Politique de Confidentialité

1. Contact et délégué à la protection des données.

Les traitements décrits dans la présente politique sont mis en œuvre par l'éditeur de la plateforme, dont les coordonnées figurent dans les Mentions Légales. Il peut être joint à l'adresse contact@afro-caraibeen.com.

Un délégué à la protection des données (DPO) est désigné. Il peut être contacté pour toute question relative au traitement de vos données à l'adresse dpo@afro-caraibeen.com.

2. Champ d'application.

Cette politique s'applique à l'ensemble des traitements réalisés via la plateforme (site web et application), les courriers électroniques qu'elle émet et les échanges avec le support. Elle complète les Conditions Générales d'Utilisation et les Mentions Légales.

La plateforme est réservée aux personnes majeures. Aucune donnée relative à un mineur de moins de 18 ans n'est sciemment collectée. Si vous constatez qu'un mineur a créé un compte, signalez-le au DPO afin que le compte soit supprimé.

3. Données collectées.

Nous ne collectons que les données nécessaires aux finalités décrites ci-après.

3.1. Données que vous nous fournissez.

• Données de connexion : adresse électronique, mot de passe (conservé exclusivement sous forme hachée).
• Données de profil : civilité, nom, prénom, adresse postale, code postal, ville, numéro de téléphone, profession, année d'entrée dans le réseau, nom du membre référent, photo de profil, biographie, témoignage, centres d'intérêt, badges, liens vers vos profils sur des réseaux sociaux externes, état de votre cotisation annuelle.
• Données de parrainage : dossier de candidature au format PDF mentionnant l'identité du candidat et de son référent, référence du dossier.
• Contenus publiés : articles, interviews (vidéos, images), offres d'emploi, lieux de rencontre, participation aux rencontres, témoignages et tout autre contenu que vous déposez sur la plateforme.
• Données relatives aux invités : nom, adresse électronique, photo et profession d'un tiers que vous invitez à une rencontre ou à une interview.
• Données de support : nom, adresse électronique, sujet et contenu des messages adressés via le formulaire de contact ou de signalement, ainsi que les réponses apportées.
• Préférences : paramètres de notification.

Les champs signalés par un astérisque dans les formulaires sont obligatoires. À défaut, la création ou la validation du compte n'est pas possible. Les autres champs sont facultatifs.

3.2. Données collectées automatiquement.

• Données de connexion et de sécurité : adresse IP, horodatage des connexions, tentatives de connexion échouées, système d'exploitation et sa version, navigateur et sa version, type d'appareil, architecture, fuseau horaire.
• Localisation approximative (ville, région, pays) déduite de l'adresse IP à partir d'une base de données locale, sans appel à un service tiers. Cette information est utilisée pour vous alerter en cas de connexion ou de demande de réinitialisation de mot de passe inhabituelle.
• Données de mesure d'audience agrégées et anonymes (pages consultées, provenance, type d'appareil), collectées sans cookie ni identifiant persistant.
• Données liées à la protection anti-robots (reCAPTCHA) lors de la connexion et de l'inscription.

3.3. Données sensibles.

La plateforme ne vous demande aucune donnée révélant votre origine raciale ou ethnique, vos opinions politiques, vos convictions religieuses ou philosophiques, votre appartenance syndicale, votre santé, votre vie ou votre orientation sexuelle. Les champs de texte libre (biographie, témoignage, contenus publiés) vous permettent de partager les informations de votre choix : vous seul décidez de ce que vous y divulguez.

Dans la mesure où l'appartenance au réseau afro-caribéen pourrait être regardée comme révélant indirectement une origine, ce traitement repose sur votre consentement explicite exprimé lors de l'inscription (article 9.2.a du RGPD). Vos données de profil ne sont accessibles qu'aux membres validés, et vous pouvez retirer ce consentement à tout moment en supprimant votre compte.

4. Finalités et bases juridiques.

Chaque traitement repose sur l'une des bases juridiques prévues à l'article 6 du RGPD :

