Objet
Cette politique explique quelles données personnelles sont collectées sur le site Meeple Bouex Club, pourquoi elles sont utilisées et quels droits peuvent être exercés par les utilisateurs.
Responsable du traitement
Le responsable du traitement est l'association Le Meeple Bouëx' Club (association loi 1901, RNA W353026038), dont le siège est situé 5, rue Théophile Rémond, 35340 La Bouëxière, France.
Contact pour toute question relative à vos données : contact@meeboc.fr. Les coordonnées complètes figurent dans les mentions légales.
Données collectées
Lors de la création d'un compte, le site collecte les informations nécessaires à l'identification de l'utilisateur : nom, prénom, adresse mail et mot de passe chiffré, ainsi que le numéro de téléphone si l'utilisateur choisit de le renseigner.
Le mot de passe n'est jamais stocké en clair. Il est transformé par un mécanisme de hachage sécurisé.
Pour un adhérent qui a réglé sa cotisation sans s'inscrire sur le site, le bureau peut ouvrir lui-même son compte, avec les nom, prénom, adresse mail et, le cas échéant, téléphone recueillis lors de l'adhésion. Ce compte n'a pas de mot de passe : personne ne peut s'y connecter tant que l'adhérent ne l'a pas activé depuis le lien reçu par mail. Il peut aussi demander qu'il soit effacé.
Le site conserve également des informations techniques liées à la sécurité : date de création du compte, date de dernière connexion, état de vérification de l'adresse mail, demandes de réinitialisation de mot de passe, tentatives de connexion et événements d'authentification.
Le bulletin d'adhésion rempli en ligne par un adhérent ajoute sa date de naissance, son adresse postale, les nom, prénom et date de naissance des membres de sa famille couverts par une adhésion famille, ses choix de droit à l'image et de communications, et la preuve de sa signature (date, heure et adresse IP).
Une adhésion enregistre sa formule, son montant, sa saison et son moyen de règlement. Pour un paiement en ligne, le site garde la référence et l'état du paiement chez HelloAsso ; il transmet à HelloAsso le nom, le prénom et l'adresse mail de l'adhérent pour préremplir le paiement, et ne voit ni ne conserve aucune donnée bancaire. Une adhésion famille enregistre aussi les comptes rattachés à son foyer.
La vie du club sur le site laisse d'autres traces : les réponses aux soirées (avec le choix d'afficher ou non son nom), les tables proposées ou rejointes, les jeux annoncés, et, pour qui la relie, la collection de jeux importée de son profil public Myludo (adresse du profil et titres des jeux), rapprochée des fiches BoardGameGeek. Qui lie son compte Discord depuis son profil laisse au site l'identifiant et le nom de ce compte, rien d'autre.
Un visiteur qui annonce venir essayer une soirée sans créer de compte laisse un prénom et, s'il le souhaite, une adresse mail pour être recontacté une seule fois le lendemain.
Le formulaire de contact transmet le nom, l'adresse mail et le message à la boîte du club, par mail ; le site ne le conserve pas.
Finalités
Les données sont utilisées pour créer et gérer les comptes utilisateurs, permettre la connexion, vérifier les adresses mail, réinitialiser les mots de passe, sécuriser le site et prévenir les usages abusifs.
Elles servent aussi à la vie de l'association : gérer les adhésions et tenir le registre des membres, tenir sa comptabilité, organiser les soirées (qui vient, quelles tables, quels jeux), respecter les choix de droit à l'image, informer les adhérents qui l'ont accepté, recontacter une fois les visiteurs venus essayer qui l'ont demandé, et répondre aux messages envoyés au club.
Les journaux d'authentification servent à détecter les tentatives suspectes, les abus de formulaire et les comportements incompatibles avec la sécurité du service.
Base légale
Les traitements liés au compte utilisateur et à l'adhésion reposent sur l'exécution du service demandé et du contrat d'adhésion. La comptabilité de l'association répond à ses obligations légales.
Le droit à l'image, les informations du club par mail et le mail de suivi d'un visiteur à l'essai reposent sur le consentement, qui se retire à tout moment.
