Politique de confidentialité

Préambule

La présente politique de confidentialité (la « Politique ») a pour objet de porter à la connaissance des personnes concernées les informations prescrites par les articles 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (le « RGPD ») ainsi que par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (la « loi Informatique et Libertés »), s'agissant des traitements de données à caractère personnel mis en œuvre au moyen de la plateforme Good is Campus.

Elle s'applique, sans préjudice des stipulations contractuelles applicables, aux utilisateurs de la Plateforme, accessible par navigateur et par application mobile, ainsi qu'aux acheteurs, payeurs et participants des Boutiques et Billetteries ouvertes par une association au moyen de la Plateforme.

Les traitements afférents au site goodismerch.com, à la prospection commerciale de GiM et à la gestion de ses relations avec ses clients et fournisseurs sont régis par une politique distincte, publiée sur goodismerch.com.

Article 1 · Définitions

Les termes ci-après, lorsqu'ils sont employés avec une majuscule, ont la signification suivante, sans préjudice des définitions de l'article 4 du RGPD, qui s'appliquent pour le surplus :

• « GiM » : la société GOOD IS MERCH, identifiée à l'article 2 ;
• « Plateforme » : le service Good is Campus, accessible à l'adresse campus.goodismerch.com et par l'application mobile éditée par GiM ;
• « Association » : la maison des lycéens ou l'association lycéenne utilisatrice de la Plateforme, représentée par ses organes statutaires et son référent ;
• « Compte » : l'espace personnel ouvert au nom d'une personne physique sur la Plateforme ;
• « Boutique » et « Billetterie » : les espaces de vente de produits et de billets ouverts par une Association au moyen de la Plateforme ;
• « Vendeur » : l'Association exploitant une Boutique ou une Billetterie ;
• « Acheteur » : la personne qui passe commande dans une Boutique ou une Billetterie ;
• « Données » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4, point 1), du RGPD.

Les termes non définis ci-dessus ont le sens que leur donnent les conditions générales d'utilisation de la Plateforme et de la Boutique.

Article 2 · Identité du responsable de traitement et coordonnées

GOOD IS MERCH, société par actions simplifiée au capital de 3 000 euros, dont le siège social est situé 6, rue d'Armaillé, 75017 Paris, France, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 991 348 962 (SIRET 991 348 962 00010).

GiM n'est pas tenue de désigner un délégué à la protection des données au sens de l'article 37 du RGPD et n'en a pas désigné. Les questions relatives à la protection des Données sont traitées par son référent, Lennon Jeaugey, président.

Toute demande relative à la présente Politique ou à l'exercice des droits visés à l'article 12 peut être valablement adressée :

• par voie électronique, à l'adresse contact@goodismerch.com ;
• par voie postale, à Good is Merch, 6 rue d'Armaillé, 75017 Paris, France ;
• depuis la Plateforme, rubrique Réglages, puis Confidentialité.

Article 3 · Qualification des parties et répartition des responsabilités

3.1 Responsabilité conjointe. GiM détermine les moyens essentiels des traitements réalisés au moyen de la Plateforme, notamment les catégories de Données collectées, les fonctionnalités offertes, les durées de conservation et les mesures de sécurité. L'Association détermine, pour sa part, l'activation des fonctionnalités (boutique, billetterie, sondage, élection), les personnes invitées et l'usage des Données aux fins de la vie associative. Pour la gestion de l'Association (adhérents, bureau, mandats, élections, projets, réunions, sondages, documents), les Boutiques, les Billetteries, le concours et le yearbook, GiM et l'Association déterminent ainsi conjointement les finalités et les moyens des traitements et ont la qualité de responsables conjoints au sens de l'article 26 du RGPD.

