Sécurité et RGPD
RGPD et hébergement en France : où vont les données de vos apprentis
Vous êtes responsable de traitement pour les données de vos candidats et de vos apprentis. En choisissant un outil, vous choisissez un sous-traitant au sens de l’article 28 du RGPD, et vous en répondez. Cette page dit où sont les données, combien de temps elles restent, qui d’autre y touche, comment on les récupère, et ce que nous ne certifions pas.
45 minutes · sans engagement · en visio
Page mise à jour le .
Vous restez responsable de traitement. Nous sommes votre sous-traitant.
La distinction n’est pas cosmétique, elle détermine qui décide et qui répond.
| Données | Responsable de traitement | Sous-traitant (art. 28 RGPD) |
|---|---|---|
| Données des candidats et des apprentis dans la plateforme | Votre établissement | TECHNOUR |
| Données de votre compte client, de la relation commerciale et du site pyramideapp.fr | TECHNOUR | sans objet |
Concrètement : les données de vos candidats et de vos apprentis vous appartiennent. Nous les traitons exclusivement sur vos instructions, dans le cadre de l’accord de traitement des données (DPA) annexé à votre contrat. Un candidat qui souhaite exercer ses droits s’adresse d’abord à l’organisme de formation auprès duquel il a candidaté (c’est-à-dire à vous) et nous vous assistons pour lui répondre.
L’éditeur : TECHNOUR, société par actions simplifiées, siège au 66 avenue des Champs-Élysées, 75008 Paris. Société française, capital français, équipe en France. Référent protection des données : Saïd Tamir, s.tamir@technour.fr.
En France, chez OVH, y compris les traitements d’intelligence artificielle
Les données de l’application Pyramide sont hébergées en France par OVH, sur ses infrastructures de Roubaix et Strasbourg. Les traitements d’intelligence artificielle (génération de CV, rédaction assistée de messages) sont opérés sur des serveurs situés en France. Aucune donnée de l’application n’est transférée hors de l’Union européenne.
C’est une différence concrète avec les plateformes de recrutement généralistes, dont l’infrastructure et les modèles d’IA sont fréquemment nord-américains. Sur des données d’apprenants (dont des mineurs), ce n’est pas un détail d’architecture.
Des durées de conservation écrites, pas « le temps nécessaire »
| Donnée | Durée de conservation |
|---|---|
| Compte client et utilisateur | Durée du contrat, puis archivage probatoire 5 ans |
| Prospects | 3 ans après le dernier contact |
| Facturation | 10 ans (Code général des impôts) |
| Logs de connexion | 12 mois |
| Données de support | 6 mois après résolution |
Au-delà, les données sont supprimées ou anonymisées.
Notre politique de confidentialité complèteLa liste de nos sous-traitants, y compris ceux qui ne sont pas en France
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVH | Hébergement de l’application | France |
| SMSFactor | Envoi de SMS | France |
| Brevo | Envoi d’emails | Union européenne |
| Microsoft | Messagerie et outils collaboratifs | Union européenne |
| HubSpot | Prise de rendez-vous et suivi commercial (site public uniquement) | États-Unis |
Tous sont encadrés par des accords conformes à l’article 28 du RGPD. Le seul prestataire impliquant un transfert hors Union européenne, HubSpot, le fait sous décision d’adéquation (Data Privacy Framework UE-États-Unis) ou sous clauses contractuelles types de la Commission européenne. Il concerne notre relation commerciale sur le site public, pas les données de vos apprentis dans l’application. Nous n’utilisons aucun outil de mesure d’audience : le site ne dépose aucun cookie et n’appelle aucun tiers au chargement d’une page. Le module de réservation HubSpot n’est présent que sur deux pages, et il n’est chargé qu’à votre initiative. La liste à jour est communiquée sur demande à s.tamir@technour.fr.
Votre portefeuille entreprises n’alimente aucune base partagée
C’est la question qu’un directeur pose rarement à voix haute, et qui décide pourtant : le CFA d’à côté verra-t-il mes entreprises ? Non. Pyramide repose sur une architecture multi-tenant, avec séparation physique des données. Les données de votre établissement sont isolées de celles des autres clients. Il n’existe aucun annuaire d’entreprises mutualisé, aucune base commune de contacts, aucun vivier partagé entre établissements.
Concrètement : une entreprise que votre conseiller a démarchée, qualifiée et fidélisée n’apparaît pas chez un autre CFA parce qu’il est client comme vous. Votre portefeuille reste ce qu’il est, votre actif.
