Sécurité des données

Tu Commences Demain traite chaque jour les contrats d’apprentissage, les dossiers OPCO et la facturation de plus de 100 CFA. Ces données concernent des apprentis, des entreprises et des organismes de formation. Leur protection est une condition de notre activité, pas une option. Cette page décrit, de façon factuelle, qui est responsable de la sécurité chez nous et comment nous protégeons vos données.

Dernière mise à jour : 9 novembre 2026

Responsable de la sécurité

La sécurité des systèmes d’information de Tu Commences Demain est placée sous la responsabilité directe de Nathanyel Michelis, directeur technique et responsable des systèmes d’information. Il définit la politique de sécurité, supervise la gestion des accès, la relation avec nos hébergeurs et prestataires techniques, et pilote le traitement des incidents. Il est joignable à l’adresse conformite@tucommencesdemain.fr.

L’équipe technique, placée sous sa direction, applique cette politique au quotidien : revue de code, déploiements, surveillance de la plateforme et correction des vulnérabilités. La direction générale, assurée par Charles Lefebvre, cofondateur et président, valide les engagements pris envers les clients et les autorités.

Hébergement en Europe

L’application, l’API et les documents stockés (contrats, conventions, pièces justificatives) sont hébergés chez DigitalOcean dans son centre de données de Francfort, en Allemagne. Les données de production restent dans l’Union européenne. La base de données est un service géré par DigitalOcean, avec connexion chiffrée et sauvegardes automatiques quotidiennes. Les environnements de production et de test sont séparés.

Chiffrement et protection des accès

  • Tous les échanges entre votre navigateur et nos serveurs sont chiffrés en HTTPS. Les connexions non chiffrées sont automatiquement redirigées.
  • Les mots de passe ne sont jamais stockés en clair : ils sont hachés avec un algorithme reconnu et soumis à une politique de complexité (longueur minimale, refus des mots de passe courants ou trop proches de vos informations personnelles).
  • L’application interdit son affichage dans un cadre tiers afin de prévenir le détournement de clic.
  • Chaque établissement n’accède qu’à ses propres données. Les droits sont attribués par rôle (direction, administratif, formateur, apprenti, entreprise) et peuvent être retirés à tout moment par l’administrateur du CFA.
  • Les accès de notre équipe aux serveurs de production sont limités aux personnes qui en ont besoin et protégés par clés SSH.

Surveillance et gestion des incidents

La plateforme est surveillée en continu : les erreurs applicatives sont remontées en temps réel à l’équipe technique, qui les traite par ordre de gravité. Les correctifs de sécurité sont déployés en priorité, sans attendre une version planifiée.

En cas d’incident affectant des données personnelles, nous informons les établissements concernés et, lorsque la loi l’exige, la CNIL dans les délais prévus par le RGPD.

Signature électronique et prestataires

La signature électronique des contrats et conventions est opérée par Yousign, prestataire français de services de confiance. Chaque document signé est accompagné d’une attestation de signature horodatée.

La liste complète des sous-traitants de l’application figure dans l’annexe RGPD du contrat et est fournie sur demande. Les prestataires du site internet (formulaires, mesure d’audience, messagerie) sont listés dans notre politique de confidentialité. Dans les deux cas, nous ne vendons ni ne cédons aucune donnée à des tiers.

Nos engagements contractuels

Ces engagements figurent dans nos conditions générales de vente, annexées à chaque contrat client et disponibles sur demande.

  • Disponibilité : service accessible 24 heures sur 24, 7 jours sur 7, 365 jours par an, hors opérations de mise à jour. Les interruptions planifiées sont programmées au moment le moins pénalisant et annoncées avec un préavis de 5 jours ouvrés dans la mesure du possible.
  • Accord de traitement des données : une annexe dédiée à la sous-traitance de données personnelles (RGPD) fait partie du contrat. Elle fixe les rôles de chaque partie, les mesures techniques et organisationnelles, l’assistance pour l’exercice des droits des personnes et la liste des sous-traitants autorisés.
  • Notification des violations : en cas de violation de données personnelles, le CFA concerné est informé sans délai, avec le détail de l’incident.
  • Sous-traitants : tout ajout ou remplacement de sous-traitant est notifié au client sous 30 jours, avec un droit d’objection de 15 jours.
  • Droit d’audit : le client peut faire vérifier notre conformité par un auditeur indépendant, dans les conditions prévues au contrat.
  • Conservation des données : les données sont conservées pendant la durée du contrat, puis pendant les délais légaux applicables (prescription de 5 ans, conservation de 10 ans pour les contrats conclus par voie électronique).
  • Réversibilité : en fin de contrat, les données sont restituées sur demande écrite sous 30 jours, dans un format ouvert et lisible par machine (CSV, JSON ou Excel).

Habilitations officielles

Tu Commences Demain est habilité par la Direction interministérielle du numérique (DINUM) à utiliser API Entreprise, le service de l’État qui donne accès aux données de référence des entreprises (INSEE, Infogreffe, URSSAF, France compétences). Cette habilitation, délivrée le 5 juin 2025, figure dans le registre public des habilitations DataPass publié sur data.gouv.fr.

Notre plateforme est également connectée par API aux 11 OPCO pour la transmission des dossiers d’apprentissage, selon les spécifications techniques et de sécurité de chaque opérateur.

Signaler une vulnérabilité

Si vous pensez avoir identifié une faille de sécurité sur l’un de nos services, écrivez-nous à conformite@tucommencesdemain.fr en décrivant le problème et les étapes pour le reproduire. Nous accusons réception sous 2 jours ouvrés et nous vous tenons informé de la correction. Nous vous demandons de ne pas accéder aux données d’autres utilisateurs ni de perturber le service pendant vos recherches.

Contact

Pour toute question relative à la sécurité ou à la protection des données : conformite@tucommencesdemain.fr
Tu Commences Demain, SAS inscrite au RCS de Paris sous le numéro 914 645 411, 110 rue de Fontenay, 94300 Vincennes.