POLITIQUE DE PROTECTION DES DONNÉES PERSONNELLES

Mise à jour : 3 novembre 2026

Préambule

BPA attache depuis toujours une grande importance à la sécurité et à la confidentialité des informations que lui confient ses clients, ses stagiaires et ses correspondants, sur le plan technique comme sur le plan humain.

Le règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données, « RGPD »), applicable depuis le 25 mai 2018, et la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés encadrent ces engagements.

La présente politique s'applique à l'ensemble des activités de BPA : ses sites internet (www.globalbpa.com, la plateforme de formation extranet.globalbpa.com et la plateforme de partage NEXT), ses lettres d'information, ses missions de conseil et ses actions de formation. Elle vous indique quelles données BPA traite, pourquoi, sur quelle base, pendant combien de temps, qui peut en connaître et comment exercer vos droits.

BPA travaille exclusivement avec des professionnels. Les personnes dont elle traite les données sont des interlocuteurs professionnels : collaborateurs de ses clients et prospects, stagiaires inscrits par leur employeur, abonnés à ses lettres d'information. Le RGPD protège ces personnes comme toute autre personne physique ; le caractère professionnel de la relation a toutefois des effets pratiques, précisés aux § 1 et 8.

BPA ne vend, ne loue ni ne cède les données de ses clients ou de ses utilisateurs, ni directement ni indirectement, et ne les utilise pas pour le compte de tiers.

Définitions

Les termes suivants ont le sens que leur donne le RGPD :

Terme	Définition	Référence
Donnée à caractère personnel	Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (nom, adresse électronique professionnelle, adresse IP, identifiant de connexion…)	RGPD art. 4.1
Traitement	Toute opération portant sur des données personnelles : collecte, enregistrement, conservation, consultation, communication, effacement…	RGPD art. 4.2
Personne concernée	La personne physique à laquelle se rapportent les données	RGPD art. 4.1
Responsable du traitement	L'organisme qui détermine les finalités et les moyens du traitement	RGPD art. 4.7
Responsables conjoints du traitement	Deux organismes ou plus qui déterminent ensemble les finalités et les moyens d'un traitement ; ils définissent leurs obligations respectives par un accord. On parle aussi de « co-responsables » ; le terme « co-traitant », courant dans la pratique contractuelle, n'est pas un terme du RGPD	RGPD art. 26
Sous-traitant	L'organisme qui traite des données pour le compte et sur les instructions du responsable du traitement, dans le cadre d'un contrat	RGPD art. 4.8 et 28
Sous-traitant ultérieur	Le prestataire auquel un sous-traitant confie une partie du traitement, avec l'autorisation du responsable	RGPD art. 28.2 et 28.4
Destinataire	La personne ou l'organisme qui reçoit communication des données	RGPD art. 4.9
Consentement	Manifestation de volonté libre, spécifique, éclairée et univoque, par un acte positif clair (case à cocher, par exemple)	RGPD art. 4.11
Violation de données	Faille de sécurité entraînant la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données	RGPD art. 4.12

1. Qui est responsable de vos données ?

BPA, responsable du traitement. BPA est responsable des traitements qu'elle met en œuvre pour ses propres besoins : sites internet, lettres d'information, prospection, relation commerciale, organisation des formations, facturation. Son identification et ses coordonnées figurent dans les Mentions légales.

BPA, sous-traitant de ses clients. Dans le cadre de ses missions de conseil et de certaines actions de formation, BPA peut traiter des données personnelles pour le compte d'un client (par exemple : dossiers, procédures ou listes de collaborateurs communiqués pour un audit, une revue ou une formation sur mesure). Le client est alors responsable du traitement et BPA son sous-traitant : BPA ne traite ces données que sur les instructions documentées du client, en assure la confidentialité et la sécurité, et les restitue ou les détruit à la fin de la mission, selon le contrat (RGPD art. 28). Les droits relatifs à ces données s'exercent en priorité auprès du client ; si BPA reçoit une demande, elle la transmet sans délai au client et l'aide à y répondre (RGPD art. 28.3.e).

Délégué à la protection des données. BPA a désigné un délégué à la protection des données (DPO), joignable pour toute question ou demande : dpo@globalbpa.com ou par le formulaire de la page Exercer vos droits — contacter le DPO.

