Politique de confidentialité

1. Qui traite vos données ?

L’éditeur de Récréo est l’Association Andyvie, dont les coordonnées et identifiants figurent dans les mentions légales : Avenue François Mitterrand, 59630 Bourbourg, France, contact@recreo.fr, 06 48 76 31 63. Il détermine les traitements relevant de sa propre gestion du service et de sa relation avec ses clients, dans le périmètre décrit ci-dessous.

Votre structure, association, accueil ou employeur détermine les traitements relatifs à ses activités, adhésions et ressources humaines. Pour les données qu’elle confie à Récréo, l’Éditeur agit selon ses instructions dans le cadre d’un accord de sous-traitance. Le nom et le contact de la structure compétente doivent vous être indiqués dans votre espace ou lors de la collecte.

Contact données de Récréo : contact@recreo.fr. Ce contact est utilisable pour les demandes relatives aux données ; il ne vaut pas désignation d’un délégué à la protection des données.

2. Données et finalités propres à Récréo

Demandes d’information : coordonnées professionnelles et contenu de la demande, pour répondre et suivre l’échange. Pour une demande formulée au nom d’une structure, la base est l’intérêt légitime de Récréo à répondre aux sollicitations professionnelles. Les mesures précontractuelles ne sont retenues que lorsque la personne concernée sollicite une démarche en vue d’un contrat auquel elle serait elle-même partie.

Relation avec les représentants des clients : identité, rôle, coordonnées, habilitations contractuelles et échanges utiles à la gestion du service. Le traitement des données des représentants et salariés des clients repose sur l’intérêt légitime de Récréo à administrer sa relation avec les structures clientes. La base contractuelle ne s’applique pas automatiquement à ces personnes, qui ne sont pas personnellement parties au contrat.

Facturation : informations nécessaires à l’établissement et à la conservation des factures, sur les bases contractuelles ou légales pertinentes. Pendant l’offre gratuite réservée aux nouveaux clients jusqu’au 31 décembre 2026, aucun moyen de paiement n’est demandé pour l’abonnement offert. Les paiements d’activités ou d’adhésions aux structures sont traités séparément par Stripe Connect ; la commission Récréo de 1 % reste applicable même pendant cette période.

Sécurité : informations techniques nécessaires à l’authentification, à la gestion des accès et à l’analyse des incidents, sur la base de l’intérêt légitime de Récréo à protéger son service et les utilisateurs. Leur accès est réservé aux personnes chargées de ces missions ; elles ne doivent pas servir à une surveillance sans rapport avec cette finalité.

Les échanges nécessaires au suivi d’une demande ou d’un contrat sont distingués de la prospection commerciale. L’acceptation des CGU ou de la présente politique ne vaut pas consentement à recevoir de la publicité. Toute prospection nécessitant un consentement doit faire l’objet d’un choix distinct et révocable ; vous pouvez vous opposer aux sollicitations commerciales auprès de contact@recreo.fr.

3. Données gérées pour les structures

ACM peut concerner les inscriptions, familles, enfants et présences ; Adhésion les membres et leurs démarches ; RH les salariés, leur temps et leurs absences. Le service stocke notamment des informations relatives aux familles, des justificatifs médicaux et des bulletins de paie selon les modules et usages. Les catégories exactes et leur nécessité doivent être détaillées par votre structure ; il ne s’agit pas d’une autorisation générale de déposer tout document sensible.

Les informations de santé et autres catégories particulières exigent des conditions spécifiques. Une case générique d’acceptation de la politique ne suffit pas à autoriser tout traitement sensible. Ne transmettez pas de pièces étrangères à la démarche demandée.

4. Caractère obligatoire et provenance

Les champs indispensables sont signalés au moment de la collecte avec la conséquence de leur absence. Les champs facultatifs sont identifiés comme tels. Vos informations peuvent provenir de vous, d’un administrateur de votre structure ou d’un import autorisé ; l’information précise la provenance pertinente lorsque les données ne sont pas recueillies directement auprès de vous.

5. Destinataires

Les données sont accessibles aux personnes habilitées en fonction de leur mission, dans la structure et, pour les interventions nécessaires, chez Récréo. Les prestataires n’accèdent qu’aux informations nécessaires à leurs services dans un cadre contractuel adapté.

OVH fournit l’hébergement applicatif et la messagerie. Stripe traite les informations nécessaires aux paiements et à la facturation ; pour certaines opérations, notamment ses obligations réglementaires et la prévention de la fraude, Stripe poursuit ses propres finalités. Ses informations sont accessibles à https://stripe.com/fr/privacy. Les sauvegardes internes sur le NAS d’Andyvie sont accessibles aux seules personnes habilitées à les administrer. Les autorités compétentes peuvent recevoir les informations dont la communication est légalement obligatoire.

