Politique de confidentialité

Qui édite asso-pilote

asso-pilote, le site et son application mobile (App Store et Google Play), est édité par l'association Un Beit Midrach pour la Jeunesse (BMJ), association loi 1901 (bmj-association.fr).

Contact pour la confidentialité et la suppression des comptes : l'association BMJ, par son formulaire de contact.

Qui est responsable

asso-pilote est un outil de gestion pour les associations. Chaque association qui l'utilise est responsable du traitement des données de ses membres : c'est elle qui décide de les enregistrer et pourquoi. Un Beit Midrach pour la Jeunesse (BMJ), qui édite asso-pilote, agit pour son compte, comme sous-traitant (et comme responsable pour ses propres membres).

Les données traitées

• Votre compte : nom, adresse e-mail, rôle dans l'association, mot de passe (chiffré, jamais lisible), et la clé de la double authentification si vous l'activez (chiffrée).
• La vie de l'association : projets, budgets, dépenses et justificatifs, recettes, séances de l'agenda, comptes et relevés bancaires.
• La sécurité : un historique des actions (qui, quoi, quand, résultat), l'adresse IP et le navigateur de vos sessions, et, en cas de connexion refusée, une forme masquée de l'adresse tapée (« a…@exemple.fr »).
• Votre RIB, si vous l'enregistrez pour vos remboursements : l'IBAN, chiffré, jamais affiché en entier (seulement ses 4 derniers caractères). Il ne sort que dans le fichier de virements que le bureau dépose lui-même chez la banque de l'association, et il est effacé avec votre compte.
• Les notifications, si vous les activez : l'abonnement de votre appareil et vos préférences.
• La photo d'un justificatif, si vous demandez sa lecture : une copie réduite part vers l'assistant Claude, qui propose le montant, la date et le fournisseur (voir la lecture des tickets).

Aucune publicité, aucune revente, aucun traceur publicitaire. Les cookies servent à garder votre session ouverte (session, double authentification), sauf un : « sidebar_state » retient pendant 7 jours si le menu latéral est ouvert ou replié. Il ne sert qu'à l'affichage, et n'a donc pas besoin de votre consentement. Votre choix de thème est gardé dans votre navigateur.

L'application mobile

L'application de l'App Store et de Google Play affiche le même service que le site, avec les mêmes données et les mêmes règles. En plus :

• l'appareil photo ne s'ouvre que lorsque vous choisissez de photographier un justificatif ;
• la photo garde ses données techniques (EXIF) : la marque et le modèle du téléphone, et la date de la prise de vue. Les voient : vous, le bureau et, une fois le justificatif relié à une dépense, les personnes qui voient cette dépense. Si votre appareil photo enregistre la localisation, la position de la prise de vue est effacée dans votre téléphone avant l'envoi des photos, pour toute photo jointe à une dépense ; un PDF est gardé tel qu'il a été déposé ;
• aucun accès à vos contacts ni à vos autres photos ; l'appli ne demande jamais votre position, et l'efface des photos avant leur envoi ; aucun traceur, aucune publicité, aucun identifiant publicitaire ;
• l'application ajoute « asso-pilote-app » à l'identifiant du navigateur, pour adapter l'affichage à l'écran du téléphone ;
• sur le téléphone, elle ne garde que votre session de connexion et, le temps de les partager ou de les enregistrer, les fichiers que vous ouvrez (export, justificatif, séance de l'agenda).

Pourquoi, et sur quelle base

• Faire vivre l'association (projets, dépenses, recettes, agenda) : l'intérêt légitime de l'association et l'exécution de ses statuts ; les pièces comptables relèvent aussi d'une obligation légale de conservation.
• Protéger le service (historique des actions, limitation des tentatives) : l'intérêt légitime de l'association et de ses membres.
• Vous prévenir par notification : votre consentement, que vous retirez à tout moment depuis « Notifications ».
• Lire la photo d'un ticket pour vous éviter la saisie : l'intérêt légitime de l'association (faire gagner du temps au dépôt). La lecture est facultative et ne part qu'à votre demande.

