Politique de confidentialité

EASEC — European Accreditation of Soft Skills & Employability Competencies®  ·  Dernière mise à jour : octobre 2026  ·  Applicable à l’échelle mondiale à tous les services et plateformes EASEC

1. Introduction

EASEC — European Accreditation of Soft Skills & Employability Competencies — est une autorité de certification internationale indépendante dédiée à l’évaluation, la certification et l’accréditation des compétences transversales et d’employabilité selon des normes reconnues au niveau international, notamment ESCO, EQF, Tuning, le World Economic Forum Future of Jobs Framework, UNESCO et O*NET.

La présente Politique de Confidentialité décrit la manière dont les données personnelles sont collectées, traitées, conservées, partagées et protégées lorsque des individus, des institutions ou des organisations interagissent avec tout service, plateforme ou environnement numérique d’EASEC.

EASEC opère à travers trois verticales — EASEC for Schools, EASEC for Higher Education et EASEC for Work — structurées commercialement en quatre lignes de service : Accréditation de Programmes ; Évaluations Diagnostiques et de Certification (Centre de Certification) ; Certifications Professionnelles de Profil ; et la Plateforme de Talent Intelligence. La présente Politique s’applique uniformément à toutes les verticales et lignes de service, avec des dispositions spécifiques indiquées le cas échéant.

EASEC propose également dix programmes de certification professionnelle en compétences et gère la Skills-First Employer Network (skillsfirst.easec.eu) et l’EASEC International Cooperation Programme, tous couverts par la présente Politique.

En accédant ou en utilisant tout service EASEC, l’utilisateur reconnaît avoir lu et compris la présente Politique de Confidentialité. Lorsque les services sont accessibles par l’intermédiaire d’une institution, d’un employeur ou d’un Authorised Partner, veuillez également consulter les avis de confidentialité propres à cette organisation.

2. Entités Juridiques Opérant au Titre de la Présente Politique

Les deux entités opèrent dans le cadre d’un dispositif unifié de gouvernance de la confidentialité. Les références à « EASEC » dans la suite de la présente Politique s’appliquent aux deux entités selon le contexte pertinent.

3. Cadre Réglementaire et Alignement sur les Normes

EASEC opère en conformité avec les cadres réglementaires suivants :

• Règlement (UE) 2016/679 (RGPD) — Règlement Général sur la Protection des Données
• Loi organique espagnole 3/2018 (LOPDGDD) — relative à la Protection des Données Personnelles et à la Garantie des Droits Numériques
• Règlement (UE) 2024/1689 (Règlement sur l’IA de l’UE) — Acte sur l’Intelligence Artificielle, applicable au déploiement de systèmes d’IA par EASEC dans les processus d’évaluation, y compris les obligations de transparence de l’Article 50 et, le cas échéant, les exigences de classification des risques et de conformité pertinentes pour les systèmes d’IA utilisés dans des contextes éducatifs et professionnels
• Règlement (UE) 910/2014 (eIDAS) — relatif à l’identification électronique et aux services de confiance, applicable à l’émission et à la vérification des justificatifs numériques
• Europass Digital Credentials Infrastructure (EDCI) — principes d’interopérabilité pour les formats de justificatifs numériques
• Texas Data Privacy and Security Act (TDPSA) et législation fédérale américaine applicable en matière de confidentialité, lorsqu’Innzpira LLC est l’entité responsable du traitement
• Norme Open Badge 3.0 (1EdTech) — régissant l’émission et la portabilité des badges numériques
• 1EdTech CASE (Competency and Academic Standards Exchange) — cadre de métadonnées appliqué aux justificatifs émis

EASEC est certifiée au titre de la ISO 9001 (Management de la Qualité) et de la ISO 27001 (Management de la Sécurité de l’Information) et maintient une procédure formelle de recours et de réclamations alignée sur la ISO/IEC 17024 (Évaluation de la Conformité — Exigences Générales pour les Organismes de Certification de Personnes).

4. Délégué à la Protection des Données et Contact

EASEC a désigné un Délégué à la Protection des Données (DPD) chargé de superviser la conformité en matière de protection des données et de servir de point de contact principal pour les personnes concernées et les autorités de contrôle.

Toutes les demandes des personnes concernées, réclamations relatives à la confidentialité ou questions concernant la présente Politique doivent être adressées au DPD. EASEC s’engage à répondre aux demandes vérifiées des personnes concernées dans un délai de trente (30) jours calendaires.

5. Rôle d’EASEC en tant qu’Autorité de Certification

Indépendamment de la manière dont un individu accède aux services EASEC — directement, par l’intermédiaire d’une institution, d’un employeur, d’un Authorised Partner ou de l’International Cooperation Programme — EASEC agit en tant qu’émetteur légal indépendant de toutes les certifications de compétences et justificatifs numériques. Plus précisément, EASEC :

• Détermine et applique toutes les méthodologies de certification, les règles de notation et les référentiels de compétences
• Est la seule autorité responsable de décider si une certification de compétences est émise, maintenue ou révoquée
• Maintient tous les registres de certification, les pistes d’audit et les systèmes de vérification
• Est responsable de l’authenticité, de l’intégrité et de la disponibilité permanente des justificatifs émis
• Opère en tant qu’infrastructure de confiance permettant la traçabilité des justificatifs et la vérification publique via cert.easec.eu/certificates/verify et, lorsqu’il est activé, via un registre public de justificatifs basé sur la blockchain qui permet à des tiers de vérifier l’authenticité et l’intégrité des justificatifs indépendamment des propres systèmes d’EASEC
• Maintient l’Assessment Integrity Framework (AIF) qui régit l’intégrité de tous les processus d’évaluation

Les justificatifs en co-branding incluent le logo de l’institution ou de l’employeur, mais cela ne modifie pas le rôle d’EASEC en tant que seul émetteur légal, et ne transfère aux institutions aucune propriété ni responsabilité sur les données de certification détenues par EASEC.

