Politique de confidentialité

Responsable de traitement

AFFI — Association Ferroviaire Française des Ingénieurs et Cadres
60 rue Anatole France — 92300 Levallois-Perret
Référent RGPD : contact@affi.asso.fr

Données collectées

L'AFFI collecte les données suivantes dans le cadre de son activité associative :

• Identification : prénom, nom, email, téléphone
• Profil professionnel : société, fonction, secteur, région, spécialité, bio, photo
• Adhésion : type et statut d'adhésion, cotisations, préférences de notification
• Activité : inscriptions aux évènements, notes personnelles, annonces, favoris
• Connexion : date/heure, appareil (mobile/desktop), navigateur, IP hashée SHA-256 (pas d'IP en clair)
• Consentement : trace de vos choix de cookies (date, version du texte, catégories acceptées)

Finalités et bases légales

• Gestion de l'adhésion — base légale : contrat (adhésion à l'association)
• Organisation des évènements — base légale : contrat
• Annuaire des membres — base légale : consentement explicite (case à cocher)
• Newsletter AFFI Info — base légale : consentement explicite
• Sécurité du site (anti-bruteforce, audit connexions) — base légale : intérêt légitime
• Obligations comptables (cotisations) — base légale : obligation légale

Durées de conservation

Les durées sont appliquées par une purge mensuelle automatique.

Vos droits (articles 15 à 22 du RGPD)

• Droit d'accès (art. 15) : obtenir une copie de vos données — disponible dans votre espace membre (« Télécharger mes données »)
• Droit de rectification (art. 16) : corriger vos données depuis votre profil
• Droit à l'effacement / « oubli » (art. 17) : bouton « Demander la suppression » dans votre profil. Délai de grâce de 30 jours.
• Droit à la restriction du traitement (art. 18) : via le référent RGPD
• Droit d'opposition (art. 21) : désactiver votre présence dans l'annuaire et la newsletter depuis vos préférences
• Droit à la portabilité (art. 20) : export JSON structuré depuis votre profil
• Droit de réclamation auprès de la CNIL : www.cnil.fr

Pour toute demande : contact@affi.asso.fr. Membres connectés : rendez-vous dans votre profil, section « Confidentialité & données personnelles ».

Sous-traitants (data processors)

Dans le cadre de l'hébergement et du fonctionnement du site, l'AFFI fait appel aux sous-traitants suivants (tous situés dans l'Union Européenne ou sous Clauses Contractuelles Types) :

• OVHcloud (France) — hébergement du serveur applicatif et de la base de données
• Amazon Web Services (SES) (Suède, région eu-north-1) — envoi des emails transactionnels
• Cloudinary (Irlande) — hébergement des médias (photos de profil et d'évènements)
• HelloAsso (France) — paiement en ligne des adhésions et cotisations

Aucune donnée personnelle n'est transmise à des sous-traitants hors UE sans clauses de transfert appropriées.

Cookies et traceurs

Le site utilise uniquement des cookies strictement nécessaires : cookie de session (authentification) et préférence de thème (clair/sombre). Un consentement analyticspeut être coché optionnellement (bannière à l'arrivée) — actuellement aucun outil d'analytics n'est installé, ce choix est conservé pour une éventuelle future mise en œuvre. Aucun cookie publicitaire ni de tracking inter-sites n'est déposé.

Preuves de consentement

Chaque choix de consentement (cookies, annuaire, newsletter) est journalisé avec date, IP hashée et version du texte de consentement en vigueur. Ces preuves permettent de démontrer la conformité en cas de contrôle CNIL, conformément à l'article 7.1 du RGPD.

Hébergement et sécurité technique

• Application et base de données hébergées chez OVHcloud (France, Union Européenne) — chiffrement au repos et en transit
• Toutes les communications sont chiffrées en HTTPS/TLS
• Mots de passe : stockés sous forme hachée (jamais en clair)
• Adresses IP : jamais stockées en clair (hachées avant journalisation)
• Sessions : cookies httpOnly à durée de vie limitée

Notification de violation

En cas de violation de données présentant un risque pour vos droits, l'AFFI s'engage à :

• Notifier la CNIL dans les 72 heures suivant la découverte (art. 33)
• Informer les personnes concernées dans les meilleurs délais lorsque le risque est élevé (art. 34)
• Documenter la violation (circonstances, données concernées, mesures prises) dans le registre interne

Modifications de cette politique

Toute modification substantielle de cette politique entraîne une nouvelle version (numéro de version affiché en haut de page) et une nouvelle demande de consentement via la bannière cookies si les traitements changent. L'historique des versions est disponible sur demande auprès du référent RGPD.