Politique de confidentialité

Version 1.0 - 23 mai 2026. Validation : Clémence Vasseur-Montaigne (DPO intérim) + Aurélien Darche (cabinet-avocats DIG).

1. Responsable de traitement

Digital Invest Group (DIG), éditeur de moncentredeloisirs.com. Contact DPO : dpo@moncentredeloisirs.com.

2. Données collectées

2.1 Visiteurs (parents)

• Données techniques : adresse IP, user-agent, pages consultées (logs serveur, conservation 30 jours).
• Préférences de recherche : ville, code postal, âge enfant (uniquement en session).
• Aucune création de compte requise.

2.2 Comptes professionnels (espace pro)

• Email professionnel, nom et fonction du contact, téléphone, nom de l'organisme.
• Hash bcrypt du mot de passe (jamais le mot de passe en clair).
• Logs d'authentification et d'actions (audit append-only, IP + user-agent).
• Documents justificatifs uploadés lors d'un claim (récépissé SDJES, agrément, KBIS) - stockés hors webroot, accès admin uniquement, audit doc_viewed.

3. Base légale

• Catalogue public des ALSH : intérêt légitime du public à accéder à une information vérifiable sur l'offre périscolaire et extrascolaire. Source : données ouvertes publiques.
• Comptes pros : exécution du contrat de référencement gratuit (acceptation CGU à l'inscription).
• Cookies analytics : consentement.

4. Durée de conservation

• Comptes pros actifs : durée de vie du compte + 3 ans après dernière connexion.
• Logs d'audit : 5 ans (conformité RGPD art. 30).
• Documents justificatifs claim : 5 ans après modération.
• Logs serveur techniques : 30 jours.

5. Vos droits RGPD

Conformément au RGPD (art. 15 à 22), vous disposez des droits suivants :

• Droit d'accès, de rectification, d'effacement, de limitation, de portabilité.
• Droit d'opposition (art. 21) : voir page dédiée.
• Droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

Exercice des droits : dpo@moncentredeloisirs.com. Réponse sous 30 jours.

6. Destinataires des données

Aucune donnée personnelle n'est cédée ni revendue à des tiers. Destinataires :

• Équipe de modération Mon Centre de Loisirs.
• DPO et cabinet d'avocats DIG en cas de litige.
• Hébergeur OVH (France, Roubaix) - sous-traitant RGPD.
• API SIRENE Etalab (gratuite, gouvernementale) - uniquement le SIRET soumis, pour vérification.

7. Sécurité

• Mots de passe : hash bcrypt, 10 caractères minimum.
• Sessions B2B totalement séparées des visiteurs (cookie MCDL_ORGA distinct).
• CSRF token sur tous les formulaires authentifiés.
• Documents justificatifs stockés hors webroot, accès admin uniquement via téléchargement sécurisé audité.

8. Cookies

Cookies strictement nécessaires (session B2B). Cookies analytics (GA4) si consentement explicite. Aucun cookie publicitaire tiers.

9. Mise à jour

Cette politique peut évoluer. Les changements substantiels font l'objet d'une notification email aux comptes pros.