Politique de confidentialité

Responsable du traitement

Le responsable du traitement est LES DIRIGEANTS COMMERCIAUX DE FRANCE DE BORDEAUX ET DE LA GIRONDE (DCF Bordeaux-Gironde), Association déclarée.

Siège : BORDEAUX LAC 2 - IMMEUBLE "P", RUE ROBERT CAUMONT, 33300 BORDEAUX

SAS PJC n’est pas responsable du traitement : il agit comme prestataire d’hébergement / infogérance.

Pour exercer vos droits, utilisez le formulaire d’exercice des droits ou le formulaire de contact. Aucune adresse e-mail n’est publiée sur le site. Aucun délégué à la protection des données (DPO) n’est désigné à ce jour.

Données traitées

Selon les services utilisés, le portail peut traiter notamment :

• identité et coordonnées ;
• informations professionnelles communiquées ;
• données d’adhésion et de cotisation ;
• candidatures ;
• inscriptions aux événements ;
• données relatives aux accompagnants lorsque le membre les communique ;
• paiements et facturation ;
• dons et mécénat ;
• newsletter ;
• données de compte et d’authentification ;
• documents de la GED ;
• logs techniques ;
• données de gouvernance (AG, CODIR) lorsque vous y participez.

Cette liste décrit les grandes familles réellement présentes dans le portail. Elle ne recopie pas le registre interne des traitements.

Finalités et bases légales

Les traitements visent notamment à gérer la vie associative, instruire les candidatures, organiser les événements, administrer l’adhésion et les paiements, communiquer avec les personnes concernées et sécuriser le portail.

Tous les traitements ne reposent pas sur le consentement. Les bases effectivement retenues à ce jour, selon des finalités distinctes, sont : l’intérêt légitime de l’association (répondre aux sollicitations, authentifier l’accès, instruire une invitation, organiser la participation d’un accompagnant, contrôler l’accès à l’événement, administrer la relation de mécénat, permettre l’annuaire interne) ; les mesures précontractuelles prises à la demande du candidat ; l’exécution de l’adhésion ou du service demandé (inscription à un événement, cotisation, paiement correspondant).

Une conservation ou un établissement de pièces comptables ou fiscales est envisagé sur le fondement d’une obligation légale, mais ce fondement n’est pas encore publié : le texte juridique précis n’est pas identifié dans le référentiel interne (validation documentaire requise). La durée de 10 ans retenue pour certaines pièces ne constitue pas, à elle seule, cette base.

Une information est fournie lors des collectes. Le consentement n’est utilisé que lorsqu’il est réellement requis, et non comme case générale d’acceptation de cette politique.

Newsletter

Des communications d’information peuvent être adressées, selon les fichiers concernés, aux membres actuels, aux anciens membres et à des prospects ou candidats. Ces populations sont gérées de manière distincte.

Un lien de désinscription first-party figure dans les newsletters concernées. L’opposition est enregistrée afin de ne plus adresser ces envois. Les messages transactionnels nécessaires au service (par exemple un accusé d’inscription ou un billet) ne sont pas bloqués par cette désinscription.

Le suivi des ouvertures et des clics des newsletters, lorsqu’il a lieu, est réalisé par le prestataire d’email Brevo. Le portail n’ajoute pas de pixel de tracking first-party.

Événements et accompagnants

L’inscription du participant repose sur l’exécution du service demandé. Les données d’un accompagnant reposent sur l’intérêt légitime d’organiser sa participation ; ce n’est pas un consentement de l’accompagnant.

Les coordonnées d’un accompagnant nous sont communiquées par la personne qui effectue l’inscription, pas par l’accompagnant lui-même. Pour les inscriptions via le portail (checkout membre, commande d’événement, inscription manuelle), l’email de l’accompagnant est demandé. Cette adresse sert aux communications liées à sa participation et à l’information prévue par le règlement sur l’utilisation de ses données. Elle n’est pas utilisée pour l’inscrire à la newsletter.

