Politique de confidentialité

Dernière mise à jour : 10 octobre 2026

La présente politique décrit comment benevol.app, éditée par Philippe Vollenweider, particulier (« nous »), collecte, utilise et protège les données personnelles dans le cadre de son Service de gestion de bénévoles.

1. Qui traite quoi ?

benevol.app est à la fois responsable du traitement et sous-traitant, selon les données :

• Données des administrateurs d'Organisations (nom, e-mail, mot de passe) : benevol.app est responsable du traitement.
• Données des bénévoles (nom, e-mail, disponibilités, présences) : l'Organisation est responsable du traitement ; benevol.app est sous-traitant agissant sur instruction de l'Organisation.

2. Données que nous traitons en qualité de responsable

2.1 Administrateurs

Faites défiler le tableau horizontalement.

2.2 Demandes d'espace et prévention des abus

Faites défiler le tableau horizontalement.

Une demande bloquée ou trop rapide reçoit la même réponse que les autres, et rien n'est enregistré. L'e-mail de confirmation ne reprend aucun texte saisi dans le formulaire.

2.3 Cookies et stockage local

Nous utilisons un cookie de session (NextAuth) strictement nécessaire à l'authentification. Aucun cookie de pistage, analytique ou publicitaire n'est déposé.

L'interface publique (formulaires bénévoles) utilise le localStorage du navigateur pour mémoriser temporairement une session locale (sans compte), ainsi que le prénom, le nom, l'email et le téléphone de la dernière inscription, pour ne pas les ressaisir sur un autre événement. Ces données restent sur l'appareil de l'utilisateur ; elles s'effacent avec « Ce n'est pas moi, effacer » ou « Quitter la session ».

3. Données que nous traitons en qualité de sous-traitant

Les données que les Organisations collectent sur leurs bénévoles (nom, e-mail, disponibilités, présences, notes éventuelles) sont traitées exclusivement pour le compte de l'Organisation concernée.

En tant que sous-traitant, nous nous engageons à :

• ne traiter ces données que sur instruction documentée de l'Organisation ;
• ne pas les vendre, louer ou partager avec des tiers non autorisés ;
• assurer une séparation stricte des données entre Organisations (isolation multi-locataire) ;
• notifier l'Organisation sans délai injustifié en cas de violation de données la concernant ;
• supprimer ou restituer les données sur demande de l'Organisation à l'issue du contrat.

Les Organisations restent seules responsables de l'information des bénévoles sur le traitement de leurs données, de la base légale applicable et du respect du RGPD ou de toute réglementation nationale applicable.

Ces engagements sont détaillés dans l'accord de sous-traitance (art. 28 RGPD et art. 9 nLPD), qui s'applique à toute Organisation utilisant le Service.

4. Transferts et sous-traitants

Les données sont hébergées sur des serveurs situés en Union européenne (France), à l'exception de la copie de sauvegarde hors site décrite ci-dessous. Nous faisons appel aux sous-traitants techniques suivants :

• Hébergeur & base de données : Kimsufi / OVH (France) — hébergement de l'application et de la base de données PostgreSQL auto-hébergée
• Service e-mail transactionnel : Gandi (France) — envoi des notifications
• Suivi des erreurs techniques : Sentry (région Union européenne, Allemagne) — reçoit les rapports d'erreur de l'application (message d'erreur, page concernée sans ses jetons d'accès, type de navigateur) et, pour une partie des sessions, un enregistrement de la navigation dont les textes et les médias sont masqués. Aucun cookie ni en-tête de requête n'est transmis.
• Copie de sauvegarde hors site : Infomaniak (offre Swiss Backup, stockage en Suisse) reçoit chaque nuit une copie de la base de données. Cette copie est chiffrée sur notre serveur avant l'envoi. Infomaniak n'a pas la clé. Jusqu'au 5 octobre 2026, cette copie allait chez Dropbox (stockage aux États-Unis), chiffrée de la même façon. Dropbox ne reçoit plus aucune copie, et les anciennes copies y sont en cours de suppression.

L'hébergeur, le service e-mail et le suivi des erreurs sont liés par un accord de traitement de données conforme aux exigences du RGPD. L'accord de traitement d'Infomaniak pour Swiss Backup est en cours de vérification. Jusqu'à leur suppression, les anciennes copies sur Dropbox relèvent d'un compte personnel, sans accord de traitement spécifique ; les transferts vers les États-Unis reposent sur les garanties que Dropbox déclare appliquer (clauses contractuelles types, Data Privacy Framework).

