Politique de confidentialité

1. Qui répond de quoi

MonClubRétro est un outil que des clubs utilisent pour gérer leurs adhérents. Cela crée deux situations très différentes, et presque toutes les questions se règlent en sachant dans laquelle on se trouve.

Vous êtes adhérent, ou vous vous êtes inscrit à une sortie

C'est votre club qui est responsable de vos données, pas nous. C'est lui qui les a saisies, lui qui décide de ce qu'il en fait, lui qui peut les corriger ou les effacer en quelques secondes. Nous n'intervenons que sur ses instructions, comme prestataire technique — le RGPD parle de sous-traitant.

Écrivez donc d'abord à votre club : nous ne pouvons rien changer à votre adhésion, à votre inscription ni à vos coordonnées. Si votre club ne répond pas, écrivez-nous à contact@monclubretro.fr et nous lui transmettons votre demande.

Vous êtes bénévole d'un club et vous avez un compte

Pour votre compte — votre nom, votre adresse e-mail, votre mot de passe, vos connexions — c'est nous qui sommes responsables. Cette page décrit ce que nous en faisons, et vous pouvez nous écrire directement.

2. Les données des adhérents, traitées pour le compte des clubs

Selon ce que le club renseigne, un dossier d'adhérent peut contenir :

• son identité : nom, prénom, et le pseudonyme que certains clubs utilisent sur leur forum ;
• ses coordonnées : adresse e-mail (obligatoire, c'est par elle que passent les liens de paiement), adresse postale, téléphone ;
• son statut dans le club, la date de sa dernière cotisation réglée et les notes que le club prend sur lui ;
• son historique d'adhésion : formule choisie, options, montants, dates et mode de règlement, justificatifs émis ;
• ses inscriptions aux sorties, les personnes qu'il déclare emmener et ses réponses aux options de la sortie ;
• lorsque le club le demande pour une sortie, des informations sur le véhicule engagé : modèle, immatriculation, numéro de série, assureur et numéro de contrat. Une immatriculation identifie un détenteur : ces réponses sont traitées avec le même soin que le reste du dossier ;
• le fait qu'il se soit désinscrit des e-mails de sollicitation, et la date à laquelle il l'a fait ;
• dans le livre de recettes et de dépenses du club, une ligne par cotisation ou inscription réglée. Cette ligne ne porte pas son nom — seulement la campagne ou la sortie, la formule et le montant — et c'est sa fiche qui permet aux bénévoles de retrouver de qui il s'agit.

Ces données servent uniquement à ce pour quoi le club les a saisies : tenir son fichier, appeler et encaisser les cotisations, produire les justificatifs, envoyer les e-mails de campagne et leurs relances, organiser ses sorties. Nous ne les utilisons pour rien d'autre, et jamais pour notre propre compte.

Ce que le service enregistre en plus des fiches : lorsqu'un e-mail envoyé pour le compte d'un club revient en erreur ou est signalé comme indésirable, nous conservons l'adresse concernée et la nature du retour pendant douze mois. C'est ce qui protège la réputation d'envoi partagée par tous les clubs — sans cela, un fichier périmé chez l'un ferait tomber les e-mails des autres. Ces enregistrements ne servent à rien d'autre.

Notre accès à ces données est restreint et tracé. Une seule personne, chez nous, peut ouvrir l'espace d'un club — pour répondre à une demande d'assistance ou vérifier un incident. Chacune de ces consultations est enregistrée automatiquement : qui a regardé, quel club, quelle page, à quelle seconde. Ce registre n'est pas facultatif, et il n'est pas effaçable depuis l'interface.

La carte de membre porte un QR code. Il ouvre une page qui affiche le nom du club, le nom et le prénom de l'adhérent, s'il est à jour de sa cotisation et jusqu'à quelle date, et l'intitulé et la date de sa dernière cotisation réglée — de quoi prouver son adhésion à l'entrée d'une sortie ou chez un partenaire. Rien d'autre n'y figure : ni adresse, ni e-mail, ni téléphone, ni montant, ni formule. L'adresse de cette page est signée et impossible à deviner, elle n'est enregistrée nulle part, et un dossier effacé n'y répond plus. Un adhérent qui ne souhaite pas la voir accessible peut demander à son club de ne pas diffuser sa carte.

Le site du club peut demander si un adhérent est à jour. Un club dont le site réserve des pages à ses adhérents peut lui confier une clé, avec laquelle ce site demande, pour une adresse e-mail ou un identifiant d'adhérent, si la personne est à jour de sa cotisation. La réponse est un oui ou un non, accompagné de cet identifiant : ni nom, ni coordonnées, ni montant, ni date de paiement. Transmettre cette information à son site est une décision du club, qui répond de ce que son site en fait ; sans la clé, la question reste sans réponse, et un dossier effacé n'y répond plus.