6. Plateformes et Domaines Couverts par la Présente Politique

7. Relations avec les Institutions, Employeurs, Partenaires et Consommateurs Directs

Institutions et Centres de Certification

Lorsque des universités, des établissements scolaires ou des groupes éducatifs opèrent en tant que Centres de Certification EASEC, l’institution agit en tant que Responsable du Traitement indépendant pour les données des participants qu’elle collecte et introduit dans la plateforme EASEC. EASEC agit en tant que Responsable du Traitement indépendant pour les registres de certification, l’émission de justificatifs et les données de vérification. Pour la finalité limitée d’administrer les évaluations et de générer des analyses de cohorte, EASEC peut agir en tant que Sous-traitant suivant les instructions institutionnelles.

Employeurs et Clients EASEC for Work

Lorsque des employeurs ou des cabinets de conseil accèdent aux services EASEC for Work, l’employeur ou le cabinet de conseil est le Responsable du Traitement pour les données des employés ou des candidats introduites dans la plateforme. EASEC agit en tant que Sous-traitant pour l’administration des évaluations et la génération des rapports, et en tant que Responsable du Traitement indépendant pour l’émission des justificatifs et les comptes individuels de l’EASEC Wallet.

Consommateurs Directs Individuels (B2C)

Lorsque des individus achètent des services d’évaluation ou de certification directement via www.easec.eu, EASEC agit en tant que seul Responsable du Traitement pour toutes les données collectées en lien avec cet achat et l’évaluation et l’émission de justificatifs qui en résultent. Aucun intermédiaire institutionnel ne participe aux transactions B2C. Les mêmes normes de certification et conditions de validité des justificatifs que celles prévues dans les accords institutionnels B2B s’appliquent.

Authorised Partners

EASEC gère un Réseau d’Authorised Partners comprenant trois catégories de partenaires : Authorised Representatives, Authorised Resellers et Authorised Referral Partners. Les Authorised Partners peuvent présenter des clients aux services EASEC et, dans certains cas, faciliter l’intégration et l’administration. Les Partenaires n’accèdent pas aux données personnelles des individus évalués sauf autorisation expresse dans l’EASEC Partner Agreement applicable. Les droits, obligations et conditions de traitement des données applicables à chaque catégorie de partenaire sont régis par le Partner Agreement applicable.

Participants à l’International Cooperation Programme

Les institutions accédant aux services EASEC via l’EASEC International Cooperation Programme sont soumises à la présente Politique de Confidentialité et aux conditions de protection des données établies dans l’accord de coopération ou le protocole d’accord applicable. EASEC agit en tant que Responsable du Traitement indépendant pour tous les registres de certification et l’émission de justificatifs résultant des services fournis dans le cadre du Programme.

8. Catégories de Données Personnelles Traitées

Données d’Identité et de Contact

• Nom complet et nom de famille
• Adresse email (institutionnelle ou personnelle)
• Pays ou région
• Affiliation institutionnelle ou de l’employeur

Données d’Évaluation et de Certification

• Réponses d’évaluation psychométrique (éléments de l’instrument d’auto-évaluation)
• Résultats de notation et niveaux de compétence
• Résultats de certification et niveaux de maîtrise atteints (Emerging, Foundational, Intermediate, Advanced ou Mastery)
• Identifiants de justificatifs, métadonnées, données de compétences selon la norme CASE et métadonnées d’alignement sur les référentiels (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• Registres d’émission et de vérification horodatés

Données d’Évaluation Situationnelle Assistée par l’IA

Les catégories de données suivantes sont générées et traitées en lien avec la dimension d’évaluation situationnelle de l’EASEC AI Engine, intégrée comme couche qualitative complémentaire dans les instruments diagnostiques et de certification d’EASEC :

• Réponse situationnelle en texte libre : le texte libre rédigé par le participant en réponse à un scénario situationnel généré par l’IA. Il constitue une donnée comportementale et potentiellement psychologique et fait l’objet d’un traitement avec une attention particulière.
• Analyse interprétative générée par l’IA : la sortie qualitative structurée (points forts identifiés, opportunités de développement, contextes de performance suggérés et prochaines étapes recommandées) produite par l’EASEC AI Engine à partir de la réponse en texte libre du participant. Cette analyse est accessible exclusivement au participant individuel via son EASEC Wallet.
• Données de temps de réponse : le temps écoulé entre la présentation du scénario situationnel et la soumission de la réponse du participant, enregistré comme métrique contextuelle comportementale.
• Indicateur interne de compétence : une classification interne dérivée par l’AI Engine sur une échelle numérique de 1 à 5, utilisée uniquement pour la calibration de l’instrument et l’assurance qualité. Cet indicateur n’est pas montré au participant, n’est communiqué à aucune institution ou employeur et ne fait pas partie du score certifié de l’évaluation.

