Politique de confidentialité
Dernière mise à jour : août 2026
1. Introduction
AxoSeed SAS, éditeur de la plateforme CyberNinja (ci-après « CyberNinja », « nous », « notre »), est engagée dans la protection des données personnelles de ses Utilisateurs et de ses clients. La présente Politique de confidentialité (ci-après la « Politique ») décrit comment nous collectons, utilisons, stockons et protégeons vos données à caractère personnel lorsque vous utilisez la plateforme CyberNinja (ci-après la « Plateforme »), conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée).
2. Responsable de Traitement
Le responsable de traitement est AxoSeed SAS, société par actions simplifiée au capital de 3 000 €, inscrite au RCS de Paris sous le numéro 107 355 216, dont le siège social est situé Bureau 326, 59 rue de Ponthieu, 75008 Paris.
Pour toute question relative au traitement de vos données personnelles, vous pouvez contacter notre Délégué à la Protection des Données (DPO) à l'adresse suivante :
- Email : dpo@cyber-ninja.fr
- Courrier : AxoSeed SAS — DPO CyberNinja, Bureau 326, 59 rue de Ponthieu, 75008 Paris
3. Données Collectées
Nous collectons les catégories de données suivantes dans le cadre de l'utilisation de la Plateforme :
a) Données d'identité
- Nom et prénom
- Adresse email professionnelle
- Fonction au sein de l'Organisation
b) Données professionnelles
- Nom de l'Organisation
- Rôle au sein de l'Organisation (administrateur, employé)
- Identifiant interne (le cas échéant)
c) Données de formation
- Modules suivis et progression
- Résultats aux quiz et niveaux atteints
- Réponses aux scénarios interactifs
- Attestations générées et historique
- Participation aux simulations de phishing (ouverture, clic)
d) Données de connexion
- Adresse IP
- Horodatage des connexions
- Type de navigateur et système d'exploitation
- Pages visitées sur la Plateforme
e) Données analytiques (PostHog)
- Pages vues et interactions avec l'interface
- Utilisation des fonctionnalités
- Données de session et de navigation anonymisées
- Événements produits (inscriptions, complétions de modules)
4. Finalités et Bases Légales
Le tableau ci-dessous présente les finalités pour lesquelles nous traitons vos données personnelles, les catégories de données concernées, la base légale applicable et la durée de conservation.
| Finalité | Catégories de données | Base légale | Conservation |
|---|---|---|---|
| Gestion de l'authentification et accès à la Plateforme | Identité, connexion | Exécution du contrat (art. 6.1.b RGPD) | Durée de l'abonnement + 90 jours |
| Fourniture des services de formation (modules, quiz, scénarios, phishing) | Identité, formation, connexion | Exécution du contrat (art. 6.1.b RGPD) | Durée de l'abonnement + 5 ans (obligation légale) |
| Génération et délivrance des attestations de formation | Identité, formation | Obligation légale (art. 6.1.c RGPD) — preuve de diligence pour assureurs | Durée de l'abonnement + 5 ans |
| Communication et support client | Identité | Intérêt légitime (art. 6.1.f RGPD) | Durée de la relation contractuelle + 1 an |
| Analyse d'audience et amélioration du produit (PostHog) | Analytiques, connexion | Consentement (art. 6.1.a RGPD) — via bannière cookies | 24 mois |
| Respect des obligations légales et réglementaires | Identité, formation, connexion | Obligation légale (art. 6.1.c RGPD) | Selon les durées légales applicables |
5. Destinataires des Données
Les données collectées sont accessibles aux destinataires suivants :
a) Destinataires internes
- Personnel habilité de CyberNinja (support client, administration technique, conformité)
b) Sous-traitants (processeurs)
CyberNinja a recours aux sous-traitants suivants pour assurer le fonctionnement de la Plateforme :
- OVH SAS — Hébergement des serveurs (France)
https://www.ovh.com/fr/protection-donnees/ - Scaleway — Envoi d'emails transactionnels (Transactional Email Platform) et stockage objet S3 des attestations (France)
https://www.scaleway.com/fr/data-processing-agreement/ - PostHog Inc. — Analytics produit et enregistrement de session (voir section 6 pour les détails SCC)
https://posthog.com/dpa - Stripe Inc. — Paiements et facturation (le cas échéant)
https://stripe.com/fr/privacy
c) Autorités légales
Nous pouvons être amenés à divulguer vos données personnelles si la loi l'exige ou en réponse à une demande légale d'une autorité publique, y compris pour répondre aux exigences de sécurité nationale ou d'application de la loi.
6. Transferts Hors UE et SCC (PostHog)
PostHog Analytics
CyberNinja utilise PostHog Cloud EU (accessible à l'adresse eu.posthog.com) pour l'analyse d'audience, le suivi de l'utilisation des fonctionnalités, les entonnoirs de conversion et les enregistrements de session. PostHog collecte des données analytiques anonymisées incluant les pages vues, les interactions avec l'interface, les événements produits et les données de session.
Transfert de données et SCC
PostHog Inc., la société éditrice de PostHog, est une entreprise basée aux États-Unis (340 S Lemon Ave #9815, Walnut, CA 91789). Bien que PostHog Cloud EU héberge les données sur des serveurs situés en Union européenne (Francfort, Allemagne), certaines données opérationnelles et de support peuvent transiter vers ou être traitées aux États-Unis.
