Politique de confidentialité
Applicable à l’ensemble des activités de formation SOFIS / Passeport de prévention
- Version : 1.1
- Date d'entrée en vigueur : 02/10/2026
- Responsable de traitement : SOFIS
1. Qui sommes-nous ?
SOFIS, dont le siège social est situé Parc d'Activités du Suroît, 7 rue de Tog Ru, CS 81103, 56550 BELZ, est un organisme de formation spécialisé en Santé et Sécurité au Travail (SST), certifié Qualiopi (ci-après, « Nous »).
Dans le cadre de ses activités, SOFIS est amenée à traiter des données à caractère personnel relatives à différentes catégories de personnes, à savoir (i) les apprenants, qu'ils soient salariés d'entreprises et d'établissements clients ou apprenants formateurs, et (ii) les représentants des entreprises et établissements clients (ci-après « Vous »).
La présente politique (ci-après, la « Politique ») détaille les traitements mis en œuvre, leurs finalités, leurs bases légales et les droits des personnes concernées, conformément au Règlement (UE) 2016/679 (RGPD) et à la Loi n°78-17 du 6 janvier 1978, dite « Loi Informatique et Libertés ».
Dans le cadre de cette Politique, SOFIS agit en tant que responsable du traitement, au sens du RGPD.
2. Qu'est-ce qu'une donnée à caractère personnel ?
Conformément au RGPD, une donnée à caractère personnel est une information permettant de Vous identifier personnellement en tant que personne physique, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un prénom, une adresse, un numéro d'identification ou à un ou plusieurs éléments spécifiques propres à votre identité (physique, culturelle, sociale, etc.).
3. Comment traitons-nous vos données à caractère personnel ?
Vous trouverez ci-dessous les finalités pour lesquelles SOFIS traite les données à caractère personnel Vous concernant.
| Finalités | Base légale | Données collectées | Durées de conservation |
|---|---|---|---|
| Gestion administrative des formations | |||
| Gestion de l’inscription de l’apprenant formateur | Obligation légale (art. L.6353-3 C. trav.) |
Données d’identification Données de contact Données professionnelles |
5 ans à compter de l’inscription. |
| Gestion de la facturation de l’apprenant / de l’employeur | Exécution du contrat. | Données d’identification Données de contact Données financières |
10 ans à compter du paiement. |
| Gestion du suivi des formations des apprenants formateurs | Exécution du contrat.
Consentement pour captation d’images et vidéos. |
Données d’identification Données de connexion Images et vidéos (Formations à distance) Données de contact |
Durée contractuelle puis suppression légale. Images/vidéos : suppression immédiate après la formation. |
| Gestion des résultats, évaluations et attestations de compétences | Obligation légale (art. L.6362-6 C. trav.) |
Données d’identification Données de contact Données d’évaluation |
5 ans à compter de la fin de la formation. |
| Respect des obligations réglementaires de SOFIS | |||
| Déclaration des formations au Passeport de prévention (Caisse des Dépôts) | Obligation légale (art. L.4141-5 C. trav.) |
Données d’identification Données professionnelles Données d’évaluation NIR (n° sécurité sociale) |
Suppression dès la transmission confirmée au portail Passeport de prévention. |
| Gestion du contrôle Qualiopi | Obligation légale (art. L.6316-1 et s. C. trav.) |
Données d’identification Résultats de tests et examens Relevé de présence |
Durée de la certification (3 ans) puis suppression légale. |
| Réponses de SOFIS à vos demandes | |||
| Exercice des droits des personnes concernées | Consentement. | Données d’identification | Durée nécessaire au traitement de la demande. |
| Réponse aux demandes d’informations (devis, etc.) | Intérêt légitime de SOFIS. | Données d’identification Données de connexion Message |
Suppression dans un délai d’un mois après traitement. |
| Site internet | |||
| Gestion des cookies | Consentement. | Données de connexion Cookies |
Conservation maximale de 12 mois. |
4. Comment traitons-nous votre numéro de sécurité sociale ?
⚠ Le NIR (numéro de sécurité sociale) est une donnée à statut particulier encadrée par la CNIL. Son traitement n’est autorisé que dans le strict cadre légal ci-dessous.
Depuis la loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail et le
Depuis le décret n°2023-1073 du 20 novembre 2023 complétant la liste des finalités et des catégories de responsables des traitements comportant l'usage du NIR, les organismes de formation bénéficient d'un cadre réglementaire leur permettant de traiter cette donnée.
Concernant le NIR des apprenants formateurs : Le NIR est collecté via un formulaire sécurisé dédié, distinct des outils de gestion courants. Il n'est utilisé qu'aux fins de transmission au portail du Passeport de prévention et n'est croisé avec aucune autre base.