Données d’Évaluation pour la Certification Professionnelle

Pour les participants qui complètent des programmes de certification professionnelle EASEC (y compris les dix certifications professionnelles dans les domaines For Schools, For Higher Education et For Work), les mêmes catégories de données d’évaluation psychométrique et d’évaluation situationnelle assistée par l’IA décrites ci-dessus sont traitées, ainsi que :

• Données de rôle professionnel et de contexte de domaine fournies lors de l’inscription, le cas échéant
• Données d’alignement sur le référentiel de compétences spécifique à la certification professionnelle évaluée

Données d’Accréditation de Programmes

• Documentation de programmes soumise par les institutions
• Listes de participants (nom et email institutionnel) fournies pour les questionnaires de qualité
• Réponses aux questionnaires de qualité et de satisfaction
• Registres d’évaluation de l’alignement du programme (données d’alignement avec ESCO, EQF, Tuning et le référentiel WEF Future of Jobs)

Données de Surveillance de l’Intégrité des Évaluations

En lien avec l’EASEC Assessment Integrity Framework (AIF), EASEC peut traiter les catégories de données suivantes dans le but de détecter et de prévenir la fraude aux évaluations :

• Données d’analyse des schémas de réponse (détection d’anomalies dans le temps, la cohérence et les indicateurs comportementaux)
• Signaux de détection de contenu généré par l’IA
• Métadonnées de session (appareil, navigateur, adresse IP, schémas temporels)

Ce traitement repose sur l’intérêt légitime d’EASEC à maintenir l’intégrité et la crédibilité de sa norme de certification. Les données traitées à des fins de surveillance de l’intégrité ne sont conservées que le temps nécessaire pour achever la revue d’intégrité et, lorsqu’une infraction est confirmée, le temps nécessaire pour soutenir l’application et les recours.

Données du Registre de Justificatifs sur Blockchain

Lorsqu’un justificatif est enregistré dans le registre public de justificatifs sur blockchain, EASEC traite et publie les données suivantes :

• Un hachage cryptographique du justificatif (une dérivation mathématique unidirectionnelle qui ne permet pas de reconstituer le justificatif ni d’identifier son titulaire)
• La date d’émission

Aucune donnée personnelle, nom de compétence, résultat d’évaluation, identifiant de justificatif ou tout autre contenu du justificatif n’est publié sur la blockchain. Le traitement de ces données est décrit en détail dans la Section 13A.

Données de Plateforme et Techniques

• Adresse IP et géolocalisation approximative
• Type d’appareil, navigateur et système d’exploitation
• Journaux d’activité de session et données de navigation
• Événements de sécurité et journaux d’accès

Données de Communications

• Demandes de support et correspondance
• Réponses de retour d’expérience et questionnaires
• Préférences de newsletters et de communications

Données de Facturation et Commerciales

• Raison sociale, adresse de facturation et numéro d’identification fiscale (B2B) ou nom et adresse de facturation individuelle (B2C)
• Références des transactions de paiement (traitées par Stripe — EASEC ne conserve pas les données de carte)
• Registres des factures et des contrats
• Dates d’activation des crédits et périodes de validité des crédits

9. Finalités du Traitement et Bases Juridiques

10. Prise de Décision Automatisée et Résultats de Certification

Le processus de certification des compétences d’EASEC implique une notation automatisée pouvant produire un effet juridique ou tout aussi significatif — en l’occurrence, le fait qu’un justificatif de compétence soit émis ou non.

Le processus de certification automatisé :

• Applique des modèles psychométriques validés et des règles de notation prédéfinies alignées sur des référentiels de compétences internationalement reconnus (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• Est conçu pour garantir la cohérence, l’objectivité et la comparabilité de toutes les évaluations
• Ne comporte pas de jugement humain subjectif dans le calcul de la notation
• Produit un résultat de niveau de maîtrise (Emerging, Foundational, Intermediate, Advanced ou Mastery) et détermine si le seuil minimal de certification est atteint

Lorsque les rapports ou analyses de la plateforme EASEC for Work sont générés automatiquement sur la base de données d’évaluation, ils constituent des sorties informatives à l’appui de la prise de décision des employeurs et ne constituent pas en eux-mêmes des décisions automatisées ayant un effet juridique pour les individus.

10A. EASEC AI Engine — Dimension d’Évaluation Situationnelle

10A.1 Nature et Finalité

L’EASEC AI Engine est un composant qualitatif d’évaluation intégré dans les instruments d’évaluation diagnostique et de certification d’EASEC à travers les trois verticales. Il présente au participant un scénario situationnel contextualisé généré par un modèle de langage d’IA, calibré selon la compétence évaluée du participant, son segment, sa tranche d’âge approximative et son contexte culturel. La réponse en texte libre du participant est analysée par l’AI Engine pour produire une lecture interprétative.

Cette dimension est de nature interprétative et de développement. Elle ne constitue pas, n’influence pas et ne modifie pas le score certifié de compétence du participant, qui est déterminé exclusivement par l’instrument psychométrique validé et le modèle de notation automatisé décrits dans la Section 10. La sortie de l’AI Engine n’est partagée avec aucune institution, employeur, partenaire ou tiers — elle est accessible exclusivement au participant individuel via son compte personnel de l’EASEC Wallet.

10A.2 Divulgation de Transparence au Moment de l’Interaction

Avant de démarrer la dimension de l’AI Engine, les participants sont informés dans l’interface d’évaluation de l’ensemble des éléments suivants :

• (a) que le scénario situationnel a été généré par un système d’intelligence artificielle (l’EASEC AI Engine), calibré selon leur profil ;
• (b) que leur réponse en texte libre sera traitée par un système d’IA pour produire une analyse qualitative interprétative ;
• (c) que cette analyse est interprétative et de développement, et ne fait pas partie de leur score certifié d’évaluation ;
• (d) que la dimension IA opère en pleine indépendance méthodologique vis-à-vis du score psychométrique ;
• (e) qu’ils peuvent à tout moment demander la révision de l’analyse interprétative par un évaluateur qualifié EASEC, et qu’une procédure formelle de recours et de réclamations alignée sur la ISO/IEC 17024 est disponible ;
• (f) les références réglementaires applicables : Règlement sur l’IA de l’UE 2024/1689, Article 50 ; RGPD Article 22.

