Politique de confidentialité

En bref

• Le site public n'utilise ni cookies, ni outils d'analyse ou de traçage, ni ressources de tiers.
• Dans l'espace réservé, les contenus (planches, tracés, trésorerie, dossiers) sont chiffrés de bout en bout dans le navigateur : le serveur conserve du texte chiffré qu'il ne peut pas lire.
• Même pendant une tenue en ligne, la vidéo et l'audio des personnes présentes sont chiffrés de bout en bout (discrétion renforcée) : à notre serveur média n'arrivent que des enveloppes opaques, qu'il distribue sans pouvoir les ouvrir, et qui ne sont pas enregistrées. Le serveur continue de ne voir que les métadonnées de la salle (qui est connecté, les horaires, qui parle) ; le détail, y compris le cas des navigateurs trop anciens, est plus bas.
• Le serveur ne conserve ni le nom ni l'email des membres : l'identité de travail est un pseudonyme.
• Aucun marketing, aucun profilage, aucune intelligence artificielle dans le produit.

Responsable du traitement

Le responsable du traitement est l'entreprise individuelle italienne qui gère le service (ci-après aussi le Fournisseur), joignable à l'adresse info@adogma.it : les données d'identification complètes (dénomination, siège et numéro de TVA) sont communiquées à quiconque en fait la demande à cette adresse et figurent toujours dans les documents contractuels. Le responsable du traitement n'a pas désigné de délégué à la protection des données (DPO) : l'opportunité de cette désignation, vu la nature des données traitées par les loges, est en cours d'évaluation avec le conseil juridique.

Deux rôles distincts : quand nous sommes responsable et quand nous sommes sous-traitant

• Adogma comme responsable du traitement. Pour le site public, pour les demandes reçues par email et pour la relation contractuelle et administrative avec les loges clientes (activation, facturation, assistance), le responsable du traitement est le Fournisseur.
• La loge comme responsable, Adogma comme sous-traitant. Pour les données traitées par chaque loge dans son propre espace réservé (données des membres et des candidats), le responsable du traitement est la loge, ou l'entité qui la représente ; le Fournisseur les traite en tant que sous-traitant au sens de l'art. 28 du RGPD, sur la base de l'accord qui fait partie du contrat de service.

En pratique : pour ce qui se passe au sein de votre loge, le premier interlocuteur est la loge elle-même, qui est la seule à pouvoir lire les contenus.

Site public : aucune collecte

La simple visite du site public n'entraîne aucune collecte de données personnelles de notre part : aucun cookie, aucun formulaire, aucune newsletter, aucune ressource chargée depuis des tiers. L'infrastructure enregistre les journaux techniques minimaux des requêtes (adresse IP, ressource demandée, date et heure) nécessaires à la sécurité et au diagnostic, conservés pour la durée strictement nécessaire à ces finalités. Qui nous écrit à l'adresse info@adogma.it nous communique les données qu'il choisit de nous communiquer : nous les utilisons uniquement pour répondre.

Espace réservé : ce que nous ne pouvons pas lire

Les contenus de l'espace réservé sont chiffrés de bout en bout dans le navigateur de qui les écrit, avec des clés que nous ne détenons pas. Nous ne pouvons pas lire, et donc nous ne traitons pas en clair :

• le nom et l'adresse email des membres : ils n'existent tout simplement pas sur le serveur ;
• le corps des planches, des tracés et des documents d'archive ;
• la trésorerie : montants, motifs, versements et situations personnelles ;
• qui occupe quel office, la fiche matricule et les dates du parcours ;
• les dossiers des candidats (nom, contact, notes des entretiens) ;
• le catalogue et les prêts de la bibliothèque, les rappels de l'échéancier.

La tenue en ligne entre désormais elle aussi dans ce périmètre : la vidéo et l'audio des personnes présentes sont chiffrés de bout en bout avec la discrétion renforcée et le serveur média les distribue sans pouvoir les ouvrir (voir plus bas, « Tenues en ligne »). Restent visibles les métadonnées de la salle et, si un navigateur est trop ancien pour le chiffrement en direct, ce flux bascule en clair et la salle le déclare à tous.

