Légal
Politique de confidentialité
Le présent document expose les traitements de données à caractère personnel mis en œuvre par Koalasso : données collectées, finalités poursuivies, bases légales, lieux d'hébergement, durées de conservation, sous-traitants qui y concourent et modalités d'exercice des droits des personnes concernées.
Périmètre et responsable du traitement
Cette politique décrit le traitement des données personnelles par deux services distincts : le site vitrine koalasso.fr et l'application app.koalasso.fr, utilisée par les associations et leurs membres.
Le responsable de traitement est Anatole Lesage, qui exploite Koalasso à Paris. Toute demande peut être adressée à hello@koalasso.fr.
La présente politique couvre deux ensembles distincts :
- le site vitrine koalasso.fr ;
- l'application app.koalasso.fr, au moyen de laquelle les associations tiennent leur comptabilité, pilotent leur stratégie, gèrent leurs adhésions, préparent et font signer leurs actes statutaires, conservent leurs documents, organisent leurs événements et interrogent un assistant d'intelligence artificielle, Koal'ia. Elle est utilisée par les membres du bureau comme par les adhérents.
Elle est établie en application du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), de la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés », et de la directive 2002/58/CE dite « vie privée et communications électroniques » s'agissant des traceurs.
Pour les traitements dont il est responsable, le responsable du traitement est Anatole Lesage, entrepreneur individuel exploitant le nom commercial Koalasso, SIREN 109 275 891, 72 cours de Vincennes, 75012 Paris, joignable à hello@koalasso.fr. Son identité complète figure aux mentions légales.
Qualification des traitements
Koalasso intervient à deux titres différents, ce qui détermine l'interlocuteur auquel adresser une demande.
Votre compte utilisateur et la facturation de l'abonnement : Koalasso en est responsable. Les demandes lui sont adressées.
Les données enregistrées dans l'espace d'une association — fiches des membres, comptabilité, documents, événements : l'association en est responsable, Koalasso les héberge pour son compte. Chaque utilisateur peut quitter une association et supprimer son compte directement depuis l'application ; pour les autres données le concernant, il s'adresse à l'association.
La qualification de Koalasso au regard du règlement général sur la protection des données varie selon les données considérées. Cette qualification détermine l'entité à laquelle une personne concernée doit adresser une demande d'exercice de ses droits.
| Données | Qualification de Koalasso | Responsable de traitement |
|---|---|---|
| Visiteurs du site vitrine | Responsable de traitement | Koalasso |
| Comptes utilisateurs (membres du bureau et adhérents), facturation, support | Responsable de traitement | Koalasso |
| Fiches des membres, écritures comptables, documents, plans d'action, participants aux événements | Sous-traitant | L'association cliente |
Répartition des responsabilités. L'association détermine les finalités et les moyens du traitement des données de ses adhérents et en assume la qualité de responsable de traitement. Koalasso n'intervient qu'en qualité de sous-traitant, sur instruction documentée de l'association, et n'exploite ces données à aucune autre fin. Il incombe à l'association d'informer les personnes concernées et de justifier d'une base légale pour chaque traitement qu'elle décide ; les demandes d'exercice de droits lui sont adressées directement.
Le site koalasso.fr
Le site vitrine ne dépose aucun cookie et n'utilise aucun outil de mesure d'audience ni de publicité. Les polices, images et scripts sont servis depuis notre propre domaine, sans appel à un service tiers.
L'hébergeur conserve pendant une courte durée, à des fins de sécurité, un journal technique des requêtes (adresse IP, page consultée, heure). Ce journal ne sert ni à vous identifier ni à suivre votre navigation.
Absence de cookies et de mesure d'audience
Le site vitrine est constitué de fichiers statiques servis depuis le domaine koalasso.fr. Il ne dépose aucun cookie, ne met en œuvre aucun traceur, aucun outil de mesure d'audience, aucun pixel publicitaire, et ne charge aucune ressource — police, image ou script — depuis un serveur tiers. Aucun dispositif soumis à consentement n'y étant employé, aucune demande de consentement n'est présentée à l'internaute.
Journaux techniques
L'hébergeur Vercel enregistre les requêtes reçues par le serveur — adresse IP, date et heure, page demandée, type de navigateur — aux fins d'assurer le fonctionnement du service et de prévenir les usages abusifs. Ces journaux sont conservés par l'hébergeur pour une durée limitée et ne font l'objet d'aucune exploitation à des fins de profilage.