3.2 Répartition des obligations. Aux termes de l'accord qui les lie, dont les stipulations figurent aux conditions générales de vente de la Plateforme :

• GiM assure l'information des personnes concernées, la sécurité des traitements, l'application des durées de conservation, le traitement de l'ensemble des demandes d'exercice des droits et la notification des violations de Données, en informant l'Association concernée ;
• l'Association s'engage à n'activer une fonctionnalité et à n'inviter une personne qu'aux fins de la vie associative, et à ne faire usage des Données qu'à ces fins ;
• GiM constitue le point de contact unique des personnes concernées, y compris pour les questions relevant de l'Association. Conformément à l'article 26, paragraphe 3, du RGPD, toute personne peut néanmoins exercer ses droits à l'égard de chacun des responsables conjoints ; la demande adressée à l'Association est transmise par celle-ci à GiM.

3.3 Responsabilité exclusive de GiM. GiM est seule responsable des traitements relatifs aux Comptes et à leur sécurité, à sa relation commerciale avec l'Association et son référent, à la messagerie entre l'Association et GiM, à la facturation et à la mesure d'usage de la Plateforme décrite à l'article 10.

3.4 Traitements pour le compte de l'Association. Lorsque GiM adresse aux membres d'une Association un message émis par celle-ci, elle agit pour son compte et sur ses instructions documentées, en qualité de sous-traitant au sens de l'article 28 du RGPD.

Article 4 · Catégories de Données traitées

Selon les fonctionnalités effectivement utilisées, et dans la stricte mesure nécessaire aux finalités énoncées à l'article 5, GiM traite les catégories de Données suivantes :

4.1 Données d'identification et de Compte. Prénom, nom (facultatif), adresse électronique, classe, déclaration d'âge de 15 ans ou plus et date de cette déclaration, rôle au sein de l'Association, mot de passe sous forme chiffrée, paramètres de double authentification, appareils connectés. La date de naissance des titulaires de Compte ne fait, en aucun cas, l'objet d'une collecte.

4.2 Données relatives à la vie associative. Adhésions, composition du bureau et mandats, projets, tâches, réunions et comptes rendus, dépenses et justificatifs, documents de l'Association (statuts, procès-verbaux, récépissés), dossier de passation entre bureaux successifs.

4.3 Données électorales. Candidatures (identité, classe, poste sollicité), élus, nombre de voix obtenues par chaque candidat et procès-verbaux. La Plateforme n'organise aucun vote en ligne : seuls les résultats du dépouillement y sont reportés, à l'exclusion de toute donnée permettant de rattacher un bulletin à un votant.

4.4 Réponses aux sondages. Réponses, anonymes ou nominatives selon le paramétrage retenu par le bureau.

4.5 Correspondances. Messages échangés entre l'Association et GiM, y compris les réponses reçues par courrier électronique.

4.6 Données de commande. Prénom, nom et adresse électronique de l'Acheteur ; adresse électronique du payeur lorsqu'il est distinct ; taille, sélection et personnalisation ; groupe de remise ; réclamations et remboursements. S'agissant d'un billet : nom et adresse électronique du titulaire et la seule indication de sa majorité ou de sa minorité au jour de l'événement, la date de naissance saisie n'étant pas conservée. Aucune adresse postale ne fait l'objet d'une collecte.

4.7 Contributions. Photographies, textes et créations déposés dans le cadre du yearbook ou du concours, adresse électronique du représentant légal de l'auteur mineur, licence signée (texte, signataire, date).

4.8 Données probatoires. Version et date des conditions acceptées ; historique des demandes d'exercice des droits.

4.9 Données techniques. Journaux de connexion et de sécurité, dans lesquels les adresses IP ne sont conservées que sous la forme d'une empreinte irréversible. Lorsque la personne accepte de recevoir des notifications dans l'application mobile : l'adresse de notification de l'appareil, constituée d'un jeton attribué par le fabricant de l'appareil, le type d'appareil et les dates d'enregistrement et de dernière utilisation.

4.10 Données de mesure d'usage. Écrans consultés et actions accomplies, rattachés au Compte de l'Association et à un pseudonyme, à l'exclusion de tout nom, adresse électronique, classe ou adresse IP, dans les conditions de l'article 10.