L’action explicite du participant consistant à continuer (en cliquant sur le bouton de lancement) constitue une reconnaissance informée de ces informations. Le participant peut choisir de ne pas compléter la dimension de l’AI Engine sans que cela affecte son accès à l’évaluation psychométrique ou à la certification.

10A.3 Sous-traitants IA

Les deux fournisseurs sont liés par des accords de traitement des données (DPA) qui : (a) interdisent expressément l’utilisation des données des participants EASEC pour l’entraînement, l’affinage ou l’amélioration de modèles d’IA ; (b) garantissent que les données transmises via l’API ne sont pas conservées par le fournisseur au-delà du temps nécessaire pour générer la réponse de l’API ; (c) exigent la conformité avec la législation de l’UE en matière de protection des données via les Clauses Contractuelles Types.

10A.4 Stockage des Données et Infrastructure

Toutes les données de l’AI Engine — notamment les réponses en texte libre, les analyses générées par l’IA, les données de temps de réponse et les indicateurs internes de compétence — sont stockées exclusivement dans l’infrastructure cloud d’EASEC située au sein de l’Espace Économique Européen : Google Cloud Platform (région UE) et DigitalOcean (région UE). Aucune donnée de l’AI Engine n’est stockée de manière permanente en dehors de l’EEE.

10A.5 Ce que Voient et Ne Voient Pas les Institutions et Employeurs

Les Centres de Certification institutionnels et les clients employeurs ayant accès à la plateforme EASEC reçoivent :

• Les résultats de certification psychométrique (niveau de maîtrise et si le seuil de certification a été atteint)
• Le justificatif numérique émis (diplôme, Open Badge, Europass EDC) associé à l’individu
• Les analyses de cohorte dérivées des données de certification évaluées (agrégées ou par individu, selon ce qui est convenu dans l’accord institutionnel)

Les Centres de Certification institutionnels et les clients employeurs ne reçoivent PAS, et EASEC ne partage pas avec eux :

• La réponse situationnelle en texte libre rédigée par le participant lors de la dimension de l’AI Engine
• L’analyse interprétative générée par l’IA (points forts, opportunités, contextes de performance, prochaines étapes)
• L’indicateur interne de compétence généré par l’AI Engine

10A.6 Protocole de Révision Humaine

Les participants ont le droit de demander la révision de leur analyse interprétative de l’AI Engine par un évaluateur qualifié EASEC. Ce droit est présenté aux participants dans l’interface d’évaluation à la conclusion de la dimension de l’AI Engine. Les demandes de révision peuvent également être soumises à tout moment à [email protected]. EASEC s’engage à accuser réception des demandes de révision dans un délai de cinq (5) jours ouvrables.

10A.7 Droits Relatifs au Traitement par l’IA

L’analyse interprétative de l’AI Engine constitue un traitement automatisé de données personnelles visant à produire une sortie décrivant les caractéristiques de l’individu. Au titre de l’Article 22 du RGPD, les participants ont le droit de : (a) obtenir une révision humaine de l’analyse de l’AI Engine ; (b) exprimer leur point de vue ; (c) contester l’analyse lorsqu’ils estiment qu’elle ne les représente pas fidèlement. En outre, les participants peuvent soumettre un recours formel via la procédure de recours et de réclamations d’EASEC alignée sur la ISO/IEC 17024 (Politique P-APR-01). Pour exercer ces droits, contactez [email protected] ou [email protected].

11. Participation de Mineurs

Les services EASEC for Schools sont spécifiquement conçus pour les élèves du secondaire âgés de 15 à 18 ans. Les services EASEC for Higher Education et EASEC for Work s’adressent aux individus de 18 ans et plus. Les achats directs B2C ne sont disponibles que pour les individus de 18 ans et plus.

Les institutions ne doivent pas inscrire d’élèves de moins de 15 ans à tout service EASEC.

12. Comptes Personnels de l’EASEC Wallet

À l’achèvement de la première évaluation de compétences EASEC — que ce soit par l’intermédiaire d’un établissement éducatif, d’un employeur, d’un Authorised Partner, de l’International Cooperation Programme ou via un achat direct B2C — chaque individu se voit automatiquement attribuer un compte personnel de l’EASEC Wallet. Ce compte :

• Appartient à l’individu et est indépendant de tout rapport contractuel institutionnel, de l’employeur ou du partenaire avec EASEC
• Persiste indéfiniment, pour toute la durée pendant laquelle l’individu choisit de le conserver
• Conserve toutes les certifications de compétences et certifications professionnelles émises à cet individu, de manière permanente et sans expiration du registre
• Conserve les analyses interprétatives de l’AI Engine générées pour cet individu, accessibles exclusivement à ce dernier
• Permet à l’individu de télécharger, partager et gérer ses justificatifs à tout moment, y compris le partage sur LinkedIn et d’autres plateformes professionnelles
• Ne peut être fermé ni restreint par aucune institution, employeur, partenaire ou programme de coopération
• Permet à l’individu de configurer ses propres préférences de traitement des données et paramètres d’autorisation directement dans la plateforme

Les individus peuvent demander la fermeture de leur compte Wallet à tout moment en contactant [email protected]. La fermeture du compte Wallet ne supprime pas les registres d’émission de certifications conservés par EASEC à des fins de vérification et d’audit.