Aucune vente de données ni réutilisation pour l’entraînement d’un modèle d’IA n’est autorisée par la seule utilisation du service.

6. Localisation et transferts

Les serveurs applicatifs OVH sont hébergés en France ; les sauvegardes sont réalisées sur un NAS dans les locaux de l’Association Andyvie. La messagerie est fournie par OVH. La localisation de l’hébergement applicatif ne signifie pas que toutes les opérations de paiement sont réalisées en France.

Les services Stripe impliquent des traitements internationaux, notamment aux États-Unis. Stripe décrit les garanties applicables à https://stripe.com/fr/legal/privacy-center et https://stripe.com/fr/legal/data-transfers, notamment les décisions d’adéquation et les clauses contractuelles types selon le transfert. Vous pouvez obtenir des informations et une copie des garanties pertinentes en écrivant à contact@recreo.fr. Tout autre transfert soumis au chapitre V du RGPD doit être identifié et encadré avant sa réalisation.

7. Durées de conservation

Les données sont conservées pendant la durée nécessaire à chaque finalité, puis effacées ou archivées lorsque cela est justifié. La gratuité ou sa fin ne constitue pas une durée universelle de conservation.

Les demandes de contact sont conservées pendant leur traitement et le suivi nécessaire de l’échange ; les données de prospection ne sont pas conservées au-delà de trois ans après le dernier contact émanant de la personne. Les comptes et habilitations sont conservés pendant la période d’accès autorisée. À son terme, seules les informations nécessaires à la preuve et à la défense des droits sont archivées avec un accès restreint pendant le délai de prescription applicable. Les pièces comptables soumises à l’obligation de conservation sont conservées dix ans à compter de la clôture de l’exercice. Les traces de sécurité sont limitées à la période nécessaire à la détection et à l’analyse des incidents ; lorsqu’un incident ou un litige justifie une conservation plus longue, les seuls éléments utiles sont isolés jusqu’à sa résolution et l’expiration des délais de recours applicables. Les sauvegardes ont une durée de conservation d’un mois à compter de leur création.

À la fin de l’abonnement ou de la gratuité sans souscription, le compte passe en lecture seule. Une conservation d’un an au maximum après la fin de l’accès actif est proposée à la structure pour la consultation et la récupération, sous ses instructions documentées. Elle peut demander un effacement anticipé. Les sauvegardes expirent selon leur rétention d’un mois ; les instructions d’effacement doivent être réappliquées en cas de restauration. Les durées des données gérées pour les structures sont définies par celles-ci selon leurs finalités et obligations. Les données soumises à une conservation légale peuvent subsister en archivage restreint après fermeture d’un compte.

8. Vos droits

Selon les conditions prévues par le RGPD, vous pouvez exercer des droits d’accès, rectification, effacement, limitation, opposition et portabilité. Lorsque le traitement repose sur le consentement, vous pouvez le retirer sans remettre en cause la licéité des opérations antérieures. Certains droits ne s’appliquent pas à tous les traitements.

Adressez votre demande à contact@recreo.fr pour ses traitements propres, ou à votre structure pour les siens. Si nécessaire, votre demande est orientée vers le bon interlocuteur. Les vérifications d’identité restent proportionnées et une copie de pièce d’identité n’est pas systématiquement exigée.

Une réponse est apportée en principe dans le délai d’un mois ; en cas de prolongation légalement justifiée, vous êtes informé dans ce premier délai du motif et de la durée supplémentaire. Vous pouvez adresser une réclamation à la CNIL : https://www.cnil.fr/fr/plaintes.

9. Décisions automatisées et traceurs

Les décisions d’admission à une activité, d’adhésion ou de gestion du personnel relèvent de votre structure. Tout traitement exclusivement automatisé produisant des effets juridiques ou similaires significatifs doit faire l’objet de l’information spécifique et des garanties prévues par le RGPD ; l’acceptation de cette politique ne l’autorise pas à elle seule.

Les traceurs strictement nécessaires à une fonction demandée, notamment la connexion ou la sécurité, sont distingués des traceurs facultatifs. Les traceurs soumis à consentement ne doivent être utilisés qu’après votre choix, avec une possibilité de refus et de retrait aussi simple que l’acceptation. Les informations sur leur finalité, leur fournisseur et leur durée doivent être présentées au point de collecte. L’acceptation des CGU ne remplace pas ce choix.

10. Sécurité et mise à jour

Récréo s’engage à protéger les données par des mesures adaptées aux risques. L’accord de sous-traitance précise les engagements relatifs à l’hébergement, aux accès, aux sauvegardes et aux incidents. Vous pouvez signaler un incident à contact@recreo.fr.

Les changements significatifs de cette politique sont portés à votre connaissance de façon adaptée. La version et la date de mise à jour permettent d’identifier l’information applicable.