La Plateforme n'a pas vocation à traiter des données relevant des catégories particulières visées à l'article 9 du RGPD. Il est expressément demandé aux utilisateurs de ne saisir aucune donnée de cette nature (santé, opinions, convictions religieuses, vie privée) dans un champ libre, un message ou un compte rendu.

Article 5 · Finalités et fondements juridiques des traitements

Chaque traitement repose sur l'un des fondements énumérés à l'article 6, paragraphe 1, du RGPD :

Lorsque le traitement est fondé sur l'intérêt légitime, GiM a procédé à la mise en balance de cet intérêt avec les intérêts et droits fondamentaux des personnes concernées, en tenant compte notamment de la présence de mineurs parmi les utilisateurs ; les garanties qui en résultent sont décrites aux articles 8, 10 et 13.

La fourniture des Données d'identification revêt un caractère nécessaire à l'ouverture d'un Compte et à la passation d'une commande ; à défaut, GiM se trouve dans l'impossibilité de fournir le service demandé. La fourniture des autres Données revêt un caractère facultatif.

Article 6 · Destinataires et sous-traitants

6.1 Au sein de l'Association. Les membres de l'Association accèdent aux seules Données que prévoit la fonctionnalité utilisée : le bureau et le référent ont connaissance des membres et de leurs adresses électroniques ; les résultats d'une élection sont portés à la connaissance des membres.

6.2 Au sein de GiM. Les Données sont accessibles aux seuls salariés habilités, dans la limite de leurs attributions et aux fins d'accompagnement de l'Association et de fourniture du service. L'outil commercial de GiM reçoit les coordonnées des référents et des membres élus du bureau, y compris des élèves âgés de quinze ans et plus, dans les conditions prévues à l'article 13.6, ainsi que le prénom et l'adresse électronique des utilisateurs qui ont choisi de recevoir ses actualités (article 13.7).

6.3 Sous-traitants. GiM recourt à des sous-traitants qui traitent les Données pour son compte, sur ses instructions documentées et dans les conditions de l'article 28 du RGPD. Ils relèvent des catégories suivantes :

• hébergement des serveurs, au sein de l'Union européenne (Allemagne et Finlande) ;
• envoi et réception des courriers électroniques, en région Union européenne ;
• traitement des paiements des Boutiques et Billetteries ;
• acheminement des notifications de l'application mobile, dont le contenu ne comporte ni nom ni montant ;
• suivi des erreurs techniques, en région Union européenne, sans adresse IP et avec masquage des adresses de pages ;
• stockage externalisé des sauvegardes, chiffrées préalablement à leur envoi et inintelligibles pour le prestataire ;
• lecture automatisée des documents déposés, tels que les relevés d'identité bancaire, au sein de l'Union européenne ;
• l'atelier de fabrication, pour les seules données de personnalisation d'un produit (prénom, initiale, numéro) ;
• outils d'assistance technique employés par l'équipe de GiM lors de ses interventions sur la Plateforme.

La liste nominative des sous-traitants est communiquée sur simple demande adressée à contact@goodismerch.com.

6.4 Autres destinataires. Les alertes de sécurité internes transitent par une messagerie instantanée, sans aucune donnée identifiante. Les Données peuvent être communiquées aux autorités administratives ou judiciaires qui en font la demande dans le cadre de leurs prérogatives légales. Elles ne font l'objet d'aucune cession, location ou commercialisation.

Article 7 · Transferts de Données hors de l'Union européenne

Les Données font l'objet d'un hébergement au sein de l'Union européenne. Certains sous-traitants (paiement, envoi des courriers électroniques, suivi des erreurs, sauvegardes, notifications de l'application, assistance technique) sont toutefois susceptibles, dans le cadre de l'exécution de leurs prestations, d'y accéder depuis un pays tiers, notamment les États-Unis, ou de les y traiter. Conformément au chapitre V du RGPD, chacun de ces transferts est encadré par des garanties appropriées : la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (art. 45 du RGPD), pour les prestataires certifiés à ce titre, et, dans tous les cas, les clauses contractuelles types adoptées par la Commission européenne (art. 46 du RGPD).