- Finalité : sécurité et fonctionnement technique du site.
- Base légale : intérêt légitime au sens de l'article 6.1.f du RGPD, tenant au maintien d'un service disponible et protégé.
Correspondance électronique
Tout courriel adressé à Koalasso donne lieu au traitement de l'adresse électronique de l'expéditeur, de son nom et du contenu du message, aux seules fins d'y répondre. Base légale : intérêt légitime tenant au traitement des demandes adressées à l'éditeur.
Votre compte Koalasso
Pour chaque utilisateur, qu'il soit membre du bureau ou adhérent, Koalasso conserve son nom, son adresse e-mail, son mot de passe sous une forme chiffrée qui ne permet pas de le relire, et son rôle dans chaque association. Pour l'association abonnée, Koalasso conserve en outre l'historique de facturation.
Ces données servent à la connexion, à la facturation de l'abonnement, à la sécurité du service, au support et à l'information sur les évolutions du service, dont il est possible de se désinscrire à tout moment.
Ces données ne sont ni vendues ni cédées, et aucune décision automatisée n'est prise à votre égard. Vous pouvez supprimer votre compte à tout moment depuis les réglages de l'application.
Pour les traitements décrits au présent article, Koalasso agit en qualité de responsable de traitement.
| Finalité | Données | Base légale |
|---|---|---|
| Créer et gérer votre compte | Nom, prénom, adresse e-mail, mot de passe (stocké sous forme de condensat), association rattachée, rôle et permissions | Exécution du contrat (article 6.1.b du RGPD) |
| Facturer l'abonnement | Nom de l'association, adresse de facturation, forfait, historique des paiements, identifiant client Stripe | Exécution du contrat (article 6.1.b) ; obligation légale de conservation comptable (article 6.1.c) |
| Conserver la preuve de l'acceptation des conditions | Versions des conditions acceptées, date, nom et adresse e-mail de la personne qui a engagé l'association | Intérêt légitime tenant à la preuve du contrat conclu avec l'association (article 6.1.f) |
| Assurer la sécurité du service | Journaux de connexion, adresse IP, horodatage des actions sensibles | Intérêt légitime tenant à la sécurité du service et à la traçabilité des actions (article 6.1.f) |
| Répondre au support | Contenu des échanges, éléments transmis à l'appui d'une demande | Exécution du contrat (article 6.1.b) |
| Informer des évolutions du service | Adresse e-mail | Intérêt légitime (article 6.1.f) ; faculté d'opposition à tout moment, un lien de désinscription figurant dans chaque envoi |
Caractère obligatoire. Les données marquées comme requises lors de l'inscription et de la facturation sont nécessaires à la conclusion et à l'exécution du contrat ; à défaut de les fournir, le compte ne peut être ouvert ni l'abonnement facturé. Les autres informations sont facultatives.
Destinataires. Ces données sont accessibles à l'éditeur et, dans la limite de leur mission, aux sous-traitants énumérés à l'article Sous-traitants. Elles peuvent être communiquées aux autorités administratives ou judiciaires lorsqu'une disposition légale l'impose. Elles ne font l'objet d'aucune cession, location ou mise à disposition à des tiers à des fins commerciales.
Absence de décision automatisée. Aucune décision produisant des effets juridiques ou affectant de manière significative une personne n'est prise sur le seul fondement d'un traitement automatisé, au sens de l'article 22 du RGPD. Aucun profilage n'est mis en œuvre.
Origine des données. Les données proviennent des personnes concernées elles-mêmes ou, s'agissant des utilisateurs invités dans un espace, de l'association qui les a invités.
Suppression du compte. Tout utilisateur peut supprimer son compte depuis les réglages de l'application. La suppression efface les données du compte, à l'exception de la preuve d'acceptation des conditions lorsque la personne a engagé une association, conservée pour celle-ci dans les conditions de l'article Durées de conservation. Les fiches de membre et les contenus enregistrés dans l'espace des associations auxquelles il appartenait relèvent de celles-ci, dans les conditions de l'article Données des associations.
Les données enregistrées dans l'espace d'une association
Les données enregistrées dans l'espace d'une association — fiches des membres, bulletins d'adhésion, écritures, justificatifs, statuts, plans d'action, documents, billets —, qu'elles soient saisies par le bureau ou par les adhérents eux-mêmes, relèvent de l'association. Koalasso les héberge pour son compte.
