Politique de confidentialité

1. Éditeur et responsable du traitement

Éditeur du Service — Les Services d'Augustin, auto-entreprise. Directeur de la publication : Augustin GARNY DE LA RIVIERE. Siège social : 76 avenue du Coin du Bois, 78120 Rambouillet. L'éditeur opère le Service et intervient en qualité de sous-traitant technique.
Responsable du traitement — l'association des Guides et Scouts d'Europe (AGSE) – district de Rambouillet, qui définit les finalités du traitement des données de ses membres.
Hébergeur — OVH SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419). Le Service est hébergé sur un serveur privé virtuel dédié à ce service, situé en France, dans le centre de données de Strasbourg.

Pour toute question relative à vos données ou pour exercer vos droits, vous pouvez écrire à : support@agse-portail-groupes.fr.

2. Données traitées

Dans le cadre de la gestion associative, le Service traite :

des données d'identité et de contact des membres et des responsables (nom, prénom, adresse e-mail, téléphone) ;
les informations nécessaires à la gestion des adhésions et à l'organisation des activités ;
le cas échéant, des informations de santé strictement nécessaires à l'encadrement en activité. Ces données relèvent d'une catégorie particulière et ne sont traitées que sur la base de votre consentement et pour la sécurité des personnes encadrées.
une photo facultative de l'enfant, si elle est ajoutée par sa famille, à des fins d'identification par les responsables habilités.

Nous limitons la collecte aux données nécessaires aux finalités décrites ci-dessous.

3. Finalités et bases légales

Gestion de la relation d'adhésion et des inscriptions — exécution de la relation associative ;
Organisation et suivi des activités — intérêt légitime de l'association et de ses membres ;
Communications liées à la vie de l'association — exécution de la relation associative et, le cas échéant, consentement ;
Traitement des données de santé — consentement et sauvegarde des intérêts vitaux des personnes encadrées.

4. Connexion et services Google

Le Service propose une connexion via Google. Cette section décrit précisément l'usage des données issues de votre compte Google.

Authentification — si vous choisissez « Se connecter avec Google », nous recevons votre nom, votre adresse e-mail et votre identifiant Google, à seule fin de créer ou de relier votre compte et de vous authentifier.
Envoi d'e-mails (responsables autorisés uniquement) — un responsable peut, par une autorisation explicite et révocable, permettre au Service d'envoyer des e-mails en son nom via Gmail (périmètre d'envoi uniquement : gmail.send). Le Service n'accède pas, ne lit pas, ne stocke pas et ne modifie pas le contenu de la messagerie ; il se limite à expédier les messages que le responsable initie depuis le Service. Les jetons d'accès sont conservés de façon chiffrée et peuvent être révoqués à tout moment, depuis le profil du Service ou depuis le compte Google.

L'utilisation et le transfert, par cette application, des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée (Limited Use).

5. Destinataires

Les données sont accessibles aux seuls responsables habilités de l'association, dans la limite de leurs fonctions. Elles ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Certains prestataires techniques interviennent en qualité de sous-traitants, pour notre compte et selon nos instructions :

OVH SAS (France) — hébergement du Service, de la base de données et des documents déposés ; messagerie du domaine utilisée pour les notifications automatiques.
Google Ireland Limited — uniquement si vous choisissez de vous connecter avec un compte Google, et pour l'envoi des messages que les responsables rédigent depuis leur propre messagerie Gmail (voir §4).
HelloAsso (France) — plateforme de paiement pour les associations, utilisée pour la gestion des règlements (cotisations, participations aux activités), uniquement lorsque vous réglez en ligne. Lui sont transmis l'identité du payeur, l'adresse e-mail et le montant dû ; les coordonnées bancaires sont saisies chez HelloAsso et ne transitent jamais par le Service, qui n'en conserve aucune. Le portail ne garde que le suivi du règlement (montant, date, statut), afin que votre groupe puisse en tenir la comptabilité.

Localisation des données : la base de données, les documents déposés et les sauvegardes sont hébergés en France. Aucun transfert hors de l'Union européenne n'est réalisé par le Service, à l'exception des seules données transmises à Google si vous utilisez la connexion Google — dans le cadre de ses propres engagements contractuels.

6. Durée de conservation

Les données sont conservées le temps nécessaire aux finalités poursuivies, puis supprimées.