Après confirmation de l’inscription, DCF Bordeaux-Gironde adresse à cette adresse une information transactionnelle (article 14) : responsable du traitement, finalité d’organisation, intérêt légitime, catégories de données, destinataires, conservation, source, et droits, avec un lien vers cette politique et le formulaire de contact. Ce message n’est pas une demande de consentement et n’est pas une newsletter : une opposition aux campagnes n’empêche pas cet envoi réglementaire.

Certains accompagnants issus d’imports historiques peuvent ne pas disposer d’un email. Ces cas sont identifiés pour régularisation. Ils ne sont pas considérés comme déjà informés par la seule notice présentée au titulaire.

Organigramme et photographies

L’organigramme public peut présenter les membres qui occupent une fonction au bureau, au CODIR ou dans une commission : prénom, nom et fonction associative. Cette publication repose sur l’intérêt légitime de DCF Bordeaux-Gironde d’identifier la gouvernance et les responsables de l’association. Société, fonction professionnelle, email, téléphone et LinkedIn n’y figurent pas. Un formulaire permet de les contacter sans afficher leur adresse email.

La photographie est facultative et distincte. Elle n’est publiée sur l’organigramme qu’après une autorisation spécifique de la personne, limitée aux pages publiques présentant l’organisation et les responsables. Cette autorisation ne couvre pas la newsletter, les réseaux sociaux, les événements, les supports imprimés ni la presse. Elle peut être retirée à tout moment : le portrait public est alors remplacé par des initiales. Le retrait n’efface pas nécessairement le fichier conservé pour d’autres usages de la fiche membre.

La publication de l’identité et de la fonction cesse lorsque la fonction n’est plus exercée, lorsque le membre n’est plus actif, ou lorsque l’affichage public est désactivé par l’administration. Les données restent dans le fichier membres.

Conservation

L’association applique les durées organisationnelles suivantes. Les purges automatiques portent sur les catégories listées comme telles ; les autres relèvent d’une procédure nommée, d’une décision encore ouverte, ou du classement documentaire :

• demandes de contact : 3 ans après le dernier échange, puis suppression automatique ;
• candidatures non abouties : 2 ans après la décision, puis suppression automatique (anonymisation si une pièce comptable reste liée) ;
• historique nominatif des participants aux événements : 5 ans, puis anonymisation automatique de l’identité (montants et pièces comptables conservés) ;
• scans de présence / QR : 90 jours après l’événement, puis suppression automatique des traces opérationnelles, sauf nécessité documentée ;
• placement de table (anti-répétition) : 24 mois, puis suppression automatique de l’historique nominatif ;
• sessions : 30 jours (expiration Laravel) ;
• logs techniques : 90 jours, sauf catégorie documentée autrement — rotation effective si le canal applicatif daily est utilisé ;
• jetons Magic Link : validité courte, traces expirées purgées quotidiennement ;
• anciens membres : jusqu’à 5 ans maximum lorsque cela est justifié — revue annuelle manuelle, sans purge automatique de la fiche entière ;
• pièces comptables ou fiscales concernées : 10 ans pour ces pièces, et non pour toutes les données d’une opération — pas de purge automatique avant terme ;
• archives institutionnelles (PV d’AG, PV officiels de CODIR, statuts) : conservation pérenne, exclue des purges ;
• procurations : 5 ans, distinctes des PV, puis suppression automatique ;
• opposition newsletter : la preuve de désinscription n’est pas purgée, afin de ne plus écrire ;
• invitations non abouties : 12 mois après le rejet de la demande ou, à défaut, après la date de fin de l’événement, puis suppression automatique ; si la demande devient une participation, conservation selon l’historique nominatif des participants (5 ans) ;
• dossiers d’exercice des droits : 3 ans après clôture (politique interne de DCF Bordeaux-Gironde ; ce n’est pas une durée CNIL), puis suppression automatique ; les fichiers d’export associés expirent en 48 heures ;
• documents : conservation selon la catégorie, selon une politique interne de l’association lorsqu’aucun texte n’impose une durée. Les documents opérationnels d’un événement sont conservés 24 mois après sa fin ; les documents de travail de commission, 3 ans ; les photos de profil internes, pendant l’adhésion puis 12 mois ; les copies temporaires de messagerie interne, 30 jours ; les pièces de candidature non aboutie, 2 ans ; les pièces comptables ou fiscales concernées, 10 ans ; les archives institutionnelles (PV, décisions), de façon pérenne ; les fichiers d’export d’exercice des droits, 48 heures. Un document non encore classé n’est pas supprimé automatiquement. La dépublication d’une image publique est immédiate lorsqu’elle est requise, distincte de la conservation interne du fichier.

