Notice de confidentialité — version 1

Version 1 — Date d’effet : 10 septembre 2026
URL permanente : https://semawe.fr/confidentialite/v1

Cette notice explique comment Sémawé utilise les données personnelles des prospects, clients, contacts professionnels, participants, stagiaires, bénéficiaires, formateurs, intervenants et payeurs.

1. Qui est responsable de vos données ?

Le responsable des traitements décrits dans cette notice est :

Sémawé, société coopérative et participative constituée sous forme de SAS à capital variable, SIREN 839 472 420, 1 rue des Pins, bâtiment 1, 38100 Grenoble.

Pour toute question ou pour exercer vos droits, écrivez à contact@semawe.fr. Cette adresse est le point de contact de Sémawé en matière de données personnelles. Sémawé n’a pas désigné de délégué à la protection des données.

2. Quelles données utilisons-nous ?

Selon votre relation avec Sémawé, nous pouvons utiliser :

vos nom, prénom, fonction, organisation et coordonnées ;
les informations nécessaires à une demande, une inscription, une proposition, un contrat, une formation, un accompagnement ou une réclamation ;
les données de facturation, de règlement et de financement ;
les informations de présence, d’évaluation, de satisfaction et les attestations ;
les données de compte et de sécurité, telles que l’identifiant, le secret haché, les sessions, l’adresse IP et certains événements techniques ;
lorsque cela est nécessaire, un besoin fonctionnel d’accessibilité et l’aménagement convenu ; exceptionnellement, une information de santé strictement indispensable et fournie dans ce cadre ;
les informations nécessaires pour répondre à une demande d’exercice de droits ou gérer une violation de données.

Les champs signalés comme obligatoires dans un formulaire sont nécessaires pour traiter la demande ou fournir le service concerné. À défaut, Sémawé peut ne pas être en mesure de répondre, d’inscrire la personne, de conclure le contrat ou d’exécuter la prestation. Les autres champs sont facultatifs.

Nous ne prenons aucune décision produisant un effet juridique ou vous affectant de manière similaire sur le seul fondement d’un traitement automatisé. Certains questionnaires peuvent calculer un résultat ou proposer une ressource ; ce résultat reste informatif.

3. Pourquoi utilisons-nous vos données et pendant combien de temps ?

Une donnée n’est conservée que pour la durée utile à sa finalité, puis, si nécessaire, dans un archivage à accès restreint permettant de respecter une obligation ou de défendre un droit. Un contrôle, une réclamation ou un contentieux ouvert peut entraîner un gel ciblé des seules pièces utiles pendant sa durée.

3.1 Répondre à une demande et préparer une proposition

Données : identité, fonction, organisation, coordonnées, objet de la demande et échanges.
Base légale : mesures précontractuelles lorsque vous demandez une prestation pour vous-même ; intérêt légitime de Sémawé à répondre et développer ses relations professionnelles lorsque vous intervenez pour une organisation.
Destinataires : membres de Sémawé chargés de la demande et outils de messagerie ou de suivi utilisés à cette fin.
Durée : trois ans à compter de votre dernier contact actif si aucune relation contractuelle ne commence.

3.2 Préparer, conclure, exécuter et prouver un contrat

Données : identité, qualité et pouvoir du signataire, coordonnées, devis, acceptation, contrat, convention et échanges utiles.
Base légale : contrat ou mesures précontractuelles si vous contractez personnellement ; intérêt légitime lorsque vous représentez une organisation ; obligations légales pour les pièces auxquelles un texte impose une conservation.
Destinataires : équipe habilitée, outils de gestion, de facturation et de formation, ainsi que le client ou le financeur lorsque cela est nécessaire.
Durée : pendant la relation, puis cinq ans pour les preuves contractuelles ordinaires ; dix ans pour les pièces comptables et le paquet probatoire de formation décrit au point 4.

3.3 Gérer une inscription, un événement ou un espace participant

Données : identité, coordonnées, organisation, statut professionnel, événement ou formation, tarif, code promotionnel, paiement et données de compte.
Base légale : contrat ou mesures précontractuelles pour une inscription personnelle ; intérêt légitime lorsque l’inscription est réalisée par un employeur ou un client ; obligations propres à la formation pour les justificatifs concernés.
Destinataires : équipe organisatrice, intervenants concernés et services techniques d’inscription, d’authentification, de facturation et de communication transactionnelle.
Durée : pendant l’événement et sa gestion administrative, puis trois ans après la dernière activité du compte ; les justificatifs de formation et de paiement suivent les durées spécifiques des points 4 et 3.7. Une fermeture demandée plus tôt est appliquée lorsque aucune obligation ni preuve nécessaire ne s’y oppose.

