Données personnelles – APE Les Phoenix

Qui est responsable de vos données ?

L’association « Les Phoenix » (APE Les Phoenix), 6 rue Saint-André, 14320 May-sur-Orne. Nous ne demandons que les informations utiles, et nous ne les vendons ni ne les cédons à personne.

Pour nous écrire :

contact@ape-les-phoenix.fr

Vous nous écrivez

Ce que nous recevons : votre nom, votre adresse e-mail, le sujet, l’événement éventuel et votre message, par le formulaire de contact ou par e-mail.
Pour quoi : vous répondre.
Qui les reçoit : les membres de l’équipe chargés de répondre. Un message envoyé par le formulaire part du site par notre prestataire d’envoi, Brevo, qui le remet à la boîte e-mail de l’APE ; un e-mail écrit directement arrive dans cette boîte sans passer par le site. La boîte est hébergée en France par OVHcloud, qui en transfère une copie vers une boîte Gmail de l’association, chez Google (voir « Nos prestataires »). Le site lui-même n’en garde pas de copie, sauf si sa protection retient l’envoi comme suspect (voir « Sécurité du site »).
Sur quelle base : pour le formulaire, votre accord, donné en cochant la case (article 6.1.a du RGPD) ; pour un e-mail écrit directement, l’intérêt légitime de l’association à vous répondre (article 6.1.f).
Combien de temps : le temps de traiter votre demande et d’en assurer le suivi. Pour un message envoyé par le formulaire, Brevo garde seulement une trace technique de l’envoi (destinataire, objet avec votre nom, date, résultat), sans le texte du message, le temps nécessaire au suivi des envois.

Le site garde aussi certaines informations un court moment :

si votre message n’est pas parti (un champ à compléter, par exemple), votre saisie est gardée le temps de vous la réafficher. Elle est effacée dès ce réaffichage ; à défaut, elle expire au bout de 10 minutes et est ensuite effacée automatiquement ;
pour éviter les envois abusifs, le site compte les messages envoyés depuis une même connexion ; ce compteur expire une heure après le dernier envoi. Votre adresse IP n’est pas enregistrée pour ce comptage : seule une empreinte calculée à partir d’elle est utilisée ;
pour qu’un même message ne parte pas deux fois (après un double clic, par exemple), le site garde pendant une heure une empreinte du message envoyé, qui ne permet pas de le relire.

La lettre d’information

Ce que nous recevons : votre adresse e-mail, et la trace de votre inscription : sa date, celle de votre confirmation et le texte que vous avez accepté.
Pour quoi : vous envoyer la lettre de l’APE, quelques fois par an.
Qui la reçoit : les membres de l’équipe qui préparent la lettre, et notre prestataire d’envoi, Brevo, qui gère les inscriptions et les envois.
Sur quelle base : votre accord. Vous vous inscrivez vous-même, puis vous le confirmez par e-mail (article 6.1.a du RGPD).
Combien de temps : jusqu’à votre désinscription, possible en un clic depuis chaque lettre. Ensuite, votre adresse est seulement gardée dans une liste d’opposition, pour ne plus vous écrire, avec la trace de votre inscription et de votre désinscription, le temps de pouvoir en justifier.
Pas de suivi individuel : nous ne savons pas qui ouvre la lettre ni qui clique sur ses liens. Brevo ne compte les ouvertures et les clics que de façon globale et anonyme.

L’équipe de l’association

Comptes du site : le nom et l’adresse e-mail des membres de l’équipe qui y publient ; pour protéger leur compte, la date de leur dernière connexion, l’adresse IP et le navigateur de chaque session ouverte et, s’ils l’activent, la clé de leur double authentification. Ces données servent à gérer le site et à le protéger ; seuls les administrateurs y ont accès. Elles reposent sur l’intérêt légitime de l’association (article 6.1.f du RGPD) et sont gardées tant que le compte existe, celles des sessions le temps de la session. Les e-mails du site qui concernent un compte (invitation, mot de passe oublié, notifications) sont envoyés par Brevo.
Présentation de l’équipe : sur la page « L’association » et dans certaines actualités, le prénom des membres de l’équipe et, pour le bureau, leur fonction, pour que les familles sachent à qui elles s’adressent. Cette publication repose sur l’accord de chaque membre. Le prénom figure sur la page « L’association » tant que la personne fait partie de l’équipe, et dans une actualité datée tant que celle-ci reste en ligne. Chaque membre peut demander à tout moment le retrait de son prénom.

Sécurité du site

Pour protéger le site et les comptes de l’équipe, nous utilisons l’extension de sécurité Wordfence, éditée par la société américaine Defiant, Inc.

