En bref
1. Qui est responsable ?
Le responsable des traitements décrits ici est Kōdoka, SAS au capital de 2 000 €, immatriculée au RCS de Tours sous le n° 900 751 652, dont le siège est situé 4 rue Jean Bullant, 37300 Joué-lès-Tours (« Kōdoka »). Référent pour les données personnelles : Maxime Lemoine – contact@kashpilot.fr.
Les données des adhérents, donateurs et contacts qu’une association enregistre dans son espace sont sous la responsabilité de cette association : Kōdoka les traite pour son compte, en tant que sous-traitant (voir l’article 14 des conditions générales). Pour exercer vos droits sur ces données, adressez-vous à l’association concernée ; nous l’aiderons à vous répondre.
2. Quelles données, pourquoi, combien de temps ?
| Traitement | Données | Base légale | Durée de conservation |
|---|---|---|---|
| Visite du site kashpilot.fr | Journaux techniques du serveur : adresse IP, date, page demandée, navigateur | Intérêt légitime (sécurité) | 12 mois au plus |
| Compte utilisateur | Prénom, nom, email, mot de passe (haché), rôles dans les associations, date d’acceptation des conditions | Exécution du contrat | Durée d’utilisation du compte, puis suppression |
| Connexion et sécurité | Session (adresse IP, navigateur), tentatives de connexion, journal des actions importantes | Intérêt légitime (sécurité, traçabilité comptable) | Session : 2 heures d’inactivité ; journal : tant que l’espace de l’association existe |
| Emails du service | Email, nom ; contenu des messages (bienvenue, sécurité, invitations, remboursements…) | Exécution du contrat ; intérêt légitime pour les alertes de sécurité | Le temps de l’envoi chez notre prestataire d’emails, puis ses journaux (30 jours environ) |
| Demande de remboursement par le formulaire public | Prénom, nom, email, téléphone, IBAN (chiffré), dépenses, justificatifs | Traitement pour le compte de l’association | Selon les règles de l’association ; supprimées avec son espace |
| Signalements et suggestions | Message, page consultée, navigateur, capture d’écran éventuelle | Intérêt légitime (amélioration du service) | Le temps du traitement, puis 3 ans au plus |
| Échanges par email avec nous | Email, nom, contenu du message | Intérêt légitime | 3 ans après le dernier contact |
| Abonnement et paiement | Association, formule, montants, factures ; moyen de paiement : type et quatre derniers chiffres de la carte ou de l’IBAN (les coordonnées complètes sont détenues par Stripe, jamais par KashPilot) | Exécution du contrat ; obligation légale pour les factures | Factures : 10 ans (Code de commerce) ; moyen de paiement : jusqu’à la fin de l’abonnement |
| Notes de satisfaction pendant l’essai | Note de 1 à 5, remarque éventuelle, association et utilisateur | Intérêt légitime (amélioration du service) | 3 ans au plus |
3. Qui peut voir vos données ?
Uniquement les personnes qui en ont besoin :
- les membres du bureau de votre association, selon leur rôle ;
- l’équipe de Kōdoka habilitée, pour l’assistance et la sécurité ; chaque accès à un espace par l’équipe est journalisé ;
- nos sous-traitants techniques : Infomaniak Network SA (hébergement, Genève, Suisse) et Sendinblue SAS – Brevo (envoi des emails, Paris, France) ;
- pour la lecture automatique des tickets et factures (formule Grande association, à l’initiative de l’utilisateur) : Anthropic Ireland, Limited (Dublin, Irlande), qui reçoit uniquement la photo ou le PDF du justificatif pour en extraire le montant, la date et le commerçant, ne l’utilise pas pour entraîner ses modèles et ne le conserve que pour une durée limitée ;
- pour les abonnements : Stripe Payments Europe, Ltd. (paiement par carte et prélèvement SEPA, Dublin, Irlande), qui collecte directement les coordonnées bancaires, et Pennylane SAS (facturation et comptabilité de Kōdoka, Paris, France), ainsi que notre expert-comptable ;
- les autorités, uniquement sur demande légale.
Pour faciliter la saisie, le texte tapé dans certains champs (nom d’association ou d’entreprise, adresse) est envoyé directement par votre navigateur aux services publics API Recherche d’entreprises (DINUM) et Géoplateforme (IGN), qui renvoient des suggestions. Aucune donnée n’est envoyée tant que vous ne tapez rien dans ces champs.
Vos données ne sont jamais vendues, louées ni utilisées à des fins publicitaires.
4. Où sont stockées les données ?
Les données sont hébergées en Suisse par Infomaniak. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne, qui reconnaît un niveau de protection équivalent à celui de l’Union européenne. Les emails sont envoyés depuis l’Union européenne par Brevo ; les paiements et la facturation sont traités dans l’Union européenne par Stripe Payments Europe et Pennylane. Stripe pouvant faire intervenir des entités du groupe aux États-Unis, ces éventuels transferts sont encadrés par le cadre de protection des données UE–États-Unis et les clauses contractuelles types de la Commission européenne. Il en va de même pour la lecture automatique des justificatifs, réalisée aux États-Unis par Anthropic : ce transfert est encadré par les clauses contractuelles types, et seul le justificatif concerné est transmis.
5. Comment sont-elles protégées ?
- connexions chiffrées (HTTPS) sur le site et l’application ;
- mots de passe hachés, jamais stockés en clair ; sessions chiffrées ;
- IBAN chiffrés en base de données ; justificatifs stockés dans un espace privé, accessibles uniquement aux membres autorisés de l’association ;
- droits d’accès selon le rôle de chacun, limitation des tentatives de connexion, journal des actions sensibles.
6. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.
Vous pouvez modifier vos informations depuis « Mon compte » dans l’application, ou nous écrire à contact@kashpilot.fr. Nous répondons dans un délai d’un mois. Une preuve d’identité peut être demandée en cas de doute.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
8. Mineurs
KashPilot s’adresse aux dirigeants et bénévoles des associations. Les comptes utilisateurs sont réservés aux personnes majeures ou autorisées par leur représentant légal.
9. Modifications
Cette politique peut évoluer. En cas de changement important, les utilisateurs sont informés par email ou dans l’application. La date de dernière mise à jour figure en haut de cette page.