Politique de confidentialité

La présente politique décrit la manière dont Konclav (« nous ») traite les données personnelles dans le cadre de son application et de son site internet. Elle est rédigée conformément à la nouvelle loi fédérale suisse sur la protection des données (nLPD) et, lorsqu'il s'applique, au Règlement général sur la protection des données (RGPD, UE 2016/679).

Konclav agit dans deux rôles distincts :

1. Pour les données que votre association saisit dans l'application (membres, tâches, documents, cotisations, etc.), c'est votre association qui est responsable du traitement. Konclav agit comme sous-traitant : nous hébergeons et traitons ces données pour son compte, selon ses instructions, dans le cadre d'un contrat de sous-traitance des données.

2. Pour les données que nous collectons en propre (compte d'administration, facturation, navigation sur le site, e-mails de contact), nous sommes responsables du traitement. C'est ce rôle que décrit principalement la présente politique.

1. Responsable du traitement

• Éditeur : Kévin Perret (« Konclav »)
• Adresse : Avenue du Grand-Champsec 2, 1950 Sion, Suisse
• Contact protection des données : contact@konclav.ch

2. Quelles données nous traitons et dans quel but

2.1 Données de compte et d'utilisation de l'application

Donnée	Finalité	Base légale
Nom, prénom, adresse e-mail	Création et gestion du compte, authentification	Exécution du contrat
Mot de passe (haché)	Sécurité de l'accès	Exécution du contrat
Jetons d'authentification Supabase (JWT, refresh)	Maintien de la session authentifiée	Exécution du contrat
Téléphone, photo de profil, biographie (facultatifs)	Personnalisation du profil dans l'annuaire	Consentement (saisie libre par le membre, révocable à tout moment dans le profil)
Date de naissance	Gestion des membres (vérification d'âge / éligibilité) et affichage dans l'annuaire interne de l'association — visible des autres membres de la même association	Exécution du contrat
Adresse postale	Gestion administrative des membres (registre des membres, correspondance de l'association) — accès limité au membre concerné et au comité de l'association	Exécution du contrat
Rôle et appartenance à des pôles	Gestion des droits d'accès	Exécution du contrat
Date et heure de dernière connexion	Sécurité	Intérêt légitime
Jeton de notification (identifiant technique de l'appareil)	Envoi des notifications push fonctionnelles	Exécution du contrat ; activation des notifications par le membre dans les réglages du système d'exploitation

2.2 Données métier saisies dans l'application

Selon les fonctionnalités utilisées par votre association : tâches, événements d'agenda, documents, cotisations, notes de frais (y compris IBAN pour les remboursements), sondages, procès-verbaux d'assemblée et signatures électroniques lors des votations. Pour ces données, votre association est responsable du traitement (voir l'encadré en tête de document) ; adressez vos demandes les concernant directement au comité de votre association.

2.3 Données de facturation

La facturation est établie manuellement (facture réglée par virement bancaire) ; nous traitons à cette fin les coordonnées de facturation de l'association (nom, adresse, personne de contact). Nous ne traitons aucune donnée de carte bancaire et ne faisons appel à aucun prestataire de paiement tiers.

2.4 Données de navigation sur le site konclav.ch

Le site vitrine traite un minimum de données :

• Journaux serveur (adresse IP, date/heure, pages consultées, type de navigateur), générés par notre hébergeur Infomaniak (Suisse) pour la sécurité et le bon fonctionnement du site. Base légale : intérêt légitime à la sécurité du système (art. 31 al. 2 let. d nLPD ; art. 6 §1 f RGPD). Durée : 30 jours maximum (cf. section 7) ;
• Formulaire d'inscription : les informations que vous y saisissez (nom de l'association, nom et e-mail du contact, canton, etc.) sont stockées dans notre base de données (Supabase, Zurich) afin de traiter votre demande ; une notification e-mail nous est transmise via Resend (voir section 6) ;
• Mesure d'audience et polices d'écriture : voir la section 8.

3. Données sensibles

L'application ne collecte pas activement de catégories de données sensibles au sens de l'art. 5 nLPD / art. 9 RGPD : il n'existe aucun champ dédié à des données de santé, à la date de naissance, à des opinions politiques, religieuses ou syndicales, ni à des données biométriques d'identification.

