POLITIQUE DE CONFIDENTIALITÉ

Date d'entrée en vigueur : 22 mai 2026

1. Introduction

Bienvenue sur Chaperons&Co de l'APE La Source. Votre confidentialité est essentielle pour nous. Cette politique explique comment nous collectons, traitons et protégeons vos données conformément au Règlement Général sur la Protection des Données (RGPD).

2. Collecte et traitement des données

2.1 Authentification via Google

Google est utilisé comme fournisseur d'identité fédérée à travers notre service d'authentification AWS Cognito (voir section 2.2), selon le protocole OAuth 2.0 (flux Authorization Code avec PKCE — RFC 7636).

Si l'utilisateur s'authentifie à notre application à travers Google, nous sollicitons les autorisations suivantes pour accéder à d'autres services de Google API :

Nous utilisons ces données uniquement à des fins fonctionnelles et pour mieux comprendre le comportement des utilisateurs en interne.

Vous pouvez désactiver les autorisations à tout moment en modifiant les paramètres de votre compte Google utilisé pour vous authentifier sur notre application.

Aucune donnée personnelle n'est partagée avec des tiers.

2.2 Authentification via AWS Cognito

Que l'utilisateur crée un compte directement sur notre plateforme (avec e-mail et mot de passe) ou s'authentifie via Google, dans les deux cas c'est AWS Cognito (hébergé dans l'Union européenne) qui gère son identité et la session d'authentification.

Les attributs suivants sont collectés et stockés par AWS Cognito :

Politique de mot de passe : minimum 8 caractères avec au moins une majuscule, une minuscule, un chiffre et un symbole. L'authentification multi-facteur (MFA) n'est actuellement pas activée.

Portées OAuth 2.0 émises par AWS Cognito à l'application (flux Authorization Code avec PKCE) : email, openid, profile, phone.

Vous pouvez à tout moment demander la modification de vos attributs ou la suppression de votre compte en écrivant à webmaster@apelasource.org.

Aucune donnée d'authentification n'est partagée avec des tiers en dehors du fournisseur d'infrastructure AWS, soumis à ses propres engagements RGPD.

2.3 Stripe Connect — création d'une cagnotte

Lorsqu'un parent crée une cagnotte pour recevoir des dons d'autres parents, nous utilisons Stripe Connect (compte Express). Stripe agit en tant que responsable de traitement distinct pour les données de vérification d'identité réglementaires (KYC / LCB-FT).

Les données suivantes sont fournies directement à Stripe via son formulaire hébergé d'onboarding. Elles ne transitent jamais par nos serveurs :

• Nom et prénom du titulaire du compte
• Date de naissance
• Adresse postale
• IBAN et coordonnées bancaires
• Pièce d'identité (passeport, permis de conduire ou carte nationale d'identité) pour la vérification KYC

Les données suivantes sont stockées par notre application (base de données AWS DynamoDB hébergée dans l'Union européenne) afin de gérer le cycle de vie du compte :

• Identifiant utilisateur AWS Cognito et identifiant de compte Stripe (acct_…)
• Adresse e-mail du titulaire
• Statut du compte (en attente, en cours, actif), capacités activées (paiements par carte, virements)
• Pays, devise, horodatages d'onboarding
• Liste des éléments de vérification encore requis par Stripe

Stripe nous transmet les mises à jour de statut de vérification via des webhooks signés (account.updated), afin de tenir à jour l'état d'activation de votre cagnotte.

Finalité : exécution du contrat (mise à disposition d'un compte de paiement) et respect de nos obligations légales en matière de lutte contre le blanchiment.

Conservation : tant que la cagnotte est active. La suppression de votre compte Stripe peut être demandée à tout moment, sous réserve des obligations légales de conservation applicables à Stripe.

2.4 Stripe — contribution à une cagnotte

Lorsqu'un parent contribue à une cagnotte existante, nous utilisons Stripe Checkout. Le paiement est traité selon le modèle des paiements à destination ("destination charges") : les fonds sont transférés directement au compte Stripe Connect du créateur de la cagnotte, déduction faite des éventuels frais de plateforme et de traitement.

Les données suivantes sont collectées et stockées par notre application pour chaque contribution :

• Nom du contributeur (fourni)
• Adresse e-mail du contributeur (fournie)
• Message optionnel adressé au bénéficiaire
• Préférences d'affichage : contribution anonyme, affichage ou non du montant
• Montant, type de moyen de paiement (carte ou SEPA), ventilation des frais
• Identifiant AWS Cognito du contributeur (uniquement si authentifié au moment de la contribution)

Les données bancaires (numéro de carte, cryptogramme visuel, coordonnées SEPA) sont saisies par le contributeur directement sur la page de paiement hébergée par Stripe (conforme PCI-DSS Level 1). Aucune donnée bancaire n'est jamais transmise à nos serveurs ni stockée par notre application.