2. Les données que nous traitons

• Identification et contact professionnels : nom, prénom, adresse électronique professionnelle, fonction, organisme, téléphone.
• Abonnement aux lettres d'information : thématiques choisies, dates d'inscription, de confirmation et de désinscription, adresse IP lors de l'inscription (preuve de l'inscription).
• Suivi de la délivrabilité des newsletters, uniquement avec votre accord : date et heure d'ouverture, liens cliqués, adresse IP, logiciel de messagerie.
• Relation commerciale : demandes d'informations et réclamations, devis et contrats.
• Activité de formation : expressions de besoin, propositions commerciales, données du client, conventions de formation, inscriptions, émargements et relevés de connexion, évaluations, attestations et certificats.
• Activité de conseil : expressions de besoin, propositions commerciales, contrats, données du client, livrables.
• Navigation et sécurité : journaux techniques du pare-feu et du serveur, cookies (§ 5).

3. Pourquoi, sur quelle base et pendant combien de temps

Données (§ 2)	Finalité	Base légale	Durée de conservation	Origine
Abonnement aux lettres d'information	Envoi des lettres auxquelles vous vous êtes inscrit	Consentement (RGPD art. 6.1.a ; CPCE art. L. 34-5)	Jusqu'à votre désinscription ; suppression après 3 ans sans contact de votre part	Vous (formulaire d'inscription)
Identification et contact professionnels	Information des professionnels sur l'offre de formation et de conseil de BPA (prospection entre professionnels)	Intérêt légitime de BPA à présenter son offre à des professionnels dont la fonction est en rapport avec celle-ci (RGPD art. 6.1.f)	3 ans à compter de la collecte ou du dernier contact émanant de vous	Échanges professionnels avec BPA ; formations, conférences et travaux de normalisation ; annuaires et réseaux professionnels publics
Suivi de la délivrabilité des newsletters	Mesure des ouvertures et des clics	Consentement (loi 78-17 art. 82)	13 mois ; suppression immédiate en cas de retrait de l'accord	Votre messagerie, si vous l'avez accepté
Relation commerciale	Réponse aux demandes d'informations, traitement des réclamations, établissement des devis et des contrats	Mesures précontractuelles et contrat (RGPD art. 6.1.b) ; intérêt légitime pour les réclamations	Demandes et devis sans suite : 3 ans à compter du dernier échange (recommandation CNIL, référentiel 2021-131) ; contrats et réclamations : durée du contrat, puis 5 ans (prescription : code de commerce art. L. 110-4 ; code civil art. 2224) — pratique de place	Vous ou votre employeur
Activité de formation	Organisation et exécution des formations ; preuve de leur réalisation	Contrat (RGPD art. 6.1.b) ; obligation légale (RGPD art. 6.1.c ; code du travail art. L. 6353-1 — convention de formation — et R. 6313-3 — justification de la réalisation)	Durée de l'action, puis 5 ans à compter de sa fin (prescription : code de commerce art. L. 110-4 ; code civil art. 2224) — pratique de place ; factures : 10 ans	Vous ou votre employeur
Activité de conseil (BPA responsable du traitement)	Préparation, exécution et suivi des missions	Contrat (RGPD art. 6.1.b)	Durée de la mission, puis 5 ans à compter de sa fin (prescription : code de commerce art. L. 110-4 ; code civil art. 2224) — pratique de place	Le client
Activité de conseil (BPA sous-traitant)	Exécution de la mission pour le compte du client	Celle du client, responsable du traitement	Selon le contrat ; restitution ou destruction en fin de mission	Le client
Facturation (relation commerciale, formation, conseil)	Facturation et comptabilité	Obligation légale (RGPD art. 6.1.c)	10 ans (code de commerce art. L. 123-22)	Vous ou votre employeur
Navigation et sécurité	Sécurité des sites, prévention des attaques	Intérêt légitime (RGPD art. 6.1.f)	Journaux : 6 mois (minimum de la fourchette de 6 mois à 1 an — recommandation CNIL, délibération n° 2021-122)	Votre navigateur
Demandes relatives à vos droits	Traitement et preuve de la réponse	Obligation légale (RGPD art. 6.1.c et 12)	Durée du traitement de la demande, puis 5 ans (prescription : code civil art. 2224) — pratique de place	Vous

4. Lettres d'information : suivi des ouvertures et des clics

Conformément à la réglementation, nos lettres d'information ne contiennent un pixel de suivi (image invisible) et des liens de mesure que si vous l'avez accepté en cochant la case prévue lors de l'inscription. Sans cet accord, aucune ouverture ni aucun clic n'est enregistré à votre nom.

