Teachable

Qu'est-ce que Teachable et qui l'exploite

Teachable est une plateforme de cours en ligne lancée en 2014 à New York et utilisée par des créateurs indépendants, des coachs et de petites entreprises de formation pour vendre des cours, du coaching, des communautés et des téléchargements numériques. Le service est exploité par Teachable Inc., société américaine devenue filiale du groupe brésilien Hotmart en 2020. La production tourne sur l'infrastructure Amazon Web Services aux États-Unis, tandis que des traitements groupe sont réalisés au Brésil. Pour les clients européens, cela signifie que toutes les données personnelles saisies par les élèves ou l'administrateur d'école (email, nom, facturation, activité pédagogique) quittent l'Espace économique européen dès qu'elles atteignent la plateforme.

Données et cookies collectés par Teachable

Sur la vitrine de l'école et dans l'espace d'apprentissage, Teachable dépose des cookies first-party tels que _teachable_session pour l'authentification et la protection CSRF, ainsi que des identifiants internes utilisés pour suivre la progression, les quiz et la lecture vidéo. Selon les intégrations activées par le propriétaire de l'école, Teachable peut aussi charger Google Analytics (_ga, _gid), le Facebook Pixel (_fbp, fr), les balises Google Ads, Mailchimp et Intercom. Les flux de paiement reposent sur Stripe et PayPal, qui ajoutent leurs propres cookies et signaux de fingerprinting pour la prévention de la fraude. Au sens du RGPD, l'ensemble constitue des données personnelles puisque ces signaux peuvent être rattachés au compte de l'élève.

Implications RGPD et ePrivacy

Le propriétaire de l'école est responsable de traitement pour les données étudiants hébergées sur Teachable, tandis que Teachable Inc. agit comme sous-traitant au sens de l'article 28 du RGPD. Les pages catalogue et marketing relèvent en général de la directive ePrivacy : tout cookie non strictement nécessaire (analytique, publicitaire, pixel social, A/B testing) requiert un consentement préalable, éclairé et librement donné avant son dépôt. Le cookie de session strictement nécessaire au maintien de la connexion peut bénéficier de l'exemption prévue à l'article 5(3) ePrivacy, à condition de se limiter à l'authentification et à la livraison des cours.

Consentement et base légale

Deux bases légales coexistent généralement. L'exécution du contrat au titre de l'article 6(1)(b) RGPD couvre l'inscription, la diffusion des cours et le paiement. Le consentement au titre de l'article 6(1)(a) RGPD est exigé pour les communications marketing, les pixels de retargeting, les analyses avancées et toute intégration optionnelle. Une bannière conforme bloque Google Analytics, le Facebook Pixel et les autres balises tierces tant que le visiteur n'a pas cliqué sur Accepter, propose un bouton Refuser aussi visible que le bouton Accepter, et conserve la preuve du consentement pour audit.

Transferts vers les États-Unis et le Brésil

Teachable s'appuyant sur AWS US et sa maison mère Hotmart opérant depuis le Brésil, chaque dossier d'élève européen est transféré hors EEE. Teachable adhère au cadre EU US Data Privacy Framework pour la partie américaine, mais le volet brésilien doit être couvert par des clauses contractuelles types au titre de l'article 46(2)(c) RGPD. Les écoles traitant du contenu sensible (formation médicale, religieuse, politique) doivent réaliser une analyse d'impact des transferts (TIA), documenter les mesures supplémentaires (chiffrement au repos, pseudonymisation) et mettre à jour le registre des traitements.

Étapes de mise en conformité

Pour déployer Teachable en conformité, signez le Data Processing Addendum proposé par Teachable, listez Teachable Inc., Hotmart, AWS, Stripe, Mailgun et Intercom comme sous-traitants dans votre politique de confidentialité, installez une plateforme de gestion du consentement qui bloque par défaut les scripts marketing et conditionnez tout code personnalisé intégré via le Power Editor au consentement. Définissez des règles de conservation pour les élèves inactifs, mettez en place une procédure opérationnelle pour les droits des personnes (accès, rectification, effacement, portabilité) et revoyez la page des sous-traitants Teachable au moins une fois par an.