Stripe nous transmet l'évolution du statut de paiement via des webhooks signés : checkout.session.completed, checkout.session.expired, payment_intent.payment_failed, charge.refunded.

Finalité : exécution de la transaction, transparence vis-à-vis du bénéficiaire (lorsque la contribution n'est pas anonyme) et traçabilité comptable.

Conservation : les données relatives aux contributions sont conservées pendant la durée légale applicable aux pièces comptables (10 ans en France).

Vous pouvez exercer vos droits d'accès, de rectification ou d'effacement (sous réserve des obligations comptables) en écrivant à webmaster@apelasource.org.

2.5 Cookies et stockage local

Notre application utilise des cookies HTTP et le stockage local (localStorage) du navigateur. Par défaut, seuls les éléments strictement nécessaires au fonctionnement de l'application sont déposés. Les cookies à finalité analytique ne sont installés qu'après votre consentement explicite via la bannière dédiée.

• Strictement nécessaires (toujours actifs) :

  • Cookies d'authentification AWS Cognito — jetons d'accès et de rafraîchissement gérés par AWS Amplify, indispensables pour maintenir votre session connectée.
  • localStorage.cookie_consent — mémorisation de votre choix concernant la bannière de cookies (valeurs possibles : yes, no, undecided).

• Analytiques (déposés uniquement si vous acceptez la bannière) :

  • Cookies PostHog (ph_phc_*_posthog) — identifiant anonyme de session permettant l'agrégation des visites de pages (voir section 2.7).

Lorsque vous contribuez à une cagnotte, la page de paiement hébergée par Stripe peut déposer ses propres cookies sur le domaine stripe.com. Ces cookies tiers sont régis par la politique de confidentialité de Stripe (voir section 2.4).

Aucun cookie publicitaire, aucun cookie de pistage cross-site, aucun cookie tiers en dehors de Stripe lors d'un paiement.

2.6 Suivi des erreurs (AWS CloudWatch et PostHog)

Nous enregistrons les erreurs techniques afin de diagnostiquer les incidents et améliorer la fiabilité du service. Deux destinataires sont utilisés en parallèle :

• AWS CloudWatch Logs (région eu-west-3, hébergé dans l'Union européenne) — journalisation côté serveur dans le groupe /apelasource/gateway/errors.
• PostHog (instance UE, eu.i.posthog.com) — capture des erreurs côté client (interface) et complément côté serveur.

  Données journalisées :

  • Horodatage, identifiant de requête, environnement, version applicative
  • Route HTTP, méthode, agent utilisateur, adresse IP
  • Message et type d'erreur (sanitisé)
  • Identifiant utilisateur Cognito uniquement lorsque la session est authentifiée au moment de l'erreur

Finalité : intérêt légitime (RGPD Art. 6(1)(f)) — sécurité, débogage et fiabilité du service.

Conservation : selon les politiques de rétention configurées sur AWS CloudWatch et PostHog.

2.7 Analyse d'usage anonymisée (PostHog)

Nous utilisons PostHog (hébergé dans l'Union européenne, eu.i.posthog.com) pour comprendre de manière agrégée comment notre application est utilisée.

État actuel à la date d'entrée en vigueur de cette politique : l'analyse repose uniquement sur la consultation de pages (événement $pageview) et la journalisation des erreurs (voir section 2.6). Aucune analyse comportementale fine n'est effectuée aujourd'hui.

Ce que nous ne faisons pas :

• Pas d'enregistrement de session (session replay désactivé)
• Pas de capture automatique des clics et formulaires (autocapture désactivé)
• Pas d'identification nominative : l'identifiant PostHog (distinct_id) est anonyme et n'est pas relié à votre compte AWS Cognito
• Pas de pistage cross-site, pas de profilage publicitaire

Ce que nous capturons aujourd'hui : URL de la page consultée, horodatage, type de navigateur et d'appareil (anonymisés), identifiant de session PostHog anonyme.

Évolution future : nous nous réservons la possibilité d'ajouter à l'avenir des fonctionnalités d'analyse d'usage plus détaillées (par exemple, entonnoirs de conversion ou cartes de chaleur agrégées), sous réserve d'une mise à jour préalable de la présente politique et d'un nouveau recueil de votre consentement via la bannière dédiée.

Base légale : consentement explicite (RGPD Art. 6(1)(a) et ePrivacy Art. 5(3)) recueilli via la bannière de cookies.

Vous pouvez à tout moment retirer votre consentement depuis le pied de page de l'application.