• Création, validation et gestion de votre compte, traitement de votre candidature et de votre parrainage, suivi de votre adhésion : exécution du contrat formé par l'acceptation des CGU et mesures précontractuelles (article 6.1.b).
• Annuaire des membres, affichage de votre profil aux autres membres et mise en relation : exécution du contrat (article 6.1.b).
• Organisation des rencontres, gestion des invités, envoi des rappels et notifications liées au service : exécution du contrat (article 6.1.b) et, pour les invités, intérêt légitime du membre invitant et de l'éditeur (article 6.1.f).
• Envoi des courriels transactionnels (validation d'adresse, réinitialisation de mot de passe, confirmation de suppression, réponse à une demande) : exécution du contrat (article 6.1.b).
• Sécurité de la plateforme : journalisation des connexions, détection et blocage des tentatives d'intrusion, limitation du nombre de requêtes, liste de blocage d'adresses IP, alerte de connexion inhabituelle, protection anti-robots : intérêt légitime à garantir la sécurité et l'intégrité du service (article 6.1.f).
• Modération des contenus, traitement des signalements, réponse aux réquisitions : obligation légale (article 6.1.c) au titre de la LCEN et du règlement (UE) 2022/2065, et intérêt légitime (article 6.1.f).
• Conservation des données d'identification et de connexion : obligation légale (article 6.1.c) au titre de l'article 6-II de la LCEN et du décret n° 2021-1362.
• Réponse aux demandes adressées via le formulaire de contact : intérêt légitime à répondre aux sollicitations (article 6.1.f).
• Mesure d'audience anonyme et statistiques internes agrégées : intérêt légitime à comprendre l'usage du service et à l'améliorer (article 6.1.f).
• Publication de votre témoignage, de votre interview ou de votre image dans les espaces publics de la plateforme : consentement (article 6.1.a), que vous pouvez retirer à tout moment.
• Gestion des demandes d'exercice de droits et tenue du registre des traitements : obligation légale (article 6.1.c).

Aucune donnée n'est utilisée à des fins de prospection commerciale, de profilage publicitaire ou de revente.

5. Destinataires des données.

Vos données sont accessibles, dans la stricte limite de leurs attributions :

• Aux autres membres validés de la plateforme, pour les données de votre profil et les contenus que vous publiez dans les espaces réservés.
• À tout visiteur, pour les seuls contenus que vous avez accepté de rendre publics (témoignages, interviews, actualités).
• Au personnel habilité de l'éditeur et aux administrateurs et modérateurs de la plateforme, soumis à une obligation de confidentialité.
• À votre membre référent, pour les données figurant dans votre dossier de parrainage.
• À nos sous-traitants, agissant sur instruction et liés par un contrat conforme à l'article 28 du RGPD :
  • OVH : hébergement des serveurs, de la base de données et des fichiers (France).
  • Notre prestataire d'envoi de courriers électroniques transactionnels.
  • Google Ireland Limited : service reCAPTCHA de protection anti-robots.
• Aux autorités judiciaires, administratives ou de police, sur réquisition, dans les cas prévus par la loi.

Nous ne vendons, ne louons ni n'échangeons vos données personnelles.

6. Transferts hors de l'Union européenne.

Vos données sont hébergées et traitées au sein de l'Union européenne.

Seul le service reCAPTCHA, activé sur les pages de connexion et d'inscription, implique la transmission de données techniques (adresse IP, informations sur le navigateur, interactions avec la page) à Google, dont certaines entités sont situées aux États-Unis. Ce transfert est encadré par la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (Data Privacy Framework) et, à titre subsidiaire, par les clauses contractuelles types de la Commission européenne. Vous pouvez consulter la politique de confidentialité de Google.

7. Durées de conservation.

• Données de compte et de profil : pendant toute la durée de votre adhésion. À votre demande de suppression, le compte est désactivé immédiatement puis supprimé définitivement à l'issue d'un délai de réflexion de 14 jours, pendant lequel vous pouvez annuler la demande en vous reconnectant.
• Empreinte cryptographique de l'adresse électronique d'un compte supprimé : 10 ans, à seule fin de s'opposer à la réinscription d'une personne dont le compte a été supprimé. Cette empreinte ne permet pas de retrouver l'adresse d'origine.
• Contenus rendus publics et rattachés à un compte supprimé : conservés sous forme anonymisée, sans lien avec votre identité, pendant 10 ans au maximum.
• Dossier de parrainage : durée de l'adhésion du candidat.
• Données d'identification et de connexion soumises à l'obligation légale de conservation : 1 an pour les données techniques de connexion et jusqu'à 5 ans pour les données d'identité civile à compter de la fin du compte, conformément au décret n° 2021-1362 du 20 octobre 2021.
• Tentatives de connexion échouées : effacées dès la connexion réussie ou à l'expiration de la fenêtre de surveillance.
• Jetons d'authentification et de réinitialisation : jusqu'à leur expiration, puis purge quotidienne.
• Adresses IP inscrites sur la liste de blocage : jusqu'à la date d'expiration fixée lors de l'inscription ou jusqu'à leur levée manuelle.
• Messages de contact et de signalement : durée nécessaire à leur traitement, puis 5 ans à compter du dernier échange, correspondant à la prescription de droit commun (article 2224 du Code civil).
• Données de mesure d'audience : anonymes dès leur collecte, conservées sous forme agrégée sans limitation.

