Données personnelles et cookies
Information des utilisateurs du site www.colonies-csecsg.fr, au titre des articles 12, 13 et 14 du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés.
I. Politique de confidentialité
La présente politique a pour objet d'informer les utilisateurs du site www.colonies-csecsg.fr sur les traitements de données personnelles réalisés dans le cadre de l'application de gestion des appels de mise en concurrence de la commission vacances enfants.
Le responsable du traitement est le Comité Social et Économique Central de la Société Générale (CSEC SG), éditeur du site www.colonies-csecsg.fr, dont le siège est situé BP 21, 92999 La Défense Cedex. Directeur de la publication : Sébastien Combe Delgado, secrétaire adjoint du CSEC SG. Pour toute demande relative aux données personnelles, le point de contact est le délégué à la protection des données : dpo@csec-sg.com.
L'application concerne d'abord des professionnels : contacts des associations partenaires, membres de la commission, rapporteurs, présidence de la commission, service vacances enfants, administrateurs, signataires des conventions, correspondants régionaux du CSEC SG et convoyeurs. Les données traitées sont limitées aux coordonnées professionnelles, aux informations de compte, aux éléments nécessaires au suivi des propositions, des conventions, des signatures et des transports, ainsi qu'aux journaux d'actions incluant l'adresse IP.
Trois autres catégories de personnes sont concernées, dans des limites strictes décrites au tableau ci-dessous et au point 3 bis :
- les enfants inscrits aux séjours, dont les listes de convoyage sont lues pour en tirer des nombres, sans que leurs noms soient conservés ;
- les membres des équipes d'encadrement des associations, dont l'organigramme et les bulletins de salaire sont transmis au CSEC SG en application de la convention, avec les seules initiales à la place des nom, prénom et adresse ;
- les invités ponctuels des réunions bilan.
Les inscriptions aux séjours restent hors du périmètre de l'application. Aucune donnée de santé ni aucune autre donnée sensible au sens des articles 9 et 10 du RGPD n'y est traitée, à une exception près : les particularités alimentaires qu'un invité choisit de signaler pour une réunion bilan, recueillies avec son accord et effacées après la réunion.
| Finalité | Données concernées | Base légale | Durée |
|---|---|---|---|
| Gestion des comptes et habilitations | Identité professionnelle, adresse électronique, profil, statut du compte | Intérêt légitime à sécuriser et administrer l'application | Compte conservé tant que l'accès est nécessaire, puis désactivé ; trace conservée pour préserver l'historique des actions |
| Gestion des campagnes, propositions et conventions | Coordonnées professionnelles, documents et informations liés aux propositions des associations et aux conventions | Intérêt légitime et exécution des relations précontractuelles ou contractuelles avec les associations | 10 ans pour les campagnes retenues et leurs conventions, en tant que pièces justificatives comptables (article L123-22 du code de commerce) ; 5 ans pour les propositions non retenues |
| Signature électronique des conventions | Identité professionnelle des signataires, adresse électronique, qualité ou fonction, convention à signer, horodatage et éléments de preuve associés à la signature | Exécution des relations contractuelles avec les associations et intérêt légitime à sécuriser la preuve de la signature | Même durée que la convention signée, soit 10 ans |
| Sécurité, traçabilité et preuve | Journal des actions, identifiant du compte, horodatage, adresse IP | Intérêt légitime à assurer la sécurité, l'auditabilité et la preuve des opérations | Entrées de sécurité supprimées au-delà de 12 mois ; adresse IP effacée des entrées métier au même horizon, conformément à la recommandation de la CNIL sur la journalisation |
| Organisation des transports des séjours : comptage des enfants à partir des listes de convoyage | Contenu des listes : code séjour, nom, prénom, sexe, date de naissance, lieu de départ. Seuls des nombres sont enregistrés (enfants, filles et garçons, âges, par séjour et par lieu de départ) | Intérêt légitime du CSEC SG à organiser le transport des enfants qu'il envoie en séjour (article 6.1 f du RGPD) | Aucune conservation : la liste est lue puis effacée immédiatement, sans être enregistrée ; les nombres agrégés, sans nom ni date de naissance, suivent la durée de la campagne |
| Organisation des transports : correspondants régionaux et convoyeurs | Nom, prénom, courriel et téléphone des correspondants ; nom, prénom et téléphone des convoyeurs, pour le plan de transport uniquement (jamais sur les affiches ni les affichettes) | Intérêt légitime du CSEC SG à organiser et coordonner les transports | Correspondants : tant qu'ils exercent la fonction ; convoyeurs : supprimés trois mois après le retour du dernier séjour de la campagne |
| Contrôle de l'encadrement des séjours | Organigramme des équipes d'encadrement et copies de bulletins de salaire, où seules les initiales remplacent le nom, le prénom et l'adresse du salarié | Intérêt légitime du CSEC SG à vérifier l'exécution de la convention (article 2), notamment le respect des taux d'encadrement | Douze mois après la fin du séjour concerné |
| Organisation des réunions bilan | Nom, prénom et coordonnées des invités ponctuels ; arrivée et départ des participants ; s'ils les signalent, régimes ou particularités alimentaires des participants | Intérêt légitime pour les coordonnées ; consentement explicite pour les particularités alimentaires (article 9.2 a du RGPD) | Effacés dans le mois qui suit la réunion |
Ces purges sont automatiques et elles-mêmes tracées. Les exports au format tableur sortent de l'application : chaque export est journalisé et son auteur est invité à le supprimer en fin de campagne.