3.4 Administrer une action de formation et en établir les preuves

Données : identité, coordonnées, inscription, session, présence, évaluation, attestation, financement et événements de relance nécessaires.
Base légale : contrat selon la relation ; intérêt légitime à organiser et prouver la prestation ; obligations légales relatives à la formation professionnelle et à la comptabilité pour les pièces concernées.
Destinataires : équipe et intervenants habilités, client, employeur, financeur, auditeur ou autorité lorsque leur intervention le nécessite.
Durée : voir le paquet probatoire limité au point 4.

3.5 Organiser l’accessibilité et les aménagements

Données : en priorité le besoin fonctionnel et l’aménagement convenu, sans diagnostic. Une donnée de santé n’est consignée que si elle est réellement indispensable.
Base légale : obligation légale de rendre la formation accessible et, lorsqu’une donnée relevant de la santé est strictement nécessaire, traitement nécessaire à l’exécution des obligations et droits applicables en matière de protection sociale ; pour une information sensible facultative allant au-delà de ce besoin, consentement explicite, libre et révocable.
Destinataires : personnes habilitées à organiser l’aménagement et intervenants concernés, uniquement pour l’information nécessaire à leur intervention. Les données de santé ne sont pas communiquées aux outils de facturation, de communication ou aux documents remis au client.
Durée : donnée de santé indispensable supprimée au plus tard sept jours après la dernière activité à adapter ; détail du besoin et de l’aménagement supprimé sous trente jours après la clôture du dossier ; preuve générale et non sensible conservée avec les preuves de formation ; journal d’accès sans contenu conservé douze mois.

Les informations peuvent aujourd’hui être reçues ponctuellement par courriel ou consignées dans une note. Une information uniquement verbale et non enregistrée n’est pas conservée. Les traces écrites sont soumises aux mêmes règles de minimisation et de suppression.

3.6 Réaliser un coaching individuel, y compris dans un cadre tripartite

Données : identité, fonction, contexte, objectifs, supports et comptes rendus validés.
Base légale : contrat pour la personne accompagnée lorsqu’elle contracte ; intérêt légitime pour le contexte transmis par l’employeur ; obligations comptables pour les pièces concernées.
Destinataires : coach Sémawé et outils documentaires ou de facturation nécessaires. Les notes du coach ne sont pas communiquées à l’employeur. Aucun enregistrement ou transcription n’est réalisé sans information et accord préalables adaptés.
Durée : notes et supports de travail pendant douze mois après la fin ; coordonnées pendant la relation puis cinq ans en accès restreint ; contrat, devis et compte rendu tripartite validé pendant cinq ans ; facture pendant dix ans. Une durée spéciale plus longue ne s’applique qu’aux pièces qui relèvent effectivement d’une obligation ou du paquet probatoire de formation décrit au point 4.

3.7 Facturer, recouvrer et tenir la comptabilité

Données : identité, adresse, données de facturation, références de paiement, factures, règlements et relances.
Base légale : contrat ; obligations comptables et fiscales ; intérêt légitime à recouvrer une créance et défendre les droits de Sémawé.
Destinataires : équipe habilitée, service de facturation, banque ou établissement de paiement, cabinet comptable, commissaire aux comptes et autorités habilitées.
Durée : dix ans à compter de la clôture de l’exercice pour les factures et pièces comptables ; les relances et preuves contentieuses suivent la durée de la réclamation ou de la prescription applicable.

3.8 Évaluer les acquis, recueillir la satisfaction et améliorer les prestations

Données : résultats, réponses, notes, commentaires et verbatims.
Base légale : intérêt légitime de Sémawé à évaluer et améliorer ses prestations ; obligation légale pour les seules évaluations requises ; consentement distinct avant tout témoignage public ou collecte facultative sensible.
Destinataires : équipe qualité, intervenant concerné et outil d’évaluation.
Durée : résultat minimal nécessaire à la preuve selon le point 4 ; réponses détaillées et verbatims identifiants supprimés au plus tard douze mois après la clôture, dès qu’un témoin suffisant a été produit ; statistiques réellement anonymes conservées sans limitation RGPD.

3.9 Envoyer des informations et communications professionnelles

Données : coordonnées, organisation, relation avec Sémawé, centres d’intérêt, préférences, consentement ou opposition et historique nécessaire de campagne.
Base légale : consentement lorsque la loi l’exige ; intérêt légitime ou régime applicable à la prospection professionnelle dans les autres cas.
Destinataires : équipe habilitée et plateforme d’envoi.
Durée : pour un prospect, trois ans après la collecte ou son dernier contact actif ; pour un client, pendant la relation puis trois ans. Un témoin minimal d’opposition est conservé afin de ne plus solliciter la personne.

