Confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

Association La Roche'Act
Mairie de La Roche-Posay, 12 cours Pasteur, 86270 La Roche-Posay
Email : dpo@lastsummer-larocheposay.fr
Référent RGPD : Président de l'association

L'association n'a pas l'obligation de désigner un DPO au sens de l'article 37 du RGPD ; un référent à la protection des données est néanmoins désigné en interne.

2. Données personnelles collectées

Selon votre interaction avec le site et le festival, nous pouvons collecter :

• Données d'identification : nom, prénom, email, numéro de téléphone, date de naissance (vérification de la majorité pour la billetterie alcool) ;
• Données de billetterie : historique d'achat, type de billet, mode de paiement (les données bancaires complètes ne sont jamais stockées par nos soins, elles sont gérées par Stripe / HelloAsso) ;
• Données de navigation : adresse IP, type de navigateur, pages visitées, temps de visite (via Matomo en mode anonymisé) ;
• Données de communication : contenu des messages envoyés via le formulaire de contact, abonnement newsletter ;
• Image : photographies prises lors du festival (avec consentement implicite par l'accès au site événementiel, signalé par affichage à l'entrée).

3. Finalités et bases légales

Finalité	Base légale (RGPD)	Durée
Gestion de la billetterie	Exécution du contrat (art. 6.1.b)	3 ans après l'événement
Réponse au formulaire de contact	Intérêt légitime (art. 6.1.f)	3 ans
Envoi de newsletter	Consentement (art. 6.1.a)	Jusqu'au retrait du consentement
Mesure d'audience (Matomo anonymisé)	Intérêt légitime (art. 6.1.f)	13 mois max
Cookies marketing (réseaux sociaux)	Consentement (art. 6.1.a)	6 mois max
Comptabilité / obligations légales	Obligation légale (art. 6.1.c)	10 ans (art. L123-22 C. com.)
Photographie de l'événement	Intérêt légitime (art. 6.1.f) + droit d'opposition	5 ans (archives)

4. Durée de conservation

Les données sont conservées pour la durée strictement nécessaire à chaque finalité, puis archivées ou supprimées. Les données de facturation sont conservées 10 ans conformément aux obligations comptables. Les données de prospection sont conservées 3 ans à compter du dernier contact actif (achat, clic, ouverture).

5. Destinataires des données

Vos données sont destinées exclusivement à l'association La Roche'Act et à ses sous-traitants techniques agissant en notre nom :

• HelloAsso (billetterie associative, France) — Politique HelloAsso
• Stripe (traitement des paiements, Irlande/UE)
• Brevo ex Sendinblue (envoi newsletter, France/UE) — si applicable
• OVH (hébergement, France)
• Matomo (mesure d'audience, en auto-hébergé France ou Matomo Cloud UE)

Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins commerciales.

6. Transferts de données hors Union Européenne

L'ensemble de nos sous-traitants principaux est situé dans l'Union Européenne. Si un transfert hors UE devait avoir lieu (par exemple via un outil de communication tiers), il serait encadré par les Clauses Contractuelles Types de la Commission Européenne (décision 2021/914) ou un mécanisme équivalent.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité de vos données :

• Chiffrement HTTPS/TLS sur l'ensemble du site (certificat SSL Let's Encrypt) ;
• Sauvegardes quotidiennes chiffrées de la base de données ;
• Accès restreint aux données aux seuls membres habilités de l'association ;
• Authentification forte (2FA) sur les comptes administrateurs ;
• Politique interne de mots de passe robustes et de gestion des incidents.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, vous serez informé·e dans les meilleurs délais, conformément à l'article 34 du RGPD.

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données et obtention d'une copie ;
• Droit de rectification en cas de données inexactes ou incomplètes ;
• Droit à l'effacement (« droit à l'oubli »), sous réserve des obligations légales ;
• Droit à la limitation du traitement ;
• Droit à la portabilité de vos données dans un format structuré ;
• Droit d'opposition à un traitement fondé sur l'intérêt légitime, y compris le profilage ;
• Droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci ;
• Droit de définir vos directives post-mortem relatives au sort de vos données.

Comment exercer vos droits ? Adressez votre demande par email à dpo@lastsummer-larocheposay.fr ou par courrier au siège de l'association. Nous nous engageons à répondre dans un délai d'un mois, prorogeable de deux mois en cas de complexité. Une pièce d'identité pourra vous être demandée en cas de doute raisonnable sur votre identité.

9. Droit de réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

CNIL · 3 place de Fontenoy, TSA 80715 · 75334 Paris Cedex 07
Téléphone : 01 53 73 22 22
Site : www.cnil.fr

10. Modifications

La présente politique peut être amenée à évoluer pour refléter l'évolution de nos pratiques ou des obligations légales. La date de dernière mise à jour figure en haut du document. Toute modification substantielle vous sera notifiée par email si nous disposons de votre adresse.