Politique de confidentialité

Cette politique explique quelles données personnelles Rotalink traite, qui en est responsable, pourquoi, avec qui, combien de temps, et comment exercer vos droits. Elle s'adresse aux utilisateurs de l'application et aux personnes sans compte dont un club enregistre les coordonnées ; ces dernières y sont renvoyées par le pied de chaque email d'un club et par chaque page publique de club.

1. Qui est responsable de vos données

Rotalink distingue deux responsables, selon la nature des données.

EDILAM est responsable de votre compte Rotalink et du fonctionnement de la plateforme. EDILAM – Édition et Distribution de Logiciels Associatifs à Montpellier, association régie par la loi du 1er juillet 1901, RNA W343034545, siège B205 Solena, 85 avenue d'Assas, 34000 Montpellier. Contact : rgpd@rotalink.org. EDILAM n'a pas désigné de délégué à la protection des données : la nature et le volume des traitements ne l'imposent pas.

Chaque club est responsable des données de sa vie associative. Le club que vous rejoignez — une association ou un groupement distinct d'EDILAM — décide de ce qu'il enregistre et de ce qu'il en fait : votre adhésion et votre parcours, son bureau, ses événements, ses ventes, ses communications, sa photothèque, ses documents, ses tâches, sa comptabilité, et les coordonnées des personnes sans compte qu'il suit. Pour ces données, EDILAM agit comme sous-traitant du club (RGPD art. 28) : elle les héberge et les traite uniquement pour le compte du club, selon le contrat signé entre eux, et ne les utilise pas à ses propres fins. L'identité du club et l'adresse à laquelle exercer vos droits auprès de lui vous sont indiquées quand vous le rejoignez, puis dans l'application (Profil → « Mon adhésion à… »).

Lorsque vous rejoignez un club, EDILAM lui communique les informations de votre profil (nom, prénom, email, téléphone, photo, anniversaire si vous l'avez renseigné) pour qu'il tienne la liste de ses membres. Le club est responsable de l'usage qu'il en fait. Lorsque vous êtes transféré vers un autre club, votre club d'origine communique votre parcours (statut, dates, mandats) au club d'accueil, qui en devient responsable.

2. Données traitées

Votre compte (responsable : EDILAM)

• Prénom, nom, adresse email, numéro de téléphone, mot de passe (conservé uniquement sous forme chiffrée irréversible), langue ; facultatifs : photo de profil, anniversaire (jour et mois, jamais l'année). Le téléphone est obligatoire : tous les clubs utilisateurs de Rotalink s'en servent pour joindre leurs membres, et le demander une seule fois pour le compte évite de le ressaisir dans chaque club.
• Date et version des CGU et de la politique acceptées, date de l'attestation d'âge.
• Connexion : date et adresse IP de la dernière connexion, utilisées pour vous alerter d'une connexion depuis un nouveau réseau.
• Appareil : jeton de notification push, préférences de notification. Sur votre appareil, l'application garde votre session dans le trousseau sécurisé et une copie des écrans consultés (7 jours au plus) pour fonctionner hors connexion.
• Rapports d'erreur de l'application (type d'appareil, système, version, contexte de l'erreur), sans votre nom, votre email, votre adresse IP ni le contenu de vos requêtes.
• Journal des actions des administrateurs de la plateforme, et demandes d'ouverture de club faites sur le site (nom, email, téléphone, fonction, ville, message, adresse IP).

