Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est l'Association Mouvement ECHO, association régie par la loi du 1er juillet 1901, dont le siège social est situé au 59 quai Boissy d'Anglas, 78380 Bougival, France (RNA : W784010993, SIRET : 933 682 510 00013).

Contact : contact@mouvementecho.fr

2. Données collectées

Nous collectons les données suivantes dans le cadre du fonctionnement de la plateforme :

• Données d'inscription : adresse e-mail, nom d'utilisateur
• Données partenaires : nom, adresse postale, informations de contact professionnel
• Données techniques : adresse IP (à des fins de sécurité et de limitation de requêtes), empreinte de l'adresse e-mail saisie dans un formulaire, conservée 24 heures pour limiter les envois vers une même adresse
• Données de candidature : informations soumises via les formulaires de candidature (technique, bénévole, étudiante), et notes de l'équipe sur ces candidatures

3. Finalités du traitement

Vos données sont traitées pour les finalités suivantes :

• Gestion des comptes utilisateurs et authentification
• Traitement des candidatures
• Gestion des partenariats
• Statistiques anonymes de fréquentation (Google Analytics 4 en mode cookieless)
• Sécurité de la plateforme (détection de tentatives d'accès frauduleux)

4. Base légale du traitement

• Consentement : lors de l'inscription et de la soumission de formulaires
• Intérêt légitime : sécurité de la plateforme, prévention des abus, statistiques anonymes
• Exécution d'un contrat : gestion des comptes partenaires

5. Durée de conservation

Conformément au principe de limitation de la conservation (article 5(1)(e) du RGPD), vos données sont conservées selon les durées suivantes :

• Données de compte utilisateur : conservées tant que le compte est actif, supprimées 3 ans après la dernière connexion
• Messages de contact : conservés 6 mois puis automatiquement supprimés
• Données d'analytics : conservées 1 an (suppression automatique)
• Candidatures techniques : conservées 6 mois après soumission (suppression automatique)
• Candidatures bénévoles et étudiantes : conservées 3 ans après soumission (suppression automatique)
• Cookie de session : 7 jours au plus
• Fiche partenaire : à la suppression du compte, les coordonnées de la personne de contact sont effacées. La fiche d'une organisation déjà publiée reste en ligne, les autres sont supprimées
• Sauvegardes de la base de données : copies chiffrées, conservées 8 semaines au plus. Une donnée supprimée du site reste dans ces copies jusqu'à cette échéance
• Autres durées : mesures d'audience du site, 400 jours. Rapports de sécurité du navigateur, 90 jours. Journal des actions d'administration, 3 ans. Logo d'une candidature partenaire refusée, 30 jours après le refus

6. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit de suppression : demander l'effacement de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : vous opposer au traitement de vos données
• Droit de limitation du traitement : demander la suspension du traitement

Pour exercer vos droits, contactez-nous à contact@mouvementecho.fr. Nous nous engageons à répondre à toute demande d'exercice de vos droits dans un délai de 1 mois (prorogeable de 2 mois en cas de complexité, avec information préalable).

Vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr ou de l'APD (Autorité de protection des données) : www.autoriteprotectiondonnees.be

7. Cookies et technologies tierces

La plateforme utilise les cookies et technologies suivants :

• Cookie de session (nécessaire) : cookie httpOnly utilisé pour l'authentification. Ce cookie est strictement nécessaire au fonctionnement du service et ne requiert pas de consentement.
• Google Analytics 4 (optionnel) : utilisé en mode cookieless (sans dépôt de cookies) pour des statistiques anonymes de fréquentation. Aucun cookie tiers n'est déposé.
• Google reCAPTCHA v3 : ce site utilise Google reCAPTCHA v3 pour protéger contre le spam. Cette technologie collecte des données techniques (adresse IP, cookies, comportement de navigation) transmises à Google Inc. Consultez la Politique de confidentialité de Google.
• Lecteur YouTube : les vidéos intégrées utilisent le lecteur youtube-nocookie.com. Le navigateur le charge quand la vidéo approche de l'écran et transmet alors à Google notamment votre adresse IP et le type de navigateur.

8. Hébergement

La plateforme utilise plusieurs services d'hébergement :

• OVHcloud (2, rue Kellermann, 59100 Roubaix, France) : hébergement du site web (frontend statique), serveurs situés en France
• Render Services, Inc. (525 Brannan St, San Francisco, CA 94107, États-Unis) : hébergement de l'API backend, serveur situé à Francfort (UE)
• MongoDB, Inc. (1633 Broadway, 38th Floor, New York, NY 10019, États-Unis) : hébergement de la base de données (MongoDB Atlas), serveur situé à Paris (UE, région AWS eu-west-3)

9. Destinataires des données

Vos données personnelles peuvent être transmises aux destinataires suivants :