Toutefois, certaines fonctionnalités comportent des champs de texte libre (descriptions de tâches, documents, biographies, forums) dans lesquels une association pourrait, de sa propre initiative, saisir de telles données. La responsabilité du contenu saisi incombe à l'association. Nous recommandons de ne pas y inscrire de données sensibles sans base légale appropriée.

Les signatures électroniques manuscrites recueillies lors des assemblées générales sont traitées pour la tenue régulière des procès-verbaux ; elles ne sont accessibles qu'aux personnes habilitées de l'association.

4. Données de mineurs

L'application ne collecte pas d'information d'âge et n'est pas conçue pour recueillir directement le consentement de mineurs. Lorsqu'une association encadre des mineurs (p. ex. équipes de jeunes), il lui appartient, en tant que responsable du traitement, de recueillir par écrit le consentement du représentant légal avant l'ouverture d'un compte au nom d'un mineur, et de limiter les données saisies au strict nécessaire. À titre indicatif, l'âge à partir duquel un mineur peut consentir seul à un traitement dans le contexte des services de la société de l'information est de 16 ans en droit européen ; la pratique suisse retient généralement 15 ans. En dessous de cet âge, le consentement parental est requis.

Sur demande adressée à contact@konclav.ch, Konclav fournit à l'association un modèle d'autorisation parentale.

5. Destinataires et sous-traitants

Nous faisons appel aux prestataires suivants, encadrés par des contrats de sous-traitance :

Prestataire	Rôle	Localisation
Supabase	Base de données, authentification, stockage de fichiers de l'application ; demandes d'inscription et mesure d'audience anonyme du site	Suisse (Zurich)
Expo, Google (FCM), Apple (APNs)	Acheminement technique des notifications push	États-Unis (voir section 6)
Resend	Envoi d'e-mails transactionnels de l'application	États-Unis (voir section 6)
Infomaniak	Hébergement du site vitrine konclav.ch	Suisse

Nous ne vendons ni ne louons vos données. Nous n'utilisons aucun outil de publicité ni de pistage comportemental tiers (voir section 8).

6. Transferts hors de Suisse / de l'UE

Les données applicatives (base de données, fichiers) et le site vitrine sont hébergés en Suisse. Le traitement principal n'implique aucun transfert hors de Suisse.

Certains traitements transitent par des serveurs situés aux États-Unis : l'envoi des notifications push (Expo, Google, Apple — données limitées à un identifiant d'appareil et au contenu de la notification) et l'envoi de certains e-mails (Resend, y compris la notification de réception d'une demande d'inscription). Ces transferts sont encadrés par les garanties prévues par la loi — selon le prestataire, adhésion au Data Privacy Framework UE–États-Unis et/ou clauses contractuelles types.

7. Durées de conservation

Données	Durée
Compte et profil	Pendant la durée du compte ; supprimées sous 30 jours après suppression du compte ou fin du contrat de l'association
Données métier (tâches, événements…)	Selon les besoins de l'association ; supprimables par celle-ci
Cotisations et notes de frais	Selon les obligations comptables de l'association (jusqu'à 10 ans, art. 958f CO)
Archive des membres supprimés	1 an, puis suppression automatique
Journal d'audit administrateur (actions sensibles)	Conservé de façon immuable pendant 3 ans, puis purgé par lot ; conservé plus longtemps en cas de procédure judiciaire en cours
Jetons de notification	Supprimés à la déconnexion
Jetons d'authentification Supabase	Durée de vie technique (rotation automatique) ; révocables à la déconnexion
Journaux serveur web (site konclav.ch)	30 jours maximum, puis suppression ou agrégation anonyme ; conservés plus longtemps uniquement en cas d'incident de sécurité documenté
Demandes d'inscription (formulaire du site)	12 mois après le dernier échange si la demande n'aboutit pas, puis suppression
Mesure d'audience du site (données anonymes, non personnelles)	13 mois, puis suppression automatique
E-mails reçus à contact@konclav.ch	3 ans après le dernier échange, puis suppression ; conservés plus longtemps si nécessaires à la défense d'une réclamation

8. Cookies et traceurs

L'application mobile Konclav n'utilise aucun cookie ni traceur publicitaire, ni aucun outil d'analyse comportementale tiers (ni Google Analytics, ni Firebase Analytics, ni équivalent).

Concernant le site internet konclav.ch :

• aucun cookie publicitaire ni traceur comportemental ;
• mesure d'audience interne, développée par nos soins et hébergée sur notre infrastructure en Suisse (Supabase, Zurich) : sans cookie, sans identifiant durable et sans collecte de données permettant de vous identifier. Votre adresse IP et votre navigateur ne sont jamais enregistrés — ils servent uniquement à calculer une empreinte anonyme irréversible, renouvelée chaque jour, qui rend impossible tout suivi au-delà de 24 heures (pas de profil, pas de suivi entre sites) ;
• polices d'écriture : la police Inter est auto-hébergée sur konclav.ch (paquet @fontsource/inter) — aucun appel à Google Fonts, aucune adresse IP transmise à Google.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles, notamment :

• chiffrement en transit (HTTPS/TLS) pour toutes les communications ;
• cloisonnement strict des données entre associations (chaque association n'accède qu'à ses propres données, via un contrôle d'accès au niveau de la base de données — Row-Level Security) ;
• contrôle d'accès par rôles (administrateur, responsable, membre) ;
• accès restreint aux fichiers (liens signés à durée de validité limitée) ;
• journal d'audit immuable des actions sensibles d'administration ;
• authentification obligatoire pour accéder aux données de l'application ; aucun accès anonyme aux données d'une association. La consultation du site marketing konclav.ch reste publique.

10. Accès aux données par Konclav et coopération avec les autorités

Konclav n'est pas un service chiffré de bout en bout. Les données saisies dans l'application (messages, documents, procès-verbaux, fichiers, etc.) sont stockées en clair et restent techniquement accessibles à l'éditeur.

L'éditeur s'engage à ne pas consulter le contenu des données d'une association en dehors des cas strictement nécessaires suivants :

• Support technique : à la demande de l'association, pour diagnostiquer ou résoudre un incident ;
• Sécurité du Service : investigation d'un incident de sécurité, d'une activité suspecte ou d'une atteinte aux mesures techniques ;
• Modération : à la suite d'un signalement portant sur un contenu présumé illicite ou contraire aux CGU ;
• Obligation légale : exécution d'une réquisition, décision judiciaire ou demande d'une autorité compétente.

Ces accès sont limités au strict minimum nécessaire.

Demandes des autorités. En cas de réquisition par une autorité judiciaire ou administrative compétente (procureur, police agissant sur ordre, autorité de protection des données, etc.), Konclav est tenu de fournir les données demandées dans les limites fixées par la loi. Dans la mesure où cela est juridiquement possible, l'association concernée est informée d'une telle demande.

Signalement de contenus manifestement illicites. Si, à l'occasion d'un accès légitime mentionné ci-dessus, Konclav constate un contenu manifestement illicite (apologie de la violence, contenu pédopornographique, incitation à la haine, etc.), il se réserve le droit, conformément à la loi, de procéder aux signalements appropriés auprès des autorités compétentes et de conserver les éléments nécessaires à la procédure.

11. Vos droits

Conformément à la nLPD et au RGPD, vous disposez des droits suivants :

• accès à vos données ;
• rectification : vous pouvez modifier vos informations de profil directement dans l'application ;
• suppression : vous pouvez supprimer votre compte directement depuis l'application (« Profil → Supprimer mon compte ») ou en écrivant à contact@konclav.ch depuis l'adresse liée à votre compte — détails sur notre page dédiée à la suppression de compte. Certains contenus collectifs que vous avez créés (tâches, événements, commentaires) sont conservés sous forme anonymisée pour préserver l'historique de l'association ;
• opposition et limitation du traitement ;
• portabilité (RGPD) ;
• droit de retirer votre consentement à tout moment pour les traitements fondés sur celui-ci (en supprimant le contenu des champs facultatifs de votre profil — téléphone, photo, biographie) ; le retrait n'affecte pas la licéité des traitements antérieurs.

Un export self-service complet n'étant pas encore proposé, les demandes d'accès et de portabilité sont traitées manuellement, sur demande à contact@konclav.ch.

Pour les droits portant sur des données saisies par votre association, adressez-vous au comité de celle-ci (responsable du traitement). Pour les données dont Konclav est responsable, écrivez à contact@konclav.ch.

12. Réclamation auprès de l'autorité

• Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne — www.edoeb.admin.ch
• Union européenne : l'autorité de contrôle de votre pays de résidence (p. ex. la CNIL en France).

13. Modifications

Nous pouvons modifier la présente politique. Toute modification substantielle sera communiquée par les canaux appropriés. La date de dernière mise à jour figure en tête de document.

14. Contact

Pour toute question relative à la protection des données : contact@konclav.ch.