Politique de confidentialité

La présente Politique de confidentialité décrit comment WINNER MARKET LIFE, société qui exploite la marque TopTrainer (ci-après « l’Éditeur », « nous »), collecte, utilise, partage, conserve et protège les données à caractère personnel traitées dans le cadre de la fourniture de la plateforme toptrainer.academy (ci-après « la Plateforme »).

Elle est rédigée conformément :

• au Code du numérique du Bénin (loi n°2017-20 du 20 avril 2018, modifiée par la loi n°2020-35 du 6 janvier 2021), dont le Livre V régit la protection des données à caractère personnel sous le contrôle de l’Autorité de protection des données à caractère personnel (APDP, article 462). L’Éditeur étant établi au Bénin, ce texte est la référence principale de la présente Politique (article 381) ;
• au Règlement (UE) 2016/679 du 27 avril 2016 (ci-après « RGPD ») et à la loi française n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, lorsqu’ils s’appliquent au traitement ;
• à la loi ivoirienne n°2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel, ainsi qu’à ses textes d’application, dont le décret n°2015-79 du 4 février 2015 ; en Côte d’Ivoire, les missions de l’autorité de protection des données sont exercées par l’Autorité de Régulation des Télécommunications/TIC de Côte d’Ivoire (ARTCI), en application de l’article 46 de cette loi ;
• à la loi sénégalaise n°2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, dont l’application est contrôlée par la Commission de protection des données personnelles (CDP).

Article 1, Responsable du traitement

Le responsable du traitement des données à caractère personnel traitées via la Plateforme est :

• WINNER MARKET LIFE, SARL de droit béninois au capital de 1 000 000 FCFA ;
• RCCM RB/COT/21 B 30598, IFU 3202113254127 ;
• siège social : Îlot 3178, quartier Agla Agongbomey, parcelle C, 13e arrondissement, Cotonou, Bénin ;
• représentée par son gérant, GNANCADJA Baldini Lhenorcs ;
• téléphone : (+229) 01 97 66 34 38 ;
• contact pour la protection des données : privacy@toptrainer.academy.

TopTrainer est une marque exploitée par WINNER MARKET LIFE. Le délégué à la protection des données de l’Éditeur sera nommé sur cette page dès sa désignation ; d’ici là, les demandes adressées à privacy@toptrainer.academy sont traitées directement par l’Éditeur.

Lorsqu’un Client (organisation) utilise la Plateforme pour traiter les données à caractère personnel de ses propres collaborateurs, apprenants ou candidats (espaces de formation, examens, simulations, bilans de compétences, recrutement, formations présentielles), il agit en qualité de responsable du traitement pour son périmètre, et l’Éditeur traite ces données pour son compte, en qualité de sous-traitant. La répartition des rôles avec chaque Client est en cours de formalisation dans un accord écrit. Pour ces données, vos demandes peuvent être adressées à votre organisation ou à privacy@toptrainer.academy, qui les lui transmet.

Pour les événements publiés sur la Plateforme par des organismes, l’Éditeur vend les billets, encaisse les paiements et envoie les billets et les messages ; l’organisme organisateur reçoit les nom, adresse e-mail et téléphone de ses inscrits. La répartition des rôles avec chaque organisme est également en cours de formalisation.

Article 2, Données collectées et finalités

Nous collectons uniquement les données nécessaires à la fourniture du service, au respect de nos obligations légales et à la sécurité de la Plateforme. Les catégories de données traitées sont les suivantes. Les durées de conservation sont celles du registre des traitements de l’Éditeur ; la mention « durée cible » est expliquée à l’article 11.

2.1 Compte et identité

• Données collectées : pour les comptes du portail (entreprises, organismes de formation, formateurs indépendants, organisateurs d’événements) : nom, email, téléphone, pays, langue, type de compte, raison sociale et numéro d’immatriculation (RCCM, IFU ou SIRET) ; pour les apprenants particuliers et les abonnés des organismes : nom, email, téléphone (optionnel), pays, langue ; pour tous : mot de passe haché avec bcrypt (absent pour un compte ouvert avec Google), vérification de l’email, date et adresse IP de dernière connexion ; en cas de connexion avec Google, identifiant Google, email et indication d’email vérifié ; preuve de l’acceptation des conditions : date de l’acceptation et numéros de version des conditions générales et de la présente Politique acceptées ; pour les apprenants particuliers, date de l’attestation d’âge (au moins 16 ans, sans date de naissance) ; pour l’équipe d’administration de l’Éditeur : nom, email, rôle et historique des changements de rôle.
• Finalité : créer et administrer un Compte, authentifier, prouver l’acceptation des conditions et l’attestation d’âge, transmettre les communications de service.
• Base légale : exécution du contrat entre l’utilisateur et l’Éditeur (article 6.1.b du RGPD et équivalents BJ/CI/SN) ; intérêt légitime de l’Éditeur à prouver l’acceptation des conditions.
• Durée de conservation : comptes du portail : durée de vie du Compte, puis suppression ou anonymisation complète 12 mois après sa clôture ou après 24 mois sans connexion ; apprenants particuliers et abonnés des organismes : 12 mois après la clôture du Compte ou après 24 mois sans connexion ; équipe d’administration : durée des fonctions plus 12 mois ; preuves d’acceptation et d’attestation : même durée que le Compte ; liens et codes à usage unique, invitations en attente et transferts de propriété d’un Espace : 30 jours après leur expiration ou leur utilisation (durées cibles). Vous pouvez demander la suppression de votre Compte plus tôt (article 6).

