation de données personnelles dont il a connaissance, GROUPE ALRIC en informe le client sans délai indu. Cette information comprend, dans la mesure disponible, la nature de la violation, les catégories et le volume approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées, ainsi qu’un point de contact pour le suivi.
Le client autorise le recours aux prestataires nécessaires au service, dont ceux listés dans la politique de confidentialité. GROUPE ALRIC leur impose par contrat des obligations de protection des données au moins équivalentes à celles du présent accord.
GROUPE ALRIC demeure pleinement responsable envers le client de l’exécution par ses sous-traitants ultérieurs de leurs obligations de protection des données.
Avant tout ajout ou remplacement d’un sous-traitant ultérieur susceptible de traiter les données du client, GROUPE ALRIC en informe le client par un moyen raisonnable. Le client peut s’y opposer pour des motifs légitimes liés à la protection des données dans les trente jours suivant cette information. Les parties recherchent alors une solution raisonnable ; à défaut, le client peut résilier la fonctionnalité concernée avant sa mise en œuvre, sans pénalité pour cette fonctionnalité.
Les transferts hors EEE sont encadrés par les garanties requises par la réglementation applicable. GROUPE ALRIC met à disposition, sur demande raisonnable, les informations pertinentes relatives au mécanisme de transfert utilisé.
À la fin du service, le client choisit la restitution ou la suppression des données personnelles traitées pour son compte. Après restitution, GROUPE ALRIC supprime les données et leurs copies existantes dans un délai raisonnable, sauf obligation légale de conservation ; dans ce cas, les données restent protégées et ne sont plus traitées pour une autre finalité.
GROUPE ALRIC met à disposition les informations nécessaires pour démontrer le respect de ses obligations. Une fois par période de douze mois, ou après un incident de sécurité affectant matériellement les données du client, le client peut demander un audit documentaire raisonnable. Cette fréquence ne limite pas un audit imposé par la réglementation applicable ou une autorité compétente. Si l’audit documentaire ne répond pas à un risque objectivé, une inspection sur site ou à distance peut être organisée sur préavis raisonnable, pendant les heures ouvrées, sans compromettre la sécurité, la confidentialité des autres clients ou le fonctionnement du service. Le client supporte ses coûts et ceux raisonnables de GROUPE ALRIC lorsque l’audit dépasse ce qui est requis par la réglementation ou révèle l’absence de manquement de GROUPE ALRIC.
Personnes concernées : représentants, administrateurs, managers, collaborateurs, apprenants, personnes invitées, cibles de campagnes de simulation autorisées et contacts de support du client.
Catégories de données : identité et coordonnées professionnelles, identifiants de compte, appartenance à l’organisation et rôle, données de facturation gérées pour le compte du client lorsque pertinentes, données d’usage et de sécurité, progression, réponses et scores de formation, résultats de simulations autorisées, messages de support et données techniques de connexion. Le service n’est pas destiné au traitement de catégories particulières de données au sens de l’article 9 du RGPD, ni de mots de passe, secrets ou coordonnées bancaires recueillis dans une simulation.
Finalités : fourniture, exploitation, support et sécurisation de la plateforme, gestion des comptes, formation, suivi, simulations autorisées, rapports et exportations demandés par le client. Les obligations et droits du client sont ceux prévus par le RGPD et le contrat de service ; il lui appartient notamment de déterminer la base légale, d’informer les personnes concernées et de donner des instructions licites.