Le service n'est pas conçu pour recevoir des données sensibles : santé, convictions religieuses, opinions politiques, numéro de sécurité sociale. Il est demandé de ne pas en enregistrer.
Un adhérent titulaire d'un compte peut quitter l'association depuis l'application : sa fiche, son bulletin d'adhésion et ses cotisations sont alors supprimés. Pour toute autre demande, il s'adresse à son association. Une demande reçue par Koalasso est transmise à celle-ci.
Pour les traitements décrits au présent article, Koalasso agit en qualité de sous-traitant de l'association. Ces données sont hébergées et traitées à seule fin d'exécuter le service défini aux conditions générales d'utilisation, sur instruction documentée de l'association.
Selon les modules activés par l'association, les données concernées peuvent comprendre :
- Membres — identité, coordonnées, établissement, promotion, statut d'adhésion, bulletin d'adhésion signé, cotisation, pôle et fonction ;
- Stratégie — plans, objectifs et actions, avec le nom des personnes qui en ont la charge ;
- Comptabilité — écritures, justificatifs, notes de frais, rapprochements bancaires ;
- Légalité — statuts, règlement intérieur, convocations, procès-verbaux, listes d'émargement, votes d'assemblée générale, signatures électroniques ;
- Drive — tout document versé par l'association ;
- Événements — inscriptions, billets, contrôle d'accès ;
- Koal'ia — conversations avec l'assistant et documents qui y sont joints.
Données sensibles. Le service n'est pas conçu pour recevoir des données relevant de l'article 9 du RGPD — origine prétendue, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données de santé, vie ou orientation sexuelle — ni le numéro d'inscription au répertoire national d'identification des personnes physiques. La saisie de telles données relève de la seule responsabilité de l'association, à laquelle il appartient de justifier d'une exception au titre de l'article 9.2 du RGPD et d'apprécier la nécessité d'une analyse d'impact relative à la protection des données.
L'utilisateur titulaire d'un compte peut, sans intermédiaire, quitter une association depuis l'application, ce qui supprime sa fiche de membre ainsi que les pièces qui y sont attachées — bulletin d'adhésion, cotisations —, les contenus qu'il a versés dans l'espace demeurant en place. Il peut également supprimer son compte depuis les réglages.
Toute autre demande d'accès, de rectification ou d'effacement émanant d'un adhérent doit être adressée à son association. Une demande parvenant directement à Koalasso est transmise sans délai à l'association concernée, à laquelle il appartient d'y répondre.
Mineurs
L'ouverture d'un compte est réservée aux personnes âgées d'au moins 15 ans.
Lorsqu'une association compte des adhérents mineurs, il lui appartient de recueillir l'autorisation des parents lorsqu'elle est requise et de délivrer une information adaptée à leur âge.
L'ouverture d'un compte suppose un âge minimum de quinze ans, seuil fixé par l'article 7-1 de la loi Informatique et Libertés pour l'offre directe de services de la société de l'information. En deçà de cet âge, le traitement suppose l'autorisation du titulaire de l'autorité parentale, dans les conditions prévues à l'article 8 du RGPD.
Les associations étudiantes accueillant des adhérents mineurs, il incombe à l'association responsable de traitement de recueillir, lorsque la base légale retenue l'exige, l'autorisation du titulaire de l'autorité parentale, et d'adapter l'information délivrée à la compréhension de ces adhérents.
Koal'ia
Pour répondre sans que vous ayez à présenter votre association, Koal'ia reçoit avec chaque question une fiche de synthèse de l'espace : trésorerie, effectif, pôles et leurs responsables, événements à venir, objectifs en cours. Cette fiche contient donc les noms de certains membres : les responsables de pôle et les personnes chargées d'une action en retard.
Le drive n'est pas parcouru : seuls les documents que vous joignez vous-même à la conversation sont transmis. Aucune donnée d'une autre association n'est accessible.
Le moteur est fourni par Mistral AI, société française, et le traitement a lieu dans l'Union européenne. Vos données ne servent pas à entraîner le modèle. Le fournisseur conserve les questions et les réponses 30 jours pour détecter les abus, puis les supprime.
Koal'ia est un système d'intelligence artificielle : ses réponses peuvent comporter des erreurs et ne remplacent pas la décision du bureau.
Koal'ia élabore ses réponses à partir des seules données de l'espace de l'association, à l'exclusion de toute autre source. Pour ce traitement, Koalasso agit en qualité de sous-traitant de l'association, l'interrogation de l'assistant valant instruction de celle-ci.
