Politique de confidentialité

1. Responsable du traitement et sous-traitant

Chaque assemblée locale (congrégation) utilisant Unitae est responsable du traitement de ses propres données au sens du Règlement Général sur la Protection des Données (RGPD).

MindsersIT (SASU, RCS Lyon 983 970 245), éditeur de la plateforme hébergée unitae.app, agit en qualité de sous-traitant (data processor) conformément à l'article 28 du RGPD. Un accord de traitement des données (DPA) est établi entre MindsersIT et chaque assemblée locale.

Contact : privacy@mindsers.it

2. Données collectées

Unitae collecte et traite les catégories de données personnelles suivantes :

• Données d'identification : nom, prénom, adresse e-mail
• Coordonnées : numéro de téléphone, adresse postale (optionnels)
• Données démographiques : date de naissance, genre (optionnels)
• Données religieuses (catégorie spéciale, article 9) : date de baptême, statut de proclamateur, responsabilités dans l'assemblée, activités de service
• Données d'activité : rapports mensuels de service, attributions de territoires
• Données de paiement : traitées par Stripe (MindsersIT ne stocke que les identifiants de référence Stripe)
• Données techniques : adresse IP (enregistrements de consentement), données de session

3. Données de catégorie spéciale

La simple présence d'un utilisateur dans Unitae révèle son affiliation religieuse en tant que Témoin de Jéhovah. Ces données sont des données de catégorie spéciale au sens de l'article 9 du RGPD.

Le traitement est fondé sur l'article 9, paragraphe 2, point d) : traitement effectué dans le cadre des activités légitimes d'un organisme à but non lucratif poursuivant une finalité religieuse, à condition que le traitement se rapporte aux seuls membres de cet organisme et que les données ne soient pas communiquées en dehors de celui-ci sans le consentement des personnes concernées.

4. Bases légales du traitement

• Exécution du contrat (art. 6.1.b) : fourniture du service de gestion d'assemblée
• Intérêt légitime (art. 6.1.f) : sécurité, journalisation, prévention de la fraude
• Obligation légale (art. 6.1.c) : conservation des données de facturation (10 ans, droit fiscal français)
• Consentement (art. 6.1.a) : consentement explicite recueilli lors de la première connexion

5. Finalités du traitement

• Gestion des membres et des responsabilités de l'assemblée
• Suivi de l'activité de service (rapports mensuels)
• Gestion des territoires et des attributions
• Tableau d'affichage et gestion documentaire
• Gestion des événements et programmes
• Authentification et sécurité des comptes
• Communications par e-mail (réinitialisation de mot de passe, notifications)
• Facturation et gestion des abonnements

6. Durées de conservation

• Comptes utilisateurs : durée d'appartenance + 30 jours
• Rapports d'activité : durée d'appartenance (configurable par l'assemblée)
• Attributions de territoires : durée du compte de l'assemblée
• Documents du tableau : jusqu'à suppression par l'administrateur + 30 jours
• Cookies de session : 1 heure
• Tokens de réinitialisation : 24 heures
• Enregistrements de consentement : 2 ans après retrait
• Données de facturation (références Stripe) : 10 ans (obligation légale)

7. Sous-traitants

Les données sont traitées par des sous-traitants listés sur notre page sous-traitants. Les transferts vers les États-Unis sont encadrés par le Data Privacy Framework (DPF) UE-États-Unis ou des clauses contractuelles types.

L'ensemble des données principales (base de données, fichiers) est hébergé en France (OVH, Gravelines).

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir une copie de vos données personnelles
• Droit de rectification (art. 16) : corriger des données inexactes
• Droit à l'effacement (art. 17) : demander la suppression de vos données
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré
• Droit à la limitation (art. 18) : geler le traitement de vos données
• Droit d'opposition (art. 21) : vous opposer au traitement
• Retrait du consentement : retirer votre consentement à tout moment depuis votre profil

Pour exercer ces droits, adressez-vous à l'administrateur de votre assemblée locale. Vous pouvez également contacter MindsersIT à l'adresse : privacy@mindsers.it

9. Sécurité

• Chiffrement des données en transit (TLS)
• Hachage des mots de passe (scrypt)
• Isolation des données par assemblée (Row-Level Security PostgreSQL)
• Contrôle d'accès basé sur les rôles (14 rôles)
• Cookies de session sécurisés (httpOnly, secure, SameSite)
• Limitation du nombre de tentatives de connexion
• Hébergement en France (OVH, Gravelines)

10. Cookies

Unitae utilise uniquement un cookie de session strictement nécessaire au fonctionnement de l'authentification. Ce cookie ne nécessite pas de consentement.

L'intégration optionnelle de Google Maps dans l'application peut charger des cookies tiers. Dans ce cas, votre consentement explicite est demandé avant tout chargement.

11. Réclamation

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.

12. Auto-hébergement

Unitae est un logiciel open source (AGPL-3.0). Les instances auto-hébergées sont sous la seule responsabilité de l'entité qui les déploie. MindsersIT n'a aucun rôle de sous-traitant dans ce cas, car aucune donnée ne transite par ses systèmes.