Ce qu’elle enregistre, sur notre serveur : lors d’une connexion, d’une tentative de connexion ou d’une demande bloquée ou signalée comme suspecte, l’adresse IP, la date et l’heure, la page demandée et le navigateur utilisé ; pour une connexion, l’identifiant saisi ; pour une demande bloquée ou signalée comme suspecte, son contenu, qui peut être un message du formulaire de contact. Les mots de passe ne sont pas enregistrés, sauf exception : un mot de passe tapé par erreur dans le champ de l’identifiant, ou une demande qui en contient un (connexion, création de compte, changement de mot de passe) et que l’extension retient comme suspecte.
Pourquoi : repérer et bloquer les attaques. C’est notre intérêt légitime à protéger le site (article 6.1.f du RGPD).
Combien de temps : 30 jours au plus pour les demandes bloquées ou signalées comme suspectes ; pour les connexions, seules les 2 000 plus récentes sont gardées. Un blocage temporaire s’efface à son échéance, et le résumé des adresses bloquées est gardé un mois. L’adresse IP et le compte liés à une exception de la protection (créée pendant les essais du site ou pour corriger un blocage) sont gardés tant que l’exception existe ; l’identifiant, le nom et l’adresse IP du dernier administrateur connecté, jusqu’à la connexion suivante d’un administrateur.
Qui y a accès : les administrateurs du site. Ils en reçoivent aussi une partie par e-mail (alertes et résumé d’activité), à leur propre adresse, par Brevo.
Échanges avec Defiant : l’extension se connecte aux serveurs de Defiant, aux États-Unis, pour recevoir ses mises à jour de sécurité, vérifier les fichiers du site et contrôler, sans les transmettre, que les mots de passe de l’équipe ne figurent pas dans des fuites connues. Ces échanges ne comprennent pas les adresses IP des visiteurs, sauf pour vérifier un robot qui se présente comme celui de Google, ou quand un administrateur recherche le propriétaire d’une adresse. Ils sont encadrés par les clauses contractuelles types de la Commission européenne, dont vous pouvez nous demander une copie.
Journaux du serveur : le serveur web note chaque demande (adresse IP, date et heure, page demandée, navigateur). Ces journaux servent à la sécurité et au dépannage ; ils sont effacés au bout de 14 jours.
Sauvegardes : une copie du site, qui contient aussi ces informations, est faite chaque nuit et gardée 30 jours, sur le serveur et dans une copie chiffrée conservée hors du serveur. L’hébergeur garde en plus, pendant 24 heures, une sauvegarde automatique du serveur.

Nos prestataires

OVHcloud (OVH SAS, Roubaix, France), notre hébergeur : le serveur du site, situé au Canada, à Beauharnois (Québec), avec sa sauvegarde automatique ; la boîte e-mail de l’APE, hébergée en France. Les données du serveur (comptes de l’équipe, journaux, sauvegardes, demandes retenues par la protection du site) sont donc transférées au Canada. La Commission européenne reconnaît au Canada un niveau de protection adéquat pour les organismes soumis à sa loi sur la protection des renseignements personnels (décision 2002/2/CE). Les équipes d’OVHcloud peuvent intervenir à distance pour la maintenance et la sécurité. Sur demande, nous vous transmettons les garanties prévues par le contrat de l’hébergeur.
Google (Google Ireland Limited) : la copie des messages reçus, dans la boîte Gmail de l’association. Google peut traiter ces données hors de l’Union européenne, notamment aux États-Unis ; ces transferts reposent sur le cadre de protection des données entre l’Union européenne et les États-Unis, et sur des clauses contractuelles types.
Brevo (Sendinblue SAS, Paris) : les e-mails automatiques du site (messages du formulaire transmis à l’APE, e-mails de l’équipe, alertes de sécurité) et la lettre d’information. Les données sont hébergées dans l’Union européenne ; certains sous-traitants de Brevo sont situés aux États-Unis, avec des clauses contractuelles types ou le cadre de protection des données entre l’Union européenne et les États-Unis.
Defiant (États-Unis) : l’extension de sécurité Wordfence (voir « Sécurité du site »).

Cookies

Le site n’utilise ni cookie publicitaire ni outil de mesure d’audience, et n’intègre aucun contenu de réseau social. La consultation du site ne dépose aucun cookie.

Les membres de l’équipe qui se connectent reçoivent les cookies de connexion de WordPress (le temps de la session du navigateur, 2 jours au plus, ou 14 jours avec « Se souvenir de moi »), un cookie de préférences de l’administration (un an) et un cookie de sécurité de Wordfence (12 heures). Les administrateurs reçoivent aussi un cookie, gardé un an, qui permet de les prévenir d’une connexion depuis un nouvel appareil. La page de connexion dépose enfin un cookie de test, effacé à la fermeture du navigateur. Ces cookies servent uniquement à la connexion, à sa sécurité et aux préférences de l’administration.

Si vous choisissez l’apparence claire ou sombre avec le bouton « Apparence », ce choix est gardé dans votre navigateur (stockage local) pour les pages suivantes. Il n’est pas transmis au site ; revenir à « Automatique » l’efface.

Vos droits

Vous pouvez demander à consulter vos données, à les corriger ou à les effacer, et à en limiter l’utilisation. Vous pouvez aussi vous opposer à leur utilisation pour la gestion et la sécurité du site. Pour la lettre d’information et pour un message envoyé par le formulaire, vous pouvez retirer votre accord à tout moment, sans effet sur ce qui a été fait avant, et en demander une copie dans un format courant. Pour exercer ces droits : écrivez-nous. Pour les informations de sécurité, nous pouvons en garder une trace tant qu’elle est nécessaire à la protection du site. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr).