Protection des données.

1. Responsable et rôles

Le responsable au sens de la nLPD pour l’exploitation de la plateforme du répertoire est :

Bontem von Vogt, Seidenstrasse 21, 8853 Lachen, Suisse.
E-mail : levin@bontem.ch.

Bontem exploite le répertoire ainsi que les pages publiques de profil et d’événements. Le contenu d’une inscription (description, coordonnées, localisation, événements) relève de la responsabilité de l’association concernée. Dès qu’une personne s’inscrit par notre intermédiaire à une manifestation ou adresse une demande d’adhésion, nous transmettons ses indications à l’association concernée. À partir de ce moment, l’association est elle-même responsable du traitement ultérieur de ces données (p. ex. confirmation, déroulement de la manifestation, admission comme membre) ; Bontem n’intervient à cet égard qu’en tant que transmetteur.

2. Quelles données nous traitons

Selon l’utilisation, nous traitons en particulier les catégories de données suivantes :

• Données de l’association et de l’inscription (onboarding) : nom de l’association, catégorie, année de fondation, nombre approximatif de membres, adresse du siège de l’association, description ainsi qu’une adresse e-mail de l’association pour la gestion de l’inscription (lien de gestion).
• Profil public de l’association : indications que l’association autorise à publier, telles que description, logo, adresse de contact publique, numéro de téléphone public, adresse des manifestations, coordonnées de localisation (carte), liens et personnes de contact.
• Inscription à un événement sans connexion : nom, e-mail et téléphone de la personne qui s’inscrit, remarques facultatives ainsi que, sur demande, des indications sur les personnes accompagnantes (nom, e-mail, téléphone).
• Demandes d’adhésion et d’essai : nom, e-mail et téléphone de la personne qui adresse la demande, en cas de demande d’adhésion également, à titre facultatif, l’année de naissance et l’adresse du domicile, ainsi qu’un texte libre sur la motivation.
• Allergies et indications relatives à la restauration : ne sont collectées que si l’association les demande pour une manifestation. De telles indications peuvent constituer des données sensibles relatives à la santé (voir le chiffre 4).
• Données de contact et de signalement : indications que vous nous transmettez volontairement lors d’une demande de contact ou d’un signalement (p. ex. le signalement d’une inscription).
• Téléversements de logo : un logo téléversé par l’association (fichier image) dans le cadre du profil public.
• Données techniques : adresse IP et horodatage, exclusivement pour garantir l’exploitation, prévenir les abus et limiter le taux de requêtes (limites de débit) sur les formulaires publics.
• Journaux du serveur et badge sur les sites des associations : À chaque accès à bontem.ch, notre hébergement (Google Cloud, voir chiffre 9) enregistre techniquement l’adresse IP, l’heure, l’adresse consultée, le navigateur et la page référente. Cela vaut aussi pour le badge que les associations peuvent intégrer sur leur propre site : lorsque quelqu’un ouvre un tel site, le navigateur charge l’image du badge depuis bontem.ch, et notre serveur reçoit à cette occasion ces indications, comme page référente donc l’adresse du site de l’association. Le badge est une image sans script et ne place aucun cookie. Nous utilisons les journaux uniquement pour l’exploitation, la recherche d’erreurs et la prévention des abus, pas pour la mesure d’audience, et ils sont supprimés après 30 jours.
• Recommandations : Une association inscrite peut recommander Bontem à une autre association et indique pour cela son nom, son NPA, sa localité et son adresse e-mail. Nous envoyons un seul e-mail à cette adresse, y citons l'association qui recommande et proposons un lien pour s'inscrire et un lien pour se désinscrire. Qui se désinscrit ne reçoit plus jamais de recommandation ; nous enregistrons l'adresse à cette fin sur une liste de blocage. Si l'association recommandée s'inscrit, nous enregistrons qui l'a recommandée. Sans inscription, nous supprimons le nom, la localité et l'adresse après 12 mois.

3. D’où proviennent les données des associations

Les indications du répertoire proviennent de l’association elle-même. Elle inscrit son association, toutes les indications viennent d’elle, et c’est elle qui décide de ce qui devient public.

4. Les allergies en tant que données sensibles

Les indications relatives aux allergies ou aux intolérances peuvent constituer des données relatives à la santé et donc des données personnelles sensibles au sens de l’art. 5 let. c nLPD. Nous ne les collectons que si l’association en a besoin pour le déroulement d’une manifestation concrète, et uniquement dans la mesure nécessaire à cette fin (minimisation des données).

Avant d’envoyer une inscription comportant de telles indications, vous confirmez, au moyen d’un consentement séparé et explicite, que ces indications peuvent être traitées en vue du déroulement de la manifestation et transmises à l’association. Cette indication est facultative ; en l’absence d’indication d’allergie, ce consentement ne s’applique pas. Vous pouvez révoquer en tout temps un consentement donné, avec effet pour l’avenir.

5. Indications de mineurs et les concernant

De nombreuses associations du répertoire s’adressent à des enfants et à des jeunes. Les inscriptions et les demandes d’adhésion concernant une personne mineure doivent donc être remplies par une personne détentrice de l’autorité parentale ou effectuées avec son accord. Cela vaut en particulier lorsque des indications sur les allergies ou la restauration sont collectées (chiffre 4) : seule une personne mesurant la portée de cette décision peut consentir au traitement de données sensibles.

Nous ne vérifions pas techniquement l’âge de la personne qui s’inscrit et ne pourrions pas le vérifier de manière fiable. Si nous apprenons que des indications concernant un enfant ont été transmises sans l’accord des détenteurs de l’autorité parentale, nous les supprimons. Les détenteurs de l’autorité parentale peuvent en tout temps demander des renseignements ou faire procéder à la suppression à l’adresse levin@bontem.ch.

6. Finalités du traitement

• Mise à disposition du répertoire public des associations et de l’aperçu des événements.
• Réception et transmission des inscriptions sans connexion à l’association organisatrice.
• Réception et transmission des demandes d’adhésion et d’essai à l’association concernée.
• Gestion de l’inscription par l’association au moyen d’un lien magique (sans compte).
• Envoi des e-mails correspondants (accusé de réception, lien de gestion).
• Garantie de la sécurité, de la stabilité et de la prévention des abus.

7. Base légale

Le traitement repose, selon le cas, sur l’intérêt légitime à l’exploitation d’un répertoire fonctionnel et sûr, sur l’exécution de la demande que vous avez initiée (p. ex. la transmission de votre inscription) ou sur votre consentement. Pour les données relatives aux allergies et à la santé, nous recueillons un consentement explicite (voir le chiffre 4). Un consentement peut être révoqué en tout temps, avec effet pour l’avenir.

8. Données visibles publiquement

Les indications autorisées à la publication dans le profil de l’association sont consultables publiquement et lisibles par machine via le répertoire. Cela concerne en particulier l’adresse de contact publique, le numéro de téléphone public, l’adresse des manifestations, les coordonnées de localisation ainsi que les personnes de contact mentionnées. L’adresse e-mail interne de l’association servant à la gestion de l’inscription n’est pas affichée publiquement. Les indications issues d’une inscription à un événement ou d’une demande d’adhésion ne sont pas rendues publiques, mais uniquement transmises à l’association concernée.

9. Sous-traitants et services tiers

Nous faisons appel à des prestataires soigneusement sélectionnés qui traitent les données sur notre mandat et selon nos instructions :

• Resend (Resend, Inc., États-Unis) : envoi des e-mails transactionnels (accusé de réception, lien de gestion, transmission des inscriptions, confirmation de la liste d’attente).
• Google Cloud (Google Cloud EMEA Limited, Irlande) : hébergement de l’application, de la base de données et des fichiers téléversés. L’application et les fichiers téléversés se trouvent dans la région europe-west1 (Belgique), la base de données dans la région europe-west6 (Zurich, Suisse) ; les données restent donc en Suisse et dans l’UE.
• Sentry (Functional Software, Inc., États-Unis) : surveillance des erreurs techniques et de la vitesse de chargement. Sentry s’exécute à chaque consultation de page et reçoit à cette occasion l’adresse IP, l’adresse consultée, le navigateur et l’heure. Les jetons d’accès figurant dans les adresses des portails de gestion sont retirés avant la transmission. Sentry enregistre les données dans sa région UE en Allemagne ; le fournisseur étant une société américaine, un accès depuis les États-Unis ne peut être exclu.
• unpkg (Cloudflare, Inc., États-Unis) : sur les pages comportant une carte, la bibliothèque cartographique Leaflet est chargée depuis unpkg.com. Votre adresse IP parvient alors à l’exploitant de ce réseau de diffusion.
• OpenStreetMap et Nominatim (OpenStreetMap Foundation, Royaume-Uni) : votre navigateur charge les fonds de carte des cartes de localisation directement depuis OpenStreetMap ; votre adresse IP peut alors parvenir au fournisseur de cartes. Notre serveur convertit une seule fois, à l’enregistrement, les adresses des associations et des événements en coordonnées via Nominatim, sans lien avec vous en tant que visiteur.
• Google Gemini (Google LLC, États-Unis) : lorsqu’une association transmet ses statuts pour vérification, un modèle de langage de Google examine le document (type de document, nom de l’association, siège, approbation, signatures). Seuls ce fichier et les données de l’inscription utilisées pour la comparaison (nom, lieu, catégories, description, personnes de contact) sont transmis. Nous conservons le fichier et le résultat de l’examen, pas le texte du document ; les cas peu clairs sont tranchés par une personne chez Bontem. Lorsqu’une association importe son programme annuel dans le portail de gestion, le même modèle de langage en extrait les dates ; le fichier et le nom de l’association sont transmis, et nous n’enregistrons que la date de la lecture et le nombre de dates trouvées, pas le document.
• Discord (Discord Inc., États-Unis) : lorsqu’une inscription attend une vérification manuelle (par exemple un groupe de projet qui a demandé une vérification dans le portail), un message interne est envoyé à l’équipe Bontem via Discord. Il contient le nom et la forme d’organisation de l’inscription, la localité et le canton, l’adresse e-mail de contact et l’heure. Ce message n’est pas public et sert uniquement à lancer la vérification.

Ces services sont nécessaires à l’exploitation et à l’affichage du site et fonctionnent donc indépendamment de votre décision concernant la mesure d’audience. Aucun d’eux ne sert à la publicité et nous n’en tirons aucun profil d’utilisation. La mesure d’audience est le seul service qui requiert un consentement ; elle fait l’objet du chiffre 11.

Avec ces prestataires existent, dans la mesure nécessaire, des contrats de sous-traitance. Des données parviennent ainsi en Suisse, en Irlande, en Belgique, en Allemagne, au Royaume-Uni et aux États-Unis. Pour les États-Unis, nous nous fondons sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis ou sur des clauses contractuelles types.

10. Cookies et stockage local

Nous ne plaçons que ce dont le site a besoin pour fonctionner, ainsi que la mesure d’audience, à laquelle vous devez consentir explicitement ci-dessous. Pas de cookies publicitaires, pas de profilage, aucune transmission à des régies publicitaires.

Sans votre consentement, rien n’est mesuré : le script d’analyse n’est même pas chargé. Cela ne signifie pas que le site ne charge rien d’externe sans consentement. Les polices, la bibliothèque cartographique et la surveillance des erreurs sont techniquement nécessaires et fonctionnent indépendamment de votre décision. Les fournisseurs concernés et ce qu’ils voient à cette occasion figurent intégralement au chiffre 9.

Une partie de ce qui suit ne sont pas des cookies au sens strict, mais des entrées dans le stockage local de votre navigateur. Ils n’atteignent jamais nos serveurs et restent sur votre appareil. Ils figurent tout de même ici, par souci d’exhaustivité :

Les trois premiers sont nécessaires au fonctionnement et ne peuvent pas être désactivés ; sans eux, la connexion et le choix de la langue ne fonctionnent pas. Vous pouvez tout supprimer à tout moment dans les réglages de votre navigateur, où vous pouvez également limiter le stockage de manière générale. Dans les deux cas, vous devrez peut-être vous reconnecter ou perdrez un formulaire commencé.

11. Mesure d’audience (Google Analytics)

Nous souhaitons savoir quelles pages sont trouvées et où les personnes abandonnent, afin d’améliorer l’annuaire. Nous utilisons pour cela Google Analytics 4 de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande.

La mesure ne fonctionne QU’AVEC votre consentement explicite. Auparavant, aucun script Google n’est chargé et aucune donnée n’est collectée. Si vous refusez ou ne décidez pas, rien ne se passe. Votre décision est enregistrée localement dans votre navigateur et vous pouvez la modifier ci-dessous à tout moment.

Après consentement, Google Analytics collecte notamment les pages consultées, la durée de visite, la provenance approximative, l’appareil et le navigateur ainsi que la page référente. L’adresse IP est traitée sous forme tronquée. Les adresses des portails de gestion contiennent un jeton d’accès ; celui-ci est supprimé avant toute transmission et ne parvient ni à Google ni à la surveillance des erreurs mentionnée au chiffre 9.

