Politique de confidentialité

Cosensus accorde une importance particulière à la protection des données personnelles, en particulier celles des personnes en situation de précarité. La présente politique explique quelles données sont traitées, pourquoi, combien de temps et quels sont vos droits.

1. Responsable du traitement

Le responsable du traitement est GSKSOL SAS, 28 rue Xavier Bichat, 72000 Le Mans (RCS Le Mans 848 975 686). Toute demande relative à vos données peut être adressée via le formulaire de contact.

2. Données collectées

Selon votre profil, nous collectons :

• Bénéficiaires : civilité, nom, prénom, date de naissance, photographie de profil, téléphone, adresse (ville, code postal), géolocalisation approximative, association de rattachement, historique de réservations et de retraits.
• Commerçants : enseigne, SIRET, adresse, coordonnées, invendus publiés, historique d'activité.
• Associations : raison sociale, RNA/SIRET, coordonnées du contact, liste des bénéficiaires accompagnés.
• Tous : adresse e-mail, mot de passe (stocké chiffré), données de connexion techniques nécessaires à la sécurité.

La photographie du bénéficiaire sert uniquement à permettre son identification lors du retrait en boutique. Elle n'est pas utilisée à des fins biométriques.

3. Finalités et bases légales

• Fournir le service (mise en relation, réservations, retraits) — exécution du contrat (CGU).
• Valider l'éligibilité des bénéficiaires par les associations — mission d'intérêt public / intérêt légitime.
• Sécurité et prévention des abus (fiabilité, no-show, modération) — intérêt légitime.
• Communications liées au compte (emails de cycle de vie, notifications) — exécution du contrat.
• Obligations comptables et légales (dons, reçus fiscaux commerçants) — obligation légale.

4. Destinataires des données

Les données ne sont jamais vendues. Elles sont accessibles :

• à l'association de rattachement pour les données de ses bénéficiaires ;
• au commerçant, de façon limitée, au moment d'un retrait (identification du bénéficiaire) ;
• à l'équipe Cosensus habilitée, pour l'administration et le support ;
• à notre hébergeur O2SWITCH SAS (données stockées en France) et à notre prestataire d'envoi d'e-mails, agissant comme sous-traitants.

5. Durées de conservation

• Données de compte : pendant toute la durée d'utilisation, puis supprimées ou anonymisées dans un délai maximal de 12 mois après la clôture du compte.
• Photographie du bénéficiaire : supprimée à la clôture du compte ou sur demande.
• Documents comptables et fiscaux : conservés selon les durées légales applicables (jusqu'à 10 ans).
• Journaux techniques de sécurité : 12 mois maximum.

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des connexions (HTTPS), mots de passe hachés, hébergement en France, accès restreint aux données selon le rôle, et modération des photographies.

7. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité de vos données. Vous pouvez les exercer via le formulaire de contact. Nous répondons dans un délai maximal d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Suppression de compte (droit à l'effacement)

Les bénéficiaires peuvent demander la suppression de leur compte directement depuis leur profil. Le compte est désactivé immédiatement, puis les données personnelles sont définitivement effacées après un délai de rétractation de 30 jours (identité, coordonnées, photographie, géolocalisation, journaux et notifications). Pendant ce délai, il suffit de se reconnecter pour annuler la demande.

Sont conservées après effacement, de façon anonyme et non ré-identifiable : l'historique des dons et retraits (statistiques d'impact, intérêt légitime) et les documents fiscaux de don (obligation légale). Afin de prévenir les abus (créations et suppressions de comptes répétées), une empreinte cryptographique non réversible de l'adresse email (HMAC salé) est conservée : elle ne permet pas de retrouver l'adresse, uniquement de détecter une réinscription — l'association validatrice en est alors informée. Base légale : intérêt légitime (prévention de la fraude).

8. Cookies

Seuls des cookies strictement nécessaires au fonctionnement (session, authentification, sécurité) sont utilisés. Aucun cookie publicitaire ni traceur tiers n'est déposé, aucun consentement préalable n'est donc requis.

9. Modifications

La présente politique peut évoluer. Toute modification substantielle sera portée à la connaissance des utilisateurs, la date de mise à jour figurant en tête du document.