• OVHcloud (hébergement frontend) : serveurs situés en France
• Render Services, Inc. (hébergement API backend) : serveur situé à Francfort (UE)
• MongoDB, Inc. (base de données MongoDB Atlas) : serveur situé à Paris (UE)
• Google Analytics 4 (statistiques anonymes) : mode cookieless, données agrégées uniquement
• Google reCAPTCHA v3 (protection anti-spam) : traitement à la création d'un compte uniquement
• Brevo (Sendinblue SAS) (envoi d'emails transactionnels) : emails de vérification et notifications
• IGN, Géoplateforme de l'État (suggestions d'adresses et de villes dans les formulaires) : le texte saisi dans ces champs et votre adresse IP
• OpenStreetMap Foundation, Nominatim (placement des villes sur la carte) : le nom de la ville, envoyé par notre serveur, sans votre nom ni votre adresse e-mail
• OpenStreetMap Foundation, fond de carte (carte de la page Partenaires) : votre adresse IP, le type de votre navigateur et la zone de carte affichée
• YouTube, Google (vidéos intégrées, lecteur youtube-nocookie.com) : notamment votre adresse IP et le type de votre navigateur, au chargement du lecteur

Aucune donnée n'est vendue ou partagée à des fins commerciales avec des tiers.

10. Annuaire public des membres

Lorsque l'association accepte une candidature (bénévole, scénariste, Cognisphère, ECHOLink), un profil de membre est créé et publié sur le site : aux côtés de l'équipe cœur sur la page Le Mouvement, et sur la carte de l'ECHOSystem.

Sont publiés : le nom d'affichage, le rôle, la ville, les compétences déclarées, le niveau d'expérience et la disponibilité, ainsi que la biographie, la photo et les liens vers les réseaux sociaux lorsqu'ils ont été renseignés. La ville sert également à situer le membre sur la carte.

Ne sont jamais publiés : l'adresse e-mail (sauf demande explicite du membre), la tranche d'âge, le genre et le secteur professionnel.

Cette publication repose sur votre consentement. Vous pouvez à tout moment demander la modification de votre profil ou son retrait de l'annuaire public en écrivant à contact@mouvementecho.fr. Votre profil est alors retiré du site, sans que cela affecte votre compte ni votre participation au mouvement.

11. Transferts de données hors Union européenne

Certains de nos prestataires peuvent traiter des données en dehors de l'Union européenne :

• Google (Analytics, reCAPTCHA, OAuth, YouTube) : transferts encadrés par le EU-US Data Privacy Framework
• Render Services, Inc. : société américaine, serveur API situé dans l'UE (Francfort), transferts encadrés par le EU-US Data Privacy Framework
• MongoDB, Inc. : société américaine, base de données située dans l'UE (Paris, AWS eu-west-3), transferts encadrés par le EU-US Data Privacy Framework
• OpenStreetMap Foundation : organisation établie au Royaume-Uni, transferts encadrés par la décision d'adéquation de la Commission européenne

L'hébergement du frontend (OVHcloud) est situé en France. Le backend et la base de données sont hébergés dans l'Union européenne (Francfort et Paris respectivement). L'envoi des emails est assuré par Brevo (Sendinblue SAS), société française dont les serveurs sont situés en France, en Allemagne et en Belgique : aucun transfert hors UE n'a lieu à ce titre.

12. Dons et paiements — HelloAsso

Les dons sont traités par HelloAsso, plateforme de paiement. En effectuant un don, vos données de paiement sont traitées directement par HelloAsso selon leur propre politique de confidentialité. Mouvement ECHO ne stocke aucune donnée bancaire.

13. Sécurité des données

Conformément à l'article 32 du RGPD, nous mettons en place les mesures techniques et organisationnelles suivantes pour protéger vos données personnelles :

• Chiffrement HTTPS (TLS) pour toutes les communications
• Authentification par cookies httpOnly sécurisés
• Hachage bcrypt des mots de passe
• Protection CSRF et rate limiting sur les endpoints sensibles
• Sauvegardes chiffrées de la base de données
• Accès restreint aux données via rôles (utilisateur, partenaire, admin)
• Pas de stockage de données bancaires

14. Contact

Pour toute question relative à vos données personnelles, contactez-nous à : contact@mouvementecho.fr

15. Délégué à la protection des données

L'Association Mouvement ECHO, comptant moins de 250 membres et ne traitant pas de données sensibles à grande échelle, n'a pas désigné de délégué à la protection des données (DPO) au sens de l'article 37 du RGPD. Pour toute question relative à la protection de vos données, contactez-nous à contact@mouvementecho.fr.

16. Modification de la politique

Nous nous réservons le droit de modifier cette politique de confidentialité à tout moment. En cas de modification substantielle, les utilisateurs inscrits seront informés par e-mail. La date de dernière mise à jour est indiquée en haut de cette page.