Politique de confidentialité.

1. Responsable du traitement

Le responsable du traitement des données collectées sur le Site est :

Pour toute question relative au traitement de vos données ou à l'exercice de vos droits, vous pouvez contacter l'association à l'adresse électronique indiquée ci-dessus.

2. Prestataire technique

La société AKREA DIGITAL (RCS Paris 852 059 161, 58 rue de Monceau, 75008 Paris) intervient en qualité de sous-traitant au sens de l'article 28 du RGPD. Elle assure la conception, le développement, l'hébergement opérationnel et la maintenance technique du Site, ainsi que l'exploitation des plateformes AKREA Members et AKREA Events CMS utilisées par le CEPOG pour la gestion des adhésions, des inscriptions aux événements et des espaces membres.

AKREA DIGITAL n'utilise les données traitées pour le compte du CEPOG qu'aux seules fins d'exécution de sa mission contractuelle, dans le respect des instructions documentées du responsable du traitement et des obligations qui lui incombent en vertu du RGPD.

3. Données collectées et finalités

Les traitements mis en œuvre par le CEPOG via le Site sont les suivants :

• Création et gestion d'un compte membre : données d'identification (civilité, nom, prénom, adresse électronique, mot de passe chiffré), coordonnées professionnelles éventuelles, informations relatives à l'adhésion. Base légale : exécution du contrat d'adhésion (art. 6.1.b RGPD).
• Inscriptions aux événements et formations : données nécessaires à l'inscription, à la facturation et à l'émission des justificatifs. Base légale : exécution du contrat (art. 6.1.b RGPD) et obligations légales comptables (art. 6.1.c RGPD).
• Encaissement des paiements (cotisations, billetterie) : données strictement nécessaires au traitement de la transaction, sans collecte ni stockage des données bancaires par le CEPOG. Base légale : exécution du contrat (art. 6.1.b RGPD).
• Communications relatives à la vie associative : envoi d'informations liées aux adhésions, aux événements et aux convocations statutaires. Base légale : intérêt légitime de l'association (art. 6.1.f RGPD) ou consentement (art. 6.1.a RGPD) lorsque celui-ci est requis.
• Sécurité du Site et journalisation : conservation des journaux techniques et des événements de connexion (voir section 6). Base légale : intérêt légitime du responsable du traitement à assurer la sécurité du Site (art. 6.1.f RGPD).

Aucune décision entièrement automatisée produisant des effets juridiques à l'égard des utilisateurs n'est mise en œuvre. Aucune donnée n'est utilisée à des fins de prospection commerciale par des tiers.

4. Absence de bandeau cookies et conception « privacy by design »

Le Site a été conçu selon les principes de protection des données dès la conception et de protection des données par défaut énoncés à l'article 25 du RGPD. Les choix d'architecture, les composants techniques retenus et les flux de données ont été arbitrés de manière à limiter, dès l'origine, la collecte aux seules informations strictement nécessaires aux finalités poursuivies.

En application de cette approche, le Site n'utilise aucun cookie ni traceur soumis au consentement préalable au sens de l'article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL. Aucun outil de mesure d'audience tiers, aucun traceur publicitaire, aucun pixel de réseau social et aucun script d'analyse comportementale n'est déployé. À ce titre, aucun bandeau de recueil du consentement n'est affiché, son affichage étant en l'état dépourvu d'objet.

Seuls sont mis en œuvre les dispositifs strictement nécessaires à la fourniture du service expressément demandé par l'utilisateur, à savoir les jetons techniques permettant le maintien de la session authentifiée dans l'espace membre ainsi qu'un témoin local conservant l'état d'affichage de l'interface (par exemple l'ouverture du menu latéral). Ces dispositifs, exclusivement fonctionnels, sont exemptés de consentement en application des dispositions précitées. Toute évolution future de ces traitements donnerait lieu, le cas échéant, à la mise en place d'un mécanisme de recueil du consentement conforme à la réglementation.