2.2 Espace, facturation et paiements

• Données collectées : raison sociale, secteur, pays, adresse postale, numéro IFU/SIRET/RCCM ou de TVA, nom, téléphone et email du contact de facturation, futurs utilisateurs désignés dans la demande d’espace (nom, email, rôle), demandes particulières et notes internes, montants facturés, numéros et PDF des factures, abonnements, crédits et codes promotionnels utilisés ; pour chaque paiement traité par kkiapay : identifiant de la transaction, statut, montant, date, moyen de paiement utilisé (carte ou Mobile Money) et notification du prestataire, qui comporte le nom, l’email et le téléphone du payeur, en général son numéro Mobile Money. Aucun numéro de carte bancaire n’est reçu ni conservé.
• Finalité : instruire les demandes d’espace, établir les factures, encaisser les paiements, vendre cours, parcours, certificats et abonnements, envoyer les rappels de renouvellement et les alertes de consommation, respecter les obligations fiscales et comptables.
• Base légale : exécution du contrat et respect des obligations légales comptables (article 6.1.b et 6.1.c du RGPD ; article 33, 1° et 3°, de la loi 2008-12 SN ; article 14 de la loi 2013-450 CI ; article 389 du Code du numérique BJ).
• Durée de conservation : 10 ans à compter de la clôture de l’exercice comptable pour les factures, paiements, abonnements et autres pièces comptables (obligation comptable), puis suppression ; notification brute du prestataire de paiement : 90 jours après le rapprochement de la transaction, les éléments comptables restant dans la facture ; demandes d’espace refusées ou abandonnées, notes internes comprises : 12 mois après la décision ; historique des rappels et alertes : 12 mois (durées cibles).

2.3 Contenu pédagogique, progression et simulations

• Données collectées : dans les Espaces des Clients, profil des utilisateurs (rôle, équipes, groupes, site, métier, niveau, disponibilité, objectif de certification, pages déjà vues du guide de prise en main) ; pour tous les apprenants : inscriptions, progression (leçons, vidéos, temps passé, score), remédiations et notes des formateurs, avis sur les cours, déroulé des simulations (choix, messages saisis, réponses du client simulé, score, transcription complète, messages signalés).
• Finalité : mettre en œuvre les fonctionnalités pédagogiques, entraîner et évaluer les apprenants, alimenter les tableaux de bord des formateurs et managers, produire des statistiques pour le pilotage interne du Client et transmettre la progression aux plateformes partenaires pour leurs propres inscrits.
• Base légale : exécution du contrat du Client avec son collaborateur/apprenant (le Client est responsable de traitement, l’Éditeur sous-traitant) ; pour les apprenants particuliers et les abonnés des organismes, exécution du contrat conclu avec l’Éditeur.
• Durée de conservation : données des Espaces des Clients : durée du contrat du Client, puis suppression dans les 3 mois suivant sa fin, sauf instruction écrite du Client ; apprenants particuliers et abonnés des organismes : avec le Compte (article 2.1) ; simulations et transcriptions, messages signalés compris : durée réglée par le Client (180 jours par défaut), 36 mois au plus, avec respect de l’option « ne pas conserver les transcriptions », et 180 jours hors Espace client (durées cibles). Les certificats suivent l’article 2.10.

2.4 Données techniques et journaux

• Données collectées : adresse IP, type de navigateur et d’appareil, horodatage des requêtes, pages consultées, sessions (identifiant, dates d’expiration et de révocation, adresse IP, navigateur), compteurs de limitation des tentatives (associés à l’adresse IP, à un identifiant ou à une adresse email), actions sensibles (audit log : auteur, action, état avant et après, adresse IP, navigateur), actions de l’équipe d’administration de l’Éditeur, y compris la connexion « en tant que » un Client, journaux d’exécution de l’hébergeur et rapports de sécurité du navigateur.
• Finalité : assurer la sécurité, détecter les fraudes et tentatives d’intrusion, diagnostiquer les incidents, respecter nos obligations de sécurité des données (notamment article 426 du Code du numérique béninois, article 41 de la loi ivoirienne 2013-450 et article 71 de la loi sénégalaise 2008-12).
• Base légale : intérêt légitime de l’Éditeur à sécuriser la Plateforme (article 6.1.f du RGPD), et obligation de sécurité des données.
• Durée de conservation :
  • sessions : 12 mois après leur expiration ou leur révocation (durée cible) ;
  • compteurs de limitation des tentatives : de 1 minute à 24 heures, avec expiration automatique ;
  • journaux techniques (exécution, rapports de sécurité du navigateur, traitement des vidéos) : 12 mois au plus (durée cible) ;
  • journal d’audit de la Plateforme et journal des actions de l’équipe d’administration : 5 ans à titre probatoire (durée cible) ;
  • journal d’audit des Espaces des Clients : durée réglée par le Client (365 jours par défaut), 5 ans au plus (durée cible).
• Ces journaux ne sont jamais utilisés pour produire des statistiques de fréquentation.