La lecture des tickets

Si l'association l'a activée, le formulaire de dépôt propose « Lire le ticket pour remplir » sous la photo d'un justificatif. Seulement si vous appuyez, une copie réduite de la photo, sans position ni autre donnée technique, est envoyée à Claude, l'assistant de la société Anthropic, hors d'Europe (voir plus bas). Aucune donnée de votre compte n'y est jointe ; si le document porte votre nom, il figure sur la photo. Évitez les ordonnances et les factures médicales.

L'assistant propose le montant, la date, le fournisseur et la catégorie : vous les vérifiez, puis vous déposez. Rien n'est enregistré sans votre geste, et la décision reste au bureau. Pour refuser, il suffit de ne pas appuyer et de tout saisir à la main : rien ne part. L'appli ne garde pas la copie envoyée ; elle note qu'une lecture a eu lieu (sans la photo ni la réponse), pour tenir le budget de l'assistant, et, dans l'historique de la dépense, que des champs venaient de la lecture et que vous les avez vérifiés.

Où sont les données, et qui y a accès

Dans l'association, chacun ne voit que ce que son rôle permet : le serveur le vérifie à chaque page et à chaque action. En dehors, seuls ces prestataires traitent des données, pour faire fonctionner le service. Ils agissent sur instruction, dans le cadre de leurs conditions de traitement des données (article 28 du RGPD) :

Vercel

Hébergement du site et exécution du serveur. Serveurs à Francfort, Allemagne (région fra1), à côté de la base de données. Société américaine : transferts encadrés par les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914, accord de traitement des données de Vercel du 17 mars 2026), et Vercel déclare adhérer au Data Privacy Framework UE–États-Unis (sa politique de confidentialité du 1er juin 2026). Le flux d'agenda auquel votre calendrier s'abonne peut être gardé une heure au plus par le réseau de Vercel, au plus près de l'appli de calendrier (hors d'Europe pour Google Agenda, par exemple), sous les mêmes clauses ; après votre départ de l'association, il peut donc encore servir pendant cette heure.

Neon

Base de données. Francfort, Allemagne (AWS eu-central-1).

Vercel Blob

Stockage privé des justificatifs. Paris. Accès uniquement par le serveur, après vérification des droits.

Sentry

Suivi des erreurs techniques. Union européenne (Allemagne). Sans adresse IP ni cookie. Société américaine : si des données sont traitées aux États-Unis, le transfert est encadré par le Data Privacy Framework UE–États-Unis, et par les clauses contractuelles types (décision (UE) 2021/914) s'il ne s'appliquait plus (accord de traitement des données de Sentry, version 5.1.0 du 29 mai 2024, lu le 17 octobre 2026).

Resend

Envoi des courriels (invitations, mot de passe oublié). Envois depuis les États-Unis (Virginie, AWS us-east-1), y compris avec le domaine de l'association ; Resend y conserve aussi les métadonnées des courriels. Société américaine : transfert encadré par le cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d'adéquation (UE) 2023/1795), auquel Resend déclare adhérer, et par les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914), intégrées à son accord de traitement des données (version du 31 décembre 2025, lue le 17 octobre 2026).

INSEE (API Sirene)

Vérification d'un fournisseur, seulement si l'association l'a activée. France. Seul le numéro SIRET du fournisseur est transmis.

Anthropic (l'assistant Claude)

Lecture de la photo d'un ticket au dépôt d'une dépense, seulement si l'association a activé cette lecture, et seulement quand vous appuyez sur « Lire le ticket pour remplir ». Hors d'Europe. Contrat avec Anthropic Ireland, Limited ; traitement par Anthropic, PBC : stockage aux États-Unis, calcul dans tout pays où Anthropic fait tourner ses modèles (réglage « global », celui par défaut). Transfert encadré par les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914) de son accord de traitement des données, en vigueur depuis le 24 février 2025 (anthropic.com/legal/data-processing-addendum). Seule une copie réduite de la photo est transmise, sans position ni autre donnée technique ; aucune donnée de votre compte n'y est jointe (ni nom, ni adresse), mais si le document porte votre nom, il figure sur la photo. Anthropic efface les demandes en principe sous 30 jours, jusqu'à 2 ans si son contrôle de sécurité signale la demande, et plus longtemps si la loi l'exige (sa politique de conservation, mise à jour le 1er juillet 2026, lue le 3 novembre 2026). Ses conditions commerciales lui interdisent d'entraîner ses modèles sur ces données.