Vous pouvez vous désinscrire ou vous opposer à la prospection à tout moment, notamment par le lien présent dans chaque message.

3.10 Fournir des ressources, autodiagnostics et formulaires web

Données : identité, coordonnées, organisation, réponses, résultat, ressource demandée et progression technique.
Base légale : mesures précontractuelles lorsque vous demandez une ressource ou une réponse ; intérêt légitime à fournir et améliorer le parcours ; consentement distinct pour une prospection qui l’exige.
Destinataires : équipe concernée, site et services de transmission ou de communication nécessaires au parcours.
Durée : élément de file supprimé sept jours après son traitement ; progression technique supprimée trente jours après sa fin ou sa notification ; les données transmises en aval suivent ensuite la durée de la finalité correspondante, par exemple demande, prospection ou contrat.

3.11 Gérer les comptes, authentifier et sécuriser les services

Données : identité, courriel, identifiant, secret haché, identifiant de connexion externe, session, adresse IP et événements de sécurité.
Base légale : contrat lorsque le compte est nécessaire au service ; intérêt légitime de Sémawé à sécuriser ses systèmes, prévenir les abus et établir les incidents.
Destinataires : équipe technique habilitée, hébergeurs, fournisseur d’identité et services de supervision nécessaires.
Durée : compte pendant son utilisation puis au maximum trois ans après la dernière activité, sauf demande de fermeture ou conservation ciblée nécessaire ; sessions et jetons jusqu’à leur expiration ; journaux de sécurité de six à douze mois selon le risque, plus longtemps seulement lorsqu’ils sont isolés pour un incident, un contrôle ou un contentieux.

3.12 Traiter les réclamations et défendre les droits

Données : identité, faits, échanges, demandes et preuves nécessaires.
Base légale : contrat, obligation légale ou intérêt légitime à constater, exercer ou défendre un droit.
Destinataires : équipe habilitée et, selon le dossier, assureur, médiateur, conseil, expert, autorité ou juridiction.
Durée : pendant le traitement du dossier, puis cinq ans à compter de sa clôture, sauf délai spécial ou procédure en cours justifiant une durée différente.

3.13 Répondre à vos demandes d’exercice de droits

Données : identité, demande, échanges et justificatif uniquement en cas de doute raisonnable sur l’identité.
Base légale : obligation légale issue du RGPD.
Destinataires : coordinateur de la demande et responsables des seuls systèmes concernés ; conseil ou CNIL lorsque cela est nécessaire.
Durée : pièces de travail supprimées dans les quatre-vingt-dix jours suivant la clôture ; journal minimal sans contenu conservé cinq ans afin de prouver le traitement de la demande. Un justificatif d’identité est supprimé dès la vérification achevée et au plus tard trente jours après la clôture, sauf contentieux documenté.

3.14 Prévenir et gérer les violations de données

Données : faits, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences, mesures et notifications.
Base légale : obligations des articles 33 et 34 du RGPD ; intérêt légitime à sécuriser les systèmes et défendre les droits lorsqu’il complète ces obligations.
Destinataires : équipe sécurité, personnes chargées du système, CNIL et personnes concernées lorsque le niveau de risque impose une information.
Durée : pendant la gestion de l’incident, puis cinq ans après sa clôture ; un contrôle, une mesure corrective ou un contentieux peut justifier un archivage ciblé plus long pendant sa durée.

4. Règle particulière pour les preuves de formation

Sémawé conserve jusqu’à la fin de la dixième année suivant la clôture de l’exercice de comptabilisation un paquet probatoire minimal et non sensible. Selon la prestation, il peut comprendre l’identité et le rattachement indispensables, le contrat ou la convention, le programme, les objectifs, les moyens, l’intervenant, la preuve de présence et de réalisation, l’instrument ou la version de l’évaluation, son critère, sa date et son résultat final, le financement et une preuve générale de l’aménagement décidé et réalisé.

Cette durée ne s’applique pas au dossier pédagogique intégral :

réponses, commentaires et productions identifiantes : douze mois après clôture, lorsqu’un témoin suffisant subsiste ;
questionnaires et verbatims identifiants : douze mois, lorsqu’une synthèse suffisante subsiste ;
contenu des relances et jetons : trente jours, avec conservation du seul événement minimal nécessaire ;
données de santé et diagnostics : jamais conservés dix ans au titre de la preuve de formation.

Une preuve nécessaire à un audit, un contrôle, une non-conformité, une réclamation ou un contentieux en cours peut faire l’objet d’un gel ciblé. Ce gel n’étend pas la conservation des informations sans rapport avec le dossier.