3. Base légale du traitement

Nous traitons vos données sur les bases légales suivantes :

• Intérêt légitime : Améliorer les fonctionnalités et l'expérience utilisateur.
• Nécessité contractuelle : Fournir des services essentiels.
• Consentement : Lorsque nécessaire, nous obtenons votre consentement.
• Cookies strictement nécessaires (section 2.5) : intérêt légitime et exemption de l'article 82 de la loi Informatique et Libertés (cookies indispensables au fonctionnement de l'application).
• Suivi des erreurs (section 2.6) : intérêt légitime (RGPD Art. 6(1)(f)) — sécurité, débogage et fiabilité du service.
• Analyse d'usage anonymisée (section 2.7) : consentement explicite (RGPD Art. 6(1)(a) et ePrivacy Art. 5(3)) recueilli via la bannière de cookies.

4. Droits des utilisateurs selon le RGPD

En vertu du RGPD, vous disposez des droits suivants :

• Accès : Demander l'accès à vos données personnelles stockées.
• Rectification : Corriger les données inexactes ou incomplètes.
• Effacement : Demander la suppression de vos données personnelles.
• Restriction : Limiter le traitement de vos données.
• Portabilité des données : Demander un transfert de vos données personnelles.
• Opposition : Vous opposer au traitement dans certaines circonstances.

Pour exercer ces droits, contactez-nous à webmaster@apelasource.org.

5. Mesures de sécurité

Nous mettons en œuvre des protocoles de sécurité robustes pour protéger vos données, incluant chiffrement et contrôle d'accès restreint.

6. Communication par Agent IA via WhatsApp

Version : 1.0 — Avril 2026

Réglementations applicables : RGPD (UE) 2016/679 • Règlement européen sur l'IA (UE) 2024/1689 • Directive ePrivacy 2002/58/CE

6.1 Responsable du traitement

Le responsable du traitement de vos données personnelles dans le cadre de notre service de communication WhatsApp est :

• Organisation : Flexiness
• Adresse : 46 rue Vital, 75116 Paris, France
• Email : hello@flexiness.com
• Délégué à la Protection des Données (DPO) : system_admin@flexiness.com

6.2 Communication via WhatsApp Business

6.2.1 Description du service

Nous exploitons un groupe de discussion WhatsApp à travers lequel les utilisateurs peuvent interagir avec nos services. Ce canal de communication est alimenté par un assistant (agent) basé sur l'intelligence artificielle, capable de répondre à vos messages, de fournir des informations et de vous assister dans vos demandes.

6.2.2 Fournisseur de la plateforme WhatsApp

Notre communication WhatsApp est assurée via l'API Cloud WhatsApp Business de Meta, exploitée par :

Meta Platforms Ireland Limited
Merrion Road, Dublin 4, D04 X2K5, Irlande

Meta agit en tant que sous-traitant pour la livraison des messages WhatsApp en notre nom. Meta est certifié dans le cadre du Cadre de Protection des Données UE-États-Unis (DPF), qui constitue la base juridique pour tout transfert de données vers les États-Unis pouvant intervenir dans le cadre de l'infrastructure de messagerie.

Pour plus de détails sur le traitement des données par Meta, veuillez consulter :
https://www.whatsapp.com/legal/business-data-processing-terms

6.2.3 Données collectées via WhatsApp

Lorsque vous interagissez avec nous via WhatsApp, les données personnelles suivantes peuvent être traitées :

Important : Les messages WhatsApp sont chiffrés de bout en bout entre votre appareil et le point d'accès de l'API Cloud WhatsApp Business. Cependant, une fois que les messages atteignent notre infrastructure serveur pour le traitement par l'IA, ils sont déchiffrés et traités conformément à la présente politique.

6.3 Agent IA — Traitement automatisé

6.3.1 Technologie IA utilisée

Vos messages sont traités par un assistant IA afin de générer des réponses. Le système IA fonctionne de la manière suivante :

6.3.2 Finalités du traitement par l'IA

L'agent IA traite vos messages aux fins suivantes :

• Répondre à vos questions et fournir des informations
• Vous assister dans vos demandes relatives à nos services

6.3.3 Divulgation de transparence IA (Règlement européen sur l'IA, Article 50)

Conformément au Règlement européen sur l'Intelligence Artificielle (Règlement (UE) 2024/1689), nous vous informons que :

• L'agent avec lequel vous interagissez dans notre groupe WhatsApp est un système d'IA, et non un être humain.
• Les réponses sont générées automatiquement par un grand modèle de langage et peuvent contenir des inexactitudes.
• Le contenu généré par l'IA n'est pas examiné par un humain avant sa livraison, sauf indication contraire.

6.3.4 Prise de décision automatisée (RGPD, Article 22)

Notre agent IA fournit uniquement des réponses informatives et une assistance. Il ne prend pas de décisions automatisées produisant des effets juridiques ou vous affectant de manière significative de façon similaire. En cas de modification de cette pratique, nous mettrons à jour la présente politique et obtiendrons votre consentement explicite lorsque cela est requis.

