Qui peut voir quoi ? Les rôles et les accès dans une plateforme de formation

Le jour où vous confiez votre contenu à quelqu'un d'extérieur

Vous faites appel à une consultante pour écrire un module sur la prévention des risques. Elle est excellente, vous lui faites confiance, et elle a besoin d'un accès à votre plateforme pour travailler. Question toute bête : qu'est-ce qu'elle va voir passer sous les yeux au passage ? Les noms de vos apprenants, leurs adresses email, leurs résultats, leurs messages avec leur formateur ?

Sur pas mal d'outils, la réponse est « tout ». Parce qu'il n'existe que deux niveaux : apprenant ou administrateur. Vous vous retrouvez à créer un compte admin pour quelqu'un qui n'a besoin que de l'éditeur de contenu. Et le jour où un client vous demande, dans un appel d'offres, qui accède aux données personnelles de ses salariés, vous n'avez pas de bonne réponse à lui donner.

C'est exactement le problème que les rôles sont censés résoudre. Encore faut-il qu'ils soient assez fins pour coller à la réalité d'un organisme de formation.

Le moindre privilège, en clair

Le RGPD ne vous dit pas d'installer tel ou tel logiciel. Il demande que l'accès aux données personnelles soit limité aux personnes qui en ont besoin, et que vous puissiez le démontrer. Un découpage de rôles propre est la manière la plus simple de tenir cette promesse sans rédiger trois pages de procédure que personne ne lira.

Et ce n'est pas qu'une affaire de conformité. Moins il y a de comptes capables de tout faire, moins il y a d'occasions de casser quelque chose par erreur : un module supprimé, une session archivée au mauvais moment, un export nominatif parti dans la mauvaise boîte mail.

Six rôles, et ce que chacun voit

Voici le découpage tel qu'il existe aujourd'hui dans Formia. Chaque restriction est appliquée à deux endroits : dans l'interface et sur le serveur. On y revient plus bas, parce que c'est ce détail qui sépare un vrai contrôle d'un simple bouton caché.

Deux de ces rôles méritent d'être détaillés, parce que ce sont eux qui changent quelque chose au quotidien.

Le concepteur, celui qui ne voit aucun apprenant

Un concepteur accède aux formations, aux modules, aux blocs de contenu et à l'import SCORM. Rien d'autre. Pas de liste d'apprenants, pas de messagerie, pas de statistiques nominatives. Une consultante externe peut donc produire, relire et publier un parcours entier sans qu'un seul nom d'apprenant ne s'affiche jamais à son écran.

En appel d'offres, c'est la ligne qui fait gagner du temps. Vous ne répondez plus « nos prestataires sont soumis à une clause de confidentialité ». Vous répondez « techniquement, ils n'y ont pas accès ». Ce n'est pas la même phrase, et un acheteur le sait très bien.

Le mentor, limité à ses sessions

Un mentor est affecté cohorte par cohorte. Son suivi et sa messagerie s'arrêtent aux apprenants des sessions qui lui sont confiées. Si vous faites tourner quatre formateurs sur quatre promotions, chacun voit la sienne. Ça évite la conversation désagréable du type « pourquoi le formateur de la promo B a-t-il consulté les résultats de la promo A ? ».

Cacher un bouton, ce n'est pas sécuriser

Le point technique qui compte le plus est aussi le moins visible : les droits sont vérifiés à deux endroits. L'interface masque ce que vous n'avez pas le droit de faire, et le serveur refuse la requête même si quelqu'un essaie de passer à côté de l'interface.

Quand un outil s'arrête au premier niveau, le bouton disparaît mais l'adresse reste accessible, et la donnée sort quand même. C'est la différence entre un tiroir bien rangé et une serrure.

Autant être précis sur une nuance, tant qu'on y est. Dans Formia, les verrous d'ouverture et de fermeture d'une session — le fameux « cette session démarre dans 12 jours » — sont, eux, appliqués côté navigateur. Ce sont des garde-fous d'expérience, pas des contrôles de sécurité. Ils servent à ce qu'un apprenant inscrit en avance ne se perde pas dans un contenu pas encore ouvert. Les droits d'accès aux données personnelles, eux, sont bien contrôlés côté serveur.

Faire entrer les gens sans distribuer de mots de passe

L'accès à la plateforme se fait uniquement sur invitation. Vous saisissez une adresse, ou une promotion entière en une seule opération, et chaque personne reçoit un email aux couleurs de votre organisme avec un bouton « Activer mon compte ». Elle choisit son mot de passe elle-même, ou se connecte avec Google.

