Politique de confidentialité
Dernière mise à jour :
DiamAsso est une plateforme de gestion destinée aux associations de diaspora. Cette politique explique quelles données personnelles sont traitées, pourquoi, combien de temps, et comment exercer vos droits.
1. Qui fait quoi
Votre association est responsable du traitement des données de ses membres : c’est elle qui décide des informations collectées et de leur usage.
MoontSoftwares agit comme sous-traitant au sens de l’article 28 du RGPD : nous traitons ces données uniquement pour fournir le service, sur instruction de l’association, et jamais pour notre propre compte. Nous ne vendons aucune donnée et n’en faisons aucun usage publicitaire.
MoontSoftwares est en revanche responsable du traitement pour les données de gestion de son propre service : comptes utilisateurs, facturation des abonnements, journaux techniques.
2. Données traitées, finalités et durées
| Finalité | Données | Base légale | Conservation |
|---|---|---|---|
| Gestion des membres et des ayants droit | Identité, coordonnées, date de naissance, lien de parenté, photo de carte membre | Exécution du contrat conclu avec l’association | Durée de l’adhésion, puis 3 ans à compter du dernier contact |
| Cotisations, caisses de solidarité et comptabilité | Montants, échéances, historique de paiement, mouvements de caisse | Exécution du contrat et obligation légale de conservation comptable | 10 ans (obligation comptable) |
| Dossiers décès et rapatriement | Identité du défunt et des ayants droit, pièces justificatives, montants engagés | Exécution du contrat ; intérêt légitime de l’association à instruire le dossier | Durée d’instruction du dossier, puis 10 ans au titre des pièces comptables |
| Compte utilisateur et authentification | Adresse e-mail, mot de passe chiffré, journaux de connexion | Exécution du contrat | Durée du compte, puis 12 mois pour les journaux |
| Abonnement de l’association au service | Coordonnées de facturation, historique d’abonnement | Exécution du contrat et obligation légale | 10 ans (obligation comptable) |
| Notifications (e-mail et push) | Adresse e-mail, jeton d’appareil, préférences | Exécution du contrat ; consentement pour les notifications non essentielles | Jusqu’au retrait du consentement ou à la suppression du compte |
| Diagnostic des erreurs techniques | Message et pile d’appel de l’erreur, page concernée (identifiants retirés de l’adresse), identifiant technique du compte, version de l’application, navigateur ou modèle d’appareil | Intérêt légitime à maintenir le service en état de fonctionner | 90 jours |
Les dossiers décès et rapatriement peuvent contenir des informations particulièrement sensibles. Leur accès est restreint aux membres du bureau disposant du rôle correspondant, et cloisonné par association.
3. Qui accède aux données
L’accès est cloisonné par association : les membres d’une association ne voient jamais les données d’une autre. Au sein d’une association, l’accès dépend du rôle (président, secrétaire, trésorier, membre…).
Nos prestataires techniques (sous-traitants ultérieurs) sont :
- Supabase — Base de données PostgreSQL, authentification, stockage de fichiers. Union européenne — Stockholm (aws eu-north-1).
- Railway — Hébergement de l’API et de la file de traitements (Redis). Union européenne — Amsterdam (europe-west4).
- Netlify — Diffusion du site et relais des appels vers l’API. Hors Union européenne (réseau mondial).
- Stripe — Traitement des paiements et des abonnements. Union européenne et États-Unis.
- Resend — Envoi des e-mails transactionnels. États-Unis.
- Expo — Acheminement des notifications push de l’application mobile. États-Unis.
- Sentry — Collecte des erreurs techniques pour le diagnostic. Union européenne — Francfort (région UE de Sentry).
4. Localisation des données et transferts hors UE
Vos données sont hébergées et traitées dans l’Union européenne. La base de données, l’authentification et les fichiers déposés sont en Suède ; l’application qui les traite et sa file de traitements s’exécutent aux Pays-Bas.
Des traitements subsistent en dehors de l’Union européenne : Netlify (diffusion du site et relais des appels vers l’API), Stripe (traitement des paiements et des abonnements), Resend (envoi des e-mails transactionnels), Expo (acheminement des notifications push de l’application mobile). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE–États-Unis.
En particulier, les appels de votre navigateur vers l’application passent par un relais hébergé chez notre prestataire de diffusion web, dont les serveurs ne sont pas garantis dans l’Union européenne. Vos données y transitent sans y être conservées. Nous travaillons à supprimer cette étape.
5. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données.
Comme nous agissons en sous-traitant pour les données de membres, adressez-vous d’abord au bureau de votre association, qui en est responsable. Si vous ne parvenez pas à exercer vos droits, écrivez-nous à confidentialite@odiamasso.com : nous relaierons votre demande et vous assisterons.
Délégué à la protection des données — à compléter
Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).
6. Sécurité
Chiffrement des échanges en transit (HTTPS), chiffrement au repos par l’hébergeur de base de données, cloisonnement des données par association appliqué au niveau de la base, mots de passe stockés sous forme de condensats, accès aux consoles d’administration restreint et authentifié.
En cas de violation de données susceptible d’engendrer un risque pour les personnes concernées, nous en informons l’association responsable dans les meilleurs délais afin qu’elle puisse procéder à la notification prévue par le RGPD.
7. Cookies
Le site n’utilise aucun cookie publicitaire ni de mesure d’audience tierce. Seuls sont déposés les éléments strictement nécessaires au fonctionnement :
- un cookie de session, pour vous maintenir connecté à votre espace ;
- un cookie de langue, pour mémoriser la langue d’affichage choisie ;
- une préférence de thème (clair / sombre), stockée dans votre navigateur.
Ces éléments étant exemptés de consentement, aucune bannière de consentement n’est requise. Si une mesure d’audience était ajoutée à l’avenir, un recueil de consentement préalable serait mis en place.
8. Évolution de cette politique
Cette politique peut être modifiée pour refléter une évolution du service ou de la réglementation. Toute modification substantielle est notifiée aux associations clientes par e-mail.