1. Responsable du traitement et sous-traitant
Responsable du traitement : L'organisation ecclésiale qui a créé un compte sur la plateforme Safan est le responsable du traitement des données personnelles de ses membres, de son personnel et des autres personnes concernées. Chaque église détermine les finalités et les moyens du traitement des données personnelles de ses membres.
Sous-traitant : Safan, exploité par Flavius Bica, micro-entrepreneur immatriculé en France (SIRET : 10671058500014), traite les données personnelles pour le compte de chaque organisation ecclésiale dans le cadre d'un Accord de Traitement des Données (art. 28 RGPD).
Contact : Pour toute demande relative à la confidentialité : contact@safan.app
2. Catégories de données personnelles
2.1 Données personnelles standard (art. 6)
- Identité : prénom, nom, date de naissance, sexe, nationalité
- Contact : adresse e-mail, numéro de téléphone, adresse postale
- Compte : identifiant, mot de passe haché, rôle, préférence de langue
- Finances : montants, dates et catégories de transactions associés aux membres
- Technique : adresse IP, user-agent, horodatage des connexions, journal d'audit
2.2 Données de catégorie particulière (art. 9)
Safan traite des données révélant les convictions religieuses, qualifiées de catégorie particulière au sens de l'article 9(1) RGPD. Cela comprend :
- Date du baptême, église du baptême, pasteur ayant officié
- Statut de membre de l'église et dates associées
- Affectations aux ministères et aux groupes
- Statut du baptême du Saint-Esprit
3. Base légale du traitement
| Traitement | Base art. 6 | Base art. 9 |
|---|---|---|
| Gestion des membres | 6(1)(f) intérêt légitime de l'église | 9(2)(d) — organisme religieux à but non lucratif traitant ses propres membres |
| Comptabilité | 6(1)(c) obligation légale (droit comptable) | Sans objet |
| École du dimanche | 6(1)(f) intérêt légitime de l'église | 9(2)(d) + art. 8 consentement parental pour les mineurs |
| Journalisation d'audit | 6(1)(f) sécurité et responsabilité | Sans objet |
| Notifications e-mail | 6(1)(b) exécution du contrat | Sans objet |
| Authentification | 6(1)(b) exécution du contrat | Sans objet |
Article 9(2)(d) — explication : Chaque église utilisant Safan est un organisme à but non lucratif à finalité religieuse. Le traitement des données relatives aux convictions religieuses concerne exclusivement ses membres ou anciens membres, et aucune donnée n'est divulguée en dehors de l'organisation ecclésiale sans le consentement explicite de la personne concernée. Chaque église confirme cette éligibilité dans l'Accord de Traitement des Données signé lors de l'inscription.
4. Durées de conservation
| Catégorie de données | Conservation |
|---|---|
| Fiches de membre actives | Durée de l'adhésion à l'église |
| Fiches de membre supprimées (soft-delete) | 2 ans, puis effacement définitif |
| Transactions financières | 10 ans (droit comptable FR/RO) |
| Journaux d'audit | 180 jours |
| Fiches École du dimanche | Durée de l'inscription + 3 ans |
| Jetons d'authentification | 24 heures après expiration |
| Fichiers d'import | 30 jours |
| Sauvegardes de la base de données | 7 jours |
5. Vos droits
En vertu du RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès (art. 15) : Demander une copie de toutes les données personnelles vous concernant. Vous pouvez exporter les données de votre compte directement depuis vos paramètres.
- Droit de rectification (art. 16) : Demander la correction de données personnelles inexactes. Contactez l'administrateur de votre église ou mettez à jour votre profil directement.
- Droit à l'effacement (art. 17) : Demander la suppression de vos données personnelles. Vous pouvez supprimer votre compte depuis vos paramètres. Les administrateurs d'église peuvent effacer ou anonymiser les fiches de membre.
- Droit à la limitation (art. 18) : Demander la limitation du traitement de vos données dans certaines situations.
- Droit à la portabilité (art. 20) : Recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine (JSON).
- Droit d'opposition (art. 21) : Vous opposer au traitement fondé sur l'intérêt légitime.