La liste des sous-traitants précise, pour chacun, les données concernées, la localisation et les garanties en place. Tout ajout ou remplacement est annoncé à l'avance aux Organisations, comme le prévoit l'accord de sous-traitance.

5. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des communications (HTTPS/TLS) ;
• Mots de passe hashés (bcrypt, facteur de coût 12) ;
• Isolation des données entre Organisations (multi-tenancy strict) ;
• Tokens de réinitialisation de mot de passe à usage unique, expirés après 1 heure ;
• Accès à la base de données restreint aux composants applicatifs ;
• Sauvegardes régulières chiffrées.

Le Service est fourni gratuitement et en l'état. Malgré nos efforts, aucune mesure de sécurité n'est infaillible.

6. Droits des personnes concernées

Conformément à la loi fédérale suisse sur la protection des données (nLPD) et, le cas échéant, au RGPD, vous disposez des droits suivants :

• Droit d'accès, de rectification et d'effacement de vos données ;
• Droit à la portabilité ;
• Droit d'opposition et de limitation du traitement ;
• Droit d'introduire une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), ou de l'autorité de contrôle compétente dans votre pays.

Pour les administrateurs : exercez vos droits à contact@benevol.app.

Pour les bénévoles : vos données étant contrôlées par l'Organisation qui vous a invité(e), adressez votre demande directement à cette Organisation. Nous transmettrons toute demande reçue par erreur à l'Organisation concernée dans un délai de 72 heures.

7. Conservation des données

Les données des bénévoles sont conservées tant que l'Organisation maintient son compte sur la plateforme. Elles sont supprimées dans un délai de 30 jours suivant la désactivation du compte de l'Organisation par l'opérateur du service.

Pour un événement terminé depuis plus de 3 ans, les données des bénévoles peuvent être anonymisées : leur nom, leur adresse email et leur téléphone sont retirés des inscriptions, et leurs commentaires et réponses aux questions sont effacés. Cette règle s'applique lorsque l'opérateur du service l'active. L'Organisation est alors prévenue 30 jours avant la première anonymisation. Le détail figure dans la liste ci-dessous, à la ligne « Événement terminé depuis plus de 3 ans ».

Un espace qui n'est plus utilisé depuis 18 mois et qui n'a aucun événement prévu peut être désactivé. Cette règle s'applique lorsque l'opérateur du service l'active. Avant toute désactivation, les administrateurs de l'Organisation reçoivent trois messages en 60 jours ; un clic sur « Conserver mon organisation » suffit pour garder l'espace. Sans réponse, l'espace est désactivé 75 jours après le premier message. Ses données sont gardées, et ses administrateurs peuvent le réactiver eux-mêmes depuis la page de connexion.

Le compte d'un administrateur retiré de l'équipe est supprimé immédiatement. Les comptes des administrateurs d'une Organisation sont supprimés avec elle, 30 jours après sa désactivation par l'opérateur du service. Une invitation d'administrateur non acceptée est supprimée 30 jours après son dernier envoi.

Plus précisément :