Vous pouvez retirer votre accord à tout moment, sans autre démarche, par le lien « Désactiver le suivi statistique de mes e-mails » présent en bas de chaque lettre. Les données déjà collectées à votre nom sont alors supprimées.

Chaque lettre contient aussi un lien pour vous désinscrire ou modifier vos thématiques.

5. Cookies, contenus tiers et polices de caractères

Au premier affichage d'une page, nos sites ne déposent aucun cookie de mesure d'audience ni de publicité. Un bandeau vous permet de tout accepter, de continuer sans accepter ou de choisir par catégorie (« Réglages ») ; refuser est aussi simple qu'accepter, et vous pouvez modifier votre choix à tout moment depuis le panneau de réglages des cookies.

Cookies strictement nécessaires — dispensés de consentement (loi n° 78-17 art. 82) :

Cookie	Site	Finalité	Durée
PHPSESSID	www et extranet	Session technique du serveur	Fin de la session de navigation
moove_gdpr_popup	www et extranet	Mémoriser vos choix en matière de cookies	182 jours (6 mois)
wp_consent_functional, wp_consent_preferences, wp_consent_statistics, wp_consent_statistics-anonymous, wp_consent_marketing	www	Transmettre vos choix aux extensions du site	30 jours
Cookies de connexion WordPress (wordpress_logged_in_…, wordpress_sec_…)	extranet	Maintenir votre connexion à la plateforme de formation	Session, ou 14 jours si vous cochez « Se souvenir de moi »
__cf_bm (domaine hcaptcha.com)	www, pages comportant un formulaire	Protection des formulaires contre les robots (hCaptcha)	30 minutes

Cookies soumis à votre consentement (catégorie « Cookies tiers ») :

Cookie	Site	Finalité	Durée
_ga, _ga_…	www	Mesure d'audience (Google Analytics) : nombre de visites, pages consultées	1 an

Ces cookies ne sont déposés, et le service de Google n'est appelé, qu'après votre accord.

Contenus fournis par des tiers. Certains éléments de nos pages sont chargés depuis les serveurs de prestataires, qui reçoivent à cette occasion votre adresse IP :

• le bouton d'impression et d'export PDF (PrintFriendly) ;
• la protection anti-robots des formulaires (hCaptcha).

Les polices de caractères de nos sites sont hébergées sur nos propres serveurs : leur affichage ne transmet votre adresse IP à aucun tiers.

6. Droit d'en connaître

Seules les personnes habilitées de BPA ont accès à vos données, dans la limite de leurs attributions.

Des prestataires les traitent pour le compte de BPA et sur ses instructions (RGPD art. 28), dans les catégories suivantes :

• hébergement et sécurité des sites ;
• plateforme de conférence et de classe virtuelle ;
• mesure de la délivrabilité et de l'audience ;
• outils d'intelligence artificielle, dans les conditions de notre charte d'utilisation de l'intelligence artificielle.

Les autorités judiciaires, les régulateurs et les organismes financeurs de formation ont le droit d'en connaître lorsque la réglementation l'exige.

BPA ne vend, ne loue ni ne cède vos données.

Transferts hors de l'Union européenne. BPA ne retient que des prestataires et des outils dont l'hébergement et les transferts de données sont conformes au RGPD, qui ne réutilisent pas vos données pour leurs propres fins (notamment l'entraînement de modèles d'intelligence artificielle) et qui offrent des garanties contractuelles de confidentialité. Lorsqu'un traitement a lieu hors de l'Union européenne, le transfert est encadré par une décision d'adéquation de la Commission européenne ou par des clauses contractuelles types (RGPD art. 45 et 46). Le DPO vous renseigne sur ces garanties.

7. Sécurité et violations de données

BPA met en œuvre des mesures techniques et organisationnelles adaptées : pare-feu applicatif, chiffrement des échanges (HTTPS), restriction des accès d'administration, sauvegardes, classification des informations.