Après consentement, nous enregistrons en outre quelques événements propres : l’inscription d’une association (avec la langue, le nombre d’événements saisis et l’indication si des statuts ont été joints), la publication d’une inscription préparée, l’envoi d’une demande concernant un événement, l’inscription aux nouveautés, les recherches dans les champs de recherche des aperçus des associations et des événements ainsi que les clics vers le site d’une association (uniquement son domaine). Lors d’une recherche, le terme saisi est transmis à Google, tronqué à 60 caractères ; les adresses e-mail et numéros de téléphone qu’il contient sont remplacés au préalable. Nous ne transmettons jamais de noms, d’adresses e-mail ni le contenu des demandes. Sur les pages que tu ouvres via un lien personnel contenant un jeton d’accès, la mesure est entièrement désactivée.

Google peut traiter des données aux États-Unis. La base en est la décision d’adéquation relative au cadre de protection des données UE-États-Unis ainsi qu’un contrat de sous-traitance avec Google. La base juridique est votre consentement, que vous pouvez révoquer à tout moment avec effet pour l’avenir.

12. Liste d’attente pour l’application et nouveautés par e-mail

Sur la page consacrée à la future application pour associations, vous pouvez vous inscrire sur une liste d’attente. Nous traitons pour cela les données suivantes :

• Catégories de données : nom, adresse e-mail, en option le nom de l’association, la langue choisie ainsi que le moment et la version du consentement.
• Finalité : confirmation de l’inscription par double opt-in et information lors du lancement de l’application. Nous n’utilisons l’adresse à aucune autre fin.
• Base légale : votre consentement, que vous pouvez révoquer en tout temps avec effet pour l’avenir.
• Destinataires : Resend (Resend, Inc., États-Unis) pour l’envoi de l’e-mail de confirmation et de lancement ; Google Cloud (base de données dans la région europe-west6, Zurich, voir le chiffre 9) pour le stockage.
• Conservation : jusqu’à la révocation, au plus tard six mois après l’information relative au lancement. Nous supprimons ensuite l’inscription.
• Révocation : via le lien de désinscription figurant dans chaque e-mail ou par e-mail à levin@bontem.ch. Nous supprimons alors l’inscription.

Lors de l’inscription d’une association, dans le portail de gestion et via le formulaire en pied de page (pour les personnes intéressées sans association, avec e-mail de confirmation), vous pouvez en plus demander à recevoir les nouveautés de l’annuaire (nouvelles fonctions, changements importants). C’est facultatif et jamais coché d’avance ; les liens de gestion et les demandes vous parviennent indépendamment.

• Catégories de données : e-mail de l’association, nom de l’association, langue, ainsi que la date et la version du texte du consentement, et la date d’une éventuelle désinscription.
• Finalité : vous informer des nouvelles fonctions et nouveautés de l’annuaire, rarement et sans publicité de tiers.
• Base légale : votre consentement (art. 3 al. 1 let. o LCD), révocable à tout moment pour l’avenir.
• Destinataires : Resend (Resend, Inc., États-Unis) pour l’envoi ; Google Cloud (base de données dans la région europe-west6, Zurich, voir chiffre 9) pour le stockage.
• Conservation : jusqu’à la révocation ou jusqu’à la suppression de l’inscription.
• Révocation : dans le portail de gestion sous « Réglages », via le lien de désinscription de chaque e-mail ou par e-mail à levin@bontem.ch.

13. Conservation

Nous ne conservons les données personnelles que le temps nécessaire aux finalités indiquées ou exigé par les délais de conservation légaux. Les journaux techniques (p. ex. pour la prévention des abus) sont supprimés après une courte durée. Les données d’inscription et de demande, une fois transmises à l’association, sont traitées par celle-ci selon ses propres prescriptions.

14. Vos droits et la suppression

Dans le cadre du droit applicable, vous disposez du droit d’accès, de rectification, de suppression, de limitation et de remise de vos données, ainsi que du droit de vous opposer à un traitement ou de révoquer un consentement.

Si vous vous êtes inscrit à une manifestation ou avez adressé une demande d’adhésion sans compte, vos indications ont été transmises à l’association concernée. Pour la modification ou la suppression de ces données, l’association concernée est l’interlocuteur principal ; adressez-vous pour cela à l’adresse de contact publique indiquée dans le profil de l’association. En outre, pour les questions relatives à la plateforme, vous pouvez vous adresser en tout temps à Bontem (voir le chiffre 15) ; nous transmettons votre demande ou supprimons les données encore en notre possession.

Une inscription créée par l’association elle-même est gérée par celle-ci via le lien de gestion, où elle peut à tout moment la modifier ou en demander la suppression.

Vous pouvez en outre vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT).

15. Contact

Pour toute question relative à la protection des données, vous pouvez nous joindre à levin@bontem.ch ou par écrit à Bontem von Vogt, Seidenstrasse 21, 8853 Lachen.