Politique de confidentialité

Responsable du traitement

Le responsable du traitement est l'association Alliance Atlantique, association loi 1901, dont le siège social est situé au 5 rue de la Forge, 85140 Sainte-Florence. Le président et responsable de publication est David Duribreux. L'association peut être contactée à contact@alliance-atlantique.fr ou au 07 80 82 99 56. Aucun délégué à la protection des données n'est désigné ; les demandes relatives aux données personnelles sont traitées par le bureau.

Données pouvant être collectées

Les données varient selon le parcours utilisé. Il est demandé de ne pas transmettre d'information sensible ou sans rapport avec la demande.

• Compte et profil : nom complet, adresse e-mail, téléphone si renseigné, rôle ou statut du compte et informations strictement nécessaires au suivi de l'espace personnel.
• Adhésion : identité, date de naissance, coordonnées, adresse, type d'adhésion, statut et historique de la demande, cotisation, acceptation des documents requis et choix relatif au droit à l'image.
• Mineurs : indication de minorité et identité et coordonnées du représentant légal lorsque ces informations sont nécessaires à l'examen du dossier.
• Événements : événement concerné, nom affiché, adresse e-mail de contact, message facultatif, statut et historique de la demande d'inscription. Selon l'activité, des informations utiles à la sécurité peuvent être demandées, notamment un contact d'urgence lorsque cela est nécessaire.
• Demandes groupe : demandeur, structure éventuelle, coordonnées, type de groupe et d'activité, effectif approximatif, présence déclarée de mineurs, date souhaitée, besoin de matériel et message facultatif.
• Documents : document et version consultés ou acceptés, profil concerné, date et source de l'acceptation numérique.
• Paiements : payeur, adresse e-mail, type, montant, devise, moyen, statut, références, dates, justificatifs et notes nécessaires au suivi comptable. Les données bancaires complètes ne sont pas stockées par l'association.
• Contact : nom, adresse e-mail, téléphone facultatif, type de demande et contenu du message. Le message est transmis au bureau par e-mail et n'est pas enregistré comme demande dans la base du site.
• Assistant IA : question saisie et contexte public nécessaire à la réponse. Aucun historique de conversation n'est créé par le site.
• Mesure d'audience : Vercel Web Analytics traite des données techniques et agrégées, notamment la page consultée, la date et l'heure, le site référent, la zone géographique approximative, le navigateur, le système d'exploitation et le type d'appareil. Ce service n'utilise pas de cookie pour mesurer l'audience.
• Sécurité et traçabilité : identifiants techniques hachés de courte durée pour limiter les abus, actions sensibles, statuts d'envoi, erreurs techniques limitées et journaux d'audit.

Pourquoi ces données sont utilisées

Les données sont traitées uniquement pour les finalités correspondant au service demandé ou au fonctionnement légitime de l'association.

• Créer et administrer les comptes et profils utilisateurs.
• Examiner les demandes d'adhésion, gérer les adhésions annuelles et les cotisations.
• Recevoir, examiner et suivre les inscriptions aux événements et organiser les activités.
• Assurer la sécurité des participants, disposer d'un contact d'urgence et traiter les situations concernant des mineurs.
• Gérer les demandes de groupes, entreprises, CSE, associations, collectivités et événements privés.
• Publier, versionner et distribuer les documents officiels et conserver la preuve des acceptations numériques.
• Traiter les messages adressés au bureau et envoyer les notifications transactionnelles utiles.
• Suivre les paiements, rapprochements, remboursements et obligations comptables.
• Alerter le bureau, publier des annonces collectives non nominatives et conserver une traçabilité des actions sensibles.
• Prévenir les abus, sécuriser le site et faire fonctionner l'assistant IA limité aux informations publiques.

Bases légales

Chaque finalité repose sur la base légale la plus adaptée à son contexte. Le consentement n'est pas utilisé comme fondement général de tous les traitements.