Toute personne concernée est en droit d'obtenir une copie de ces garanties en adressant sa demande à contact@goodismerch.com.

Article 8 · Durées de conservation

Les Données sont conservées pendant la durée strictement nécessaire à la finalité poursuivie, conformément à l'article 5, paragraphe 1, e), du RGPD. À l'expiration des durées ci-après, elles font l'objet d'un effacement ou d'une anonymisation irréversible, opérés par des traitements automatisés.

Certaines Données peuvent être conservées au-delà de ces durées, en archivage intermédiaire et pour la durée strictement nécessaire, lorsqu'une obligation légale l'impose ou aux fins de la constatation, de l'exercice ou de la défense d'un droit en justice.

Article 9 · Cookies, traceurs et stockage local

9.1 Principe. La Plateforme, les Boutiques et les Billetteries ne recourent qu'à des cookies et opérations de stockage strictement nécessaires à la fourniture du service expressément demandé ou à sa sécurité, lesquels sont dispensés de consentement en application de l'article 82 de la loi Informatique et Libertés. Aucun traceur de mesure d'audience, de profilage ou de publicité n'est déposé, de sorte qu'aucun recueil de consentement n'est requis. Aucune caractéristique de l'appareil n'est lue aux fins de sa reconnaissance.

9.2 Plateforme.

• __Host-gim-session : maintien de la connexion ; jusqu'à la fermeture du navigateur, dans la limite de 7 jours. Dans l'application mobile installée, la connexion est maintenue 12 mois au plus et peut être révoquée à tout moment depuis la rubrique « Appareils » ;
• __Host-gim-appareil : reconnaissance d'un appareil déjà connecté, aux fins de sécurité des connexions ; 12 mois ; il ne contient qu'un nombre tiré au hasard ;
• __Host-gim-compte-actif : mémorisation de l'Association choisie par l'utilisateur qui en suit plusieurs ; jusqu'à la fermeture du navigateur ;
• __Host-gim-theme, gim-rail, __Host-gim-tour-role-fait, __Host-gim-confirmations : mémorisation du thème, du menu replié, de la visite guidée déjà consultée et des confirmations que l'utilisateur a choisi de ne plus afficher ; 12 mois ;
• __Host-gim-sondage-navigateur : limitation à une réponse par navigateur d'un sondage ouvert par lien public ; 60 jours ;
• cookies temporaires de parcours (inscription, connexion, ouverture d'un Compte, dépôt d'un document, contestation d'une reprise, saisie à reprendre après une erreur) : de 5 minutes à 1 heure. Celui du recueil de candidatures conserve les prénom, nom, classe et adresse électronique saisis pendant 1 heure, afin de permettre la correction d'une erreur.

9.3 Boutiques et Billetteries.

• __Host-gim-commande : conservation d'une commande commencée ; 30 jours au plus ;
• __Host-gim-billetterie : conservation d'une réservation commencée ; 7 jours au plus ;
• __Host-gim-reprise et __Host-gim-identite-refus : saisie à reprendre après une erreur ; 30 minutes au plus.

Sur les pages de paiement, Stripe est susceptible de déposer ses propres traceurs, strictement nécessaires à la sécurité du paiement et à la prévention de la fraude.

9.4 Stockage local. Pendant la saisie d'un formulaire, le texte saisi est conservé dans l'onglet afin d'en prévenir la perte ; il est supprimé à la fermeture de l'onglet, les mots de passe et codes n'étant jamais conservés. Le contrôle des billets hors connexion ne conserve sur l'appareil que les identifiants des billets et leur statut, supprimés le lendemain de l'événement.

9.5 Suivi des erreurs. Les erreurs techniques et, pour une navigation sur dix, des mesures de performance sont transmises au service de suivi des erreurs, sans cookie, sans adresse IP et sans enregistrement de session ; les adresses de pages sont masquées préalablement à leur envoi.

