Politique de confidentialité
En vigueur à compter du 21 avril 2026 – Dernière mise à jour : 21 avril 2026
1. Préambule
La protection de vos données à caractère personnel est une priorité pour EROJU, éditeur de l'application Certily exerçant sous l'enseigne Dentalschool Formations.
La présente politique de confidentialité (ci-après « la Politique ») a pour objet de vous informer, en application du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée (« loi Informatique et Libertés »), des modalités selon lesquelles nous collectons et traitons vos données dans le cadre de l'Application.
2. Responsable du traitement
Le responsable du traitement des données à caractère personnel est :
EROJU – SAS à associé unique Siège social : 76 Boulevard Meusnier de Querlon, 44000 Nantes RCS Nantes 952 719 219 – SIRET 952 719 219 00018 Représentée par : Dr Julie Fantin, Présidente
Contact dédié à la protection des données : rgpd@dentalschool.fr
EROJU n'a pas désigné de Délégué à la protection des données (DPO) au sens formel de l'article 37 du RGPD, cette désignation n'étant pas rendue obligatoire par la nature et le volume de ses traitements. L'adresse ci-dessus constitue le point de contact unique pour toute question relative à vos données.
3. Données collectées
3.1 Données collectées lors de l'inscription et de l'utilisation
| Catégorie | Exemples | Caractère |
|---|---|---|
| Données d'identification | Nom, prénom, adresse email, mot de passe (haché) | Obligatoire |
| Données professionnelles déclarées | Profession, spécialité, année d'installation, ordre d'inscription, numéro RPPS, ville d'exercice | Obligatoire pour certaines fonctionnalités |
| Données de connexion | Adresse IP, identifiant de session, journaux techniques | Automatique |
| Données d'usage | Parcours dans l'Application, questions répondues, scores, progression, temps passé | Automatique |
| Données de paiement | Les données bancaires sont collectées et traitées directement par notre prestataire de paiement ; EROJU n'a jamais accès aux numéros de cartes | Via Stripe |
| Données de support | Contenus des messages échangés avec le support | Facultatif |
3.2 Données sensibles
EROJU ne collecte aucune donnée de santé relative à l'Utilisateur ni à ses patients. Les cas cliniques présentés dans les contenus pédagogiques sont anonymisés.
Le numéro RPPS est collecté en tant qu'identifiant professionnel (il ne constitue pas une donnée de santé au sens de l'article 9 du RGPD). Sa saisie est facultative lors de la création du Compte, mais nécessaire pour générer une attestation d'action validante (formation ou évaluation des pratiques), sur laquelle il figure ; il apparaît également sur la page de vérification publique de l'attestation, accessible au moyen du code de vérification. Il est utilisé aux seules fins de vérification de la qualité professionnelle et de traçabilité des actions de certification périodique et de DPC, et n'est communiqué à aucun tiers, hormis le cas échéant à l'ANDPC et aux autorités compétentes de la certification périodique dans le cadre de cette traçabilité.
3.3 Données relatives aux mineurs
L'Application n'est pas destinée aux mineurs. Aucune donnée relative à des personnes mineures n'est volontairement collectée.
4. Finalités et bases légales des traitements
| Finalité | Base légale (RGPD) | Durée de conservation |
|---|---|---|
| Création et gestion de votre Compte | Exécution du contrat (art. 6.1.b) | Durée du Compte + 3 ans |
| Fourniture des Services (quiz, formations, suivi) | Exécution du contrat (art. 6.1.b) | Durée du Compte + 3 ans |
| Vérification de la qualité professionnelle déclarée | Intérêt légitime (art. 6.1.f) : garantir que seuls des professionnels autorisés accèdent aux contenus | Durée du Compte |
| Facturation et comptabilité | Obligation légale (art. 6.1.c – Code de commerce, Code général des impôts) | 10 ans |
| Traçabilité des actions de certification périodique | Obligation légale (art. 6.1.c – ordonnance n° 2021-961) | 10 ans après réalisation de l'action |
| Traçabilité des actions DPC (ANDPC) | Obligation légale (art. 6.1.c) | 10 ans |
| Gestion du support utilisateur | Intérêt légitime (art. 6.1.f) | 3 ans à compter du dernier contact |
| Mesure d'audience anonyme (Vercel Analytics) | Intérêt légitime (art. 6.1.f) – sans cookie, sans identifiant individuel | 13 mois maximum |
| Envoi d'emails transactionnels (confirmations, rappels) | Exécution du contrat (art. 6.1.b) | Durée du Compte |
| Envoi d'informations commerciales et newsletter | Consentement (art. 6.1.a) – révocable à tout moment | Jusqu'au retrait du consentement, maximum 3 ans après le dernier contact |
| Prévention de la fraude et sécurité | Intérêt légitime (art. 6.1.f) | 1 an pour les journaux techniques |
| Respect d'obligations légales (réquisitions judiciaires, archivage légal) | Obligation légale (art. 6.1.c) | Durées légales applicables |
5. Destinataires des données
Vos données sont traitées par les personnels habilités d'EROJU. Elles peuvent également être communiquées, dans la limite de leurs besoins respectifs, aux catégories de destinataires suivantes :
5.1 Sous-traitants techniques
Les prestataires ci-dessous agissent en qualité de sous-traitants au sens de l'article 28 du RGPD et sont liés à EROJU par un contrat imposant des garanties appropriées :
| Sous-traitant | Finalité | Localisation des données |
|---|---|---|
| Supabase, Inc. | Hébergement base de données, authentification, stockage | Union européenne (Francfort, Allemagne) |
| Vercel Inc. | Hébergement front-end, diffusion de l'Application, mesure d'audience anonyme | Infrastructure de diffusion mondiale ; données de session principalement UE |
| Supabase, Inc. (service d'emails) | Envoi des emails transactionnels (confirmation, rappel, notification) | Union européenne (Francfort, Allemagne) |
| Stripe (Stripe Payments Europe, Ltd) | Traitement des paiements et de la facturation | Irlande (UE) ; transferts hors UE encadrés (voir §6) |
5.2 Destinataires institutionnels
- ANDPC (Agence nationale du DPC) : transmission, le cas échéant, des données de traçabilité des actions DPC validées, dans le cadre des obligations légales applicables aux organismes enregistrés.
