Politique de confidentialité

Conformément au Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

Responsable du traitement

ONARP - Organisation Nationale des Acteurs du Renseignement Privé
17 rue Albin Haller - Bâtiment A, 86000 Poitiers, France
Contact : le Président de l'association

Données collectées

Dans le cadre de l'authentification des adhérents, nous collectons :

• Adresse email professionnelle - identification et connexion
• Mot de passe - stocké exclusivement sous forme de hash bcrypt (irréversible)
• Nom affiché - identification au sein de l'écosystème
• Date de dernière connexion - sécurité et suivi d'activité
• Traces techniques de session - adresse IP, user-agent (navigateur et système d'exploitation), horodatages d'ouverture, de dernière activité et de révocation, collectés à chaque connexion aux fins de sécurisation du compte et de détection des connexions simultanées (art. 8 du règlement intérieur)

Finalités du traitement

• Authentification centralisée des adhérents sur les outils ONARP
• Gestion des comptes et des droits d'accès
• Sécurité et prévention des accès non autorisés
• Détection technique et prévention du partage de compte (art. 8 du règlement intérieur)
• Journal d'audit à finalité probatoire en cas de procédure disciplinaire interne

Base légale

Le traitement est fondé sur l'exécution du contrat d'adhésion liant l'adhérent à l'association (article 6.1.b du RGPD) et sur l'intérêt légitime de l'association à sécuriser l'accès à ses outils et à préserver l'intégrité des ressources professionnelles réservées à ses membres (article 6.1.f du RGPD).

Durée de conservation

• Comptes actifs : données conservées pendant toute la durée de l'adhésion
• Comptes inactifs : suppression après 24 mois sans connexion
• Cookies d'authentification (JWT) : durée de vie de 24 heures
• Sessions actives (traces IP / user-agent) : conservées tant que la session n'est pas révoquée, puis purgées automatiquement
• Journal des incidents de connexions simultanées : conservé 90 jours à des fins de sécurité et de traitement des récidives, puis purgé automatiquement
• Journal d'audit : conservé conformément aux délais de prescription civile applicables

Destinataires des données

Les données sont accessibles uniquement aux administrateurs habilités de l'association et ne sont transmises à aucun tiers.

Transfert hors UE

Les données sont hébergées par Hostinger. En cas de transfert hors de l'Espace Économique Européen, celui-ci est encadré par les clauses contractuelles types de la Commission européenne.

Cookies

Ce site utilise un unique cookie technique (onarp_token) strictement nécessaire à l'authentification. Ce cookie est :

• HttpOnly - non accessible par JavaScript
• Secure - transmis uniquement via HTTPS
• SameSite=Lax - protection contre les requêtes intersites
• Durée -24 heures

Aucun cookie de traçage, publicitaire ou analytique n'est utilisé.

Contrôle technique et prévention du partage de compte

Conformément à l'article 8 du règlement intérieur de l'association, l'accès à l'espace membre et aux outils réservés est strictement personnel et incessible. Un dispositif de contrôle technique automatisé est mis en œuvre à des fins de sécurité et de prévention du partage de compte. Il fonctionne de la manière suivante :

• Chaque nouvelle connexion à un compte est enregistrée avec l'adresse IP, le user-agent et l'horodatage.
• Lorsqu'une nouvelle connexion intervient alors qu'une session est déjà active sur un autre appareil (depuis une IP différente), les sessions précédentes sont automatiquement révoquées.
• L'événement est enregistré dans un journal accessible aux administrateurs. Le membre concerné en est informé par email et par notification dans son espace personnel.
• Un bandeau gradué s'affiche sur le dashboard du membre selon le nombre d'incidents détectés sur les 30 derniers jours (signalement à 1-2 incidents, récidive à 3-4, alerte critique à 5 et plus).

Absence de décision automatisée produisant des effets juridiques (RGPD art. 22). Le dispositif automatisé se limite à la révocation technique des sessions concurrentes et à l'information des parties concernées. Aucune sanction disciplinaire n'est prononcée de manière automatisée. La procédure prévue à l'article 8 §6 du règlement intérieur (pouvant conduire à l'exclusion) reste examinée et décidée par le bureau de l'association après demande de justification adressée au membre concerné sous un délai de 48 heures. Le membre conserve à tout moment la possibilité de contester les faits et d'apporter ses explications avant toute décision.

Les événements enregistrés sont accessibles au membre sur simple demande adressée au Président. Après justification légitime reçue et validée par le bureau, ces événements peuvent être effacés du journal.

Destinataires internes des données de contrôle technique

Les événements de connexions simultanées et les traces techniques associées sont accessibles au sein de l'association aux seuls administrateurs et super-administrateurs actifs, dans le cadre strict de leur mission de sécurité et de traitement des éventuels manquements au règlement intérieur. Ces données ne sont transmises à aucun tiers.

Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès - obtenir une copie de vos données personnelles, y compris les événements enregistrés par le dispositif de contrôle technique
• Droit de rectification - corriger des données inexactes (accessible via « Mon compte »)
• Droit à l'effacement - demander la suppression de votre compte, ou la suppression d'événements du journal de contrôle technique après justification légitime
• Droit à la portabilité - recevoir vos données dans un format structuré
• Droit d'opposition - vous opposer au traitement de vos données, sous réserve que ce traitement ne soit pas nécessaire à la sécurité et à l'exécution du contrat d'adhésion
• Droit à l'intervention humaine - contester toute conclusion tirée par le dispositif automatisé et solliciter un examen humain par le bureau de l'association

Pour exercer ces droits, adressez votre demande au Président de l'association par courrier au siège social ou par email.

Absence de traitement par intelligence artificielle

L'ONARP ne met en œuvre aucun système d'intelligence artificielle au sens du règlement européen sur l'intelligence artificielle (Règlement UE 2024/1689, dit « AI Act ») dans le cadre de la gestion des adhérents et du dispositif de contrôle technique. Les traitements décrits reposent exclusivement sur des règles déterministes prédéfinies. Les services proposés en tant qu'avantages adhérents par des partenaires tiers pouvant recourir à des technologies d'IA relèvent des conditions d'utilisation propres à ces partenaires.

Réclamation

En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.

Dernière mise à jour : 30 août 2026