2.5 Intelligence artificielle et journaux d’usage IA

• Données transmises aux fournisseurs d’IA : consignes du scénario, historique de la conversation, transcriptions, réponses libres, texte extrait et nom des fichiers déposés, questions et extraits documentaires, textes à vectoriser et, pour la génération d’images, la seule consigne rédigée par l’auteur. La Plateforme n’ajoute ni votre nom ni votre email ; lorsque l’option de masquage est active (réglage par défaut), les adresses email et les numéros de téléphone sont masqués dans le message de l’utilisateur, dans le texte à vocaliser et dans la consigne d’image, mais pas dans les consignes rédigées par les auteurs, dans les extraits documentaires ajoutés au contexte, dans les textes indexés pour la recherche documentaire ni dans l’audio transcrit.
• Fournisseurs d’IA : les requêtes de texte, d’images et de vectorisation passent par la passerelle d’IA de Vercel, qui les transmet au fournisseur qui sert le modèle retenu. Ce modèle est choisi par l’organisation ou le formateur, à défaut par l’Éditeur, parmi les modèles du catalogue de la passerelle, qui viennent notamment d’OpenAI, d’Anthropic, de Google, de xAI, de Mistral AI, de Meta et de DeepSeek. Selon son routage, la passerelle envoie la requête à l’éditeur du modèle ou à un hébergeur tiers de ce modèle (par exemple Amazon Bedrock ou Google Vertex AI). La liste figure à l’article 4.
• Voix : textes à vocaliser, enregistrements de votre voix pendant la dictée (transmis pour transcription, non conservés par la Plateforme) et texte transcrit. Dans le navigateur Chrome, la dictée utilise d’abord la reconnaissance vocale du navigateur, fournie par Google hors de tout contrat de l’Éditeur ; vous pouvez saisir vos réponses au clavier pour l’éviter.
• Données conservées : journal d’usage, écrit à chaque appel (date, organisation, utilisateur, type d’action, modèle, tokens consommés, coût, durée d’appel, statut, consigne de protection des données transmise et, pour les requêtes de texte, empreinte de la requête), sans extrait de contenu ; lorsque l’organisation active les journaux IA détaillés (désactivés par défaut), le journal conserve en outre les 200 premiers caractères de chaque requête et de la consigne d’image, les libellés saisis et les 100 premiers caractères d’au plus 5 extraits documentaires utilisés ; résultats des corrections, contenu complet des tâches différées de création de contenus, index documentaire de l’organisation (extraits des documents importés), cache audio des narrations.
• Entraînement des modèles : l’Éditeur n’utilise pas vos données pour entraîner des modèles d’intelligence artificielle. À chaque appel d’un fournisseur d’IA (texte, images, vectorisation, synthèse et transcription vocales), la Plateforme transmet la consigne de ne pas utiliser les contenus pour entraîner les modèles ; cette consigne ne peut pas être désactivée. Si aucun fournisseur du modèle choisi ne s’y engage, l’appel est refusé et n’est jamais renvoyé sans elle. Elle serait sans effet sur les requêtes servies par une clé d’accès propre à un fournisseur (BYOK) déclarée dans la passerelle d’IA, et elle ne couvre pas la reconnaissance vocale intégrée au navigateur. La Plateforme demande en outre la conservation nulle des contenus chez le fournisseur lorsque le modèle la propose : pour le texte, les images et la vectorisation, d’après le catalogue de la passerelle d’IA ; pour la synthèse vocale, lorsque le mode zéro conservation de l’organisation est actif ; la transcription vocale n’est pas proposée en conservation nulle. Pour le reste, le traitement des contenus par chaque fournisseur, y compris leur durée de conservation, relève de ses propres conditions, que l’Éditeur ne contrôle pas.
• Finalité : jouer le client fictif des jeux de rôle, évaluer les transcriptions, noter les réponses libres et les fichiers, produire des débriefings, répondre aux questions des apprenants à partir de la base documentaire de l’organisation, aider les auteurs à créer cours, scénarios et images, vocaliser les contenus et transcrire la dictée ; comptabiliser la consommation, facturer le dépassement de quota et détecter les abus.
• Base légale : exécution du contrat avec l’organisation, qui peut activer ou désactiver les fonctions d’IA, et intérêt légitime ; l’apprenant est informé par un avertissement affiché avant chaque simulation avec IA, sauf si l’organisation désactive cet avertissement ; la notation des examens par l’IA est décrite à l’article 3.
• Durée de conservation : extraits conservés par les journaux IA détaillés : 30 jours ; totaux de consommation : 24 mois ; tâches différées non terminées : 30 jours après leur création ; index documentaire et base de connaissances : suppression avec le document source ; cache audio : 90 jours (durées cibles). Les tâches terminées, échouées ou annulées sont déjà supprimées 30 jours après leur création. Les résultats des corrections suivent la tentative (article 2.10).

2.6 Demandes de contact, devis et support

• Données collectées : nom, email, téléphone, société, profil, type et objet de la demande, message, pièces jointes éventuelles, page d’origine, paramètres de campagne du lien suivi (utm), adresse IP, type de navigateur, horodatage, statut et notes internes ; pour les devis entreprise et les devis de formation présentielle : organisation, contact, adresse, numéro de TVA, besoins, lignes et montants.
• Finalité : traiter votre demande, établir et suivre un devis, améliorer notre service client.
• Base légale : mesures précontractuelles prises à votre demande, puis exécution du contrat (si client) ; intérêt légitime pour le suivi des demandes (si prospect).
• Durée de conservation : 12 mois après le dernier échange pour un prospect ; 3 ans pour un client ; devis refusés : 12 mois (durées cibles).

2.7 Mesure de fréquentation des pages publiques

• Finalité : mesurer la fréquentation de l’accueil, de la liste des événements et des pages d’événement de www.toptrainer.academy, la provenance des visites et le nombre d’ouvertures de la fenêtre de paiement de la billetterie, pour le seul compte de l’Éditeur. Nous comptons aussi les étapes et difficultés du formulaire et du paiement (formulaire visible, saisie, choix de vague, envoi, validation bloquante, consultation, clic, fenêtre visible, module indisponible, échec ou attente), uniquement en totaux journaliers par événement et étape. Aucun champ saisi, identifiant de visiteur, de réservation ou de transaction n’est enregistré pour cette mesure. La même opposition et la même conservation s’appliquent. Le serveur lit aussi le site d’origine et le type de navigateur pour écarter les requêtes étrangères et les robots, sans les conserver.
• Données traitées : aucune donnée directement identifiante n’est enregistrée. Seuls des totaux sont conservés : affichages par page et par heure arrondie ; au jour seulement, trois totaux distincts, jamais croisés entre eux : la source du lien (paramètres utm du lien, ou à défaut nom du site d’origine ; une valeur utm qui contient une adresse e-mail ou au moins six chiffres est masquée, sauf une campagne égale au nom de l’événement, déjà public dans l’adresse de sa page), le type d’appareil et le pays déduit par l’hébergeur ; ouvertures de la fenêtre de paiement par événement et par heure arrondie. Ni cookie, ni stockage local, ni adresse IP, ni identifiant, ni parcours individuel, et aucun rapprochement avec une inscription, une commande ou un compte.
• Données lues sans être conservées : pour chaque affichage d’une page concernée, le type de navigateur et l’indice d’appareil sec-ch-ua-mobile (pour écarter les robots et déduire le type d’appareil), l’adresse de la page d’origine (en-tête Referer), aussitôt réduite au nom du site, le nom du site demandé, les en-têtes techniques qui signalent un préchargement, le cookie de choix tt_cookie_consent et les signaux Global Privacy Control et Do Not Track ; pour une ouverture de la fenêtre de paiement, ce cookie et ces deux signaux seulement. Le pays est déduit de l’adresse IP par l’hébergeur (Vercel), qui le transmet sous forme de code pays ; l’Éditeur ne lit ni ne conserve cette adresse pour cette mesure.
• Base légale : intérêt légitime de l’Éditeur à mesurer la fréquentation de son site et de sa billetterie (article 6.1.f du RGPD).
• Durée de conservation : 13 mois, puis suppression automatique.
• Opposition : à tout moment, par le bouton « Gérer mes cookies », par « Tout refuser » dans le bandeau, ou par Global Privacy Control ou Do Not Track. Elle vaut pour les affichages comme pour les ouvertures de la fenêtre de paiement. Le choix fait dans le bandeau est mémorisé dans le cookie tt_cookie_consent et journalisé sur nos serveurs pour pouvoir en attester (identifiant aléatoire du cookie tt_consent_id, cases choisies, version du bandeau et date du choix), journal conservé 13 mois. Depuis le 11 octobre 2026, un choix y est journalisé sans adresse IP, sans type de navigateur et sans lien avec un compte ; les choix journalisés avant cette date peuvent encore comporter l’adresse IP, le type de navigateur et le compte connecté au moment du choix, et sont supprimés au plus tard à leur purge, 13 mois après le choix. Le détail figure sur la page Cookies.

2.8 Vérification d’identité des vendeurs

• Personnes concernées : dirigeants et représentants des organismes de formation, formateurs indépendants, représentants des organisations dont la demande d’espace est soumise à vérification, titulaires des comptes bancaires figurant sur les RIB.
• Données collectées : copies de pièces d’identité (nom, date de naissance, photographie, numéro de la pièce et, le cas échéant, numéro national d’identité), RIB (titulaire, banque, IBAN), statuts, agrément, RCCM, IFU, nom et date de dépôt des fichiers, statut, date, auteur et motif de la revue.
• Finalité : vérifier l’identité et l’existence légale des vendeurs avant de les autoriser à vendre sur la Plateforme et à recevoir des fonds.
• Base légale : mesures précontractuelles et intérêt légitime de prévention de la fraude, l’Éditeur encaissant des fonds pour le compte de tiers. L’Éditeur prépare la demande de l’autorisation requise pour ce traitement, qu’il déposera auprès de l’APDP. Seule l’équipe d’administration de l’Éditeur consulte les pièces.
• Durée de conservation : pièce rejetée, y compris celles d’un dossier refusé : 30 jours après la notification du rejet ; version remplacée : suppression dès la validation de la nouvelle pièce, au plus tard 30 jours après le remplacement ; pièces d’un dossier validé : durée de la relation avec le vendeur, puis 12 mois après la clôture du Compte, la révocation ou la fin de la relation, sauf procédure contentieuse en cours ; pièces d’une demande d’espace : 6 mois après la décision d’acceptation ou de refus (durées cibles).

2.9 Versements aux organismes et aux formateurs

• Données collectées : montants demandés et versés, statut, dates, moyen et référence de la transaction, coordonnées bancaires (IBAN, BIC, titulaire, banque) ou Mobile Money (numéro, opérateur), justificatifs de versement, relevés mensuels, numéro Mobile Money de versement des formateurs (à défaut, leur téléphone de contact), tentatives et erreurs de versement.
• Finalité : verser aux organismes leur part nette des ventes et aux formateurs leur rémunération pour les missions livrées.
• Base légale : exécution du contrat (encaissement pour le compte de tiers) et obligation comptable pour les relevés.
• Durée de conservation : 10 ans à compter de la clôture de l’exercice, puis suppression (durée cible).

2.10 Examens, surveillance des examens et certificats

• Données collectées : réponses (y compris texte libre et fichiers déposés, avec leur texte extrait), score, réussite, dates, temps passé, retours de correction, motif d’une invalidation ; pour les apprenants particuliers, adresse IP et navigateur au démarrage de chaque tentative.
• Surveillance des examens : plein écran obligatoire, détection des changements d’onglet et des sorties du plein écran, blocage du copier-coller et de l’impression, enregistrement des incidents (type, contexte, durée, longueur du texte collé ou saisi, jamais le texte lui-même), filigrane portant votre adresse email. Aucune webcam, aucun micro, aucune capture d’écran. Au troisième incident, la tentative est invalidée automatiquement (article 3).
• Certificats : nom du titulaire figé à l’émission, intitulé de la formation et, pour les formations présentielles, du poste, numéro, dates d’émission, d’expiration et de révocation, motif de révocation, score, empreinte du PDF ; nom, fonction et image de la signature des signataires. La page publique de vérification (toptrainer.academy/verify), accessible avec le numéro du certificat, affiche le nom du titulaire, l’intitulé, les dates, le statut et, pour les certificats du catalogue, le motif d’une révocation.
• Finalité : faire passer et corriger les évaluations, garantir l’intégrité des examens et protéger les contenus, délivrer les certificats et permettre à un tiers de vérifier leur authenticité.
• Base légale : exécution du contrat ; intérêt légitime à garantir la valeur des certifications et à protéger les contenus ; intérêt légitime du titulaire et des tiers à vérifier l’authenticité d’un certificat.
• Durée de conservation : tentatives, réponses, fichiers déposés et incidents : durée réglée par le Client (730 jours par défaut), 2 ans après la tentative pour le catalogue, le résultat qui fonde un certificat étant conservé avec celui-ci ; certificats expirés ou révoqués : suppression, archive comprise, 5 ans après l’expiration ou la révocation ; certificats sans échéance : 10 ans après la délivrance ; signatures des signataires : durée de leur fonction, puis 12 mois (durées cibles).

2.11 Recrutement et bilans de compétences

• Données collectées : pour les candidats évalués par une organisation cliente : nom, prénom, email, téléphone, métier visé, lien d’accès et son échéance, score, résultat, notes du recruteur (les réponses ne sont pas conservées) ; pour les bilans de compétences des collaborateurs : score global, certifications, examens, simulations, points forts et faiblesses calculés par des règles (sans IA), recommandations, notes de relecture, PDF.
• Finalité : évaluer des candidats au recrutement et établir des bilans de compétences, pour le compte de l’organisation cliente.
• Base légale : mesures précontractuelles prises à la demande du candidat et intérêt légitime du recruteur ou de l’employeur, responsable de traitement ; l’Éditeur agit comme sous-traitant.
• Durée de conservation : candidats : 12 mois après l’épreuve ; bilans : 2 ans après la fin de la campagne ; dans les deux cas, sauf instruction du Client (durées cibles).

2.12 Billetterie et contrôle d’entrée des événements

• Données collectées : nom, email, téléphone, vague choisie, statut, dates de réservation, de confirmation et d’annulation, acceptation horodatée et version des conditions de l’événement, commande, paiement, annulation et remboursement ; au contrôle d’entrée, heure de passage, méthode et auteur du contrôle (les images de la caméra sont décodées dans le navigateur, jamais transmises ni stockées) ; sur les fiches publiées, nom, fonction, biographie, photo et lien de profil des intervenants et coordonnées de contact de l’organisateur.
• Finalité : vendre les billets, envoyer le billet, le lien de gestion, le rappel de la veille et les avis de changement, informer l’organisateur de chaque place confirmée, contrôler l’entrée, publier les fiches des événements.
• Destinataires : l’organisme organisateur (nom, email et téléphone de ses inscrits), l’équipe d’administration de l’Éditeur, kkiapay pour le paiement ; le public pour les fiches publiées ; LinkedIn, lorsque la publication des fiches sur la page LinkedIn de TopTrainer est activée et que l’organisme l’a acceptée (nom et fonction des intervenants, organisateur, lieu, dates et prix de l’événement).
• Base légale : exécution du contrat (achat du billet) ; obligation comptable ; intérêt légitime à prévenir la fraude à l’entrée et à promouvoir l’événement.
• Durée de conservation : inscriptions, billets, pointages et listes : 12 mois après l’événement ; éléments de paiement : 10 ans ; réservations expirées : 30 jours ; anciennes inscriptions par lien de paiement direct de l’organisateur (mode retiré le 10 octobre 2026) : suppression, sauf litige en cours ; fiches publiées : retrait de la publication 12 mois après l’événement (durées cibles).

2.13 Formations présentielles

• Données collectées : nom, email, fonction et service des participants, envoi du lien d’accès, présence (présent, absent, en retard ou excusé, avec le motif éventuel), consultations des supports (support, date, adresse IP, navigateur), réponses aux QCM, notes par épreuve et commentaire du formateur, rapport figé (par participant : nom, email, fonction, scores, taux de présence), contacts de l’entreprise bénéficiaire et destinataires du rapport.
• Finalité : organiser les formations en salle ou hybrides, émarger, mettre à disposition les supports, évaluer les participants et transmettre un rapport à l’entreprise bénéficiaire.
• Base légale : exécution du contrat de prestation avec l’entreprise bénéficiaire, ou de l’achat du billet ; intérêt légitime à tracer les consultations des supports et à prouver la prestation.
• Durée de conservation : 3 ans après la fin de la mission ; consultations des supports et adresses IP : 12 mois ; liens de rapport : 90 jours (durées cibles).

2.14 Création sur mesure, profils publics et médias des formateurs

• Données collectées : profil public du formateur (nom affiché, titre, biographie, photo, spécialités, langues, tarif, note moyenne, portfolio) ; demandes (cahier des charges, public visé, budget, échéance), propositions, révisions, paiements et avis, publics par défaut ; pour les missions réalisées par l’Éditeur, nom, email et téléphone du contact ; médias des cours (image et voix des formateurs et intervenants), fichiers dérivés et sessions de visionnage.
• Finalité : mettre en relation entreprises et formateurs, réaliser les missions de création, héberger, transcoder et diffuser les médias des cours.
• Base légale : mesures précontractuelles prises à votre demande, puis exécution du contrat.
• Durée de conservation : demandes, propositions, échanges et avis : 3 ans après la fin de la mission ; demandes rejetées ou annulées : 12 mois ; profil de formateur masqué après 24 mois sans connexion ; paiements et commissions : 10 ans ; médias des cours : tant que leur auteur ne les supprime pas, et suppression à la fin du contrat du Client (durées cibles).