Deux choses ne nous parviennent jamais : les données de carte bancaire et les coordonnées bancaires d'un prélèvement, qui sont saisies chez le prestataire de paiement et ne transitent pas par nos serveurs ; et un mot de passe d'adhérent, puisque les adhérents n'ont pas de compte — ils passent par des liens personnels et par un code à usage unique envoyé sur leur boîte.

3. Les comptes des bénévoles

Un bénévole qui administre un club a un compte : nom, adresse e-mail, mot de passe conservé sous forme chiffrée irréversible, sessions ouvertes, rôle et club rattachés. Ces données servent à l'authentifier, à lui donner accès au bon club, à répondre à ses demandes d'assistance et à facturer l'abonnement de son club. Une écriture qu'il saisit dans le livre des comptes garde la trace du compte qui l'a saisie, parce que la tenue des comptes est une responsabilité du trésorier devant l'assemblée générale. Le justificatif qu'il peut joindre à une écriture — une facture, un ticket — est conservé chez notre hébergeur de fichiers, n'est lisible que par les bénévoles du club et n'est jamais publié ; une image y est réencodée et débarrassée de ses métadonnées, un PDF est gardé tel quel.

4. Le formulaire de contact

Le formulaire de la page Contact transmet votre nom, votre adresse e-mail, le nom du club si vous l'indiquez, le sujet et votre message vers notre boîte aux lettres. Ils ne servent qu'à vous répondre et ne rejoignent aucune liste de diffusion. Pour limiter les envois automatisés, le nombre de messages par adresse IP est compté pendant une heure, en mémoire seulement.

5. Les pages publiques d'adhésion et de sortie

Ces pages demandent une adresse e-mail et y envoient un code à six chiffres. Rien n'est enregistré tant que le code n'a pas été vérifié. Ensuite :

• le code est conservé sous forme hachée, jamais en clair, et il expire au bout de dix minutes ;
• chaque demande de code est comptée avec l'adresse e-mail visée et une empreinte de l'adresse IP — jamais l'adresse IP elle-même — pour empêcher qu'on inonde la boîte d'un tiers ; ces enregistrements sont supprimés au bout de vingt-quatre heures ;
• les liens de paiement personnels sont des jetons conservés hachés, qui cessent de fonctionner à la clôture de la campagne ou de la sortie, et dès que le règlement est reçu.

Ces pages répondent la même chose que l'adresse soit connue du club ou non : elles ne permettent pas de vérifier si telle personne est adhérente de tel club.

La page publique des comptes est différente : un club peut publier son livre de recettes et de dépenses à ses adhérents, par un lien qu'il diffuse lui-même et qu'il peut révoquer à tout moment. Cette page montre chaque ligne du livre — libellé, catégorie, date, montant, sortie concernée — et aucun nom d'adhérent : une cotisation ou une inscription y figure sous la campagne ou la sortie et la formule, jamais sous la personne. Les libellés que le club saisit lui-même y sont publiés tels qu'il les a écrits ; c'est au club de n'y mettre que ce qu'il veut voir lu.

6. Cookies et traceurs

Sur le site : aucune mesure d'audience, aucun traqueur publicitaire, aucun partage avec un réseau social. Le seul cookie déposé est celui de la session, lorsqu'un bénévole se connecte à son espace ; il est strictement nécessaire au service. C'est pourquoi le site ne vous demande rien à l'arrivée.

Dans les e-mails, notre prestataire d'envoi mesure les ouvertures et les clics. Brevo, qui expédie tous les e-mails du service — campagnes, relances, confirmations, codes et invitations —, y insère une image invisible qui signale l'ouverture du message, et fait passer chaque lien par sa propre adresse avant de vous conduire à la bonne page, ce qui lui permet de compter les clics. Nous ne pouvons pas désactiver ce suivi chez lui. Ces statistiques restent chez Brevo : nous ne les récupérons pas dans l'outil et les clubs n'y ont pas accès. Bloquer l'affichage des images dans votre messagerie empêche la mesure d'ouverture ; les clics, eux, restent comptés.

Le paiement par carte se déroule sur les pages du prestataire, en dehors de notre site : il y applique sa propre politique et y dépose ses propres cookies, notamment pour détecter la fraude.

