Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est l'Association Mouvement ECHO, association régie par la loi du 1er juillet 1901, dont le siège social est situé au 59 quai Boissy d'Anglas, 78380 Bougival, France (RNA : W784010993, SIRET : 933 682 510 00013).

Contact : contact@mouvementecho.fr

2. Données collectées

Nous collectons les données suivantes dans le cadre du fonctionnement de la plateforme :

• Données d'inscription : adresse e-mail, nom d'utilisateur
• Données partenaires : nom, adresse postale, informations de contact professionnel
• Données techniques : adresse IP (à des fins de sécurité et de limitation de requêtes)
• Données de candidature : informations soumises via les formulaires de candidature technique

3. Finalités du traitement

Vos données sont traitées pour les finalités suivantes :

• Gestion des comptes utilisateurs et authentification
• Traitement des candidatures techniques
• Gestion des partenariats
• Statistiques anonymes de fréquentation (Google Analytics 4 en mode cookieless)
• Sécurité de la plateforme (détection de tentatives d'accès frauduleux)

4. Base légale du traitement

• Consentement : lors de l'inscription et de la soumission de formulaires
• Intérêt légitime : sécurité de la plateforme, prévention des abus, statistiques anonymes
• Exécution d'un contrat : gestion des comptes partenaires

5. Durée de conservation

Conformément au principe de limitation de la conservation (article 5(1)(e) du RGPD), vos données sont conservées selon les durées suivantes :

• Données de compte utilisateur : conservées tant que le compte est actif, supprimées 3 ans après la dernière connexion
• Messages de contact : conservés 6 mois puis automatiquement supprimés
• Données d'analytics : conservées 1 an (suppression automatique)
• Candidatures techniques : conservées 6 mois après soumission (suppression automatique)
• Candidatures bénévoles : conservées 3 ans après soumission (suppression automatique)
• Cookies de session : durée de la session navigateur

6. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit de suppression : demander l'effacement de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : vous opposer au traitement de vos données
• Droit de limitation du traitement : demander la suspension du traitement

Pour exercer vos droits, contactez-nous à contact@mouvementecho.fr. Nous nous engageons à répondre à toute demande d'exercice de vos droits dans un délai de 1 mois (prorogeable de 2 mois en cas de complexité, avec information préalable).

Vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr ou de l'APD (Autorité de protection des données) : www.autoriteprotectiondonnees.be

7. Cookies et technologies tierces

La plateforme utilise les cookies et technologies suivants :

• Cookie de session (nécessaire) : cookie httpOnly utilisé pour l'authentification. Ce cookie est strictement nécessaire au fonctionnement du service et ne requiert pas de consentement.
• Google Analytics 4 (optionnel) : utilisé en mode cookieless (sans dépôt de cookies) pour des statistiques anonymes de fréquentation. Aucun cookie tiers n'est déposé.
• Google reCAPTCHA v3 : ce site utilise Google reCAPTCHA v3 pour protéger contre le spam. Cette technologie collecte des données techniques (adresse IP, cookies, comportement de navigation) transmises à Google Inc. Consultez la Politique de confidentialité de Google.

8. Hébergement

La plateforme utilise plusieurs services d'hébergement :

• OVHcloud (2, rue Kellermann — 59100 Roubaix, France) — hébergement du site web (frontend statique), serveurs situés en France
• Render Services, Inc. (525 Brannan St, San Francisco, CA 94107, États-Unis) — hébergement de l'API backend, serveur situé à Francfort (UE)
• MongoDB, Inc. (1633 Broadway, 38th Floor, New York, NY 10019, États-Unis) — hébergement de la base de données (MongoDB Atlas), serveur situé à Paris (UE, région AWS eu-west-3)

9. Destinataires des données

Vos données personnelles peuvent être transmises aux destinataires suivants :

• OVHcloud (hébergement frontend) — serveurs situés en France
• Render Services, Inc. (hébergement API backend) — serveur situé à Francfort (UE)
• MongoDB, Inc. (base de données MongoDB Atlas) — serveur situé à Paris (UE)
• Google Analytics 4 (statistiques anonymes) — mode cookieless, données agrégées uniquement
• Google reCAPTCHA v3 (protection anti-spam) — traitement lors de la connexion uniquement
• Brevo (Sendinblue SAS) (envoi d'emails transactionnels) — emails de vérification et notifications

Aucune donnée n'est vendue ou partagée à des fins commerciales avec des tiers.

10. Transferts de données hors Union européenne

Certains de nos prestataires peuvent traiter des données en dehors de l'Union européenne :

• Google (Analytics, reCAPTCHA, OAuth) — transferts encadrés par le EU-US Data Privacy Framework
• Render Services, Inc. — société américaine, serveur API situé dans l'UE (Francfort), transferts encadrés par le EU-US Data Privacy Framework
• MongoDB, Inc. — société américaine, base de données située dans l'UE (Paris, AWS eu-west-3), transferts encadrés par le EU-US Data Privacy Framework

L'hébergement du frontend (OVHcloud) est situé en France. Le backend et la base de données sont hébergés dans l'Union européenne (Francfort et Paris respectivement). L'envoi des emails est assuré par Brevo (Sendinblue SAS), société française dont les serveurs sont situés en France, en Allemagne et en Belgique : aucun transfert hors UE n'a lieu à ce titre.

11. Dons et paiements — HelloAsso

Les dons sont traités par HelloAsso, plateforme de paiement. En effectuant un don, vos données de paiement sont traitées directement par HelloAsso selon leur propre politique de confidentialité. Mouvement ECHO ne stocke aucune donnée bancaire.

12. Sécurité des données

Conformément à l'article 32 du RGPD, nous mettons en place les mesures techniques et organisationnelles suivantes pour protéger vos données personnelles :

• Chiffrement HTTPS (TLS) pour toutes les communications
• Authentification par cookies httpOnly sécurisés
• Hachage bcrypt des mots de passe
• Protection CSRF et rate limiting sur les endpoints sensibles
• Authentification à deux facteurs (2FA) disponible
• Accès restreint aux données via rôles (utilisateur, partenaire, admin)
• Pas de stockage de données bancaires

13. Contact

Pour toute question relative à vos données personnelles, contactez-nous à : contact@mouvementecho.fr

14. Délégué à la protection des données

L'Association Mouvement ECHO, comptant moins de 250 membres et ne traitant pas de données sensibles à grande échelle, n'a pas désigné de délégué à la protection des données (DPO) au sens de l'article 37 du RGPD. Pour toute question relative à la protection de vos données, contactez-nous à contact@mouvementecho.fr.

15. Modification de la politique

Nous nous réservons le droit de modifier cette politique de confidentialité à tout moment. En cas de modification substantielle, les utilisateurs inscrits seront informés par e-mail. La date de dernière mise à jour est indiquée en haut de cette page.