2.15 E-mails de service et annonces

• Données collectées : adresse du destinataire, objet, modèle, statut, identifiant chez le prestataire d’envoi, paramètres du message (prénom, montants, codes et liens d’action) ; pour les annonces envoyées depuis la console de l’Éditeur aux administrateurs d’Espaces et aux titulaires de Compte : objet, texte, audience, compteurs d’envoi.
• Finalité : envoyer les emails de service (inscription, codes de connexion, reçus, billets, rapports, devis) et en garder trace pour le suivi et le renvoi ; informer les utilisateurs de la Plateforme.
• Base légale : exécution du contrat ou mesures précontractuelles ; intérêt légitime pour la journalisation des envois et l’information des utilisateurs, sous réserve de votre droit d’opposition (article 6).
• Durée de conservation : journal des emails envoyés : 90 jours, de même que les copies des messages entiers (codes et liens compris) éventuellement conservées dans le dossier « Envoyés » du compte Gmail d’envoi ; annonces et copies envoyées : 12 mois (durées cibles).

2.16 Comités de relecture, validation des procédures et exports des Clients

• Données collectées : membres des comités qui relisent les parcours avant leur mise en vente, votes, commentaires, suggestions et décisions ; approbations, visas, commentaires et auteurs des procédures et de leurs versions dans les Espaces ; journal des générations du dossier de conformité. Les exports réalisés par les Clients (listes d’apprenants, dossiers de conformité, export complet de l’Espace) sont générés à la demande et ne sont pas stockés par la Plateforme.
• Finalité : garantir la qualité du catalogue, prouver la validation des procédures, permettre aux Clients d’extraire leurs données.
• Base légale : exécution du contrat et intérêt légitime.
• Durée de conservation : durée de vie du contenu concerné (durée cible) ; journal des générations du dossier de conformité : comme le journal d’audit de l’Espace (article 2.4).

2.17 Demandes d’exercice des droits

• Données collectées : demande, identité et coordonnées du demandeur, échanges, réponse et dates.
• Finalité et base légale : traiter vos demandes (article 6) et pouvoir prouver la réponse apportée, en exécution d’une obligation légale.
• Durée de conservation : 3 ans après la réponse (durée cible).

Article 3, Décisions automatisées et intervention humaine

Certaines fonctions de la Plateforme produisent des résultats automatisés qui peuvent avoir des effets importants pour la personne concernée :

• la notation par IA des réponses libres et des fichiers déposés aux examens, immédiate par défaut ; l’organisation peut exiger qu’elle soit validée par un correcteur avant d’être définitive ;
• l’invalidation automatique d’une tentative d’examen au troisième incident de surveillance (sortie du plein écran, changement d’onglet, copier-coller), qui empêche d’obtenir la certification à l’issue de cette tentative ;
• le résultat d’une épreuve de recrutement, calculé automatiquement, les questions ouvertes non corrigées comptant zéro.

Vous pouvez demander qu’une personne réexamine un tel résultat, présenter vos observations et le contester, auprès de l’organisation concernée ou en écrivant à privacy@toptrainer.academy.

Lorsqu’une évaluation IA est utilisée par un Administrateur dans un processus ressources humaines (par exemple décision de promotion ou de sanction), l’Administrateur est responsable de s’assurer que la décision finale est prise par un être humain, et d’informer l’apprenant conformément aux règles applicables.

Article 4, Sous-traitants et destinataires

Selon leurs fonctions, les données sont accessibles au personnel habilité de l’Éditeur, aux utilisateurs habilités des organisations clientes pour les données de leur Espace, et aux organismes pour leurs inscrits, abonnés et acheteurs. L’Éditeur fait appel aux sous-traitants suivants, qui traitent des données pour son compte. Les liens renvoient aux conditions de traitement des données publiées par chaque prestataire ; la vérification et l’archivage de l’engagement écrit de chacun sont en cours.

Les flux suivants ne relèvent pas d’un sous-traitant de l’Éditeur, mais transmettent des données à des tiers :

Aucun partage de données avec des tiers à des fins publicitaires ou de profilage commercial n’est effectué. Nous n’installons aucun cookie tiers de suivi publicitaire.

Article 5, Transferts internationaux de données

Les données de la Plateforme sont hébergées ou traitées hors du Bénin et hors de la CEDEAO : en France (exécution de l’application, traitement des vidéos), dans l’Union européenne (stockage des fichiers, région en cours de confirmation) et aux États-Unis (sociétés prestataires, envoi des emails, fonctions d’IA et voix) ; pour les fonctions d’IA, également dans le pays d’établissement du fournisseur qui sert le modèle retenu (notamment Union européenne ou Chine, article 2.5). La région de la base de données et le pays des services de cache sont en cours de confirmation auprès des prestataires.

Plusieurs prestataires prévoient dans leurs conditions les Clauses Contractuelles Types de la Commission européenne du 4 juin 2021 (décision 2021/914) ou leur certification au Data Privacy Framework (DPF) UE-États-Unis, adopté par la décision d’adéquation de la Commission européenne du 10 juillet 2023. Ces garanties relèvent du droit européen ; elles ne remplacent pas l’autorisation prévue par le droit béninois ci-dessous.