7. Combien de temps les données sont conservées

• Le dossier d'un adhérent : tant que son club utilise le service et le conserve dans son fichier. Le club peut le corriger, le faire sortir de ses listes ou en demander l'effacement à tout moment.
• Les cotisations et les paiements : dix ans, parce que ce sont des pièces comptables. Ce délai s'impose à nous comme au club, et il explique la façon dont un effacement est traité (article 8).
• Le compte d'un bénévole : tant qu'il administre un club, puis supprimé à sa demande ou lorsqu'il n'administre plus rien.
• Les codes de vérification : dix minutes. Les tentatives d'envoi de code : vingt-quatre heures. Les liens de paiement : jusqu'à la clôture de la campagne ou de la sortie.
• Le lien du QR code de la carte de membre : rien n'est conservé, parce qu'il n'y a rien à conserver — l'adresse se vérifie par sa signature et n'existe dans aucune table. Elle cesse de répondre le jour où le dossier de l'adhérent est effacé ou supprimé.
• Les messages envoyés par le formulaire de contact : le temps d'y répondre et d'en assurer le suivi.
• Les journaux techniques du serveur : quelques semaines, pour diagnostiquer les pannes et les abus.
• Les sauvegardes : la base de données est copiée chaque nuit, et chaque copie est conservée trente jours ; un document remplacé ou supprimé (logo, justificatif, pièce jointe) reste récupérable trente jours. Une donnée effacée ou anonymisée disparaît donc des sauvegardes au plus tard trente jours après.
• Un club qui cesse d'utiliser le service : après vingt-quatre mois sans aucune activité, ses bénévoles reçoivent un avertissement par e-mail, puis le club et les dossiers de ses adhérents sont supprimés trois mois plus tard. Si le club a déjà réglé un abonnement, les dossiers sont anonymisés plutôt que supprimés et les pièces comptables sont conservées dix ans, comme ci-dessus.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données.

Si vous êtes adhérent d'un club, adressez votre demande à votre club : il a la main directement et vous répondrez plus vite. À défaut de réponse de sa part, écrivez-nous à contact@monclubretro.fr.

Une demande d'effacement se traite par anonymisation, pas par suppression pure. Le nom, l'adresse, l'e-mail, le téléphone et les notes sont effacés ou remplacés ; les cotisations et les paiements restent, rattachés à un simple identifiant. C'est la seule façon de satisfaire à la fois votre droit à l'effacement et l'obligation de conserver dix ans une comptabilité qui ne se réécrit pas.

Pour ne plus recevoir d'e-mails, le lien de désinscription figure au bas de chaque e-mail de campagne et de relance. La désinscription est immédiate et définitive tant que vous ne revenez pas dessus. Les confirmations de paiement continuent d'arriver : ce sont des documents liés à un règlement que vous avez fait, pas des sollicitations.

Si une réponse ne vous satisfait pas, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

9. Les prestataires qui interviennent

Faire fonctionner le service suppose quatre prestataires sous contrat, et un service public consulté sans contrat, décrit plus bas. Chacun n'accède qu'à ce dont il a besoin, dans le cadre d'un contrat qui lui interdit tout autre usage.

Les quatre sont établis dans l'Union européenne et les données y sont hébergées. Stripe s'appuie sur son groupe, dont la maison mère est américaine, pour une partie de ses traitements techniques ; ces transferts sont encadrés par les garanties prévues au chapitre V du RGPD et décrits dans son propre accord de traitement des données.

Les suggestions d'adresse viennent de la Base Adresse Nationale, le référentiel public des adresses françaises, interrogé auprès de l'Institut national de l'information géographique et forestière (IGN). Quand vous tapez une adresse dans un formulaire, les caractères saisis lui sont transmis depuis notre serveur pour vous proposer des adresses complètes — rien d'autre : ni votre adresse IP, ni votre nom, ni le club concerné. Sur les pages d'adhésion, de paiement et d'inscription à une sortie, votre navigateur peut vous demander votre position : si vous l'autorisez, elle est arrondie au kilomètre avant de partir et ne sert qu'à classer les propositions par proximité ; si vous refusez, rien ne change et la question ne vous est pas reposée. L'IGN ne conserve pas ces recherches à votre sujet et nous n'avons pas de compte chez lui. Une adresse qu'il ne connaît pas se saisit à la main, comme avant.

Cette liste est celle du jour. Si elle change, la page est mise à jour et les clubs en sont informés par e-mail avant que le changement ne prenne effet, conformément à l'article 11 des conditions générales.

10. Sécurité

• Tout le trafic est chiffré (HTTPS), y compris sur les pages publiques des clubs.
• Les mots de passe sont hachés, jamais stockés en clair ni récupérables.
• Les jetons — liens de paiement, codes de vérification, invitations — sont eux aussi stockés hachés : la valeur qui circule dans l'e-mail n'existe nulle part dans la base. Celui du QR code de la carte n'est pas même stocké haché : il est signé, et sa validité se recalcule à chaque lecture.
• Chaque requête est cloisonnée par club : un bénévole ne peut atteindre que les données du club qu'il administre, et un club qui n'existe pas répond exactement comme un club auquel on n'a pas accès.
• La base de données est sauvegardée quotidiennement, et la restauration est vérifiée.

11. Modification de cette page

Cette politique évolue avec le service. La date en haut de page indique sa dernière version ; un changement substantiel est annoncé aux clubs par e-mail. Pour toute question, écrivez à contact@monclubretro.fr.