12A. Contrôle Individuel des Données et Gestion des Autorisations

Chaque individu disposant d’un compte personnel de l’EASEC Wallet bénéficie d’un contrôle total sur les autorisations d’accès aux données accordées aux institutions et aux employeurs ayant administré des évaluations EASEC. Via les paramètres de son compte Wallet, l’individu peut :

• (a) Consulter quelles institutions et quels employeurs ont actuellement accès à ses résultats d’évaluation, registres de justificatifs et données de profil ;
• (b) Révoquer à tout moment, avec effet immédiat, les autorisations d’accès accordées à une institution ou un employeur spécifique ;
• (c) Configurer si EASEC peut utiliser ses données individuelles (au-delà de ce qui est nécessaire à l’intégrité de la certification) à des fins de recherche et d’amélioration interne ;
• (d) Exercer tous les droits applicables des personnes concernées au titre du RGPD directement via l’interface de la plateforme.

Effets de la Révocation de l’Accès Institutionnel

• L’institution ou l’employeur perd immédiatement toute visibilité sur les données identifiantes de l’individu, notamment le nom, le prénom, l’adresse email, les résultats d’évaluation, les registres de justificatifs et les données historiques de performance.
• Les données de l’individu sont anonymisées du point de vue de l’institution. Les données agrégées et de benchmarking peuvent rester disponibles pour l’institution uniquement sous forme totalement non identifiable.
• EASEC continue de conserver les registres de certification de l’individu et les données personnelles du Wallet conformément à la présente Politique.
• Les obligations d’EASEC en tant qu’émetteur de certifications sont indépendantes de tout rapport institutionnel.
• Les justificatifs émis restent vérifiables en permanence via l’infrastructure de vérification publique d’EASEC, l’intégrité du registre de certification étant une fonction fondamentale du rôle d’EASEC en tant qu’autorité de certification indépendante et ne pouvant être compromise par la révocation de l’accès institutionnel.

Effets de la Révocation ou de la Limitation du Traitement par EASEC

• Les registres d’émission de certifications et les métadonnées de justificatifs ne peuvent pas être supprimés du registre de certification d’EASEC, leur conservation étant nécessaire pour préserver l’intégrité du système de vérification sur lequel s’appuient les parties fiduciaires (employeurs, institutions, organismes de réglementation dans le monde entier).
• Les données de l’AI Engine (réponse en texte libre, analyse interprétative, indicateur interne) peuvent être supprimées à la suite d’une demande d’effacement valide, dans le respect de la période de conservation de 24 mois établie dans la Section 18, lorsqu’aucun intérêt légitime prédominant ne s’applique.
• Toutes les autres catégories de données personnelles sont soumises aux droits de suppression ou de limitation indiqués dans la Section 20.

13. Justificatifs Numériques et Vérification Publique

EASEC émet des justificatifs dans les formats suivants :

• Diplôme numérique en co-branding — PDF avec les logos d’EASEC et de l’institution ou de l’employeur, avec code de vérification unique et QR code
• Justificatif numérique vérifiable — partageable directement sur LinkedIn et d’autres plateformes professionnelles
• Open Badge 3.0 — compatible avec tout portefeuille numérique ou plateforme de badges conforme aux normes
• Europass Digital Credential (EDC) — compatible avec l’infrastructure et le portfolio Europass
• Justificatif ancré sur blockchain — une couche supplémentaire d’intégrité et de vérification basée sur l’Ethereum Attestation Service (EAS) déployé sur le réseau Base, comme décrit dans la Section 13A

Les métadonnées des justificatifs incluent des données d’alignement sur les référentiels mappés sur ESCO, EQF, Tuning, WEF Future of Jobs, UNESCO et O*NET selon le cas.

Chaque justificatif a une validité déclarée de trois (3) ans à compter de l’émission. Le registre du justificatif n’est jamais supprimé du registre de certification d’EASEC. Les justificatifs sont vérifiables publiquement sur https://cert.easec.eu/certificates/verify. Le service de vérification n’expose pas les données de réponses aux évaluations ni les sorties de l’AI Engine.

13A. Registre Public de Justificatifs sur Blockchain

13A.1 Ce que Nous Faisons

Lorsqu’EASEC émet un justificatif numérique (Open Badge), elle peut en enregistrer une preuve d’existence dans un registre public basé sur la technologie blockchain : le réseau Base, via l’Ethereum Attestation Service (EAS). Ce registre permet à toute partie de vérifier qu’un justificatif a été émis par EASEC, à quelle date, qu’il n’a pas été altéré et s’il a été révoqué, sans nécessité de consulter directement EASEC.

13A.2 Quelles Données Sont Publiées

Les données suivantes — et uniquement les données suivantes — sont publiées sur la blockchain pour chaque justificatif enregistré :

• Un hachage cryptographique du justificatif : un code mathématique unidirectionnel calculé à partir du justificatif. Le hachage permet à toute partie en possession du justificatif de vérifier son authenticité et son intégrité en calculant le hachage de manière indépendante et en le comparant au registre publié. Le hachage ne permet pas de reconstituer le justificatif ni d’identifier son titulaire.
• La date d’émission.