En cas de violation de données présentant un risque pour vos droits et libertés, BPA la notifie à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (RGPD art. 33). BPA vous informe directement lorsque le risque est élevé (RGPD art. 34). Lorsque BPA agit comme sous-traitant, elle informe le client concerné dans les meilleurs délais (RGPD art. 33.2).

8. Vos droits

Règles communes (RGPD art. 12) : l'exercice de vos droits est gratuit. BPA répond dans un délai d'un mois à compter de la réception de votre demande ; ce délai peut être prolongé de deux mois en raison de la complexité ou du nombre de demandes, auquel cas BPA vous en informe dans le premier mois. BPA ne vous demande un justificatif d'identité qu'en cas de doute raisonnable sur votre identité (art. 12.6). Si BPA ne donne pas suite à votre demande, elle vous en indique les motifs et vous informe de votre droit de saisir la CNIL (art. 12.4).

Lorsque BPA agit comme sous-traitant d'un client (§ 1), votre demande est transmise sans délai au client, responsable du traitement.

Votre droit	En quoi il consiste	Ce que fait BPA	Comment l'exercer
Être informé (RGPD art. 13 et 14)	Savoir qui traite vos données, pourquoi, sur quelle base, combien de temps, qui en a connaissance	La présente politique ; une information au point de collecte (formulaires, conventions, courriels d'invitation) ; lorsque vos données ne viennent pas de vous, l'indication de leur source au plus tard lors du premier contact (art. 14.3)	Aucune démarche : cette politique. Questions : le DPO
Vérifier et rectifier vos données (droits d'accès et de rectification, RGPD art. 15 et 16)	Obtenir la confirmation que BPA traite vos données, une copie de ces données et les informations sur leur traitement (finalités, destinataires, durée, source) ; faire corriger ou compléter des données inexactes	Extraction de vos données dans chacun de ses outils (fichier de contacts, lettres d'information, plateforme de formation) ; communication d'une copie ; correction et information des destinataires de la correction (art. 19). Pour les lettres d'information, vous pouvez modifier vous-même vos informations par le lien présent dans chaque lettre	Formulaire DPO ou courriel (modèles A1 et A2)
Vous opposer (RGPD art. 21)	Refuser un traitement fondé sur l'intérêt légitime ; en matière de prospection, l'opposition est absolue, sans motif à donner	Arrêt immédiat des envois ; votre adresse est conservée dans une liste d'opposition pour éviter toute réinscription ultérieure	Lien de désinscription présent dans chaque lettre ; formulaire DPO ou courriel (modèle A4)
Retirer votre consentement (RGPD art. 7.3)	Revenir à tout moment sur un accord donné (lettres d'information, suivi des ouvertures), sans remettre en cause les traitements déjà réalisés	Arrêt du traitement ; pour le suivi des ouvertures, suppression des données collectées	Liens « Se désinscrire » et « Désactiver le suivi statistique » de chaque lettre ; formulaire DPO (modèle A5)
Effacer vos données (RGPD art. 17)	Obtenir l'effacement de vos données, notamment lorsqu'elles ne sont plus nécessaires, après une opposition ou un retrait du consentement	Effacement dans chacun de ses outils et information des destinataires (art. 19) ; exceptions : données que la loi impose de conserver (facturation, preuves de formation), adresse conservée en liste d'opposition si vous vous êtes opposé à la prospection	Formulaire DPO ou courriel (modèle A3)
Geler l'utilisation de vos données (droit à la limitation, RGPD art. 18)	Obtenir la suspension temporaire du traitement, notamment le temps de vérifier l'exactitude des données ou l'examen d'une opposition	Marquage des données concernées : conservées mais plus utilisées jusqu'à la décision	Formulaire DPO ou courriel (modèle A7)
Emporter vos données (droit à la portabilité, RGPD art. 20)	Recevoir, dans un format structuré et lisible par machine, les données que vous avez fournies, lorsque le traitement repose sur votre consentement ou sur un contrat et est automatisé	Export au format CSV (fichier de contacts, abonnement, données de formation fournies par vous)	Formulaire DPO ou courriel (modèle A6)
Demander une intervention humaine (RGPD art. 22)	Ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou vous affectant de manière significative	BPA ne prend aucune décision de ce type. En particulier, aucune évaluation ni orientation de stagiaire n'est confiée à un outil d'intelligence artificielle (charte d'utilisation de l'IA)	Formulaire DPO
Déréférencer un contenu	Ce droit s'exerce auprès des moteurs de recherche	Si un contenu publié par BPA vous concerne (compte rendu, photographie, citation), vous pouvez demander à BPA de le modifier ou de le retirer (droit à l'effacement)	Formulaire DPO
Organiser le sort de vos données après votre décès (loi 78-17 art. 85)	Donner des directives sur la conservation, l'effacement et la communication de vos données après votre décès	Enregistrement et application de vos directives	Formulaire DPO ou courriel
Saisir la CNIL (RGPD art. 77)	Introduire une réclamation auprès de l'autorité de contrôle	—	www.cnil.fr/fr/plaintes

