Responsable de traitement
Groupe Speed Cloud, Association loi 1901 (SIRET 923 226 047 00028), 10 Quai du Moulin, Appartement 44, 08600 Givet, France, est responsable du traitement des données de votre compte MonAsso. Contact protection des données : contact@groupe-speed.cloud.
Important : le contenu saisi par votre association dans son espace Paheko (membres, adhérents, comptabilité…) est sous votre responsabilité de responsable de traitement ; MonAsso n'y intervient qu'en tant que sous-traitant, dans le cadre de l'accord de sous-traitance (DPA).
Données collectées
| Catégorie | Données | Origine |
|---|---|---|
| Compte | Prénom, nom, adresse e-mail, mot de passe (haché, jamais lisible), secret d'authentification à deux facteurs si activé | Vous |
| Association du compte | Nom de l'association, type de structure, votre rôle dans l'association ; facultatifs : numéro RNA, SIREN, code postal et ville du siège, téléphone de la personne qui gère le compte | Vous |
| Espaces Paheko | Nom de l'espace, adresse (sous-domaine), quota et état de l'espace | Vous |
| Commandes et services | Espaces commandés, dates, état | Vous / système |
| Support | Tickets, messages et pièces jointes que vous nous envoyez | Vous |
| Demande de profil partenaire | Organisation, téléphone (facultatif), motivation, échanges avec l'équipe | Vous |
| Journaux du serveur web | Adresse IP, date et heure, page demandée, navigateur, à chaque visite du site et des espaces (journaux d'accès tenus par l'hébergeur) | Système |
| Actualités (facultatif) | Votre accord pour recevoir les actualités de MonAsso et sa date | Vous |
| Connexion et sécurité | Adresse IP et navigateur des sessions, date de dernière connexion, journal d'audit des actions | Système |
| E-mails du service | Destinataire, objet et contenu des e-mails transactionnels envoyés | Système |
| Notifications | Notifications reçues dans votre espace | Système |
| Dons | Montant, date, moyen de paiement, nom et e-mail du donateur (facultatif : nom). Les données de carte sont saisies chez Stripe et ne transitent jamais par MonAsso | Vous |
| Notifications internes de l'équipe | Événements du service (nouveau compte, commande, ticket, don…) avec nom et adresse e-mail masquée du client ; jamais de mot de passe, de contenu de message ni d'adresse IP | Système |
| Anciennes déclarations de parrainage (fonction arrêtée) | Date, précision facultative, statut | Vous |
| Consentement | Version des CGU/politique acceptée et date (sans adresse IP) | Vous |
Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée. Aucun profilage ni donnée publicitaire n'est collecté.
Finalités et bases légales
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Créer et gérer votre compte, préparer et administrer vos espaces | Exécution du contrat (art. 6-1-b) |
| E-mails nécessaires au service (confirmation, espace prêt, alertes de stockage, réponses au support) | Exécution du contrat (art. 6-1-b) |
| Support et suivi de vos demandes, examen des demandes de profil partenaire | Exécution du contrat / mesures précontractuelles |
| Sécurité du service, prévention des abus et de la fraude, journaux techniques | Intérêt légitime (art. 6-1-f) |
| Réception, justification et suivi des dons ; vérification des parrainages | Exécution d'une demande de votre part (art. 6-1-b) et obligations comptables (art. 6-1-c) |
| Envoi des actualités de MonAsso (vie de l'association, nouveautés, appels aux dons) | Consentement (art. 6-1-a), retirable à tout moment en un clic |
| Statistiques de fréquentation produites par l'hébergeur à partir des journaux du serveur, exploitation et sécurité de l'infrastructure | Intérêt légitime (art. 6-1-f) |
| Preuve de votre acceptation des CGU et de la politique de confidentialité | Intérêt légitime (art. 6-1-f) et obligation de rendre compte (art. 5-2) |
| Exercice de vos droits et conservation de la preuve de leur traitement | Obligation légale (art. 6-1-c) |
Destinataires et sous-traitants
Vos données sont accessibles aux seuls membres habilités de Groupe Speed Cloud. Elles ne sont ni vendues, ni cédées, ni utilisées à des fins publicitaires. Les sous-traitants ultérieurs sont :
- Hostinity — hébergement et messagerie, 11 rue des 4 Vents, 53170 Meslay-du-Maine, France (serveurs dans le centre de données Equinix PA5, Paris (France)). L'hébergeur conserve les journaux d'accès du serveur web (adresse IP, date, page demandée, navigateur) et peut les analyser pour produire des statistiques de fréquentation et assurer la sécurité de l'infrastructure ; ses équipes techniques peuvent accéder aux données hébergées uniquement pour la maintenance et le support. MonAsso est responsable de traitement, l'hébergeur agit comme sous-traitant.