13A.3 Quelles Données Ne Sont Pas Publiées

Aucune donnée personnelle n’est publiée sur la blockchain. Plus précisément, le registre on-chain n’inclut pas : le nom du titulaire, l’adresse email, l’identifiant du justificatif, la compétence évaluée, le résultat de l’évaluation, le niveau de maîtrise, ni aucun autre contenu du justificatif. À partir du seul hachage cryptographique, il n’est pas possible de déterminer à qui appartient un justificatif : seule une partie déjà en possession du justificatif peut calculer son hachage et vérifier la correspondance.

13A.4 Base Juridique

Ce traitement repose sur l’intérêt légitime d’EASEC et des tiers vérifiant les justificatifs (employeurs, institutions éducatives, organismes de réglementation, entre autres) à garantir l’authenticité et l’intégrité des justificatifs émis et à prévenir leur falsification [Art. 6(1)(f) RGPD]. EASEC a limité les données publiées au minimum nécessaire à cette fin.

13A.5 Nature Permanente

En raison de la nature de la technologie blockchain, les informations enregistrées sur le réseau ne peuvent être modifiées ni supprimées une fois publiées, ni par EASEC ni par des tiers. Si un justificatif est révoqué, EASEC marque l’attestation on-chain correspondante comme révoquée, mais le hachage cryptographique et la date d’émission restent sur le réseau.

13A.6 Révocabilité

Chaque attestation on-chain est enregistrée comme révocable. Si EASEC révoque un justificatif dans ses propres systèmes, elle marque également l’attestation blockchain correspondante comme révoquée.

13A.7 Architecture Technique

EASEC utilise le contrat standard de l’EAS déjà déployé sur le réseau Base et ne déploie ni ne maintient de smart contracts propriétaires. Cela élimine la nécessité de développer, vérifier ou maintenir un code blockchain personnalisé.

13A.8 Destinataires et Transferts Internationaux

Le registre blockchain est public et est répliqué dans les nœuds du réseau Base, exploités par des tiers dans divers pays, y compris des pays situés en dehors de l’Espace Économique Européen. Pour envoyer des attestations au réseau, EASEC fait appel à un fournisseur d’accès à l’infrastructure blockchain qui agit en tant que sous-traitant dans le cadre d’un accord de traitement des données.

13A.9 Conservation

Le hachage cryptographique et la date d’émission sont conservés sur le réseau blockchain indéfiniment en raison de sa nature immuable. Dans les systèmes d’EASEC, le lien entre le justificatif d’un individu et son enregistrement blockchain est conservé pour toute la durée de vie du justificatif.

13A.10 Votre Droit d’Opposition

Vous pouvez vous opposer à l’enregistrement de votre justificatif dans le registre public de justificatifs sur blockchain en écrivant à [email protected] ou [email protected] :

• Avant l’émission : si vous vous opposez avant l’émission du justificatif, EASEC ne l’enregistrera pas sur la blockchain.
• Après l’enregistrement : si le justificatif a déjà été enregistré, EASEC marquera l’attestation on-chain comme révoquée et supprimera de ses propres systèmes le lien entre votre justificatif et l’enregistrement blockchain, de sorte que le hachage cryptographique publié ne soit plus associé à vous dans les systèmes d’EASEC. Le hachage cryptographique et la date d’émission resteront sur la blockchain en raison de la nature immuable de la technologie ; cependant, le seul hachage ne permet pas votre identification.

L’exercice de ce droit n’affecte pas la validité de votre justificatif ni votre accès à tout autre service EASEC.

13A.11 Relation avec la Vérification Primaire

Le registre public de justificatifs sur blockchain est une couche supplémentaire d’intégrité et de vérification. Il ne remplace ni ne modifie le système primaire de vérification des justificatifs disponible sur cert.easec.eu/certificates/verify. L’enregistrement blockchain ne certifie pas en lui-même l’identité du titulaire et ne confère pas au justificatif une validité juridique ou une reconnaissance officielle au-delà de ce qu’il détient déjà.

13A.12 Europass Digital Credentials

Les Europass Digital Credentials (EDC) ne sont pas incluses dans le registre public de justificatifs sur blockchain à ce stade. Si EASEC décide de les inclure à l’avenir, un schéma d’attestation séparé sera enregistré à cet effet. L’enregistrement d’un schéma supplémentaire n’affecte pas les attestations existantes ni le schéma actuel.

14. Co-Branding et Profils Institutionnels

Les justificatifs émis dans le cadre d’un accord institutionnel incluent le co-branding d’EASEC et de l’institution ou de l’employeur participant. Ce co-branding ne transfère aucune responsabilité de responsable du traitement à l’institution s’agissant des registres de certification d’EASEC, et ne modifie pas le statut d’EASEC en tant que seul émetteur légal.

Lorsqu’une institution opère en tant que Centre de Certification EASEC ou détient le statut d’Accréditation de Programme, EASEC publie et maintient un profil institutionnel sur le site web EASEC pour la durée de l’accord. Le statut d’Accréditation de Programme est accordé lorsque le programme d’une institution démontre un alignement d’au moins 80 % sur les référentiels de compétences internationaux applicables (ESCO, EQF, Tuning et WEF Future of Jobs). Ce profil peut inclure le nom de l’institution, le logo, les coordonnées, le nombre d’individus certifiés, les domaines de compétences et le statut d’accréditation. Les institutions peuvent configurer leur profil via leur compte administrateur sur cert.easec.eu.

15. Services de Tiers et Fournisseurs de Technologie

« CCT » désigne les Clauses Contractuelles Types de l’UE au titre de l’Article 46 du RGPD.

EASEC ne vend pas de données personnelles à des tiers et n’utilise pas de données personnelles à des fins de publicité comportementale ciblant des utilisateurs individuels sur la base du contenu de leurs évaluations ou de leurs résultats de certification.