Deux ensembles sont transmis au moteur, selon des modalités distinctes :
- Une fiche de synthèse de l'association, jointe automatiquement à chaque question afin que l'assistant puisse répondre sans qu'aucune pièce ne lui soit fournie. Elle comprend la dénomination de l'association, son établissement et son statut juridique, l'exercice comptable en cours, le solde de trésorerie, l'intitulé des comptes bancaires et la consommation du budget prévisionnel, l'effectif et la proportion de cotisations à jour, la liste des pôles avec leur effectif et le nom du responsable de chacun, les événements à venir avec leur date et leur pôle, ainsi que l'avancement des objectifs et, pour les actions en retard, leur intitulé et le nom de la personne qui en a la charge. Le nom du responsable d'un pôle et celui de la personne chargée d'une action en retard constituent des données à caractère personnel relatives à des membres de l'association.
- Les documents joints à la question, et eux seuls : le contenu du drive n'est pas parcouru automatiquement. Seuls les fichiers expressément ajoutés à la conversation par l'utilisateur sont transmis, avec leur intitulé, leur catégorie, leur date de dépôt et, lorsqu'il a pu en être extrait, leur contenu textuel.
D'autres fonctions du Service recourent au même moteur, en dehors de toute conversation avec l'assistant : la rédaction assistée des statuts et du règlement intérieur, la reprise d'un document statutaire importé en vue de son découpage en articles, la synthèse d'un exercice comptable, la proposition d'actions rattachées à un objectif et le classement d'un document versé au drive. Les données transmises à cette occasion sont limitées à celles que la fonction requiert et sont soumises aux mêmes garanties que celles énoncées ci-après.
- Les éléments nécessaires à l'élaboration d'une réponse sont transmis à Mistral AI, société établie en France, qui intervient en qualité de sous-traitant ultérieur. Le traitement est réalisé dans l'Union européenne.
- Les données traitées ne sont utilisées pour l'entraînement d'aucun modèle, ni par Koalasso ni par son fournisseur.
- Le fournisseur conserve les questions posées et les réponses produites pendant 30 jours glissants, aux seules fins de détection des usages abusifs, avant suppression.
- Le cloisonnement des espaces s'applique aux échanges : une question posée depuis un espace ne donne accès à aucune donnée relevant d'un autre espace.
- L'historique des conversations est conservé dans l'espace de l'association jusqu'à sa suppression par celle-ci.
Conformément à l'article 50 du règlement (UE) 2024/1689 sur l'intelligence artificielle, l'utilisateur est informé qu'il interagit avec un système d'intelligence artificielle. Aucune réponse de Koal'ia ne constitue une décision fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD : elle appelle en toute hypothèse la vérification et la décision d'un membre du bureau, dans les conditions prévues à l'article correspondant des conditions générales d'utilisation.
Durées de conservation
Les données de l'espace sont conservées pendant toute la durée de l'abonnement. Après résiliation, l'association dispose de 30 jours pour les exporter ; un e-mail d'avertissement est envoyé 7 jours avant la suppression.
Les données sont ensuite supprimées automatiquement, puis effacées des sauvegardes sous 60 jours. Un espace d'essai qui n'a pas donné lieu à un abonnement est supprimé 30 jours après la fin de l'essai.
Les pièces comptables de l'association sont supprimées avec son espace : il lui revient de les exporter et de les conserver pendant la durée que la loi lui impose. Koalasso ne conserve au-delà que ses propres factures d'abonnement, pour sa comptabilité.
Les durées ci-après sont déterminées par la finalité poursuivie : les données de l'espace sont conservées le temps de la relation contractuelle, celles qui répondent à une obligation légale pendant la durée que celle-ci impose, et les journaux techniques le temps nécessaire à la sécurité du service.