Prestataires

Selon les traitements, des prestataires confirmés peuvent intervenir :

• SAS PJC : hébergement applicatif et infogérance ;
• OVHcloud VPS : infrastructure technique utilisée par l’hébergeur, distincte du contrat DCF ;
• OVHcloud Public Cloud Object Storage : stockage de documents de la GED ;
• HelloAsso : encaissement lorsque ce moyen de paiement est utilisé ;
• Brevo : envoi d’emails et, le cas échéant, suivi d’ouvertures et de clics des newsletters ;
• Cloudflare Turnstile : protection des formulaires ;
• API Adresse (BAN) : géocodage d’adresses lorsqu’il est utilisé ;
• OpenStreetMap : tuiles cartographiques lorsqu’une carte est affichée.

Les moyens de paiement ou de signature non utilisés par le portail ne sont pas décrits ici comme des traitements actifs.

Transferts et localisation

L’hébergement applicatif est fourni par SAS PJC sur une infrastructure OVHcloud VPS. La localisation de chaque prestataire n’est pas présentée comme unique ou certaine lorsque ce point n’est pas démontré. Certains services (Turnstile, tuiles OpenStreetMap, sous-processeurs d’email) peuvent impliquer des transferts ou un accès depuis d’autres pays ; ces points restent à documenter contractuellement le cas échéant.

Vos droits

Conformément au RGPD, vous disposez des droits d’accès, de rectification, d’effacement lorsque applicable, de limitation, d’opposition, de portabilité lorsque applicable, et de retrait du consentement pour les traitements qui reposent effectivement sur le consentement.

Pour les exercer, utilisez le formulaire d’exercice des droits ou le formulaire de contact. Votre demande sera examinée ; aucune suppression automatique n’est déclenchée par cet envoi.

Vous pouvez également introduire une réclamation auprès de la CNIL — www.cnil.fr.

Cookies et ressources tierces

Le site dépose des cookies strictement nécessaires au fonctionnement : cookie de session Laravel et jeton CSRF / XSRF (durée de session : 30 jours). Le cookie « remember-me » n’est pas activé.

Des préférences d’interface (repli du menu latéral, tableaux d’administration) peuvent être enregistrées en localStorage ou sessionStorage first-party. Elles ne sont pas transmises à un tiers.

Aucun cookie publicitaire ni outil de mesure d’audience de type Google Analytics n’est constaté dans le code du portail. Un bandeau de consentement (CMP) n’est pas installé.

Les bibliothèques de présentation (polices Inter, Figtree et Instrument Serif, FullCalendar, Leaflet, TinyMCE, Chart.js) sont servies depuis le site via le build Vite. Elles ne sont plus chargées depuis un CDN de polices ou de librairies.

Restent des services distants fonctionnels, chargés uniquement sur les pages concernées : Cloudflare Turnstile pour protéger les formulaires publics lorsqu’il est activé ; tuiles OpenStreetMap lorsqu’une carte est affichée ; API Adresse (BAN) lors de la saisie d’une adresse. Un lien « Calculer l’itinéraire » peut ouvrir OpenStreetMap dans un nouvel onglet, uniquement au clic. Lorsque une vidéo de présentation est configurée, le lecteur YouTube (domaine youtube-nocookie) n’est chargé qu’après un clic explicite sur le bouton de lecture. Aucune ressource YouTube n’est demandée avant cette action.

Le suivi d’ouvertures et de clics des newsletters, lorsqu’il a lieu, est réalisé côté Brevo et n’est pas un script du site.