Article 10 · Mesure d'usage de la Plateforme

10.1 Objet. Aux fins d'amélioration de la Plateforme, GiM enregistre, côté serveur, les écrans consultés et certaines actions accomplies, ainsi que les articles d'aide consultés et les termes recherchés sans résultat.

10.2 Garanties. Ces événements sont rattachés au Compte de l'Association et à un pseudonyme renouvelé à chaque année scolaire. Ils ne comportent ni nom, ni adresse électronique, ni classe, ni rôle, ni adresse IP, ni contenu saisi, et sont conservés dans une base de données distincte. Les comptes de démonstration en sont exclus.

10.3 Opposition. Un navigateur transmettant le signal « Global Privacy Control » ou « Do Not Track » n'est pas mesuré. Toute personne peut en outre s'opposer à tout moment à ce traitement, dans les conditions de l'article 12.

10.4 Messages de la semaine de mise en route. Pendant la semaine de mise en route, GiM enregistre, afin de mesurer l'utilité de ses messages, l'ouverture des boutons de ces messages, leur lecture dans la messagerie de la Plateforme et le téléchargement des documents remis à l'Association. Ces informations sont rattachées à la seule semaine de l'Association, sans désigner la personne qui a ouvert, lu ou téléchargé. Aucun pixel de suivi n'est inséré dans les courriels. Le signal visé au 10.3 est respecté.

Article 11 · Sécurité et violations de Données

11.1 Mesures de sécurité. Conformément à l'article 32 du RGPD, GiM met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques : chiffrement des échanges (HTTPS) ; stockage des fichiers déposés sur un volume chiffré, après analyse antivirale ; chiffrement des mots de passe et des sauvegardes ; réduction des adresses IP à une empreinte irréversible ; accès nominatif des salariés de GiM, limité à leurs attributions.

11.2 Contrôles. GiM procède à une vérification hebdomadaire de ses sauvegardes et de ses paramètres de sécurité et dispose d'un dispositif d'alerte en cas d'activité suspecte.

11.3 Violations de Données. En cas de violation de Données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, GiM la notifie à la Commission nationale de l'informatique et des libertés dans les conditions de l'article 33 du RGPD et en informe l'Association concernée. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées en sont informées dans les conditions de l'article 34 du RGPD.

Article 12 · Droits des personnes concernées

12.1 Droits. Toute personne concernée dispose, dans les conditions prévues aux articles 15 à 22 du RGPD, d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité, ainsi que du droit de retirer à tout moment un consentement donné, sans que ce retrait porte atteinte à la licéité du traitement fondé sur le consentement effectué avant celui-ci. Elle dispose en outre, en application de l'article 85 de la loi Informatique et Libertés, du droit de définir des directives relatives au sort de ses Données après son décès.

12.2 Exercice depuis la Plateforme. Depuis la rubrique Réglages, puis Confidentialité, l'utilisateur peut obtenir immédiatement une copie de ses Données, rectifier ses prénom, nom, classe et adresse électronique, révoquer ses appareils et demander l'effacement de son Compte. Chaque courrier électronique non indispensable comporte un lien de désinscription.

12.3 Exercice par écrit. Toute autre demande est adressée à GiM, par tout moyen permettant d'en établir la date de réception, par voie électronique ou postale, aux coordonnées de l'article 2. GiM y répond dans un délai d'un mois à compter de sa réception, ce délai pouvant être prolongé de deux mois compte tenu de la complexité ou du nombre des demandes, dans les conditions de l'article 12, paragraphe 3, du RGPD. Un justificatif d'identité n'est demandé qu'en cas de doute raisonnable sur l'identité du demandeur.