• Mesures prises à votre demande et exécution de la relation associative ou contractuelle : création de compte, demandes d'adhésion, inscriptions, demandes groupe, gestion des documents et services sollicités.
• Obligations légales : conservation des éléments comptables et transmission aux autorités légalement habilitées lorsqu'un texte l'impose.
• Intérêt légitime de l'association : sécurité du site et des activités, prévention des abus, organisation interne, suivi des demandes, alertes techniques et journaux d'audit, sous réserve des droits et libertés des personnes.
• Consentement : droit à l'image, communications facultatives et cookies ou traceurs non essentiels s'ils sont activés.

Données obligatoires ou facultatives

Les champs marqués d'un astérisque sont nécessaires au traitement de la demande. Les champs indiqués comme facultatifs permettent de donner un contexte utile, mais peuvent être laissés vides. Lorsque certaines informations sont nécessaires à l'examen d'une demande, leur absence peut empêcher l'association de traiter correctement le dossier. Il ne faut pas transmettre de données sensibles non demandées.

Qui peut accéder aux données

Selon la nature du dossier, les données peuvent être consultées par les membres habilités du bureau, les administrateurs du site et les responsables désignés pour l'activité concernée. Les prestataires techniques reçoivent uniquement les éléments nécessaires à leur service. Les autorités légalement habilitées peuvent également recevoir des données lorsque la loi l'exige. Les données ne sont pas vendues et ne sont pas publiées, sauf choix explicite ou autorisation spécifique, notamment pour une photo ou une vidéo identifiable.

Services techniques utilisés

Le site s'appuie sur des services spécialisés dont l'intervention dépend de la fonctionnalité utilisée.

• Vercel : hébergement, exécution du site et mesure d'audience agrégée sans cookie avec Vercel Web Analytics.
• Supabase : authentification, base de données, contrôles d'accès et stockage privé des documents officiels.
• Brevo : envoi des e-mails transactionnels et des messages de contact dans la configuration actuelle.
• Upstash : compteurs temporaires de limitation des abus à partir d'un identifiant d'adresse IP haché.
• OpenAI : traitement des questions adressées à l'assistant public lorsque celui-ci est activé, et génération assistée de certains contenus internes ou publics lorsque cette fonctionnalité est utilisée. Aucune donnée privée issue des espaces Supabase n'est transmise à l'assistant public.
• Discord : annonces collectives et alertes internes limitées selon la configuration, sans publication volontaire de données personnelles détaillées.
• HelloAsso : traitement du paiement en ligne lorsqu'il est activé. L'association ne reçoit pas les données bancaires complètes.

Durées de conservation

Les durées sont déterminées selon la finalité du traitement, les obligations applicables et la nécessité de conserver une preuve. Les données ne doivent pas être conservées au-delà de ce qui est nécessaire.

• Compte et profil : pendant l'utilisation du compte, puis suppression ou archivage selon la demande de la personne et les obligations restant applicables.
• Messages de contact : pendant le temps nécessaire au traitement dans les boîtes e-mail concernées, puis archivage limité ou suppression par le bureau.
• Demandes groupe : pendant leur instruction et leur suivi, puis pendant un archivage limité aux besoins de preuve et de reprise des échanges.
• Adhésions, cotisations, paiements et justificatifs : pendant la gestion associative, puis selon les durées imposées par les obligations comptables et la nécessité de preuve.
• Inscriptions aux événements : pendant l'organisation, la sécurité, l'assurance et le traitement d'un éventuel incident, puis archivage limité.
• Documents et acceptations numériques : pendant la durée nécessaire à la preuve de la version acceptée et au respect des obligations associatives.
• Données concernant les mineurs et contacts d'urgence : uniquement pendant la durée nécessaire à l'organisation, à la sécurité, à l'assurance et aux obligations applicables.
• Journaux d'audit, historiques d'e-mails et de publications Discord : pendant la durée nécessaire à la sécurité, à la traçabilité et au traitement des incidents.
• Assistant IA : la conversation complète n'est pas conservée par le site. Le compteur anti-abus haché expire après cinq minutes.
• Formulaires contact et groupe : le compteur anti-abus haché expire après dix minutes.

