Traitement des données personnelles (RGPD) — Plateforme de formation MERM · Dernière mise à jour : 17 août 2026 · Version 1.2
EchoFirst, Société par actions simplifiée (SAS) au capital de 100 €, 878 068 691 R.C.S. Caen, dont le siège social est situé 6 Chemin de la Vallée, Secqueville-en-Bessin, 14740 Rots, France (ci-après « EchoFirst » ou « l'organisme de formation »), est responsable du traitement des données personnelles décrites dans la présente politique.
Contact : contact@echofirst.fr.
Pour toute question relative à vos données personnelles ou à l'exercice de vos droits, vous pouvez contacter le référent en charge de la protection des données à l'adresse contact@echofirst.fr. EchoFirst n'est pas soumis à l'obligation de désigner un délégué à la protection des données (DPO) au sens de l'article 37 du RGPD ; un référent assure néanmoins le suivi des demandes.
Dans le cadre de l'utilisation de la plateforme, EchoFirst traite les catégories de données suivantes :
| Catégorie de données | Finalité | Base légale (art. 6 RGPD) | Conservation |
|---|---|---|---|
| Identité & compte : nom, prénom, e-mail, identifiant, mot de passe chiffré, organisme de rattachement | Création et gestion du compte, authentification, suivi pédagogique | Exécution du contrat de formation (art. 6.1.b) | Durée de la formation + 3 ans, puis suppression ou anonymisation |
| Données pédagogiques : progression, dépôts, résultats d'examens, attestations, carnet de stage | Suivi et évaluation des acquis, délivrance des attestations, traçabilité Qualiopi | Exécution du contrat ; obligation légale (art. 6.1.b et 6.1.c) | 3 ans après la fin de l'action (contrôle Qualiopi / financeurs) |
| Pièces de financement et de facturation | Facturation, obligations comptables, bilan pédagogique et financier | Obligation légale (art. 6.1.c) | 10 ans (art. L. 123-22 du Code de commerce) |
| Médias d'échographie anonymisés (images / vidéos) | Évaluation des acquisitions techniques | Exécution du contrat (art. 6.1.b) | Fin de la formation ou sur demande ; 3 ans maximum |
| Surveillance d'examen : captures caméra ponctuelles, événements plein écran / sortie d'onglet, acceptation horodatée de la charte d'intégrité, signaux techniques de présence (battements réseau), journal de session d'épreuve (adresse IP, navigateur). Modalités détaillées : Règlement des épreuves surveillées. Aucune analyse automatisée des images ni biométrie ; revue de chaque tentative par un administrateur | Intégrité des épreuves, prévention de la fraude | Exécution du contrat de formation (art. 6.1.b), les modalités de surveillance étant portées à la connaissance du stagiaire avant son inscription | Captures caméra : suppression automatique 60 jours après l'épreuve ; durée portée à 6 mois en cas de tentative invalidée ou de contestation en cours. Incidents et journal de session : durée de conservation des résultats |
| Journaux techniques : connexions, audit des actions sensibles, adresse IP | Sécurité, preuve, prévention des abus | Intérêt légitime / obligation légale (art. 6.1.f / 6.1.c) | 12 mois |
| Contenus soumis aux fonctions d'assistance par IA : PDF ou extraits de supports pédagogiques, thèmes et intitulés de cours, textes de QCM et question libre adressée au tuteur | Créer ou améliorer des contenus pédagogiques, expliquer un QCM et répondre à une question depuis les seuls supports de la formation | Exécution du contrat de formation pour le tutorat (art. 6.1.b) ; intérêt légitime d'EchoFirst pour l'assistance aux équipes pédagogiques (art. 6.1.f) | Dans EchoFirst : durée applicable au support ou au QCM concerné. Chez le fournisseur : selon le fournisseur et la configuration décrits à la section 6 |
Important — absence de données de santé de patients. La plateforme n'a pas vocation à traiter de données de santé de patients réels. Les médias déposés doivent être anonymisés avant tout dépôt (aucun identifiant patient visible, aucune métadonnée identifiante). Seuls les formats image et vidéo sont acceptés ; le dépôt de fichiers DICOM est refusé, ces fichiers étant susceptibles de contenir des identifiants patient. Aucun identifiant de patient n'est stocké par la plateforme. Toute évolution de ce périmètre relèverait de l'article 9 du RGPD et, le cas échéant, d'un hébergement de données de santé certifié (HDS).