5. Sous-traitants et destinataires

Dans le cadre de l'exploitation du Site et de la plateforme membres, les données peuvent être communiquées aux sous-traitants suivants, agissant exclusivement sur instructions documentées du CEPOG :

• AKREA DIGITAL : prestataire technique en charge du développement, de la maintenance et de l'exploitation des plateformes AKREA Members et AKREA Events CMS. Localisation des traitements : Union européenne.
• Supabase, Inc. : fournisseur de l'infrastructure de base de données, d'authentification et de stockage de fichiers utilisée par la plateforme. Les données sont hébergées sur des serveurs situés au sein de l'Union européenne.
• Vercel Inc. : hébergeur applicatif assurant la diffusion du Site et l'exécution des fonctions serveur (voir mentions légales).
• HelloAsso : association de droit français mettant à disposition la solution de paiement et de billetterie en ligne utilisée pour l'encaissement des cotisations et des inscriptions payantes. HelloAsso agit en qualité de responsable de traitement distinct s'agissant des données de paiement et des opérations associées. Les utilisateurs sont invités à consulter la politique de confidentialité d'HelloAsso, accessible à l'adresse helloasso.com/confidentialite.
• Mailgun : prestataire d'envoi de courriels transactionnels utilisé pour la délivrance des courriels d'inscription, de réinitialisation de mot de passe et de confirmation. Les données transmises sont limitées à l'adresse électronique du destinataire et au contenu du message. Mailgun agit en qualité de sous-traitant au sens de l'article 28 du RGPD.

Lorsqu'un transfert de données en dehors de l'Union européenne est susceptible d'intervenir, celui-ci est encadré par les garanties appropriées prévues par le RGPD (clauses contractuelles types de la Commission européenne et mesures techniques complémentaires).

6. Durées de conservation

• Données de compte membre : pendant toute la durée de l'adhésion, puis archivées pendant trois (3) ans à compter du dernier contact, à des fins de gestion de la relation associative.
• Données relatives aux adhésions et inscriptions payantes : conservées pendant dix (10) ans en archivage intermédiaire pour satisfaire aux obligations comptables et fiscales (art. L.123-22 du Code de commerce).
• Journaux de connexion (logs) : conservés pendant une durée de trente (30) jours, à des fins de sécurité et de prévention des accès frauduleux, conformément à la doctrine de la CNIL.
• Données techniques de sauvegarde : conservées pendant la durée nécessaire à la restauration du service en cas d'incident, dans la limite de trente (30) jours glissants.

7. Sécurité et architecture technique

Le CEPOG, par l'intermédiaire de son prestataire AKREA DIGITAL, met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité, la confidentialité et l'intégrité des données traitées, notamment : chiffrement des échanges en transit (TLS), chiffrement des mots de passe (hachage à sens unique), cloisonnement des accès aux bases de données par politiques de sécurité au niveau des lignes (Row Level Security), authentification renforcée des comptes administrateurs, journalisation des accès et sauvegardes régulières.

L'architecture du Site repose sur des services hébergés au sein de l'Union européenne, comprenant une base de données relationnelle, un service d'authentification et un espace de stockage de fichiers opérés par Supabase, ainsi qu'une couche applicative déployée par Vercel.

8. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, toute personne concernée dispose des droits suivants :

• droit d'accès, de rectification et d'effacement de ses données ;
• droit à la limitation et à l'opposition au traitement ;
• droit à la portabilité de ses données ;
• droit de définir des directives relatives au sort de ses données après son décès ;
• droit de retirer son consentement à tout moment, lorsque le traitement est fondé sur celui-ci.

Ces droits peuvent être exercés en adressant une demande à l'adresse contact@cepog.fr, accompagnée le cas échéant d'un justificatif d'identité.

Toute personne concernée dispose en outre du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (cnil.fr).

9. Suppression du compte

Tout utilisateur disposant d'un compte sur la plateforme peut, à tout moment, demander la suppression de celui-ci soit directement depuis son espace membre (section « Profil »), soit en adressant une demande à contact@cepog.fr. La suppression entraîne l'effacement des données du compte et des données associées qui ne sont pas soumises à une obligation légale de conservation.

Les données nécessaires au respect des obligations comptables, fiscales ou probatoires (notamment les éléments relatifs aux adhésions et aux paiements) sont conservées en archivage intermédiaire pour la durée légale applicable, puis détruites de manière sécurisée.

10. Modification de la présente politique

La présente politique de confidentialité peut être modifiée à tout moment afin de refléter les évolutions législatives, réglementaires ou techniques. La version applicable est celle en vigueur lors de la consultation du Site. Les utilisateurs sont invités à la consulter régulièrement.