Les enfants méritent une protection particulière de leurs données (considérant 38 du RGPD). Pour préparer les transports, le service vacances enfants dépose dans l'application les listes de convoyage produites par l'outil d'inscription. L'application les lit pour compter les enfants par séjour, par lieu de départ, par sexe et par âge au jour du départ, puis les efface aussitôt. Aucun nom, aucune date de naissance n'est enregistré, ni en base, ni dans les journaux, ni dans les courriels. Les ajustements ultérieurs (désistement, ajout d'un enfant) se font en nombre, avec un motif, sans identité. Ce fonctionnement applique les principes de minimisation et de limitation de la conservation (article 5.1 c et e du RGPD).
Les données sont accessibles uniquement aux personnes habilitées selon leur profil d'accès. Elles peuvent être traitées par les prestataires nécessaires au fonctionnement du service, notamment OVH pour l'hébergement, Brevo pour l'acheminement des courriels transactionnels, et le prestataire informatique qui serait chargé de l'exploitation de l'application, sous réserve de la signature préalable d'un contrat conforme à l'article 28 du RGPD. DocuSeal, l'outil de signature électronique, est utilisé en auto-hébergement et n'accède pas aux données de production.
L'hébergement principal de l'application est réalisé en France, ainsi que ses sauvegardes. Les courriels transactionnels sont acheminés via l'infrastructure de Brevo, principalement située dans l'Union européenne ; des transferts résiduels peuvent être réalisés par certains sous-traitants ultérieurs, encadrés par les garanties appropriées prévues par le RGPD, notamment les clauses contractuelles types ou les mécanismes reconnus par l'Union européenne.
Vous disposez, dans les conditions prévues par le RGPD, d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et, lorsque cela s'applique, d'un droit à la portabilité de vos données. Vous pouvez exercer ces droits auprès du délégué à la protection des données : dpo@csec-sg.com. En cas de difficulté non résolue, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
II. Politique de cookies
La présente politique décrit les cookies et autres traceurs utilisés sur www.colonies-csecsg.fr. Un cookie est un petit fichier ou traceur déposé ou lu sur le terminal de l'utilisateur lors de sa navigation. Certains cookies sont strictement nécessaires au fonctionnement du service et peuvent être utilisés sans consentement ; les autres ne peuvent être déposés qu'après accord préalable de l'utilisateur.
Un cookie ou traceur est un fichier ou identifiant susceptible d'être enregistré sur le terminal de l'utilisateur, ou lu depuis celui-ci, lors de la consultation du site. La collecte intervient, selon les cas, au moment de l'arrivée sur le site, lors de la connexion à l'espace utilisateur ou pendant la navigation dans l'application. Les cookies strictement nécessaires peuvent être déposés dès l'accès au site afin d'assurer son fonctionnement.
Selon leur finalité, les cookies peuvent collecter des informations techniques liées à la navigation, telles que l'identifiant de session, l'état de connexion, l'horodatage des actions, le type de navigateur et, le cas échéant, l'adresse IP. Ces informations sont utilisées uniquement pour assurer le fonctionnement, la sécurité et la traçabilité technique du service. Les cookies n'ont pas pour objet de collecter des données d'enfants, de familles ou des données sensibles.
À ce jour, le site ne dépose que deux cookies, tous deux strictement nécessaires au fonctionnement du service et exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL :
| Cookie | Finalité | Consentement | Durée de conservation |
|---|---|---|---|
| sessionid | Maintenir la connexion, sécuriser la session et permettre l'accès à l'espace utilisateur | Non requis (strictement nécessaire) | Expire après 8 heures d'inactivité ; supprimé à la déconnexion |
| csrftoken | Prévenir la falsification de requêtes et les accès non autorisés (sécurité des formulaires) | Non requis (strictement nécessaire) | 12 mois |
Le site n'utilise aucun cookie publicitaire, de partage vers des réseaux sociaux ou de personnalisation, et aucune solution de mesure d'audience n'est déployée à ce jour. Si une mesure d'audience était mise en place, elle serait configurée pour limiter la collecte aux seules statistiques nécessaires au pilotage du site ; tout traceur non exempté au sens de la CNIL donnerait alors lieu à un consentement préalable, libre, spécifique, éclairé et univoque, recueilli par un bandeau dédié, et la présente politique serait mise à jour.
Les deux cookies décrits ci-dessus étant strictement nécessaires à l'authentification, au maintien de la session et à la sécurité, leur blocage — par exemple depuis le navigateur — empêche la connexion à l'espace utilisateur et l'utilisation des formulaires. Aucun autre cookie n'étant déposé, leur refus n'a pas d'autre conséquence.
Le site ne déposant aucun cookie soumis à consentement, aucun bandeau de recueil n'est affiché. Si des cookies soumis à consentement venaient à être utilisés, l'utilisateur pourrait les accepter, les refuser ou les paramétrer avec le même niveau de simplicité, et modifier ses choix à tout moment depuis un lien permanent « Gestion des cookies » en pied de page. Le silence, l'inaction ou la simple poursuite de la navigation ne vaudraient pas consentement.
Vous pouvez configurer votre navigateur afin d'accepter, de refuser ou de supprimer tout ou partie des cookies. Les modalités varient selon le navigateur utilisé, notamment Chrome, Edge, Firefox ou Safari. Ce paramétrage peut toutefois, comme indiqué ci-dessus, empêcher l'accès aux fonctionnalités essentielles de l'application lorsqu'il bloque des cookies strictement nécessaires.
Version 2 — octobre 2026 : ajout des traitements liés aux transports, au contrôle de l'encadrement et aux réunions bilan. La version 1 avait été validée par le délégué à la protection des données en septembre 2026. Le tableau des cookies reflète les cookies effectivement déposés par l'application ; il sera tenu à jour à chaque évolution.