16. Partage des Données

• Institutions et employeurs participants — pour les analyses de cohorte, les rapports de qualité et la gestion des programmes, conformément aux accords institutionnels et aux paramètres d’autorisation de l’individu dans son EASEC Wallet
• Authorised Partners — uniquement lorsqu’expressément autorisés dans le Partner Agreement applicable et limités aux données nécessaires à la fonction autorisée du partenaire
• Fournisseurs de technologie et d’infrastructure — listés dans la Section 15, pour le fonctionnement et la maintenance des plateformes EASEC
• Systèmes et infrastructures de vérification des justificatifs — y compris les intégrations Europass et LinkedIn, lorsque les individus choisissent de partager leurs justificatifs via ces canaux
• Fournisseur d’infrastructure blockchain — lorsqu’un justificatif est enregistré dans le registre public sur blockchain, le fournisseur d’accès à l’infrastructure blockchain reçoit exclusivement le hachage cryptographique et la date d’émission aux fins de soumission de l’attestation au réseau Base. Les individus peuvent exercer le droit d’opposition tel que décrit dans la Section 13A.10.
• Réseau public blockchain — lorsqu’un justificatif est enregistré, le hachage cryptographique et la date d’émission sont publiés sur le réseau Base et sont accessibles à toute partie. Aucune donnée personnelle n’est incluse dans l’enregistrement on-chain.
• Autorités compétentes et organismes de supervision — lorsque requis par la législation applicable, une décision judiciaire ou une enquête réglementaire
• Innzpira LLC — lorsque la facturation et la prestation de services EASEC for Work libellés en USD nécessitent un échange de données entre les deux entités du groupe, régi par un accord de transfert de données intragroupe incorporant les garanties appropriées

17. Transferts Internationaux de Données

• Clauses Contractuelles Types de l’UE (CCT) — appliquées aux transferts vers des fournisseurs aux États-Unis et dans d’autres pays sans décision d’adéquation, au titre de l’Article 46(2)(c) du RGPD
• Décisions d’adéquation — lorsque la Commission Européenne a déterminé qu’un pays destinataire garantit un niveau adéquat de protection
• Accord intragroupe — régissant les flux de données entre INNZPIRA ANALYTICS S.L. et Innzpira LLC, incorporant des CCT
• Réseau public blockchain — les données d’attestation (hachage cryptographique et date d’émission) sont publiées sur le réseau Base et répliquées dans des nœuds exploités par des tiers dans diverses juridictions, y compris en dehors de l’EEE. Dans la mesure où les données publiées ne constituent pas des données personnelles (le seul hachage ne permet pas l’identification), cette réplication ne constitue pas un transfert de données personnelles au sens du Chapitre V du RGPD. Le transfert d’EASEC vers le fournisseur d’accès à l’infrastructure blockchain est régi par un accord de traitement des données incorporant les garanties appropriées.

17A. Conformité Réglementaire Mondiale

EASEC opère dans plus de 64 pays et s’engage à respecter les normes de protection des données applicables dans chaque juridiction où ses services sont fournis. Ce qui suit résume l’approche d’EASEC vis-à-vis des principaux cadres réglementaires internationaux en complément du RGPD de l’UE.

Inde — Digital Personal Data Protection Act 2023 (DPDP Act)

Pour les évaluations impliquant des participants situés en Inde, EASEC agit en tant que Data Fiduciary au titre de la DPDP Act. EASEC traite les données personnelles sur la base du consentement obtenu via le mécanisme de consentement à l’évaluation. Les participants en Inde ont le droit d’accéder à leurs données personnelles, de les corriger et de les supprimer, et de formuler des réclamations via le DPD d’EASEC. Les transferts transfrontaliers de données personnelles indiennes vers l’infrastructure EEE d’EASEC sont effectués dans le cadre des mécanismes de transfert licites applicables au titre de la DPDP Act et de ses règles d’application.

Brésil — Lei Geral de Proteção de Dados (LGPD)

Pour les participants brésiliens, EASEC traite les données personnelles sur la base de l’exécution du contrat et de l’intérêt légitime tel que prévu par la LGPD. Au titre de l’Article 20 de la LGPD, les participants ont le droit de demander la révision des décisions automatisées. Ce droit est mis en œuvre via le Protocole de Révision Humaine décrit dans les Sections 10 et 10A.6 et via la procédure de recours alignée sur la ISO/IEC 17024.

Colombie — Ley 1581 de 2012

Pour les participants colombiens, EASEC obtient l’autorisation expresse pour le traitement des catégories de données sensibles (notamment les réponses aux évaluations psychométriques et situationnelles, qui peuvent concerner des caractéristiques psychologiques) conformément aux exigences de la Ley 1581. Le mécanisme de consentement à l’évaluation constitue l’autorisation expresse requise.

Chili — Ley 21.096 et Ley 19.628

Pour les participants chiliens, EASEC applique les principes de limitation de la finalité, de proportionnalité et les droits d’habeas data conformément au droit chilien applicable en matière de protection des données. Les participants peuvent exercer des droits d’accès, de rectification, d’annulation et d’opposition via le DPD.

Singapour — Personal Data Protection Act 2012 (PDPA)

Pour les participants et clients institutionnels de Singapour, EASEC respecte les obligations de la PDPA, notamment la limitation de la finalité, l’exactitude des données, la protection et la limitation de la conservation. Les transferts transfrontaliers sont effectués dans le cadre des dispositions contractuelles requises par la PDPA.

