Traitement des données personnelles (RGPD) — Plateforme de formation MERM · Dernière mise à jour : 19 juin 2026 · Version 1.0
EchoFirst, Société par actions simplifiée (SAS) au capital de 100 €, 878 068 691 R.C.S. Caen, dont le siège social est situé 6 Chemin de la Vallée, Secqueville-en-Bessin, 14740 Rots, France (ci-après « EchoFirst » ou « l'organisme de formation »), est responsable du traitement des données personnelles décrites dans la présente politique.
Contact : contact@echofirst.fr.
Pour toute question relative à vos données personnelles ou à l'exercice de vos droits, vous pouvez contacter le référent en charge de la protection des données à l'adresse contact@echofirst.fr. EchoFirst n'est pas soumis à l'obligation de désigner un délégué à la protection des données (DPO) au sens de l'article 37 du RGPD ; un référent assure néanmoins le suivi des demandes.
Dans le cadre de l'utilisation de la plateforme, EchoFirst traite les catégories de données suivantes :
| Catégorie de données | Finalité | Base légale (art. 6 RGPD) | Conservation |
|---|---|---|---|
| Identité & compte : nom, prénom, e-mail, identifiant, mot de passe chiffré, organisme de rattachement | Création et gestion du compte, authentification, suivi pédagogique | Exécution du contrat de formation (art. 6.1.b) | Durée de la formation + 3 ans, puis suppression ou anonymisation |
| Données pédagogiques : progression, dépôts, résultats d'examens, attestations, carnet de stage | Suivi et évaluation des acquis, délivrance des attestations, traçabilité Qualiopi | Exécution du contrat ; obligation légale (art. 6.1.b et 6.1.c) | 3 ans après la fin de l'action (contrôle Qualiopi / financeurs) |
| Pièces de financement et de facturation | Facturation, obligations comptables, bilan pédagogique et financier | Obligation légale (art. 6.1.c) | 10 ans (art. L. 123-22 du Code de commerce) |
| Médias d'échographie anonymisés (images / vidéos) | Évaluation des acquisitions techniques | Exécution du contrat (art. 6.1.b) | Fin de la formation ou sur demande ; 3 ans maximum |
| Surveillance d'examen : captures caméra, événements plein écran / sortie d'onglet | Intégrité des épreuves, prévention de la fraude | Intérêt légitime (art. 6.1.f) | 12 mois maximum, puis suppression |
| Journaux techniques : connexions, audit des actions sensibles, adresse IP | Sécurité, preuve, prévention des abus | Intérêt légitime / obligation légale (art. 6.1.f / 6.1.c) | 12 mois |
Important — absence de données de santé de patients. La plateforme n'a pas vocation à traiter de données de santé de patients réels. Les médias déposés doivent être anonymisés avant tout dépôt (aucun identifiant patient visible, aucune métadonnée identifiante). Seuls les formats image et vidéo sont acceptés ; le dépôt de fichiers DICOM est refusé, ces fichiers étant susceptibles de contenir des identifiants patient. Aucun identifiant de patient n'est stocké par la plateforme. Toute évolution de ce périmètre relèverait de l'article 9 du RGPD et, le cas échéant, d'un hébergement de données de santé certifié (HDS).
Les données sont accessibles, selon le principe du besoin d'en connaître, aux seuls personnels habilités d'EchoFirst (formateurs, administration). Elles peuvent être traitées par les sous-traitants techniques suivants, agissant sur instruction d'EchoFirst et encadrés par un accord de traitement conforme à l'article 28 du RGPD :
Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins commerciales.
Les données des apprenants sont hébergées au sein de l'Union européenne (datacenters situés en France) chez Scaleway ; aucune donnée d'apprenant n'est transférée en dehors de l'Union européenne. Seul l'outil de supervision de disponibilité (UptimeRobot, États-Unis) reçoit une adresse e-mail d'alerte et l'URL technique de l'état de santé du service, à l'exclusion de toute donnée d'apprenant. Ce transfert limité est, le cas échéant, encadré par les garanties appropriées prévues au chapitre V du RGPD.
Conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés », vous disposez des droits suivants sur vos données :
La plateforme permet notamment l'export de vos données personnelles et leur effacement. Pour exercer vos droits, adressez votre demande à contact@echofirst.fr. Une réponse vous sera apportée dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
La plateforme dépose un unique cookie de session strictement nécessaire à l'authentification (cookie HttpOnly). Ce cookie étant indispensable au fonctionnement du service, il ne requiert pas votre consentement préalable. Aucun cookie publicitaire ni traceur de mesure d'audience tiers n'est utilisé.
EchoFirst met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données :
La présente politique peut être amenée à évoluer. En cas de modification substantielle, les utilisateurs en sont informés et, le cas échéant, leur accord pourra être à nouveau sollicité à la connexion. La date de dernière mise à jour figure en tête du présent document.