• membres, événements (dont le contact le jour J, nom et téléphone), créneaux, inscriptions (dont la preuve d'acceptation de la convention des bénévoles pour une inscription publique : empreinte du texte accepté et date), versions de la convention déjà montrées à des bénévoles (texte par empreinte), pages, journaux d'activité, comptes administrateurs, doublons possibles ignorés, logo de l'organisation : tant que l'organisation est active, événements passés compris, sauf les données des bénévoles d'un événement terminé depuis plus de 3 ans (ligne « Événement terminé depuis plus de 3 ans ») ; effacés 30 jours après sa désactivation par l'opérateur (délai compté depuis la dernière modification de l'organisation désactivée) ; une organisation sans activité depuis 18 mois suit la ligne « Organisation désactivée faute d'activité » ;
• les mêmes données, pour une organisation suspendue pour abus (envoi de spam, contenu abusif) ; la raison de la suspension, notée par l'opérateur : conservées pendant la suspension, jusqu'à la décision de l'opérateur : levée de la suspension (la règle ordinaire s'applique alors) ou suppression définitive ;
• les mêmes données, pour une organisation désactivée faute d'activité : 18 mois sans activité et sans événement prévu, puis trois messages à ses administrateurs (« Souhaitez-vous conserver votre espace ? » et deux rappels) restés sans réponse 75 jours : conservées tant qu'elle est désactivée ; une réponse, une activité ou un événement prévu arrête la procédure avant la désactivation ;
• demande d'espace faite sur le site : nom de l'association, sa description et son besoin, nom et adresse email de la personne : 7 jours après la demande, confirmée ou non (l'espace et le compte créés, et la description gardée sur la fiche de l'espace pour l'opérateur, suivent ensuite les règles de l'organisation ; un espace dont le mot de passe n'a jamais été choisi est effacé avec son compte 30 jours après sa création) ;
• liste de blocage des inscriptions : adresse email ou domaine bloqué, empreinte d'une adresse IP (jamais l'adresse elle-même), raison : jusqu'au retrait par l'opérateur ou jusqu'à l'échéance choisie ; une adresse IP est toujours bloquée pour une durée limitée, 90 jours au plus ;
• journal des décisions de l'opérateur : espace validé, refusé, suspendu, désactivé ou supprimé (nom et identifiant de l'espace), ajout ou retrait de la liste de blocage (adresse ou domaine bloqué, jamais une adresse IP en clair), raison donnée, auteur et date : 365 jours après la décision ;
• événement supprimé par un administrateur : effacé immédiatement, avec ses créneaux, inscriptions, invitations, réponses aux questions, responsables, pages, jalons, messages ciblés et son journal ;
• organisation supprimée par l'opérateur du service : effacée immédiatement, avec ses membres et ses administrateurs ;
• fiche absorbée par une fusion de membres : fiche inactive sans donnée personnelle, le temps que les anciens identifiants restent résolus : 30 jours après la fusion ;
• événement terminé depuis plus de 3 ans : sur ses inscriptions, l'identité des bénévoles (nom, email, téléphone, par leur fiche de membre), leurs commentaires et téléphones ; ses réponses aux questions, invitations et responsables de secteur : anonymisées 3 ans après la fin de l'événement : ses inscriptions passent à une fiche « Bénévole effacé » par personne, sans lien avec sa fiche de membre (effectifs, heures et présences gardés, sans nom), le reste est effacé ; l'événement lui-même (titre, dates, créneaux, totaux) et les fiches des membres restent. L'organisation est prévenue 30 jours avant la première anonymisation, puis les événements qui atteignent 3 ans sont anonymisés chaque mois. Règle appliquée lorsque l'opérateur du service l'active ;
• membres retirés, inscriptions annulées ou refusées, questions archivées : tant que l'organisation existe (tant que leur événement existe pour les inscriptions et les questions), sauf anonymisation 3 ans après la fin de l'événement (ligne précédente) et effacement des données personnelles d'un membre à sa demande (ligne suivante) ;
• données personnelles d'un membre dont l'effacement est demandé : nom, email, téléphone, date de naissance, notes, étiquettes, disponibilités, commentaires et téléphones de ses inscriptions, invitations (dont « pas disponible »), réponses aux questions, abonnements aux notifications, désignations comme responsable de secteur à son adresse, emails en file d'envoi qui la concernent, résultats d'envoi : effacées immédiatement ; la fiche devient « Bénévole effacé » et ses inscriptions restent, sans identité, pour les effectifs, les heures et l'historique ;
• emails en file d'envoi (destinataire et contenu) : effacés chaque nuit une fois partis ; ceux en échec ou annulés 30 jours après leur mise en file ;
• résultats d'envoi par destinataire : statut accepté/rejeté/échec, motif normalisé, codes, empreinte de l'adresse : 30 jours ;
• messages ciblés (objet, texte, public, nombres) : 365 jours, ou avec l'événement ;
• invitations d'administrateur non acceptées : effacées 30 jours après leur dernier envoi ;
• administrateur retiré de l'équipe : effacé immédiatement ;
• bénévoles sans organisation ni inscription : effacés au nettoyage suivant ;
• sauvegardes chiffrées de la base : 30 jours sur le serveur, 90 jours en copie hors site ;

Une Organisation peut à tout moment exporter ses données (archive JSON d'un événement, membres et journal d'activité en CSV) depuis son espace d'administration, sans demande préalable.

8. Modifications

Nous pouvons mettre à jour cette politique à tout moment. La date de dernière mise à jour est indiquée en haut du document. Pour les modifications substantielles, nous notifierons les administrateurs par e-mail.

9. Contact

Pour toute question relative à cette politique ou à l'exercice de vos droits : contact@benevol.app