| Donnée | Durée de conservation |
|---|---|
| Compte utilisateur et contenu de l'espace association | Toute la durée de l'abonnement |
| Après résiliation : période de récupération | 30 jours, pendant lesquels l'export reste possible ; avertissement par courriel 7 jours avant la suppression |
| Après résiliation : suppression définitive | Au terme des 30 jours, automatiquement — base et fichiers ; sauvegardes purgées sous 60 jours au plus |
| Compte d'essai non converti | Supprimé 30 jours après la fin de l'essai |
| Écritures, justificatifs et autres pièces comptables de l'association | Supprimés avec l'espace, dans les délais ci-dessus. Leur conservation au titre des obligations comptables incombe à l'association, qui les exporte avant la suppression |
| Factures d'abonnement émises par Koalasso | 10 ans, au titre des obligations comptables de l'éditeur (article L123-22 du Code de commerce) |
| Journaux techniques de connexion et de sécurité | Durée de rétention fixée par les prestataires d'hébergement, de quelques jours, puis suppression automatique |
| Historique des actions sensibles (suppression, export, changement de permissions) | Durée de l'abonnement, puis sort de l'espace |
| Échanges avec le support | 3 ans à compter du dernier contact |
| Prospects et demandes par courriel | 3 ans à compter du dernier contact |
| Preuve de l'acceptation des conditions par l'utilisateur (versions acceptées, date) | Durée du compte |
| Preuve de l'acceptation des conditions par l'association (versions acceptées, date, nom et adresse de la personne qui l'a engagée) | Durée de l'abonnement de l'association, y compris après la suppression du compte de cette personne ; supprimée avec l'espace |
Sous-traitants
Six prestataires concourent au fonctionnement du service : base de données, hébergement de l'application, paiements, intelligence artificielle, envoi des e-mails et signature électronique.
Les données sont traitées dans l'Union européenne, en France et en Irlande. Chaque prestataire est lié par un contrat, n'accède qu'aux données nécessaires à sa mission et ne peut les utiliser pour son propre compte.
Tout changement de prestataire est annoncé 30 jours à l'avance, par e-mail et sur cette page ; l'association peut alors résilier sans frais.
L'exécution du service requiert l'intervention des prestataires énumérés ci-après, autorisés par l'association au titre de l'article 28.2 du RGPD. Chacun est lié par un contrat conforme à l'article 28.4 du même règlement, n'accède qu'aux données nécessaires à l'accomplissement de sa mission et ne peut les traiter à d'autres fins.
| Prestataire | Mission | Localisation des traitements | Transfert hors UE |
|---|---|---|---|
| Supabase Pte. Ltd | Base de données, authentification, stockage des fichiers, sauvegardes | France (AWS eu-west-3, Paris) | Société singapourienne : clauses contractuelles types |
| Vercel Inc. | Hébergement et exécution du site vitrine et de l'application, journaux techniques | Irlande (région dub1) ; société établie aux États-Unis |
Clauses contractuelles types |
| Stripe Payments Europe, Ltd. | Encaissement des abonnements ; encaissement des cotisations et de la billetterie sur le compte connecté de l'association | Irlande | Groupe américain : clauses contractuelles types |
| Mistral AI | Moteur de l'assistant Koal'ia et des autres fonctions d'assistance : rédaction des statuts et du règlement intérieur, reprise d'un document importé, synthèse d'exercice, suggestions de plan d'action, classement des documents | France | Non |
| Resend, Inc. | Acheminement des courriels de service : invitations, notifications, reçus, relances de paiement | Irlande (région eu-west-1) | Société américaine : clauses contractuelles types |
| Firma (1600 Holdings LLC) | Signature électronique des statuts, procès-verbaux et bulletins d'adhésion, établissement des certificats et dossiers de preuve | France (AWS eu-west-3, Paris) et Suède (réseau de diffusion) | Société de droit américain (Delaware) : clauses contractuelles types |
Les entités contractantes sont, pour l'hébergement des données, Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513, dont l'infrastructure de traitement est établie en France, et, pour la signature électronique, 1600 Holdings LLC, société de droit du Delaware exploitant le service Firma, dont les traitements sont réalisés en France.
Les cotisations et les recettes de billetterie sont encaissées au moyen de Stripe Connect et versées directement sur le compte bancaire de l'association. Les coordonnées bancaires et les données de carte des payeurs sont traitées par Stripe et ne transitent pas par les serveurs de Koalasso. Pour les besoins de la lutte contre la fraude et le blanchiment ainsi que de ses obligations réglementaires, Stripe agit à cet égard en qualité de responsable de traitement distinct.
La présente liste est tenue à jour. Toute adjonction ou tout remplacement de sous-traitant est notifié aux associations clientes, par courriel et sur la présente page, au moins 30 jours avant sa mise en œuvre. L'association dispose d'une faculté d'opposition et peut, à ce titre, résilier sans frais dans les conditions prévues à l'article Résiliation des conditions générales de vente.