6.4 Base juridique du traitement

Nous traitons vos données personnelles sur les bases juridiques suivantes au titre de l'Article 6(1) du RGPD :

6.5 Sous-traitants et transferts internationaux

6.5.1 Sous-traitants

Les sous-traitants tiers suivants interviennent dans le traitement de vos données personnelles :

Note : Anthropic (le développeur du modèle d'IA Claude) n'agit pas en tant que sous-traitant dans notre architecture. Le modèle Claude est accessible exclusivement via AWS Bedrock, et Anthropic n'a aucun accès à vos données.

6.5.2 Accords de traitement des données

Nous avons conclu des Accords de Traitement des Données (DPA) conformément à l'Article 28 du RGPD avec chacun des sous-traitants mentionnés ci-dessus. Ces accords garantissent la mise en place de mesures techniques et organisationnelles appropriées pour protéger vos données personnelles.

6.6 Conservation des données

6.7 Vos droits

En vertu du RGPD, vous disposez des droits suivants concernant vos données personnelles :

• Droit d'accès (Art. 15) : Obtenir une copie des données personnelles que nous détenons à votre sujet.
• Droit de rectification (Art. 16) : Demander la correction de données personnelles inexactes.
• Droit à l'effacement (Art. 17) : Demander la suppression de vos données personnelles (« droit à l'oubli »).
• Droit à la limitation du traitement (Art. 18) : Demander la limitation du traitement dans certaines circonstances.
• Droit à la portabilité des données (Art. 20) : Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (Art. 21) : Vous opposer au traitement fondé sur l'intérêt légitime.
• Droit de retirer votre consentement (Art. 7(3)) : Retirer votre consentement à tout moment. Ce retrait ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait.
• Droit de ne pas faire l'objet d'une décision automatisée (Art. 22) : Ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire.

Pour exercer l'un de ces droits, contactez-nous à : webmaster@apelasource.org

Nous répondrons à votre demande dans un délai de 30 jours.

6.8 Consentement et désinscription

6.8.1 Comment nous recueillons le consentement

En rejoignant notre groupe WhatsApp et en interagissant avec l'agent IA, vous consentez au traitement de vos données personnelles tel que décrit dans la présente politique. Avant votre première interaction, vous recevrez un message d'accueil identifiant clairement la nature artificielle de l'agent et contenant un lien vers la présente politique de confidentialité.

6.8.2 Comment retirer votre consentement / vous désinscrire

Vous pouvez retirer votre consentement et vous désinscrire à tout moment en :

• Quittant le groupe WhatsApp
• Nous contactant à webmaster@apelasource.org

Après le retrait de votre consentement, nous cesserons de traiter vos données à des fins de communication et supprimerons vos données conformément à notre politique de conservation, sauf si la conservation est requise par la loi.

6.9 Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles, notamment :

• Chiffrement de bout en bout des messages WhatsApp (fourni par la plateforme WhatsApp)
• Chiffrement des données au repos et en transit au sein de l'infrastructure AWS
• Contrôles d'accès et authentification pour tous les systèmes traitant des données personnelles
• Évaluations de sécurité et surveillance régulières

6.10 Mesures de protection spécifiques à l'IA

Conformément aux principes de minimisation des données (Art. 5 RGPD) et au Règlement européen sur l'IA, nous avons mis en place les mesures de protection suivantes pour le traitement par l'IA :

• Minimisation des données : L'agent IA est configuré pour ne demander que les informations nécessaires au traitement de votre demande.
• Protection des données sensibles : L'agent IA est configuré pour ne jamais demander et pour décourager activement le partage de données personnelles sensibles telles que les coordonnées bancaires, les mots de passe, les informations de santé ou les numéros d'identification délivrés par l'État.
• Pas d'entraînement du modèle : Vos conversations ne sont pas utilisées pour entraîner ou améliorer les modèles d'IA.
• Escalade humaine : Vous pouvez demander une intervention humaine à tout moment.
• Transparence : L'IA s'identifie clairement comme un système automatisé au début de chaque interaction.

7. Autorité de contrôle

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD.

L'autorité de contrôle compétente pour notre organisation est :

Commission Nationale de l'Informatique et des Libertés (CNIL)
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France
https://www.cnil.fr

8. Contact

Pour toute question relative à la confidentialité, contactez-nous à webmaster@apelasource.org.

9. Modifications de la présente politique

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. En cas de modifications substantielles, nous vous en informerons via le groupe de discussion WhatsApp et/ou sur notre site internet. La date de la dernière révision est indiquée ci-dessous.

Dernière mise à jour : Mai 2026