La vie associative (responsable : votre club)

• Clubs, statut et historique de membre, dates d'arrivée et d'intronisation, parrain ou marraine, mandats au bureau, droits accordés, candidatures et votes (les votes restent anonymes entre votants), transferts entre clubs.
• Inscriptions et présences aux événements, comptes-rendus et procès-verbaux où vous êtes cité, tâches qui vous sont confiées.
• Commandes et paiements : articles, montants, statut, réponses aux questions posées par le club lors de l'achat, noms des participants, références HelloAsso, et les données de la transaction que HelloAsso transmet (dont le nom et l'email du payeur).
• Photothèque : photos, légendes, personnes identifiées, et votre consentement au droit à l'image, donné club par club.
• Communications reçues : adresse et statut de remise (envoyé, remis, rejeté). Rotalink ne mesure pas qui ouvre les emails ni qui clique sur leurs liens.
• Emails reçus aux adresses du club gérées par Rotalink (tâches, factures) : adresse de l'expéditeur, contenu et pièces jointes.
• Journal des actions importantes du club (changements de statut, mandats, paiements, suppressions), où les personnes sont désignées par un identifiant interne, sans leur email ni leur téléphone.

Personnes sans compte (responsable : le club qui les enregistre)

• Contacts des listes de diffusion : email et, le cas échéant, nom, avec la source du consentement indiquée par le club.
• Contacts prospects, personnes invitées à rejoindre le club, invités externes à un événement : nom, email, téléphone selon les cas.
• Acheteurs sur une page publique du club et destinataires d'une demande de paiement : nom, email, téléphone, réponses aux questions de la commande.
• Personnes présentes sur les photos du club.

Rotalink n'a pas vocation à traiter de données de santé ou d'autres données sensibles. Évitez d'en saisir dans les champs libres. Si un club en demande (par exemple un régime alimentaire ou une allergie pour un repas), il le fait avec votre consentement explicite, recueilli dans la question elle-même, et supprime ces réponses après l'événement.

3. Finalités et bases légales

Traitements d'EDILAM

Traitements des clubs

Chaque club choisit ses finalités et ses bases légales. Celles que la plateforme permet sont, en général :

4. Qui accède à vos données

• Dans votre club : le bureau et les membres, selon les règles de visibilité de l'application (par exemple, l'annuaire est visible des membres ; les prospects, commandes et comptes ne le sont que du bureau habilité).
• EDILAM : ses administrateurs de la plateforme, pour le support et la sécurité, et pour le compte des clubs lorsqu'ils le demandent ; chaque action est tracée.
• Prestataires techniques d'EDILAM, liés par contrat, pour les données de comptes comme pour celles des clubs :

• Destinataires agissant pour leur propre compte : HelloAsso (France) reçoit vos nom, prénom et email pour encaisser un paiement au profit de votre club, selon sa propre politique de confidentialité ; l'Institut national de l'information géographique et forestière (IGN, France) reçoit le texte saisi dans le champ « Lieu » d'un événement, pour proposer des adresses.
• Les autorités, sur demande légalement fondée.

Ni EDILAM ni les clubs, par Rotalink, ne vendent ou ne louent vos données, ni ne les utilisent à des fins publicitaires.

5. Transferts hors de l'Union européenne

Les données sont hébergées en France. Resend, Google et Apple sont établis aux États-Unis : les données qui leur sont transmises (adresse et contenu des emails, jeton d'appareil des notifications push) peuvent y être traitées. Les rapports d'erreur sont stockés par Sentry dans l'Union européenne ; un accès depuis les États-Unis, où la société est établie, reste possible. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework), auquel Resend, Google, Apple et Sentry adhèrent, et par les clauses contractuelles types de la Commission européenne. Seules les données nécessaires leur sont transmises. Vous pouvez obtenir une copie des garanties en écrivant à rgpd@rotalink.org.

6. Durées de conservation

Les durées ci-dessous sont celles qu'applique la plateforme ; pour les données de la vie associative, elles sont fixées dans le contrat entre le club et EDILAM.

Quand un club cesse d'utiliser Rotalink, il peut récupérer ses données pendant 30 jours ; elles sont ensuite supprimées de la plateforme. Votre compte, lui, n'est pas supprimé.