Japon — Act on the Protection of Personal Information (APPI)

Pour les participants japonais, EASEC traite les données personnelles conformément aux exigences de l’APPI relatives à la spécification de la finalité, à la limitation de l’utilisation et aux restrictions de divulgation à des tiers. Les transferts transfrontaliers de données sont conformes aux règles de l’APPI.

Argentine — Ley 25.326 de Protección de Datos Personales

Pour les participants argentins, EASEC traite les données personnelles conformément à la Ley 25.326, en appliquant les principes de qualité, de finalité, de consentement et de sécurité. Les données sensibles (notamment les données psychométriques) ne sont traitées qu’avec le consentement exprès de la personne concernée.

Mexique — Ley Federal de Protección de Datos Personales en Posesión de los Particulares

Pour les participants mexicains, EASEC agit en tant que Responsable del tratamiento et respecte la LFPDPPP, y compris l’obligation de rendre disponible un Aviso de Privacidad et d’honorer les droits ARCO (Acceso, Rectificación, Cancelación, Oposición).

Autres Juridictions

Pour les participants et les clients dans les juridictions non spécifiquement mentionnées ci-dessus, le cadre de traitement conforme au RGPD d’EASEC offre un niveau de protection qui satisfait ou dépasse les exigences de la plupart des lois nationales de protection des données applicables. Les individus dans toute juridiction peuvent exercer leurs droits via les coordonnées du DPD indiquées dans la Section 4.

18. Conservation des Données

19. Mesures de Sécurité

EASEC met en œuvre des mesures de sécurité techniques et organisationnelles conformément à sa certification ISO 27001, notamment :

• Chiffrement des données en transit (TLS/HTTPS) et au repos
• Contrôles d’accès basés sur les rôles limitant l’accès aux données au seul personnel autorisé
• Surveillance continue, détection d’intrusions et journalisation des événements de sécurité
• Environnements d’hébergement cloud sécurisés (Google Cloud Platform, DigitalOcean) avec redondance géographique au sein de l’EEE
• Sauvegardes automatisées régulières et procédures de récupération testées
• Revues de sécurité périodiques et évaluations de vulnérabilités
• Procédures de réponse aux incidents alignées sur les exigences de notification de violations dans un délai de 72 heures au titre du RGPD
• Évaluation de la sécurité des fournisseurs pour tous les prestataires tiers ayant accès à des données personnelles, y compris les sous-traitants IA
• Formation interne à la protection des données pour tout le personnel EASEC
• Mesures de surveillance de l’intégrité des évaluations au titre de l’AIF, conçues et gérées conformément aux principes de minimisation des données et de limitation de la finalité
• Lorsque les justificatifs ancrés sur blockchain sont activés, la publication de hachages cryptographiques dans un registre distribué et immuable fournit une couche supplémentaire de preuve anti-falsification permettant la vérification indépendante de l’intégrité des justificatifs sans dépendance envers l’infrastructure propre d’EASEC

En cas de violation de données personnelles susceptible d’engendrer un risque élevé pour les droits et libertés des individus, EASEC notifiera les individus concernés dans les meilleurs délais et notifiera l’Agencia Española de Protección de Datos (AEPD) dans un délai de 72 heures.

20. Droits des Personnes Concernées

Les demandes peuvent être envoyées à [email protected] ou directement au DPD à [email protected]. EASEC vérifiera l’identité du demandeur avant de traiter la demande et répondra dans un délai de trente (30) jours calendaires.

21. Cookies

EASEC utilise des cookies et des technologies de suivi similaires sur www.easec.eu. Le consentement aux cookies est géré via CookieYes, une plateforme de gestion du consentement conforme au RGPD.

Vous pouvez gérer vos préférences à tout moment via le panneau de paramètres des cookies disponible dans le pied de page du site web.

Seuls les cookies strictement nécessaires sont activés sans votre consentement. Toutes les autres catégories — Analytique, Marketing et Fonctionnel — nécessitent votre consentement explicite avant d’être activées. Pour plus d’informations, veuillez consulter la Politique en matière de Cookies d’EASEC.

22. Recherche, Benchmarking et Développement des Normes

• Amélioration et validation des instruments d’évaluation psychométrique et de l’EASEC AI Engine
• Développement de référentiels internationaux de compétences et de profils de compétences alignés sur ESCO, EQF, Tuning, WEF, UNESCO et O*NET
• Production de rapports anonymisés sectoriels ou régionaux sur les tendances des compétences
• Avancement de la recherche sur les compétences d’employabilité en collaboration avec des partenaires académiques ou institutionnels
• Soutien à l’évolution de la norme de certification EASEC
• Publications académiques, contributions à des conférences et projets de recherche collaborative

EASEC ne vend pas de données personnelles. EASEC n’utilise pas de données personnelles à des fins de publicité comportementale. Les résultats de recherche ne contiennent pas d’informations individuellement identifiables. Les individus peuvent configurer leurs préférences de traitement à des fins de recherche via les paramètres de leur compte EASEC Wallet.

23. Modifications de la Présente Politique

EASEC peut mettre à jour la présente Politique de Confidentialité pour refléter les évolutions de la législation applicable, des pratiques opérationnelles ou des services offerts. Les modifications substantielles seront communiquées en mettant à jour la date de « Dernière mise à jour » en haut de la présente Politique et, le cas échéant, par notification directe aux utilisateurs enregistrés, Authorised Partners ou institutions.

La poursuite de l’utilisation des services EASEC après la publication d’une Politique mise à jour vaut acceptation des termes révisés. Les versions précédentes peuvent être obtenues en contactant [email protected].

24. Contact