Données de santé et photographies. Elles ne sont pas effacées le jour où l'adhésion s'arrête, et ce délai est volontaire : un responsable doit pouvoir rouvrir le dossier d'un camp de l'année écoulée, et l'association doit pouvoir répondre à une déclaration ou à la suite d'un accident survenu pendant une activité. C'est le seul motif de ce délai ; votre confort de ressaisie, s'il en est un, n'en est pas un.

Passé deux ans sans nouvelle adhésion, cette conservation n'a plus d'objet : les données de santé et les photographies sont supprimées. Supprimées, et non « anonymisées » : il n'en reste rien, pas même sous une forme détachée de votre nom. Seuls l'identité et l'historique de rattachement sont conservés, car ils constituent la mémoire associative du groupe. Cette suppression relève du responsable du traitement, qui la décide et l'exécute : vous n'avez aucune démarche à faire pour l'obtenir.

Journaux. Les traces d'activité sont elles-mêmes des données personnelles : le journal d'audit, qui enregistre notamment chaque consultation d'une fiche sanitaire, est conservé douze mois, et les journaux techniques de sécurité six mois. Au-delà, ils sont supprimés automatiquement.

Les autres données sont conservées selon les obligations légales applicables, notamment comptables pour les pièces de règlement.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données contre tout accès non autorisé :

contrôle d'accès par rôle et par périmètre, protection des sessions ;
chiffrement au repos, par l'application, des données les plus sensibles : les informations de santé rédigées en texte libre, les coordonnées bancaires d'un remboursement et les jetons d'accès aux services tiers. Les autres informations de la fiche sanitaire (indicateurs d'allergie, présence d'un PAI, antécédents) sont conservées en base sans chiffrement propre, leur protection reposant sur le contrôle d'accès et sur la sécurité du serveur ;
communications chiffrées de bout en bout (HTTPS sur l'ensemble du Service) ;
consultation des données de santé réservée aux responsables habilités et journalisée ;
serveur maintenu à jour, accès d'administration restreint aux seules clés cryptographiques autorisées — l'accès par mot de passe est désactivé ;
sauvegarde quotidienne chiffrée (AES-256) de la base de données, des documents déposés et de la configuration du service, conservée quatorze jours et recopiée sur un second support en France ; s'y ajoutent les instantanés du serveur pris par l'hébergeur.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, le responsable du traitement en informe la CNIL dans les 72 heures et, le cas échéant, les personnes concernées.

8. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (Art. 20), ainsi que du droit de retirer votre consentement à tout moment.

Une fois connecté, la page « Mes données » récapitule les données conservées sur votre famille et vous permet de les télécharger dans un format réutilisable (JSON). La rectification se fait directement en ligne (Ma famille, fiches enfants). Pour l'effacement ou l'opposition, contactez support@agse-portail-groupes.fr. Vous pouvez également introduire une réclamation auprès de la CNIL.

9. Analyse d'impact (AIPD)

Parce que le Service traite des données de santé et qu'il concerne des enfants, l'association a conduit une analyse d'impact relative à la protection des données, comme le prévoit l'article 35 du RGPD. Elle recense les données traitées, leurs durées de conservation, les personnes qui y accèdent, les risques auxquels ces données sont exposées et les mesures prises pour les réduire — y compris les faiblesses connues du dispositif et le calendrier prévu pour les traiter.

Ce document n'est pas publié en accès libre : il décrit les protections du Service, et le diffuser sans contrôle reviendrait à en remettre le plan à qui voudrait les contourner. Toute personne disposant d'un compte peut en demander la consultation depuis son espace : la demande est enregistrée et le responsable du traitement y répond dans un délai d'un mois. La synthèse est communiquée sur simple demande ; le document intégral après examen de la demande.

10. Mineurs

Le Service traite des données relatives à des enfants dans le cadre de l'activité associative. Ces données sont renseignées et gérées par les responsables légaux, sous leur responsabilité.

11. Cookies

Le Service utilise uniquement un cookie de session nécessaire à l'authentification et au bon fonctionnement du site. Aucun cookie de suivi publicitaire n'est déposé.

12. Modifications

Cette politique peut évoluer. La version applicable est celle publiée sur cette page à la date de votre consultation ; une mise à jour substantielle vous est re-soumise pour acceptation à votre connexion suivante.