Suppression du compte. Vos données d'identité sont effacées : nom, prénom, email, téléphone, photo de profil, anniversaire, adresse IP de dernière connexion, jeton et préférences de notification. Dans les clubs, les faits de la vie associative (adhésions, mandats, votes, présences) restent, sans votre nom, rattachés à un profil « Compte supprimé » ; dans un petit club, ces faits peuvent rester rattachables à vous par ceux qui vous ont connu. Les documents et procès-verbaux déposés par le club ne sont pas modifiés. Les pièces comptables et le journal d'audit sont conservés pour leur durée propre, avec un accès restreint. Détails sur la page Supprimer son compte.

7. Sécurité

Connexions chiffrées (HTTPS), mots de passe chiffrés de manière irréversible, accès limités selon les rôles, secrets de paiement des clubs chiffrés, journal des actions, sauvegardes en France. En cas de violation de données, EDILAM prévient sans délai les clubs concernés ; le responsable du traitement notifie la CNIL dans les 72 heures et vous informe si le risque est élevé.

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, du droit de retirer un consentement à tout moment, et du droit de définir des directives sur le sort de vos données après votre décès. Rotalink ne prend aucune décision automatisée à votre égard et ne fait pas de profilage.

• Dans l'application : modifier votre profil, retirer votre anniversaire, gérer vos notifications, accorder ou retirer le droit à l'image club par club (le retrait masque aussitôt toutes les photos vous identifiant), supprimer votre compte.
• Données de votre compte : écrivez à rgpd@rotalink.org, y compris pour obtenir une copie de vos données (fichier JSON).
• Données d'un club : adressez-vous au club, à l'adresse indiquée dans l'application (Profil → « Mon adhésion à… »). Vous pouvez aussi écrire à rgpd@rotalink.org : EDILAM transmet la demande au club sous 5 jours ouvrés et l'aide à y répondre.
• Nous pouvons vous demander de confirmer votre identité. Réponse sous un mois, prolongeable de deux mois pour une demande complexe (vous en êtes alors informé).
• Emails : sauf les convocations statutaires, chaque email d'un club contient un lien de désinscription en un clic.

Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (cnil.fr).

9. Traceurs

• Site web : deux cookies strictement nécessaires à la connexion à l'espace d'administration (access_token, la session, 7 jours ; auth_present, un indicateur de session sans donnée personnelle). Sur une page publique de club, le refus de la bannière « Ouvrir dans l'application » est mémorisé le temps de la visite. Aucun cookie de mesure d'audience, publicitaire ou tiers : aucune bannière de consentement n'est donc requise.
• Application : aucun outil de mesure d'audience ni de publicité, aucun suivi d'une application à l'autre.
• Emails des clubs : aucun traceur. Rotalink ne mesure ni l'ouverture des emails ni les clics sur leurs liens ; seules les informations de remise (envoyé, remis, rejeté) sont connues.

10. Mineurs

Rotalink est ouvert aux personnes de 18 ans et à celles qui les atteignent au cours de l'année civile : une personne peut donc l'utiliser à 17 ans. À partir de 15 ans, un mineur consent seul aux traitements fondés sur le consentement (art. 45 de la loi Informatique et Libertés). Par exception, la publication de photos identifiant une personne mineure requiert l'accord de ses représentants légaux : en activant le droit à l'image, une personne mineure déclare l'avoir obtenu. Aucune année de naissance n'est collectée ; l'âge repose sur une attestation sur l'honneur.

11. Changement d'exploitant

Si EDILAM cesse d'exploiter Rotalink, le service et vos données peuvent être repris par l'auteur du logiciel ou par un nouvel exploitant, qui s'engage à respecter une politique équivalente et reprend les contrats avec les clubs. Vous en êtes informé au moins 30 jours avant le transfert ; pendant ce délai, vous pouvez obtenir une copie de vos données et supprimer votre compte, auquel cas vos données ne sont pas transmises.

12. Modification de la politique

Toute modification substantielle vous est annoncée au moins 30 jours à l'avance, par email et dans l'application, puis présentée pour acceptation à l'ouverture de l'application. La version en vigueur est datée en tête de cette page.