Ces droits sont présentés par la CNIL : https://www.cnil.fr/fr/mes-demarches/les-droits-pour-maitriser-vos-donnees-personnelles

9. Exercer vos droits — contacter le DPO

• Par le formulaire de la page Exercer vos droits — contacter le DPO ;
• par courriel : dpo@globalbpa.com — des modèles de messages sont proposés ci-dessous (annexe A) ;
• par courrier : à l'adresse figurant dans les Mentions légales, à l'attention du délégué à la protection des données.

Pour une réclamation relative à une prestation (formation, conseil), utilisez la page Réclamation.

10. Mise à jour

Cette politique a été mise à jour le 3 novembre 2026. BPA la revoit à chaque évolution de ses traitements ; la date de mise à jour figure en tête de page.

---

Annexe — Modèles de messages

Rédigés pour BPA à partir des modèles de courrier de la CNIL (https://www.cnil.fr/fr/modeles/courrier), adaptés à une relation professionnelle. Les crochets sont à remplir par la personne.

A1 — Vérifier mes données (accès)

Objet : Demande d'accès à mes données personnelles (RGPD art. 15) Madame, Monsieur le délégué à la protection des données, Je vous demande de me confirmer si BPA traite des données personnelles me concernant et, dans l'affirmative, de m'en communiquer une copie, accompagnée des informations suivantes : finalités, catégories de données, destinataires, durée de conservation et source des données lorsqu'elles n'ont pas été collectées auprès de moi. Adresse électronique professionnelle utilisée avec BPA : [adresse]. Organisme : [organisme]. [Nom, prénom]

A2 — Rectifier mes données

Objet : Demande de rectification (RGPD art. 16) Les données suivantes me concernant sont inexactes ou incomplètes : [donnée actuelle] → [donnée correcte]. Je vous remercie de les corriger et d'en informer les destinataires auxquels elles ont été communiquées.

A3 — Effacer mes données

Objet : Demande d'effacement (RGPD art. 17) Je vous demande d'effacer l'ensemble des données personnelles me concernant [ou : les données suivantes : …], pour le motif suivant : [elles ne sont plus nécessaires / je m'oppose à leur traitement / je retire mon consentement]. Je vous remercie de me confirmer l'effacement et de m'indiquer, le cas échéant, les données que la loi vous impose de conserver.

A4 — Ne plus recevoir de prospection

Objet : Opposition à la prospection (RGPD art. 21.2 et 21.3) Je m'oppose à l'utilisation de mes coordonnées à des fins de prospection par BPA. Je vous remercie de cesser tout envoi à l'adresse [adresse] et de m'indiquer la source de ces coordonnées.

A5 — Retirer mon consentement

Objet : Retrait de mon consentement (RGPD art. 7.3) Je retire mon consentement [à la réception des lettres d'information « … » / au suivi des ouvertures et des clics] à compter de ce jour.

A6 — Emporter mes données

Objet : Demande de portabilité (RGPD art. 20) Je vous demande de me transmettre, dans un format structuré, couramment utilisé et lisible par machine, les données que j'ai fournies à BPA [et de les transmettre directement à : …, si c'est techniquement possible].

A7 — Geler l'utilisation de mes données

Objet : Demande de limitation du traitement (RGPD art. 18) Je vous demande de suspendre l'utilisation des données suivantes me concernant [données], pour le motif suivant : [je conteste leur exactitude / j'ai formé une opposition en cours d'examen / …], jusqu'à votre décision.