Ce détail vous évite le pire scénario de l'e-learning en TPE : le tableur de mots de passe qui circule, les « ton identifiant c'est ton prénom, ton mot de passe c'est 1234 », les comptes qu'on se prête entre collègues. Un compte, une personne. C'est aussi la condition pour que vos statistiques de suivi veuillent dire quelque chose.

L'annuaire vous dit qui n'a jamais franchi la porte

L'annuaire des utilisateurs fusionne deux choses qu'on regarde d'habitude séparément : les profils existants et les invitations jamais consommées. Chaque ligne porte un statut calculé automatiquement — en attente pour quelqu'un qui ne s'est jamais connecté, actif pour une connexion de moins de quatre jours, inactif au-delà.

C'est simple, et c'est pourtant le premier écran à ouvrir quand une promotion « ne démarre pas ». Neuf fois sur dix, ce ne sont pas des apprenants démotivés, ce sont des invitations tombées dans les indésirables. Le tableau de bord remonte d'ailleurs les invitations qui traînent dans sa file « à traiter », à côté des exercices à corriger et des apprenants repérés comme décrochés depuis sept jours — la détection est automatique, la relance part quand vous décidez de l'envoyer. De quoi documenter votre suivi de l'assiduité sans y passer vos vendredis.

Ce qui ne marche pas encore, et qu'on préfère écrire

Un article sur les droits d'accès qui ne parlerait que des bonnes nouvelles ne servirait à rien. Voici les écarts que nous connaissons aujourd'hui.

• Le rôle Opérations en fait trop. Un compte Opérations peut promouvoir quelqu'un d'autre au rang d'administrateur, et supprimer des formations, des modules ou des sessions. Seul le super administrateur est réellement verrouillé. Concrètement : ne donnez ce rôle qu'à une personne que vous auriez de toute façon nommée administrateur.
• Le journal d'audit est atteignable par URL. Un mentor ou un compte opérations qui tape l'adresse directement tombe sur la page. Elle s'affiche vide, les données restent protégées côté serveur, mais la page ne devrait pas s'ouvrir du tout. C'est un défaut d'aiguillage, pas une fuite.
• Une adresse email ne vit que dans un seul organisme. L'unicité des emails est globale à toute la plateforme. Un formateur indépendant qui intervient chez deux de nos clients ne peut donc pas être présent des deux côtés avec la même adresse, ni être mentor chez les deux. C'est bloquant, nous n'avons pas encore de solution propre à proposer, et nous ne prétendons pas le contraire.
• Rien n'est en temps réel. L'application charge ses données à la connexion. Si deux administrateurs travaillent en même temps, aucun des deux ne voit les modifications de l'autre, et la dernière écriture écrase la précédente. À deux personnes sur le même annuaire au même moment, mieux vaut se prévenir.

Pour un organisme qui fait tourner des promotions de dix à cinquante apprenants avec deux ou trois personnes aux commandes, ces points restent tenables au quotidien. Le troisième, lui, bloque net dès qu'un même intervenant travaille chez deux de nos clients. Autant le savoir avant de signer plutôt qu'après.

Comment on découpe, concrètement, dans un petit organisme

1. Le gérant ou la responsable pédagogique en administrateur. Une personne, deux au maximum. C'est le rôle qui peut tout, il n'a pas vocation à être distribué.
2. L'assistante ou la coordinatrice en opérations, pour les inscriptions, les invitations et le suivi quotidien. C'est elle qui ouvre la file des décrochés repérés par la plateforme et les relance, un par un, par mail ou par SMS.
3. Les formateurs qui animent en mentor, affectés session par session. Ils voient leurs apprenants, corrigent leurs copies, leur écrivent. Point.
4. Les intervenants externes et les prestataires de contenu en concepteur. Ils écrivent, ils importent, ils publient. Ils ne voient personne.

Ce découpage tient dans une ligne de votre registre de traitements et se défend en trois phrases devant un auditeur. Si vous préparez votre certification, on a détaillé ailleurs ce qu'une plateforme doit savoir prouver pour Qualiopi.

Dernière précision, pour éviter tout malentendu : Formia gère la formation, pas la gestion d'organisme. Le BPF, la facturation et les dossiers CPF restent l'affaire de votre logiciel de gestion — on a écrit un article entier sur la frontière entre les deux outils.