- Discord Inc. (États-Unis) — messagerie interne de l'équipe : alertes d'exploitation sur les nouveaux comptes, commandes, tickets et dons. Les adresses e-mail y sont masquées et aucun contenu de message n'est transmis par défaut ; les envois sont journalisés 30 jours sans donnée personnelle.
- Stripe Payments Europe, Ltd (Irlande) — uniquement si vous faites un don par carte : encaissement sécurisé du paiement. Stripe agit en qualité de responsable de traitement pour les obligations de lutte contre la fraude et de conformité qui lui incombent ; voir sa politique de confidentialité.
Les professionnels que vous mandatez (par exemple un partenaire qui crée un espace pour votre association) agissent sous leur propre responsabilité ; voir les CGU.
Transferts hors Union européenne
Vos données sont hébergées en France. Aucun transfert hors de l'Union européenne n'est réalisé par MonAsso. Pour les dons par carte, Stripe peut traiter certaines données hors de l'Union européenne dans le cadre de ses obligations ; ces transferts sont encadrés par des clauses contractuelles types. Les alertes internes envoyées sur Discord (États-Unis) sont limitées à des données minimales (nom, adresse e-mail masquée, type d'événement) et reposent sur les clauses contractuelles types de Discord. Tout futur transfert serait encadré par des clauses contractuelles types et signalé ici avant sa mise en œuvre.
Durées de conservation
| Données | Durée |
|---|---|
| Compte, espaces, commandes | Pendant la vie du compte ; suppression immédiate à la fermeture du compte |
| Espace Paheko inutilisé | Rappels après 12 et 13 mois sans connexion, mise en veille (réactivable) à 14 mois, suppression possible au-delà de 18 mois |
| Compte créé mais jamais confirmé, sans espace | 30 jours |
| Tickets et messages de support | 3 ans après la clôture du ticket |
| Demandes de profil partenaire refusées | 12 mois ; acceptées : durée de vie du profil |
| Journal d'audit (adresse IP, navigateur) | 12 mois |
| Dernières connexions (adresse IP) | 12 mois |
| Journal des e-mails envoyés et reçus | 90 jours |
| Notifications lues | 90 jours |
| Journal des envois Discord (événement, résultat, sans donnée personnelle) | 30 jours |
| Journaux techniques de débogage | 30 jours |
| Dons (pièces comptables) | 10 ans ; l'identité du donateur est effacée à votre demande, le montant et la date sont conservés |
| Anciennes déclarations de parrainage | Durée de vie du compte |
| Preuve de consentement | Durée de vie du compte |
| Accord pour les actualités | Jusqu'à votre désinscription ou la fermeture du compte |
| Journaux d'accès du serveur web (tenus par l'hébergeur) | Durée fixée par l'hébergeur dans le respect de ses obligations légales de conservation des données de connexion |
| Registre des demandes d'exercice de droits (sans donnée personnelle) | 5 ans |
| Contenu des espaces Paheko | Supprimé à la suppression de l'espace ou du compte, puis effacé des sauvegardes sous 14 jours |
| Sauvegardes quotidiennes des espaces Paheko | 14 jours |
Les données soumises à une obligation légale de conservation (par exemple une facture) sont conservées pendant la durée légale, de manière isolée et anonymisée dès que possible.
Sécurité
- Connexions chiffrées (HTTPS), mots de passe hachés, authentification à deux facteurs disponible.
- Accès administrateur restreint, nominatif et journalisé ; principe du moindre privilège.
- Espaces Paheko isolés les uns des autres ; sauvegardes techniques régulières.
- En-têtes de sécurité HTTP, protection contre le CSRF, limitation du nombre de tentatives de connexion.
- Purge automatique et quotidienne des données arrivées au terme de leur durée de conservation.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, de retrait du consentement et de définir des directives après décès.
- modifier vos informations : Détails personnels ;
- télécharger toutes vos données (format JSON) et supprimer votre compte : Confidentialité et données.
Sinon, écrivez à contact@groupe-speed.cloud : réponse sous un mois au plus. Détails sur la page Exercer vos droits.
Cookies
Seuls des cookies strictement nécessaires au fonctionnement sont utilisés ; ils ne requièrent pas de consentement. Aucun traceur publicitaire ni de mesure d'audience. Liste détaillée : page Cookies.
Décisions automatisées
Aucune décision produisant des effets juridiques à votre égard n'est prise de manière exclusivement automatisée. L'examen d'une demande de profil partenaire est réalisé par une personne.
Violations de données
En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, la CNIL est notifiée dans les 72 heures et vous êtes informé(e) sans délai si le risque est élevé. Chaque incident est consigné dans un registre interne.
Réclamation
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez saisir la CNIL — www.cnil.fr/fr/plaintes.