Les données sont accessibles, selon le principe du besoin d'en connaître, aux seuls personnels habilités d'EchoFirst (formateurs, administration). Elles peuvent être traitées par les sous-traitants techniques suivants. Lorsqu'ils traitent des données personnelles pour EchoFirst, leur activation est conditionnée à la vérification d'un accord de traitement conforme à l'article 28 du RGPD et, en cas de transfert international, des garanties applicables :
Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins commerciales.
Les comptes, résultats, carnets, médias et autres données applicatives sont hébergés au sein de l'Union européenne, dans des datacenters situés en France chez Scaleway. L'outil de supervision de disponibilité reçoit seulement l'adresse e-mail d'alerte et l'URL technique de l'état de santé du service, à l'exclusion de toute donnée d'apprenant.
Lorsque des fonctions d'IA sont activées, les seuls contenus pédagogiques nécessaires à la requête sont transmis au fournisseur concerné. Mistral indique que les données sont hébergées dans l'Union européenne par défaut, mais que certaines fonctionnalités ou certains sous-traitants peuvent entraîner un transfert temporaire hors de l'Union. Anthropic et ses sous-traitants peuvent également réaliser des traitements impliquant un transfert international. Lorsque le RGPD l'exige, ces transferts doivent être encadrés par les garanties prévues au chapitre V, notamment les clauses contractuelles types intégrées aux accords de traitement des fournisseurs. Les informations sur ces garanties peuvent être demandées à contact@echofirst.fr.
Les fonctions d'IA sont optionnelles. Selon la configuration retenue, EchoFirst peut utiliser :
Les données envoyées sont limitées aux PDF ou extraits pédagogiques sélectionnés, à leur titre et thème, aux textes de questions et propositions de réponse, et, pour le tuteur, au texte libre de la question. Le nom, l'e-mail, les résultats, le carnet de stage, les captures de surveillance et les médias déposés par l'apprenant ne sont pas ajoutés à ces requêtes. Il est demandé aux utilisateurs de ne saisir aucune identité, donnée de patient ou autre donnée personnelle inutile dans un champ libre ou un support transmis à l'IA.
Mistral indique que les données envoyées à son API ne sont pas utilisées pour entraîner ses modèles. Une absence de conservation (« Zero Data Retention ») n'est applicable que si elle a été demandée et activée pour l'organisation et uniquement pour les endpoints compatibles ; elle ne doit donc pas être présumée. Anthropic indique ne pas entraîner ses modèles sur le contenu client de ses services commerciaux. Pour l'API Anthropic, les entrées et sorties sont normalement supprimées dans les 30 jours ; des exceptions existent notamment pour certains services, un accord spécifique, une obligation légale ou l'application de la politique d'utilisation. Anthropic indique qu'une entrée ou sortie signalée par ses systèmes comme violation potentielle de sa politique peut être conservée jusqu'à deux ans, et le score de classification de sécurité correspondant jusqu'à sept ans.
Ces outils assistent la rédaction et le tutorat : ils ne déterminent ni la note, ni la réussite, ni l'accès d'un apprenant à une formation. Une réponse peut être inexacte ; les contenus destinés à être publiés font l'objet d'une validation humaine.
Conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés », vous disposez des droits suivants sur vos données :
La plateforme permet notamment l'export de vos données personnelles et leur effacement. Pour exercer vos droits, adressez votre demande à contact@echofirst.fr. Une réponse vous sera apportée dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
La plateforme dépose un unique cookie de session strictement nécessaire à l'authentification (cookie HttpOnly). Ce cookie étant indispensable au fonctionnement du service, il ne requiert pas votre consentement préalable. Aucun cookie publicitaire ni traceur de mesure d'audience tiers n'est utilisé.
EchoFirst met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données :
La présente politique peut être amenée à évoluer. En cas de modification substantielle, les utilisateurs en sont informés et, le cas échéant, leur accord pourra être à nouveau sollicité à la connexion. La date de dernière mise à jour figure en tête du présent document.