Qui fait quoi ?
Deux situations doivent être distinguées :
- Données des adhérents : chaque association est responsable de traitement. Elle décide des champs de sa fiche d'adhésion, des finalités et des durées. THE SPOT agit comme sous-traitant au sens de l'article 28 du RGPD : elle traite ces données uniquement sur instruction de l'association, pour faire fonctionner le service.
- Comptes utilisateurs, annuaire, blog et navigation : THE SPOT est responsable de traitement.
Données traitées et finalités
- Compte utilisateur (nom, email, mot de passe chiffré) : création et sécurisation de l'accès au back-office. Base légale : exécution du service.
- Association (nom, coordonnées, contenus publiés) : affichage de la page publique et de l'annuaire. Base légale : exécution du service et intérêt légitime.
- Adhésions (identité, coordonnées, réponses au formulaire, pièces jointes, signature, type de cotisation, montant, statut, preuve de consentement horodatée) : gestion des adhésions pour le compte de l'association. Base légale : contrat d'adhésion et consentement recueilli sur la fiche.
- Paiements : mode, montant, statut, référence. Les données de carte bancaire ne transitent jamais par la plateforme : elles sont saisies directement sur les pages sécurisées de Stripe.
- Journaux techniques (adresse IP, date, pages consultées) : sécurité, prévention des abus et preuve du consentement. Base légale : intérêt légitime.
Destinataires et sous-traitants
Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins publicitaires. Interviennent uniquement :
- Hostinger International Ltd — hébergement, au sein de l'Union européenne ;
- Google Ireland Ltd (AdSense) — affichage de publicités sur le blog et l'annuaire, uniquement si vous avez accepté les cookies publicitaires ;
- Stripe Payments Europe Ltd — traitement des paiements par carte, pour le compte de l'association ;
- le prestataire d'envoi d'emails transactionnels de la plateforme ;
- les membres habilités du bureau de l'association concernée, et l'équipe technique de l'éditeur pour la maintenance et le support.
Durées de conservation
- Données d'adhésion : pendant la durée de l'adhésion, puis 3 ans à compter du dernier contact, sauf obligation comptable plus longue (10 ans pour les pièces justificatives).
- Compte utilisateur : jusqu'à sa suppression, puis suppression sous 30 jours.
- Journaux techniques : 12 mois.
- Pièces jointes et signatures déposées par les adhérents : supprimées avec l'adhésion correspondante.
Sécurité
Chiffrement des échanges (HTTPS), mots de passe hachés, cloisonnement strict des données entre associations, chiffrement en base des secrets sensibles (clés Stripe, IBAN), pièces jointes et signatures stockées hors des dossiers publics, limitation des tentatives sur les formulaires publics et journalisation des accès administrateurs.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives post-mortem.
- Vous êtes adhérent : adressez votre demande à l'association concernée, qui est responsable de vos données. L'éditeur peut vous aider à l'identifier.
- Vous avez un compte sur la plateforme : écrivez à contact@asso-go.fr.
Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).
Transferts hors Union européenne
Les données sont hébergées dans l'Union européenne. Certains sous-traitants peuvent traiter des données depuis un pays tiers ; dans ce cas, les transferts sont encadrés par les clauses contractuelles types de la Commission européenne.
Registre des traitements
Chaque association reste tenue de tenir son propre registre des traitements. La plateforme lui fournit les informations nécessaires : catégories de données collectées, destinataires, durées et mesures de sécurité.