L’Éditeur étant établi au Bénin, le Livre V du Code du numérique s’applique à ses traitements, qu’ils aient lieu ou non au Bénin (article 381). Les transferts de données obéissent donc aux règles béninoises ci-dessous, auxquelles s’ajoutent les règles ivoiriennes ou sénégalaises lorsque ces droits s’appliquent également au traitement :

• Bénin (article 1er et articles 391 et 392 du Code du numérique) : un État tiers est tout État non membre de la CEDEAO. Un transfert vers un État tiers ou une organisation internationale n’est possible que si l’APDP constate un niveau de protection équivalent, sauf, pour une destination n’assurant pas un niveau de protection adéquat, dans les cas dérogatoires prévus à l’article 392. L’article 391 impose en outre d’obtenir l’autorisation préalable de l’APDP avant tout transfert effectif vers un État tiers ou une organisation internationale ;
• Côte d’Ivoire (articles 7 et 26 de la loi 2013-450) : tout transfert vers un État non membre de la CEDEAO requiert l’autorisation préalable de l’ARTCI et un niveau de protection supérieur ou équivalent dans l’État destinataire ;
• Sénégal (article 4 et articles 49 à 51 de la loi 2008-12) : un pays tiers est tout État autre que le Sénégal. Un transfert vers un pays tiers suppose un niveau de protection suffisant, sauf dans les cas dérogatoires prévus à l’article 50 ou sur autorisation de la CDP au vu de garanties suffisantes (article 51). L’article 49 impose en outre d’informer préalablement la CDP avant tout transfert vers un pays tiers.

L’Éditeur prépare la demande de l’autorisation préalable prévue à l’article 391 pour l’ensemble de ces transferts, qu’il déposera auprès de l’APDP. Cette page sera mise à jour lors de ce dépôt, puis de la décision de l’APDP.

Article 6, Vos droits sur vos données

Conformément au Code du numérique du Bénin, au RGPD et, pour ceux qu’elles prévoient, aux autres lois nationales applicables, vous disposez des droits suivants :

• Droit d’accès : obtenir la confirmation que des données vous concernant sont traitées, et en recevoir une copie.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l’effacement (« droit à l’oubli ») : demander la suppression des données vous concernant, dans les limites des obligations légales de conservation.
• Droit à la limitation : faire geler le traitement pendant un examen de contestation.
• Droit à la portabilité : recevoir dans un format structuré et couramment utilisé les données que vous nous avez fournies, et les faire transmettre à un autre responsable de traitement lorsque techniquement possible.
• Droit d’opposition : vous opposer pour motif légitime à un traitement fondé sur notre intérêt légitime, et sans motif pour les traitements de prospection commerciale.
• Droit de retrait du consentement : lorsque le traitement repose sur votre consentement, le retirer à tout moment sans affecter la licéité du traitement effectué antérieurement.
• Droit à une intervention humaine : demander le réexamen par une personne d’un résultat automatisé qui vous concerne (article 3).
• Droit de définir des directives post-mortem : conformément à l’article 85 de la loi française 78-17 modifiée. En droit béninois (article 441 du Code du numérique) et ivoirien (article 32 de la loi 2013-450), les ayants droit d’une personne décédée peuvent en outre exiger que le responsable du traitement prenne en compte le décès et mette à jour ses données.

Modalités d’exercice : une procédure unique s’applique à toutes les demandes. Adressez votre demande à privacy@toptrainer.academy, de préférence depuis l’adresse email de votre Compte : nous vérifions votre identité par cette adresse. Un justificatif d’identité ne vous est demandé qu’en cas de doute raisonnable sur votre identité, et il est supprimé dès la vérification faite. Nous répondons dans un délai de 30 jours calendaires à compter de la réception de la demande, plus court que les délais maximaux prévus au Bénin (60 jours pour l’accès, article 437 du Code du numérique, et 45 jours pour la rectification ou la suppression, article 441). Aucun frais n’est facturé, sauf demande manifestement infondée ou excessive.

Outils en ligne : les apprenants particuliers peuvent exporter leurs données et effacer leur Compte depuis leur espace ; les apprenants des organismes peuvent effacer leur Compte depuis leur espace. Les autres demandes sont traitées selon la procédure ci-dessus. Pour les données d’un Espace client, nous transmettons la demande à l’organisation responsable et vous en informons. L’effacement prend la forme d’une anonymisation du Compte ; certaines données restent conservées lorsque la loi l’impose (pièces comptables) ou pour permettre la vérification des certificats délivrés.

Article 7, Réclamation auprès d’une autorité

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l’autorité de contrôle compétente, selon votre pays de résidence ou le lieu de la violation :

• Bénin : Autorité de Protection des Données à caractère Personnel (APDP), Rue 6.076 « Aïdjèdo », Immeuble El Marzouk Joël, 01 BP 04837 Cotonou, contact@apdp.bj, apdp.bj.
• Côte d’Ivoire : Autorité de Régulation des Télécommunications/TIC de Côte d’Ivoire (ARTCI), qui exerce les missions de l’autorité de protection des données à caractère personnel (article 46 de la loi 2013-450), 18 BP 2203 Abidjan 18, artci.ci.
• Sénégal : Commission de Protection des Données Personnelles (CDP), Complexe SICAP, Point E, 1er étage, Immeuble A, Avenue Cheikh Anta Diop x Canal IV, Dakar, cdp.sn.
• France et Union européenne : Commission Nationale de l’Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr/fr/plaintes.