Concernant le NIR des apprenants salariés des entreprises clientes : SOFIS déclare elle-même au Passeport de prévention les formations qu'elle dispense (art. L.4141-5 C. trav.) et agit à ce titre en qualité de responsable de traitement. Selon les cas, le NIR est transmis par l'employeur avec la liste des apprenants, ou recueilli directement auprès de l'apprenant par un formulaire sécurisé dédié.
Dans les deux cas, il n'est utilisé qu'aux fins de cette déclaration, n'est communiqué qu'à la Caisse des Dépôts, n'est accessible ni aux formateurs ni aux autres clients, et est supprimé dès que la déclaration est confirmée. L'apprenant peut refuser de le communiquer : SOFIS ne peut alors pas effectuer la déclaration et conserve la trace de ce refus.
5. Comment vos données sont-elles collectées ?
SOFIS collecte et traite vos données à caractère personnel directement auprès de Vous ou auprès de votre employeur. Dans le cas où SOFIS collecterait indirectement vos données auprès d'autres sources, Vous en seriez informé au moment de la collecte.
6. Qui sont les destinataires de vos données à caractère personnel ?
Dans la limite de leurs attributions respectives et pour les finalités rappelées à l'article 3, les catégories de destinataires susceptibles d'avoir accès à vos données sont :
- Caisse des Dépôts.
- France Compétences.
- L'employeur de l'apprenant, le cas échéant.
- L'OPCO.
- Les organismes de financement.
- Les prestataires informatiques de SOFIS, y compris les fournisseurs de services cloud.
- Les autorités (DREETS, CNIL, inspection du travail).
⚠ Le NIR n’est jamais transmis à nos clients ni à aucun autre destinataire que la Caisse des Dépôts.
7. Vos données sont-elles transférées hors de l'EEE ?
Les données à caractère personnel traitées par SOFIS, dont le NIR, sont hébergées dans l'Union européenne. Lorsqu'un prestataire informatique est susceptible d'y accéder depuis un pays situé hors de l'Espace économique européen, ce transfert est encadré par les garanties prévues par le RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne).
8. Quels sont vos droits ?
Conformément à la législation applicable, Vous disposez de droits lorsque vos données font l'objet d'un traitement. Sous réserve des conditions applicables, ces droits sont les suivants :
| Droit | Modalités d’exercice |
|---|---|
| Accès (art. 15 RGPD) | Obtenir la confirmation que vos données sont ou non traitées, et le cas échéant en recevoir une copie. |
| Rectification (art. 16 RGPD) | Demander la rectification, dans les meilleurs délais, de données inexactes ou incomplètes. |
| Effacement (art. 17 RGPD) | Obtenir l’effacement de vos données sous réserve des conditions détaillées à l’article 17 du RGPD. |
| Limitation (art. 18 RGPD) | Demander la limitation d’un traitement vous concernant dans les cas définis par la loi. |
| Opposition (art. 21 RGPD) | Vous opposer au traitement de vos données pour des motifs légitimes. |
| Portabilité (art. 20 RGPD) | Recevoir vos données dans un format structuré lisible par machine et en obtenir la transmission directe à un tiers si techniquement possible. |
| Absence de décision automatisée (art. 22 RGPD) | Ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative. |
| Réclamation CNIL (art. 77 RGPD) | Introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés. |
| Sort des données post-mortem (art. 85 LIL) | Définir des directives relatives au sort de vos données après votre décès. |
Pour exercer ces droits, écrivez par mail à :
dpo@sofis.fr
Par courrier à :
SOFIS – Référent en charge de la protection des données, Parc d’Activités du Suroît, 7
rue de Tog Ru, CS 81103, 56550 BELZ.
9. Quelles mesures de sécurité mettons-nous en place ?
SOFIS met en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité des données (article 32 du RGPD), notamment :
- Accès aux données limité aux seuls personnels habilités.
- Recueil du NIR par un formulaire dédié, distinct des outils de gestion courants.
- Suppression du NIR dès la déclaration confirmée.
- Échanges chiffrés (HTTPS/TLS) et hébergement des données dans l'Union européenne.
10. Comment nous contacter ?
SOFIS n'est pas soumise à l'obligation de désigner un délégué à la protection des données (DPD) au sens de l'article 37 du RGPD. Un référent interne en charge de la protection des données est désigné et joignable aux coordonnées ci-dessous.
Si Vous avez des questions concernant cette Politique ou souhaitez exercer vos droits, Vous pouvez nous contacter :
- Par courrier : SOFIS – Référent en charge de la protection des données, Parc d'Activités du Suroît, 7 rue de Tog Ru, CS 81103, 56550 BELZ.
- Par email : dpo@sofis.fr
11. Modalités de modification de la Politique
Cette Politique peut être mise à jour à tout moment, notamment en cas d'évolution réglementaire, en particulier relative au Passeport de prévention.
La version en vigueur est disponible sur demande et communiquée aux personnes concernées.