Vos données ne servent pas à entraîner nos modèles
Aucune donnée de nos clients n’est utilisée pour entraîner les modèles d’intelligence artificielle de Pyramide. Ni les profils de vos candidats, ni les fiches de vos entreprises partenaires, ni le contenu de vos échanges. Les fonctions assistées par IA (rédaction de messages, génération de CV, rapprochement candidat-offre) travaillent sur vos données pour vous rendre un résultat, à vous, et s’arrêtent là.
C’est la deuxième question que pose un DPO, après l’hébergement. Nous préférons la traiter ici, en clair, plutôt qu’en réunion : elle figure dans l’accord de traitement des données que vous signez, et votre DPO peut venir à la démonstration la poser lui-même.
Les mesures en place
- Chiffrement des échanges (HTTPS) entre vos postes et la plateforme.
- Accès restreint selon les rôles : chacun voit ce que son profil autorise.
- Journalisation des accès sensibles : les consultations et modifications laissent une trace horodatée. C’est aussi ce qui sert de preuve lors d’un audit.
- Sauvegardes régulières et supervision active de l’infrastructure.
Vos données sortent quand vous voulez. Et votre Yparéo n’a jamais bougé.
C’est l’avantage structurel de notre positionnement : Pyramide ne remplace pas votre système de gestion. Vos contrats, vos Cerfa, votre facturation et votre conformité restent dans Yparéo. Si vous arrêtez Pyramide, votre registre administratif est intact : vous n’avez pas déplacé votre socle, vous avez ajouté un poste de commande par-dessus.
Les exports sont disponibles à tout moment depuis la plateforme, aux formats standard.
La loi vous demande de plus en plus de traçabilité
La loi n° 2026-534 du 25 juin 2026 impose aux organismes de formation et aux CFA la transmission dématérialisée de la liste des apprenants ayant débuté une action et de ceux ayant interrompu leur parcours (art. L. 6353-11 du code du travail). Cette obligation-là s’applique depuis le 27 juin 2026.
La même loi crée une seconde obligation, la publication des taux de réussite et d’insertion, communiqués avant toute inscription et tout paiement (art. L. 6353-12). Celle-ci n’est pas encore applicable : sa date d’entrée en vigueur est fixée par décret, au plus tard le 25 juin 2027.
Les manquements à l’une comme à l’autre sont sanctionnés par des amendes administratives pouvant atteindre 4 000 € par manquement, portées au double en cas de nouveau manquement de même nature constaté dans un délai de deux ans (art. L. 6356-1 et L. 6356-2).
Autrement dit : la qualité et la traçabilité de votre système d’information ne relèvent plus du confort de gestion. Un suivi horodaté, exportable et attribuable devient une pièce de conformité.
Source : loi n° 2026-534 du 25 juin 2026, publiée au JO du 26 juin 2026 (nouvelle fenêtre)code du travail, art. L. 6353-11, en vigueur depuis le 27 juin 2026 (nouvelle fenêtre)code du travail, art. L. 6356-2 (amendes administratives) (nouvelle fenêtre)
Objections
Questions fréquentes
En France, chez OVH, sur ses infrastructures de Roubaix et Strasbourg, y compris les traitements d’intelligence artificielle. Aucune donnée de l’application n’est transférée hors de l’Union européenne.
Votre établissement. TECHNOUR intervient comme sous-traitant au sens de l’article 28 du RGPD et traite ces données exclusivement sur vos instructions, dans le cadre du DPA annexé à votre contrat. Un candidat qui exerce ses droits s’adresse d’abord à votre organisme ; nous vous assistons pour lui répondre.
Oui. Il dispose des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Il s’adresse à l’organisme auprès duquel il a candidaté, qui répond dans un délai d’un mois, prolongeable de deux mois pour une demande complexe (art. 12 du RGPD). Une réclamation peut être adressée à la CNIL.
Elles restent les vôtres et s’exportent aux formats standard à tout moment depuis la plateforme. Yparéo, de son côté, n’a jamais cessé d’être votre registre administratif : arrêter Pyramide ne vous fait pas perdre votre socle de gestion.
Compte client : durée du contrat puis archivage probatoire de 5 ans. Prospects : 3 ans après le dernier contact. Facturation : 10 ans. Logs de connexion : 12 mois. Données de support : 6 mois après résolution. Au-delà, les données sont supprimées ou anonymisées.
Votre DPO peut venir à la démo
On vous transmet le DPA et la liste à jour de nos sous-traitants avant l’entretien si vous le souhaitez, pour que la partie juridique soit déjà instruite quand on se parle. 45 minutes.