Transferts hors de l'Union européenne
Les données sont stockées dans l'Union européenne : en France pour la base de données, les fichiers, les sauvegardes, l'assistant et la signature électronique ; en Irlande pour l'exécution de l'application, les paiements et l'envoi des e-mails.
Plusieurs prestataires étant des sociétés américaines ou singapouriennes, un accès depuis ces pays reste possible lors d'opérations de maintenance. Ces accès sont encadrés par les clauses contractuelles types de la Commission européenne, et les données sont chiffrées.
Une copie de ces garanties peut être demandée à hello@koalasso.fr.
L'ensemble des traitements est localisé dans l'Union européenne : les données, les fichiers et leurs sauvegardes sont hébergés en France, l'application est exécutée en Irlande, l'assistant Koal'ia est exploité en France, la signature électronique est réalisée en France et les courriels de service sont acheminés depuis la région européenne de Resend. Le fonctionnement courant du service ne donne lieu à aucun stockage de données hors de l'Union européenne.
Plusieurs prestataires étant en revanche établis aux États-Unis ou à Singapour, un accès depuis ces pays à l'occasion d'opérations de support, de maintenance ou d'administration ne peut être exclu, et constitue à ce titre un transfert au sens du chapitre V du RGPD.
Ces transferts sont encadrés, au titre du chapitre V du RGPD, par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), complétées par une analyse d'impact des transferts et par des mesures techniques supplémentaires, notamment le chiffrement en transit et au repos et le cloisonnement des accès. Chacun des prestataires concernés — Supabase, Vercel, Stripe, Resend et Firma — a confirmé le recours à ces clauses.
Une copie des garanties applicables peut être obtenue sur demande adressée à hello@koalasso.fr.
Sécurité
Les échanges et les données stockées sont chiffrés. Chaque espace est cloisonné par des règles d'accès appliquées par la base de données elle-même : un utilisateur n'accède qu'aux données des associations dont il est membre, dans la limite des droits de son rôle. Les mots de passe sont stockés sous une forme qui ne permet pas de les relire, y compris par Koalasso, et les actions sensibles sont journalisées.
En cas de violation de données, Koalasso informe la CNIL sous 72 heures pour les traitements dont il est responsable, et l'association concernée dans les meilleurs délais pour ceux qu'il effectue pour son compte.
Les mesures techniques et organisationnelles suivantes sont mises en œuvre au titre de l'article 32 du RGPD :
- Chiffrement des échanges en transit (TLS) et des données au repos chez l'hébergeur.
- Cloisonnement des espaces par des règles d'accès appliquées ligne par ligne par la base de données et par le stockage des fichiers, complétées par des contrôles côté serveur : un utilisateur n'accède qu'aux données des associations dont il est membre, dans la limite des permissions de son rôle. Seules les pages d'événement qu'une association choisit de publier sont accessibles au public.
- Contrôle des accès par rôles et permissions, définis par le bureau de l'association.
- Stockage des mots de passe sous forme de condensats non réversibles, excluant toute possibilité de lecture par l'éditeur.
- En-têtes de sécurité et politique de sécurité du contenu limitant l'exécution de scripts non prévus.
- Sauvegardes régulières et chiffrées, conservées dans la même région européenne.
- Journalisation des actions sensibles : suppression, export, changement de permissions.
- Limitation du nombre de personnes ayant accès aux systèmes de production et engagement de confidentialité de celles-ci.
Violation de données
S'agissant des traitements dont Koalasso est responsable — comptes, facturation, support, sécurité —, toute violation susceptible d'engendrer un risque pour les droits et libertés des personnes est notifiée à la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD et, lorsque le risque est élevé, communiquée aux personnes concernées conformément à l'article 34.
S'agissant des traitements dont Koalasso est sous-traitant — données des adhérents et contenus de l'espace —, toute violation est notifiée à l'association concernée dans les meilleurs délais après en avoir pris connaissance, conformément à l'article 33.2 du RGPD, accompagnée des informations nécessaires à sa propre notification. Il appartient alors à l'association, responsable de traitement, de saisir la CNIL et, le cas échéant, d'informer les personnes concernées.
Accord de sous-traitance (article 28 du RGPD)
Cet article constitue l'accord de sous-traitance que le RGPD exige entre votre association et Koalasso. Il s'applique dès l'acceptation des conditions, sans document séparé.