5. D’où viennent les données ?

Nous recevons les données directement de vous ou, selon la prestation, de votre employeur, du client qui vous inscrit, d’un financeur, d’un partenaire, d’un intervenant ou d’un service d’authentification. Lorsque les données ne viennent pas de vous, Sémawé vous informe au plus tard lors du premier contact utile, dans les délais prévus par l’article 14 du RGPD, sauf exception légale documentée.

6. Qui peut recevoir les données ?

Les données sont accessibles aux seuls membres et intervenants qui en ont besoin pour leur mission. Selon la finalité, elles peuvent aussi être communiquées au client, à l’employeur, au financeur, au formateur, à l’auditeur, au cabinet comptable, à l’assureur, au médiateur, à un conseil, à une autorité ou à une juridiction.

Sémawé utilise des prestataires d’hébergement et de sauvegarde, de messagerie et de documents collaboratifs, de gestion de formation, d’inscription, de devis et facturation, de paiement, d’envoi de courriels, de visioconférence, de transcription lorsqu’elle a été annoncée, ainsi que de développement et de sécurité. Selon les services utilisés, il s’agit notamment d’OVHcloud, Backblaze B2, Google Workspace et Google Meet, Notion, Henrri, Brevo, Qonto, GitHub Actions, Slack et Fireflies.

Ces prestataires n’accèdent aux données que pour fournir leur service, selon leurs fonctions et le cadre applicable. Sémawé reste responsable de ses propres finalités. Lorsqu’un client confie exceptionnellement à Sémawé un traitement réalisé uniquement selon ses instructions, le client reste responsable du traitement et un accord de sous-traitance précise les rôles ; cette situation n’est pas confondue avec les traitements décrits ci-dessus.

7. Les données quittent-elles l’Espace économique européen ?

Les applications principales sont hébergées par Sémawé en France ou dans l’Union européenne. Certains prestataires ou sous-traitants ultérieurs peuvent néanmoins traiter des données depuis des pays situés hors de l’Espace économique européen, notamment les États-Unis ou le Canada, pour l’hébergement, le support, la sécurité, la communication ou certaines fonctions collaboratives.

Selon le prestataire et le pays, ces transferts reposent sur une décision d’adéquation de la Commission européenne ou sur les clauses contractuelles types de la Commission, complétées lorsque cela est nécessaire par des mesures telles que le chiffrement, la limitation des accès et la minimisation des données. Vous pouvez demander des informations sur les garanties applicables à votre situation à contact@semawe.fr.

8. Sauvegardes et suppression

Les applications peuvent faire l’objet de sauvegardes chiffrées et isolées du service courant. Les sauvegardes quotidiennes d’OF Qualiopi sont chiffrées avant leur transfert vers un stockage européen ; les nouveaux dépôts sont protégés contre l’effacement pendant trente-cinq jours, puis masqués à trente-cinq jours et supprimés après un jour caché. Des sauvegardes plus anciennes peuvent rester protégées jusqu’au terme de leur verrou antérieur.

Une suppression dans le service actif ne modifie pas rétroactivement une sauvegarde isolée. Les données supprimées ne sont plus utilisées dans le service courant et disparaissent avec le cycle de la sauvegarde. Si une sauvegarde est restaurée, les suppressions et oppositions connues doivent être réappliquées avant la remise en service.

9. Quels sont vos droits ?

Selon le traitement et sa base légale, vous pouvez :

accéder à vos données et en obtenir une copie ;
demander leur rectification, leur effacement ou la limitation de leur utilisation ;
vous opposer à un traitement fondé sur l’intérêt légitime ;
vous opposer à tout moment à la prospection ;
recevoir, lorsque ses conditions sont réunies, les données que vous avez fournies dans un format structuré et courant ;
retirer votre consentement à tout moment pour l’usage qui en dépend, sans remettre en cause les opérations antérieures licites.

Écrivez à contact@semawe.fr. Une pièce d’identité n’est pas demandée systématiquement ; Sémawé ne demande des éléments supplémentaires qu’en cas de doute raisonnable et de manière proportionnée.

Sémawé répond dans les meilleurs délais et au plus tard dans le mois suivant la réception de la demande complète. Ce délai peut être prolongé de deux mois en raison de la complexité ou du nombre de demandes ; dans ce cas, Sémawé vous en informe et en explique les motifs dans le premier mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés — CNIL.

10. Évolution de la notice

La version et la date d’effet figurent en tête de la page publiée. Une modification importante est signalée par un moyen adapté au contexte de la relation. Les versions antérieures restent accessibles afin de savoir quelle information s’appliquait à une date donnée.