Pour exercer vos droits, contactez l'administrateur de votre église (le responsable du traitement) ou écrivez-nous à contact@safan.app. Nous répondrons sous 30 jours.
6. Données des enfants
Safan traite les données personnelles des mineurs inscrits aux programmes de l'École du dimanche. Ces données incluent l'identité de l'enfant, son inscription en classe et ses relevés de présence.
Conformément à l'article 8 du RGPD et au droit national applicable :
- En France : le consentement parental ou du tuteur est requis pour les enfants de moins de 15 ans.
- En Roumanie : le consentement parental ou du tuteur est requis pour les enfants de moins de 16 ans.
Le consentement parental est recueilli et vérifié lors de l'inscription à l'École du dimanche. Les parents ou tuteurs peuvent à tout moment demander l'accès, la rectification ou la suppression des données de leur enfant en contactant l'administrateur de leur église.
7. Sous-traitants
Nous faisons appel à un nombre limité de prestataires tiers pour exploiter la plateforme. Toutes les données primaires sont stockées au sein de l'Union européenne. La liste complète des sous-traitants, avec leurs rôles, leurs localisations et les liens vers leurs accords de traitement des données, est disponible sur notre page Sous-traitants.
8. Transferts internationaux de données
L'ensemble des données primaires (base de données, fichiers téléversés, sauvegardes) est stocké sur des serveurs situés en Allemagne (Hetzner Online GmbH, Falkenstein / Nuremberg).
Lorsqu'un sous-traitant a son siège hors de l'Espace économique européen (par ex. Cloudflare — États-Unis), les transferts de données sont protégés par les Clauses Contractuelles Types de l'UE (CCT) et, le cas échéant, par le Data Privacy Framework UE — États-Unis. Aucune donnée personnelle n'est transférée vers un pays sans garanties adéquates au sens du chapitre V du RGPD.
9. Mesures de sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles (art. 32 RGPD), notamment :
- Chiffrement en transit (TLS/HTTPS sur toutes les connexions)
- Mots de passe hachés (bcrypt)
- Jetons d'accès à courte durée de vie (60 minutes) avec cookies de rafraîchissement HTTP-only
- Isolation des données par église (architecture multi-locataire)
- Contrôle d'accès basé sur les rôles avec granularité au département
- Journalisation d'audit complète avec purge automatique
- Sauvegardes chiffrées quotidiennes avec stockage déporté
- Limitation de débit et protection anti-bots sur les points d'authentification
10. Cookies et suivi
Safan n'utilise que des cookies strictement nécessaires, exemptés de consentement au titre de la directive ePrivacy (art. 5(3)) :
- Cookie d'authentification : jeton de rafraîchissement HTTP-only, Secure, SameSite=Strict pour maintenir votre session.
- Préférence d'interface : état de la barre latérale et préférence de thème stockés dans le localStorage (fonctionnel, non transmis aux serveurs).
Nous n'utilisons aucun cookie d'analyse, de publicité ou de suivi. Nous n'utilisons ni Google Analytics, ni Facebook Pixel, ni aucune technologie de suivi similaire. Aucune bannière de consentement aux cookies n'est nécessaire.
11. Contact protection des données
12. Décision automatisée
Safan ne procède à aucune décision automatisée ni à aucun profilage au sens de l'article 22 du RGPD. Aucune décision produisant des effets juridiques ou similaires significatifs n'est prise à l'égard des personnes concernées sur la seule base d'un traitement automatisé.
13. Droit d'introduire une réclamation
Si vous estimez que vos données personnelles ont été traitées en violation du RGPD, vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 RGPD) :
- France — CNIL (Commission Nationale de l'Informatique et des Libertés) — www.cnil.fr/fr/plaintes
- Roumanie — ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) — www.dataprotection.ro
14. Modifications de cette politique
Nous pouvons mettre à jour la présente politique de confidentialité pour refléter des changements de nos pratiques ou des exigences légales. En cas de changements substantiels, nous vous en informerons par e-mail et solliciterons un consentement renouvelé lorsque cela est requis. Le numéro de version et la date d'effet en haut de cette page indiquent la dernière révision.