Au terme de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

8. Cookies et traceurs.

Conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL, la plateforme n'utilise que des traceurs strictement nécessaires à la fourniture du service, exemptés de consentement :

• access_token : authentification de vos requêtes. Cookie HttpOnly, durée de 5 minutes.
• refresh_token : renouvellement automatique de votre session. Cookie HttpOnly, durée de 7 jours.
• xsrf_token : protection contre les attaques de type Cross-Site Request Forgery. Durée de la session.
• cookie_consent : mémorisation de la prise de connaissance du bandeau d'information. Durée de 12 mois.
• Stockage local du navigateur : indicateur d'état de connexion, sans donnée personnelle.

La mesure d'audience est réalisée avec l'outil Plausible Analytics, hébergé sur nos propres serveurs. Il ne dépose aucun cookie, ne collecte aucun identifiant persistant et ne permet pas de vous suivre d'un site à l'autre. Il entre dans le périmètre de l'exemption de consentement prévue par la CNIL pour la mesure d'audience. Vous pouvez consulter la politique de données de Plausible.

Le service reCAPTCHA de Google, chargé uniquement sur les pages de connexion et d'inscription, est susceptible de lire ou de déposer des cookies du domaine google.com aux fins de détection des robots. Vous pouvez le refuser en configurant votre navigateur, ce qui peut toutefois empêcher la connexion.

Vous pouvez à tout moment supprimer les cookies ou bloquer leur dépôt via les paramètres de votre navigateur. Le blocage des cookies strictement nécessaires empêche l'accès aux espaces réservés.

9. Sécurité.

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, notamment :

• Chiffrement des échanges par le protocole TLS.
• Hachage des mots de passe avec un algorithme robuste et salé (bcrypt).
• Jetons d'authentification stockés dans des cookies HttpOnly et SameSite, inaccessibles aux scripts.
• Protection contre la falsification de requêtes (jeton CSRF signé), en-têtes de sécurité HTTP, limitation du nombre de requêtes et blocage des adresses IP malveillantes.
• Blocage temporaire après plusieurs tentatives de connexion échouées et vérification anti-robots.
• Validation obligatoire de l'adresse électronique et alerte en cas de réinitialisation de mot de passe.
• Contrôle d'accès fondé sur des rôles hiérarchisés et principe du moindre privilège pour les administrateurs.
• Fichiers privés accessibles uniquement via des liens signés à durée limitée (7 jours).
• Sauvegardes régulières et revues périodiques de sécurité.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans les 72 heures et vous en informerons dans les meilleurs délais lorsque le risque est élevé (articles 33 et 34 du RGPD).

10. Décisions automatisées.

Aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative n'est fondée exclusivement sur un traitement automatisé (article 22 du RGPD). La validation des candidatures est réalisée par une personne.

Des mécanismes automatisés de sécurité (limitation de requêtes, blocage temporaire après échecs de connexion, vérification anti-robots, liste de blocage d'adresses IP) peuvent restreindre temporairement l'accès au service. Vous pouvez contester un blocage que vous estimez injustifié en écrivant à contact@afro-caraibeen.com.

11. Données relatives à des tiers.

Lorsque vous renseignez les coordonnées d'un invité, d'un référent ou de toute autre personne, vous vous engagez à l'avoir préalablement informée de la présente politique et, le cas échéant, à avoir recueilli son accord. Les invités reçoivent uniquement les courriels nécessaires à la rencontre à laquelle ils sont conviés et peuvent s'opposer à tout moment à ce traitement en nous écrivant.

12. Vos droits.

Conformément aux articles 15 à 22 du RGPD et aux articles 48 et suivants de la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes, directement depuis les paramètres de votre compte.
• Droit à l'effacement : obtenir la suppression de vos données, sous réserve des obligations légales de conservation. La suppression de votre compte est accessible depuis vos paramètres.
• Droit à la limitation du traitement dans les cas prévus à l'article 18.
• Droit à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine.
• Droit de retirer votre consentement à tout moment, sans remettre en cause la licéité du traitement antérieur.
• Droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Droit d'opposition.

Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime (article 21 du RGPD). Nous cesserons alors le traitement, sauf motifs légitimes et impérieux prévalant sur vos intérêts, droits et libertés.

Modalités d'exercice.

• Depuis les paramètres de votre compte, pour la rectification de votre profil, vos préférences de notification et la suppression de votre compte.
• Par courrier électronique adressé au DPO : dpo@afro-caraibeen.com.

Nous répondons dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de complexité. En cas de doute raisonnable sur votre identité, un justificatif pourra vous être demandé.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

13. Modification de la politique.

Nous pouvons faire évoluer la présente politique pour tenir compte des évolutions légales, techniques ou du service. La version en vigueur est celle publiée sur la plateforme, identifiée par sa date de mise à jour. Toute modification substantielle vous sera notifiée par courrier électronique à l'adresse enregistrée et par un avis sur la plateforme, au moins 30 jours avant son entrée en vigueur lorsque vos droits en sont affectés.

14. Contact.

• Délégué à la protection des données : dpo@afro-caraibeen.com.
• Questions générales : contact@afro-caraibeen.com.