Les transferts de données à caractère personnel vers les États-Unis sont encadrés par les Clauses Contractuelles Types (SCC — Standard Contractual Clauses) de la Commission européenne, conformément à la Décision d'Exécution 2021/914 de la Commission du 4 juin 2021 (Module 2 : responsable de traitement vers sous-traitant), telles qu'intégrées dans l'accord de traitement des données (DPA) entre CyberNinja et PostHog.
Le DPA complet de PostHog incluant les SCC est disponible à l'adresse suivante : https://posthog.com/dpa.
Conformément à l'article 13.1.e du RGPD, vous avez le droit de demander une copie des SCC applicables ou des informations sur les garanties appropriées mises en œuvre en nous contactant à l'adresse dpo@cyber-ninja.fr.
Garanties supplémentaires
Dans la mesure du possible, PostHog traite les données sur son infrastructure Cloud EU (Francfort). Seules les données strictement nécessaires au fonctionnement du service analytique sont transférées. Nous avons mis en place les mesures techniques et organisationnelles suivantes :
- Chiffrement des données en transit (TLS 1.3) et au repos
- Pseudonymisation des identifiants utilisateur dans PostHog
- Durée de conservation limitée à 24 mois pour les données analytiques
- Mécanisme de consentement préalable via bannière cookies avant toute collecte PostHog
7. Durées de Conservation
Nous conservons vos données personnelles uniquement pour la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, conformément au tableau ci-dessous :
- Données d'identité et de connexion : durée de l'abonnement + 90 jours après résiliation
- Données de formation et attestations : durée de l'abonnement + 5 ans (pour répondre aux exigences de preuve de diligence des assureurs et aux obligations légales)
- Données analytiques PostHog : 24 mois maximum
- Données de paiement : traitées par Stripe selon leur propre politique de conservation (5 ans pour la facturation)
8. Sécurité
CyberNinja met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :
- Chiffrement des données en transit (TLS 1.3) et au repos
- Contrôles d'accès stricts (principe du moindre privilège)
- Journalisation des accès et audit régulier
- Évaluations de sécurité régulières
- Sauvegardes chiffrées avec rétention configurée
- Hébergement dans des data centers français (OVH) avec certifications ISO 27001
9. Droits des Personnes
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en obtenir une copie.
- Droit de rectification (art. 16) : demander la correction de données inexactes ou incomplètes.
- Droit à l'effacement (art. 17) : demander la suppression de vos données dans les limites prévues par la loi.
- Droit à la limitation du traitement (art. 18) : demander le gel du traitement de vos données dans certaines circonstances.
- Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
- Droit d'opposition (art. 21) : vous opposer au traitement de vos données pour des motifs légitimes.
- Droit de retirer votre consentement : lorsque le traitement est basé sur votre consentement, vous pouvez le retirer à tout moment sans affecter la licéité du traitement antérieur.
Pour exercer vos droits, veuillez nous contacter par email à dpo@cyber-ninja.fr. Nous nous engageons à répondre à votre demande dans un délai maximum de trente (30) jours.
Si vous estimez que le traitement de vos données personnelles constitue une violation de la réglementation applicable, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, https://www.cnil.fr.
10. Cookies
La Plateforme utilise les cookies et technologies similaires suivants :
- cyberninja_token : cookie d'authentification strictement nécessaire au fonctionnement de la Plateforme. Durée de vie : 24 heures. Base légale : intérêt légitime (art. 6.1.f RGPD).
- PostHog cookies : cookies analytiques utilisés pour mesurer l'audience et améliorer la Plateforme (incluant
ph_*). Durée de vie : 12 mois maximum. Base légale : consentement (art. 6.1.a RGPD). Ces cookies ne sont déposés qu'après obtention de votre consentement via la bannière cookies.
La bannière de consentement PostHog sera mise en place lors de l'intégration de PostHog sur la Plateforme (prévue dans une version ultérieure). En attendant, aucun cookie analytique n'est déposé sans votre consentement explicite.
Vous pouvez paramétrer vos préférences de cookies à tout moment depuis les paramètres de votre navigateur ou via la bannière de consentement disponible sur la Plateforme.
11. Modifications
La présente Politique peut être mise à jour à tout moment pour refléter les évolutions de nos pratiques de traitement ou les changements réglementaires. En cas de modification substantielle, nous vous en informerons par email avec un préavis de trente (30) jours calendaires avant l'entrée en vigueur des modifications.
Nous vous invitons à consulter régulièrement cette page pour prendre connaissance des éventuelles mises à jour.
12. Contact et Réclamations
Pour toute question relative à la présente Politique ou à l'exercice de vos droits, vous pouvez nous contacter :
- DPO : dpo@cyber-ninja.fr
- Email générique : contact@cyber-ninja.fr
- Courrier : AxoSeed SAS — DPO CyberNinja, Bureau 326, 59 rue de Ponthieu, 75008 Paris
Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente, la CNIL :
Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy
TSA 80715
75334 Paris Cedex 07
Tél. : 01 53 73 22 22
https://www.cnil.fr
Conformément à l'article 79 du RGPD, vous disposez d'un droit à un recours juridictionnel effectif si vous estimez que vos droits au titre du RGPD ont été violés.