Article 8, Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles de sécurité destinées à répondre aux exigences de l’article 32 RGPD, de l’article 426 du Code du numérique BJ, des articles 40 et 41 de la loi 2013-450 CI et de l’article 71 de la loi 2008-12 SN, notamment :

• chiffrement des communications en transit (TLS imposé, avec mémorisation stricte par le navigateur) ;
• hachage des mots de passe avec bcrypt ;
• codes et liens à usage unique vérifiés à partir d’une empreinte ou d’une signature ; une copie figure encore dans le journal des emails envoyés, conservé 90 jours (durée cible, article 2.15) ; codes de connexion valables 10 minutes, avec 5 essais au plus ;
• chiffrement au repos (AES-256-GCM) du secret de double authentification et de certaines données de la billetterie ;
• double authentification obligatoire pour l’équipe d’administration de l’Éditeur (code à 6 chiffres envoyé par email, valable 10 minutes, 5 essais au plus) ; authentification par application TOTP disponible pour les utilisateurs des Espaces ;
• cloisonnement entre Espaces assuré par l’application : identifiant de tenant (tenant_id) porté par chaque table métier et filtrage de tout accès sur l’Espace de la session authentifiée ; contrôle d’accès par rôles ;
• stockage privé des pièces justificatives, des PDF et des fichiers déposés ; notifications de paiement authentifiées et transactions revérifiées auprès du prestataire ;
• journaux d’audit des actions sensibles, conservés selon les durées de l’article 2.4 ;
• limitation du nombre de tentatives de connexion et des appels aux interfaces, protection contre la falsification de requêtes ;
• en cas de violation de données, notification aux autorités compétentes (72 heures pour la CNIL ; sans délai pour l’APDP au Bénin, article 427 du Code du numérique) et aux personnes concernées, dans les conditions et sous les exceptions prévues par ces textes.

Article 9, Mineurs

La Plateforme n’est pas destinée aux mineurs de moins de 15 ans. L’inscription directe d’un apprenant particulier sur learn.toptrainer.academy, par mot de passe ou par compte Google, est réservée aux personnes âgées d’au moins 16 ans, qui l’attestent au moment de l’inscription : en dessous de ce seuil, l’inscription est refusée, car l’Éditeur ne recueille pas en ligne l’autorisation parentale. Aucune date de naissance n’est demandée ; seule la date de l’attestation est enregistrée. Les Administrateurs qui invitent des apprenants âgés de 15 à 18 ans doivent avoir recueilli au préalable l’autorisation du titulaire de l’autorité parentale. Cette exigence va au-delà de l’article 8 du RGPD et de l’article 446 du Code du numérique BJ, qui, pour l’offre directe de services de la société de l’information aux mineurs, exigent l’autorisation du titulaire de la responsabilité parentale en dessous de 16 ans (le RGPD permet aux États membres d’abaisser ce seuil, sans descendre sous 13 ans). La loi 2013-450 CI qualifie de mineur toute personne âgée de moins de 18 ans, et les lois 2013-450 CI et 2008-12 SN admettent que le consentement soit donné par le représentant légal de la personne concernée (article 1er de la loi 2013-450, article 4 de la loi 2008-12).

Article 10, Cookies et traceurs

La Plateforme utilise des cookies et stockages locaux strictement nécessaires à la fourniture du service demandé par l’utilisateur (sessions d’authentification, sécurité, mémorisation du choix de cookies, préférences de langue et d’affichage, brouillons de formulaire). Leur liste, avec leur finalité et leur durée, figure dans la table de la page Cookies.

En France, ces cookies sont exemptés de consentement au titre de l’article 82 de la loi 78-17, qui transpose l’article 5.3 de la directive 2002/58/CE, car strictement nécessaires à la fourniture du service expressément demandé par l’utilisateur. Au Sénégal, l’article 61 de la loi 2008-12 dispense de l’obligation d’information les opérations strictement nécessaires à un service de communication en ligne demandé expressément par l’utilisateur. Au Bénin, l’APDP demande, dans son communiqué n°2021-001/APDP/Pt/SG/DEC/SA du 28 juillet 2021, que l’internaute soit informé dès l’accès au site de l’utilisation des cookies et de leur finalité, de la possibilité de les accepter ou de les refuser et de leur durée d’activité. En Côte d’Ivoire, nous n’avons identifié ni disposition de la loi 2013-450 propre aux cookies, ni ligne directrice de l’ARTCI sur ce sujet.

Le détail complet figure sur la page Cookies. La Plateforme n’utilise aucun cookie de suivi publicitaire, aucun pixel Meta, aucun Google Analytics sans consentement préalable. La Plateforme effectue en outre un comptage interne, sans cookie ni identifiant, des affichages de quelques pages publiques et des ouvertures de la fenêtre de paiement, décrit à l’article 2.7 et sur la page Cookies.

Article 11, Conservation et suppression

Les durées de conservation applicables à chaque catégorie de données sont précisées à l’article 2 et reprennent celles du registre des traitements de l’Éditeur. La mention « durée cible » (ou « durées cibles ») signale un engagement dont la suppression automatique est en cours de mise en place : tant qu’elle ne l’est pas, les données concernées peuvent être conservées au-delà de cette durée, et vous pouvez en demander l’effacement selon l’article 6. À l’expiration de ces durées ou à la fin de la finalité poursuivie, les données sont :

• soit effacées définitivement de nos systèmes principaux ;
• soit anonymisées de manière irréversible pour conservation statistique ;
• soit archivées en base à accès restreint lorsque la conservation est exigée par une obligation légale (par exemple, 10 ans pour les pièces comptables).

Article 12, Modifications de la présente politique

La présente Politique est susceptible d’évoluer. Toute modification substantielle sera notifiée aux utilisateurs par email au moins 30 jours avant son entrée en vigueur, et la date de dernière mise à jour est indiquée en pied de cette page. Les versions antérieures sont communiquées sur demande à privacy@toptrainer.academy.

Article 13, Contact pour la protection des données

Pour toute question relative à vos données, écrivez à l’adresse dédiée à la protection des données personnelles. Le délégué à la protection des données de l’Éditeur sera nommé ici dès sa désignation.

• Email (prioritaire) : privacy@toptrainer.academy
• Courrier postal : WINNER MARKET LIFE, protection des données personnelles, Îlot 3178, quartier Agla Agongbomey, parcelle C, 13e arrondissement, Cotonou, Bénin.

Version 1.3, dernière mise à jour le 12 octobre 2026.