Koalasso s'engage à ne traiter les données que selon les instructions de l'association, à les sécuriser, à l'informer en cas de violation, à les lui restituer puis à les supprimer en fin de contrat, et à ne recourir à aucun nouveau sous-traitant sans l'en informer 30 jours à l'avance.
L'association s'engage de son côté à disposer d'une base légale pour les données qu'elle enregistre, à en informer ses adhérents, à ne pas enregistrer de données sensibles et à tenir les accès à jour, en particulier lors du renouvellement du bureau.
S'agissant des données saisies par une association dans son espace, le présent article vaut accord de sous-traitance conclu entre l'association, responsable de traitement, et Koalasso, sous-traitant. Il fait partie intégrante du contrat formé par les conditions générales d'utilisation et les conditions générales de vente.
Caractéristiques du traitement confié
| Élément | Description |
|---|---|
| Objet | Fourniture d'un logiciel de gestion associative : comptabilité, stratégie, membres, légalité, drive, événements, assistant Koal'ia et permissions |
| Durée | Durée de l'abonnement, augmentée des délais de restitution et de suppression fixés à l'article Durées de conservation |
| Nature des opérations | Collecte, enregistrement, organisation, structuration, conservation, consultation, mise à disposition des utilisateurs habilités, sauvegarde, transmission au moteur de l'assistant, effacement |
| Finalité | Permettre à l'association de tenir sa comptabilité, de piloter sa stratégie, de gérer ses adhésions et ses instances, de conserver ses documents et d'organiser ses événements |
| Catégories de données | Identité et coordonnées, établissement et promotion, statut d'adhésion et cotisation, pôle et fonction, écritures comptables et justificatifs, notes de frais, documents versés au drive, plans d'action et personnes qui en ont la charge, procès-verbaux, votes et émargements, signatures électroniques, inscriptions et billets, conversations avec l'assistant |
| Catégories de personnes concernées | Adhérents, membres du bureau, participants aux événements, tiers mentionnés dans un document versé par l'association |
| Instructions | L'usage du Service, le paramétrage de ses modules et les demandes adressées au support constituent les instructions documentées du responsable de traitement |
Engagements de Koalasso
- ne traiter les données que sur instruction documentée de l'association, y compris pour un transfert hors Union européenne, sauf obligation légale contraire, dont l'association est alors informée avant traitement sauf interdiction légale ;
- informer l'association si une instruction reçue lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données ;
- garantir la confidentialité des personnes autorisées à traiter les données, lesquelles y sont tenues par un engagement approprié ;
- mettre en œuvre les mesures de sécurité décrites à l'article Sécurité et veiller à leur adéquation au regard de l'article 32 du RGPD ;
- ne recruter de sous-traitant ultérieur qu'aux conditions décrites à l'article Sous-traitants — autorisation générale, information préalable de 30 jours, faculté d'opposition —, en lui imposant par contrat les mêmes obligations et en demeurant pleinement responsable de son exécution ;
- assister l'association, par des mesures techniques et organisationnelles appropriées, dans la satisfaction des demandes d'exercice de droits émanant des personnes concernées, au moyen des fonctions de consultation, de rectification, d'export et de suppression de l'application, et lui transmettre sans délai toute demande reçue directement ;
- l'assister dans ses obligations de sécurité, de notification de violation et, le cas échéant, d'analyse d'impact et de consultation préalable, au titre des articles 32 à 36 du RGPD ;
- notifier toute violation de données à l'association dans les meilleurs délais après en avoir pris connaissance, dans les conditions prévues à l'article Sécurité ;
- au terme du contrat, restituer les données par export puis les supprimer, ainsi que les copies existantes, selon les délais indiqués à l'article Durées de conservation, sauf obligation légale de conservation ;
- tenir le registre des catégories d'activités de traitement effectuées pour le compte de l'association prévu à l'article 30.2 du RGPD ;
- mettre à la disposition de l'association les informations nécessaires pour démontrer le respect de ces obligations et permettre la réalisation d'audits, y compris d'inspections, conduits par elle ou par un auditeur qu'elle mandate, à ses frais, moyennant un préavis raisonnable et dans des conditions préservant la sécurité et la confidentialité des données des autres associations.