12.4 Portée de l'effacement. Sous réserve des exceptions prévues à l'article 17, paragraphe 3, du RGPD, l'effacement emporte la suppression des Données de la Plateforme et de l'outil commercial de GiM. Une commande payée conserve son montant et sa date aux fins comptables, à l'exclusion des nom et coordonnées de l'Acheteur. Les procès-verbaux d'élection, qui constituent des archives de l'Association, conservent le nom des élus.

12.5 Réclamation. Toute personne qui estime, après avoir saisi GiM, que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Article 13 · Protection des mineurs

13.1 Âge minimal. La Plateforme est utilisée par des lycéens, fréquemment mineurs. Un Compte est réservé aux personnes de 15 ans et plus, conformément à l'article 45 de la loi Informatique et Libertés : toute inscription, adhésion, invitation ou candidature requiert une déclaration d'âge de 15 ans ou plus. Aucun Compte n'est ouvert à une personne de moins de 15 ans, qui s'adresse au référent adulte de l'Association.

13.2 Candidatures. Une candidature ne peut être déposée que par la personne candidate elle-même, à l'exclusion de tout dépôt pour le compte d'autrui.

13.3 Droit à l'image. Aucune photographie d'une personne identifiable n'est publiée sans l'autorisation de celle-ci et, lorsqu'elle est mineure, de ses représentants légaux. Le dépôt de photographies n'est ouvert que sous réserve du recueil de ces autorisations.

13.4 Droit d'auteur. La licence portant sur la création d'un auteur mineur est signée par ses représentants légaux.

13.5 Payeur. Lorsqu'une personne majeure distincte de l'Acheteur acquitte une commande, elle reçoit, lors de la première commande, une information relative au traitement de son adresse électronique.

13.6 Élus du bureau. Les prénom, rôle et adresse électronique des membres élus du bureau, y compris des élèves âgés de quinze ans et plus, sont transmis à l'outil commercial de GiM, qui les utilise pour échanger avec l'Association au sujet de ses projets, de son Compte et des offres qui lui sont destinées ; à ce titre, les élus majeurs et les référents peuvent recevoir les courriers électroniques d'information de GiM, qui comportent chacun un lien de désinscription. Cette transmission est fondée sur l'intérêt légitime de GiM à entretenir la relation avec l'Association que ces élus représentent (article 6, paragraphe 1, point f, du RGPD). L'adresse d'un élu mineur n'est jamais utilisée pour un envoi groupé, sauf s'il l'a lui-même choisi dans les conditions de l'article 13.7. Toute personne concernée peut s'opposer à cette transmission à tout moment, en écrivant à contact@goodismerch.com ; l'effacement de son Compte emporte son effacement de l'outil commercial (article 12.4).

13.7 Actualités de GiM. Tout utilisateur âgé de quinze ans ou plus peut choisir de recevoir par courrier électronique les actualités et les offres de GiM, en cochant la case prévue à cet effet, qui n'est jamais cochée par défaut, ou depuis Réglages › Confidentialité. Ce choix constitue un consentement au sens de l'article 6, paragraphe 1, point a, du RGPD et de l'article L. 34-5 du code des postes et des communications électroniques, qu'une personne âgée de quinze ans ou plus peut donner seule en application de l'article 45 de la loi Informatique et Libertés. Il se retire à tout moment, sans frais ni justification, depuis les mêmes réglages ou au moyen du lien figurant dans chaque message ; le retrait prend effet dès l'envoi suivant. Seuls le prénom et l'adresse électronique sont transmis à l'outil d'envoi de GiM. La preuve du choix et de son retrait est conservée dans les conditions de l'article 8.

Article 14 · Absence de décision individuelle automatisée

Aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, et produisant des effets juridiques à l'égard d'une personne concernée ou l'affectant de manière significative de façon similaire, au sens de l'article 22 du RGPD, n'est prise au moyen de la Plateforme.

Article 15 · Modification de la Politique

GiM se réserve la faculté de modifier la présente Politique et procède à sa mise à jour à chaque évolution de ses traitements ou de ses sous-traitants. La version opposable est celle publiée sur la Plateforme, dont la date d'entrée en vigueur figure en tête du document.