Services de notification des navigateurs

Acheminement des notifications que vous avez activées. Apple, Google ou Mozilla selon votre appareil. Le texte ne contient ni montant ni nom d'un tiers.

HelloAsso, Qonto

Paiements et relevés bancaires, si l'association les relie ; justificatifs des dépenses payées par Qonto. France. Lecture du relevé, et dépôt de la pièce sur son paiement. Aucun virement n'est fait par l'appli.

Combien de temps

Copie de la photo envoyée pour la lecture d'un ticket

Jamais gardée par l'appli : elle est lue en mémoire, puis oubliée. Chez Anthropic, voir « Où sont les données ».

Pièces comptables : dépenses, recettes, justificatifs et leur historique

10 ans après la clôture de l'exercice (obligation de conservation des pièces comptables).

Historique des actions (qui a fait quoi, quand, avec quel résultat)

10 ans, comme les pièces qu'il justifie. Il ne peut être ni modifié ni effacé.

Compte d'un membre qui quitte l'association

Anonymisé par la personne elle-même (« Mon compte ») ou par la présidence : nom remplacé, adresse neutralisée, accès, jetons de connexion et notifications supprimés. Ses pièces comptables restent, au nom « Ancien membre ». L'historique des actions, inaltérable, garde pendant sa durée de conservation l'adresse à laquelle une invitation a été envoyée : en clair pour les invitations notées avant le 12 octobre 2026, masquée depuis. L'écran de l'historique la montre toujours masquée.

Sessions de connexion

Expirées après 7 jours sans activité, puis effacées dans la semaine, avec l'adresse IP et le navigateur.

Compteurs de tentatives (adresse IP)

Inutiles après dix minutes sans nouvelle tentative, et effacés au plus tard dans la semaine.

Fichier joint au formulaire d'une dépense jamais enregistrée

Supprimé automatiquement après 7 jours. Une fois la dépense enregistrée, il est conservé comme une pièce comptable.

Photo d'origine d'un justificatif (l'appli en garde une copie légère pour l'affichage)

Gardée avec la dépense, comme une pièce comptable, pour être transmise à la banque de l'association et à son classement.

Adresse d'une personne invitée qui n'a pas accepté

Le lien expire après 7 jours, et le bureau de l'association peut l'annuler avant. L'adresse reste ensuite enregistrée avec l'invitation, sans servir à rien d'autre, tant qu'aucun effacement automatique n'est en place : vous pouvez demander qu'elle soit effacée (voir « Vos droits »).

Abonnements aux notifications

Supprimés à la désactivation, ou dès que l'appareil n'est plus joignable.

Vos droits

Vous pouvez accéder à vos données, les faire corriger ou effacer (dans la limite de la conservation des pièces comptables), en limiter l'usage, vous y opposer, et les récupérer :

• Récupérer vos données : « Mon compte », puis « Exporter mes données » (un fichier JSON).
• Corriger votre nom : « Mon compte ».
• Effacer vos données : supprimez vous-même votre compte, depuis « Mon compte » (voir Supprimer son compte), ou demandez-le à la présidence de votre association, qui peut aussi l'anonymiser.
• Toute autre demande : la présidence de votre association, ou l'association BMJ, par son formulaire de contact. Réponse sous un mois au plus. En cas de désaccord, vous pouvez saisir la CNIL.

Sécurité

Connexion chiffrée (HTTPS), mots de passe chiffrés, double authentification facultative, droits vérifiés par le serveur, tentatives limitées, historique des actions inaltérable, et données hébergées en Europe. Seuls les courriels (Resend), une heure au plus le flux d'agenda (réseau de Vercel) et, si l'association l'active et à votre demande seulement, la photo d'un ticket lue par l'assistant (Anthropic) peuvent en sortir : voir plus haut.