Engagements de l'association
- déterminer les finalités et les moyens des traitements qu'elle met en œuvre et s'assurer de leur licéité ;
- justifier d'une base légale au sens de l'article 6 du RGPD pour chaque traitement et informer les personnes concernées conformément aux articles 13 et 14 ;
- ne verser dans le Service ni donnée relevant de l'article 9 du RGPD, ni donnée relative à des condamnations pénales au sens de l'article 10 ;
- tenir son propre registre des traitements, apprécier la nécessité d'une analyse d'impact et répondre aux demandes d'exercice de droits de ses adhérents ;
- tenir à jour les accès et les permissions de ses utilisateurs, notamment à chaque renouvellement de bureau.
L'association qui requiert un accord de sous-traitance conclu par acte séparé peut en faire la demande à hello@koalasso.fr.
Vos droits
Vous pouvez demander l'accès, la rectification, l'effacement, la portabilité ou la limitation du traitement de vos données, vous opposer à un traitement et retirer votre consentement lorsqu'il a été recueilli.
Les demandes sont adressées à hello@koalasso.fr. Elles sont traitées gratuitement, dans un délai d'un mois.
Vous pouvez également, depuis les réglages de l'application, exporter vos données personnelles et supprimer votre compte. Pour les données enregistrées dans l'espace d'une association, la demande est à adresser à cette association.
Sur les données dont Koalasso est responsable de traitement, toute personne concernée dispose des droits suivants :
- Accès (article 15 du RGPD) : obtenir la confirmation que des données la concernant sont traitées, en recevoir une copie et connaître les finalités, destinataires et durées de conservation ;
- Rectification (article 16) : faire corriger ou compléter des données inexactes ou incomplètes ;
- Effacement (article 17) : obtenir la suppression des données, sous réserve des conservations imposées par la loi, notamment comptables ;
- Limitation (article 18) : obtenir le gel d'un traitement contesté le temps de sa vérification ;
- Portabilité (article 20) : recevoir, dans un format structuré et lisible par machine, les données fournies et traitées sur le fondement du contrat ou du consentement ;
- Opposition (article 21) : s'opposer, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime, et sans condition à la prospection ;
- Retrait du consentement (article 7.3), lorsqu'un traitement repose sur celui-ci, sans que ce retrait remette en cause la licéité du traitement antérieur ;
- Directives post mortem (article 85 de la loi Informatique et Libertés) : définir le sort des données après le décès.
Ces droits s'exercent par demande adressée à hello@koalasso.fr. Il y est répondu gratuitement dans un délai d'un mois à compter de la réception, prorogeable de deux mois en cas de demande complexe ou nombreuse, le demandeur étant alors informé de cette prorogation et de ses motifs dans le mois de sa demande. La justification de l'identité du demandeur peut être exigée en cas de doute raisonnable ; la pièce produite n'est pas conservée au-delà du traitement de la demande.
S'agissant des données enregistrées dans l'espace d'une association — fiches des membres, écritures, documents, participants aux événements —, hors les gestes que l'utilisateur peut accomplir lui-même dans l'application, la demande doit être adressée à cette association, responsable de traitement, conformément à l'article Données des associations. Une demande parvenant directement à Koalasso lui est transmise sans délai.
Réclamation auprès de la CNIL
Si la réponse apportée ne vous satisfait pas, vous pouvez adresser une réclamation à la CNIL, gratuitement et en ligne.
Toute personne concernée dispose du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés :
CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/plaintes
Évolutions de cette politique
Cette politique peut être modifiée ; la date de la version en vigueur figure en haut de page.
Toute modification importante — nouvelle finalité, nouveau prestataire, durée de conservation allongée — est annoncée par e-mail au moins 30 jours à l'avance.
La présente politique est susceptible d'être modifiée pour tenir compte de l'évolution du service ou de la réglementation applicable. La date de version figure en tête de page. Toute modification substantielle — adjonction d'une finalité ou d'un sous-traitant, allongement d'une durée de conservation — est notifiée par courriel aux associations clientes au moins 30 jours avant son entrée en vigueur.
Contact
Pour toute question : hello@koalasso.fr, ou par courrier au 72 cours de Vincennes, 75012 Paris.
Koalasso n'est pas tenu de désigner un délégué à la protection des données ; les demandes sont traitées directement par l'éditeur.
Toute question relative à la présente politique ou aux traitements qu'elle décrit peut être adressée :
- Courriel : hello@koalasso.fr
- Courrier : Koalasso, 72 cours de Vincennes, 75012 Paris
Koalasso n'est pas soumis à l'obligation de désigner un délégué à la protection des données au sens de l'article 37 du RGPD. Les demandes sont traitées directement par l'éditeur, dont l'identité figure aux mentions légales.