Espace réservé : ce que nous traitons (métadonnées)

Pour faire fonctionner le service, le serveur traite certaines métadonnées, qui restent des données personnelles (pseudonymisées, non anonymes) et sont protégées comme telles :

• un identifiant opaque généré par le système (jamais choisi, ne dérivant d'aucune donnée réelle) et les données d'authentification sous une forme non réversible ;
• l'appartenance à la loge avec le rôle, le grade et l'état du parcours ;
• le titre, la synthèse et les étiquettes des planches, en clair pour permettre la recherche ;
• les présences aux tenues, quand la loge choisit de les enregistrer ;
• les journaux des opérations (qui a fait quoi et quand, identifié par l'identifiant), pour la sécurité et la traçabilité ;
• l'existence et l'état des procédures (par exemple combien de candidatures sont ouvertes), jamais leur contenu.

L'espace réservé n'utilise que des cookies techniques essentiels (session et protection des requêtes), sans aucune finalité de traçage : c'est pourquoi aucune bannière de consentement n'est requise. Les clés de chiffrement déverrouillées ne vivent que dans la mémoire du navigateur et s'effacent à la fermeture ou en cas d'inactivité.

Tenues en ligne : le flux vidéo et audio

Une loge peut tenir une tenue aussi en visioconférence, dans une salle virtuelle, en plus du présentiel : elle se programme depuis le calendrier comme une tenue ordinaire et la salle ouvre peu avant l'heure. Qui participe active sa propre webcam et son microphone, et l'image et la voix sont des données personnelles : leur traitement doit être dit avec franchise, car ici la frontière de ce que nous pouvons voir se déplace.

• Comme les planches, les tracés et la trésorerie, la vidéo et l'audio d'une tenue en ligne sont eux aussi chiffrés de bout en bout sur les appareils des personnes présentes (profil de discrétion renforcée) : la clé de la tenue naît et reste sur leurs navigateurs, et à notre serveur média n'arrivent que des enveloppes opaques. Le serveur distribue les flux chiffrés en temps réel, pour que chacun voie et entende les autres, sans pouvoir en lire le contenu.
• Le flux n'est ni enregistré ni conservé : il s'épuise avec la séance. Le serveur média l'achemine dans l'instant, il ne l'archive pas.
• L'infrastructure média est la nôtre et auto-hébergée (un serveur de distribution qui nous appartient, dit SFU), sur la même infrastructure européenne que le reste du service : aucun prestataire de visioconférence tiers n'intervient.
• L'entrée est gardée : un Couvreur numérique accueille à la porte et admet ou refuse (le tuilage reste un acte humain en temps réel), sans auto-admission. Le nom sous lequel on se présente dans la salle, c'est le Couvreur qui l'attribue à la porte, et il ne voyage pas dans le jeton technique de connexion ; pendant la séance, le serveur média ne connaît que quelles connexions éphémères sont connectées et en achemine les flux.
• Le fait même qu'une tenue se tienne en ligne, et les coordonnées de la salle, vivent dans la donnée chiffrée de la convocation : le serveur ne sait pas quelles tenues se déroulent en ligne.

Base légale : exécution du contrat de service (art. 6, par. 1, lett. b) pour le Fournisseur, qui achemine le flux chiffré en tant que sous-traitant dans la mesure où la loge choisit de tenir la tenue en ligne ; pour la loge, en tant que responsable du traitement, la vidéo et la voix des personnes présentes à une tenue relèvent des catégories particulières de données (art. 9), traitées dans le cadre de la vie associative de ses membres. Il n'y a pas d'enregistrement. Le flux en temps réel est chiffré de bout en bout (profil de discrétion renforcée) : le serveur média distribue des enveloppes opaques qu'il ne peut pas lire. Le chiffrement cache le contenu, non les métadonnées (qui est connecté avec des identifiants temporaires, les horaires, qui parle) ; et il exige un navigateur récent : si quelqu'un utilise un navigateur trop ancien, son flux bascule en clair et la salle le déclare à tous, afin que personne ne croie protégé ce qui, à cet instant, ne l'est pas.

Catégories particulières de données (art. 9 du RGPD)

L'appartenance à une loge peut révéler des convictions philosophiques et relève donc des catégories particulières de données. Ces données sont traitées par chaque loge, en tant que responsable du traitement, dans le cadre des garanties prévues pour les associations à finalité philosophique à l'égard de leurs propres membres (art. 9, par. 2, lett. d) ; le Fournisseur les traite en tant que sous-traitant, avec les mesures techniques décrites sur cette page, et ne les communique pas à des tiers. La qualification précise est en cours de révision juridique.