Vos droits

Selon le traitement et sa base légale, vous pouvez exercer vos droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité lorsque celle-ci est applicable. Vous pouvez retirer votre consentement à tout moment pour les traitements fondés sur celui-ci, sans remettre en cause les traitements antérieurs. Une vérification d'identité proportionnée peut être demandée afin d'éviter de communiquer des données à une personne non autorisée. Vous pouvez également introduire une réclamation auprès de la CNIL.

Mineurs

La participation d'un mineur est soumise à l'autorisation de son représentant légal et à la réunion des conditions légales, de sécurité, d'assurance et d'encadrement. Les données collectées sont limitées à ce qui est nécessaire à l'examen du dossier. Aucune donnée personnelle de mineur n'est publiée par défaut. Il ne faut pas transmettre de pièce sensible ou d'information médicale non demandée, notamment dans le chatbot. Le bureau peut refuser ou reporter une participation si les conditions requises ne sont pas réunies.

Droit à l'image

Des photos ou vidéos peuvent être réalisées lors d'activités. L'utilisation d'une image permettant d'identifier une personne doit respecter le choix ou l'autorisation recueillie. Une personne peut signaler son refus ou demander le retrait d'un contenu lorsque cela est possible. Pour un mineur, une autorisation spécifique du représentant légal est nécessaire.

Assistant IA public

L'assistant répond uniquement à partir des informations publiques du site. La question nettoyée et les extraits publics utiles sont transmis au fournisseur IA configuré ; aucune donnée privée de compte, d'adhésion, d'inscription, de paiement ou de demande interne n'est ajoutée au contexte. Le site ne conserve pas l'historique complet de la conversation. Les questions transmises au fournisseur IA peuvent toutefois être traitées techniquement par ce fournisseur selon ses propres conditions de service et de sécurité. L'assistant ne traite pas les situations personnelles, ne prend aucune décision et ne valide aucune inscription, adhésion, participation, paiement ou accès terrain. Il est recommandé de ne saisir aucune information sensible. L'assistant IA ne remplace pas le bureau de l'association.

Sécurité

L'association met en œuvre des mesures raisonnables de confidentialité et de sécurité : authentification, droits différenciés selon les rôles, politiques d'accès Supabase, accès limités aux personnes habilitées, stockage privé des documents, journalisation de certaines actions sensibles et limitation des abus. Les secrets techniques restent côté serveur. Aucune mesure ne pouvant garantir un risque nul, les accès et incidents doivent faire l'objet d'une surveillance régulière.

Cookies et technologies similaires

Le site utilise les cookies nécessaires à l'authentification Supabase et au maintien sécurisé des sessions. Le choix du thème clair ou sombre est mémorisé localement dans le navigateur. Vercel Web Analytics fournit une mesure d'audience agrégée sans déposer de cookie et sans permettre un suivi entre plusieurs sites ou plusieurs journées. Aucun cookie publicitaire ou traceur de profilage marketing n'est utilisé. Si d'autres traceurs non essentiels sont ajoutés, ils devront faire l'objet d'une information et, lorsque nécessaire, d'un consentement préalable.

Transferts hors Union européenne

Certains prestataires techniques peuvent être établis hors de l'Union européenne ou traiter des données dans des pays tiers. Lorsque c'est le cas, l'association veille à utiliser des services prévoyant des garanties appropriées selon le cadre applicable.

Incident ou violation de données

En cas d'incident affectant la confidentialité, l'intégrité ou la disponibilité des données personnelles, l'association prendra les mesures nécessaires pour limiter les conséquences, documenter l'incident et, si nécessaire, informer les personnes concernées ou l'autorité compétente.

Mise à jour

Cette politique peut être mise à jour pour tenir compte de l'évolution du site, des services utilisés, des obligations légales ou du fonctionnement de l'association. Dernière mise à jour : 12 juin 2026.