- Autorités compétentes : en cas de réquisition judiciaire ou administrative.
5.3 Absence de cession commerciale
EROJU ne cède, ne loue ni ne commercialise vos données à des tiers à des fins commerciales.
6. Transferts hors Union européenne
Les données sont prioritairement hébergées au sein de l'Union européenne. Certains sous-traitants (notamment Vercel) peuvent être amenés à traiter des données depuis des infrastructures situées en dehors de l'Union européenne, notamment aux États-Unis.
Dans ce cas, EROJU s'assure que les transferts sont encadrés par :
- soit une décision d'adéquation de la Commission européenne (Data Privacy Framework pour les entreprises américaines certifiées) ;
- soit des Clauses Contractuelles Types approuvées par la Commission européenne (article 46 du RGPD) ;
- le cas échéant complétées par des mesures supplémentaires (chiffrement, pseudonymisation).
Vous pouvez obtenir copie de ces garanties sur demande à rgpd@dentalschool.fr.
7. Cookies et traceurs
L'Application utilise un nombre restreint de cookies et traceurs :
7.1 Cookies strictement nécessaires (exemptés de consentement)
- Cookie d'authentification : maintien de votre session connectée.
- Cookie de préférence de langue : mémorisation de vos paramètres d'affichage.
Ces cookies sont indispensables au fonctionnement de l'Application et sont exemptés de consentement préalable conformément à l'article 82 de la loi Informatique et Libertés.
7.2 Mesure d'audience sans cookie
L'Application utilise Vercel Analytics, un outil de mesure d'audience privacy-friendly qui n'utilise pas de cookie de suivi, ne collecte pas d'identifiant individuel et est conforme aux recommandations de la CNIL en matière d'outil exempté de consentement.
7.3 Absence de cookies tiers publicitaires
L'Application n'utilise aucun cookie publicitaire, ni aucun outil de profilage commercial. Aucune bannière de recueil de consentement aux cookies n'est donc requise à la date d'entrée en vigueur de la présente Politique.
Si des cookies soumis à consentement devaient être introduits à l'avenir, un module de recueil de consentement conforme CNIL serait mis en place et la présente Politique serait mise à jour.
8. Sécurité des données
EROJU met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :
- chiffrement des communications (HTTPS/TLS) ;
- stockage des mots de passe sous forme hachée (bcrypt ou équivalent) ;
- authentification forte pour les comptes d'administration ;
- cloisonnement des environnements (développement, production) ;
- journalisation des accès ;
- sauvegardes régulières et chiffrées ;
- politique de moindre privilège pour les accès internes ;
- revue régulière des habilitations et formations à la sécurité.
En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, EROJU notifiera la CNIL dans un délai de 72 heures et, le cas échéant, les personnes concernées dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD.
9. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données à caractère personnel :
- Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir copie.
- Droit de rectification : faire corriger des données inexactes ou incomplètes.
- Droit à l'effacement (« droit à l'oubli ») : faire supprimer vos données, sous réserve des obligations légales de conservation.
- Droit à la limitation du traitement : suspendre l'utilisation de vos données dans certains cas.
- Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Droit d'opposition : vous opposer au traitement de vos données pour des motifs tenant à votre situation particulière, notamment lorsque le traitement est fondé sur l'intérêt légitime.
- Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur le consentement (notamment pour les communications commerciales).
- Droit de définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.
Comment exercer vos droits
Vous pouvez exercer ces droits en adressant votre demande, accompagnée d'un justificatif d'identité si nécessaire, à :
📧 rgpd@dentalschool.fr 📮 EROJU – Service Protection des données – 76 Boulevard Meusnier de Querlon, 44000 Nantes
EROJU s'engage à répondre à votre demande dans un délai maximal d'un (1) mois à compter de sa réception, délai qui peut être prolongé de deux (2) mois en raison de la complexité ou du nombre des demandes.
Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits Informatique et Libertés ne sont pas respectés, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- En ligne : www.cnil.fr/fr/plaintes
- Par courrier : CNIL – 3 Place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07
10. Modification de la Politique
EROJU peut être amenée à modifier la présente Politique pour refléter les évolutions législatives, réglementaires, techniques ou fonctionnelles. Toute modification substantielle sera portée à la connaissance des Utilisateurs par email et/ou par une notification dans l'Application au moins trente (30) jours avant son entrée en vigueur.
La version applicable est celle en vigueur au jour de votre utilisation de l'Application. La date de dernière mise à jour figure en tête du présent document.