Finalités et bases légales

• fourniture du service et gestion des comptes : exécution du contrat (art. 6, par. 1, lett. b) ;
• déroulement des tenues en ligne choisies par la loge (transmission en temps réel, non enregistrée, de la vidéo et de l'audio des personnes présentes) : exécution du contrat (art. 6, par. 1, lett. b) ;
• administration, facturation et obligations fiscales : obligation légale (art. 6, par. 1, lett. c) ;
• sécurité de la plateforme, prévention des abus et journaux des opérations : intérêt légitime (art. 6, par. 1, lett. f) ;
• réponse aux demandes reçues par email : mesures précontractuelles ou intérêt légitime.

Nous ne faisons pas de marketing, nous ne profilons pas, nous ne vendons pas de données, nous ne prenons pas de décisions automatisées à l'égard des personnes et nous n'utilisons pas les données pour entraîner des systèmes d'intelligence artificielle.

Conservation et effacement

• comptes et métadonnées de l'espace réservé : pour la durée du contrat avec la loge ;
• tenues en ligne : le flux vidéo et audio n'est ni enregistré ni conservé, il s'épuise avec la séance ;
• à la cessation : une fenêtre en lecture seule pour l'export de l'archive (30 jours, sauf accord différent), puis la destruction des clés (crypto-shredding) rend les contenus chiffrés définitivement illisibles ;
• copies de sauvegarde : chiffrées, conservées 30 jours ; une donnée effacée peut donc survivre dans les copies jusqu'à 30 jours avant d'en disparaître aussi ;
• candidatures : les issues défavorables et les retraits s'effacent après 6 mois à compter de l'issue ; avec l'admission, le dossier est effacé simultanément ;
• données contractuelles et fiscales : 10 ans, comme l'exige la loi ;
• journaux des opérations : conservés à des fins de sécurité ; la durée précise est en cours de définition avec le conseil juridique.

Où résident les données et qui nous aide à les traiter

Les données résident dans l'Union européenne : datacenter de Francfort (Allemagne) pour le service et Amsterdam (Pays-Bas) pour les copies de sauvegarde. L'infrastructure est fournie par DigitalOcean, désigné sous-traitant ultérieur ; le groupe ayant son siège aux États-Unis, les éventuels transferts hors UE ont lieu avec les garanties prévues par le RGPD (clauses contractuelles types et décisions d'adéquation applicables) : ce point aussi est en cours de révision juridique. Il n'y a pas d'autres prestataires : le site et l'espace réservé ne chargent aucune ressource de tiers et il n'existe aucun prestataire d'envoi d'emails.

Droits de la personne concernée

Le RGPD reconnaît les droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (artt. 15-22), ainsi que la réclamation auprès du Garante pour la protection des données personnelles (garanteprivacy.it). Comment les exercer ici :

• pour les données traitées au sein de votre propre loge (y compris les dossiers des candidats) : s'adresser à la loge, qui en est responsable du traitement et est la seule à pouvoir lire les contenus ; l'export de l'archive est disponible dans l'espace réservé ;
• pour tout le reste : écrire à info@adogma.it ; chaque membre peut en outre exporter ses propres métadonnées depuis le Profil et corriger lui-même son nom affiché.

Une limite déclarée avec franchise : le Fournisseur ne peut ni lire ni sélectionner les contenus chiffrés, de sorte que, pour ceux-ci, l'accès et la portabilité passent nécessairement par la loge. L'effacement d'une personne révoque tout accès, supprime son matériel cryptographique et neutralise ses données d'authentification ; les journaux des opérations demeurent, pour la sécurité, avec le seul pseudonyme historique.

Mesures de sécurité

Chiffrement de bout en bout dans le navigateur avec des clés que nous ne détenons pas ; aucun nom ni email sur le serveur ; base de données inaccessible depuis internet ; copies de sauvegarde chiffrées et conservées dans une région séparée ; journaux des opérations non modifiables ; accès d'assistance délimités et tracés. Nous ne promettons pas l'impossible : aucun système n'est sûr de façon absolue, mais celui-ci est construit pour qu'une compromission du serveur expose le moins possible. Le flux en temps réel des tenues en ligne est lui aussi chiffré de bout en bout (discrétion renforcée) : le serveur média achemine des enveloppes opaques qu'il ne peut pas lire et ne les enregistre pas. Restent exposées les seules métadonnées de la salle, et un navigateur trop ancien pour le chiffrement en direct fait basculer ce flux en clair, avec un avis déclaré à tous dans la salle (voir « Tenues en ligne »).

Mineurs

Le service est destiné à des personnes majeures.

Mises à jour

Cette politique peut évoluer avec le service ou la réglementation : la version publiée ici, avec la date en tête, est celle en vigueur.