Les traitements de sécurité reposent sur l'intérêt légitime à protéger le site, les comptes et les données associées.
Destinataires
Les données sont destinées à l'équipe chargée de l'administration du site Meeple Bouex Club et aux membres du bureau habilités, qui seuls consultent les bulletins d'adhésion.
Sur le site, les autres personnes connectées voient le nom des membres qui répondent à une soirée (sauf s'ils l'ont masqué), proposent ou rejoignent une table, ou annoncent un jeu, ainsi que le prénom des visiteurs à l'essai. Un visiteur non connecté ne voit que des nombres.
Elles sont également traitées, pour le compte de l'association et dans la seule mesure nécessaire au service, par deux sous-traitants situés dans l'Union européenne : IONOS (hébergement du site et de la base de données, serveur en France) et Brevo (envoi des emails transactionnels).
Les paiements en ligne sont traités par HelloAsso, plateforme française, pour son propre compte et selon sa propre politique de confidentialité. Myludo et BoardGameGeek ne reçoivent aucune donnée personnelle : le site lit la collection publique d'un profil Myludo et interroge BoardGameGeek sur des titres de jeux. Pour un compte Discord lié, Discord apprend seulement si son titulaire est adhérent ou membre du conseil d'administration : le site lui pose ou retire les rôles « Adhérents » et « Membre du Bureau » sur le serveur du club.
Aucune donnée n'est vendue, louée ni transmise à des tiers à des fins commerciales.
Emails transactionnels
Le site envoie les emails nécessaires au fonctionnement du compte et de l'adhésion : vérification d'adresse mail, bienvenue, réinitialisation et changement du mot de passe, changement d'adresse mail, bulletin d'adhésion à signer ou reporté par le bureau, invitation dans une adhésion famille, invitation à activer un compte ouvert par le bureau. Un visiteur à l'essai qui l'a accepté reçoit un seul mail le lendemain de sa soirée. La boîte du club est prévenue des nouvelles inscriptions et des rattachements à une famille.
Ces emails ne constituent pas des communications marketing. Ils sont acheminés par le prestataire Brevo, qui ne traite votre adresse mail que pour cet envoi.
Durées de conservation
Les données du compte sont conservées tant que le compte existe.
Le bulletin d'adhésion est conservé pendant la durée de l'adhésion puis trois ans à compter du dernier contact, les pièces comptables dix ans. Les visiteurs venus essayer une soirée sans créer de compte sont effacés au bout d'un an.
La collection importée de Myludo est conservée tant que le profil reste relié au compte, et le compte Discord tant qu'il reste lié. Les réponses aux soirées, les tables et les jeux annoncés restent consultables dans le calendrier six mois après la soirée.
Les tokens de vérification email et de réinitialisation de mot de passe sont temporaires et à usage unique. Les journaux d'authentification sont conservés pour une durée limitée nécessaire à la sécurité du site.
Les journaux techniques, journaux d'authentification et journaux d'administration sont conservés pour des durées limitées afin d'assurer la sécurité, diagnostiquer les incidents et détecter les usages abusifs.
Les liens de confirmation d'adresse expirent après 24 heures et les liens de réinitialisation de mot de passe après 30 minutes. La session expire après 12 heures d'inactivité, le cookie « se souvenir de moi » après 30 jours.
Suppression et anonymisation
Lorsqu'un compte est supprimé, les données directement liées au compte sont supprimées dans la mesure permise par les obligations de sécurité et de continuité du service.
Certains journaux ou historiques peuvent être conservés de manière limitée, détachée du compte ou anonymisée, lorsqu'ils sont nécessaires à la sécurité, à l'audit ou au respect d'obligations légales.
Sécurité
Le site utilise plusieurs mesures de protection : chiffrement HTTPS, cookies sécurisés, protection CSRF, limitation des tentatives, journaux d'authentification, mots de passe hachés et tokens temporaires stockés sous forme hachée.
Droits des utilisateurs
Les utilisateurs peuvent demander l'accès à leurs données, leur rectification, leur suppression, ou s'opposer à certains traitements lorsque la réglementation le permet.
Les demandes peuvent être adressées à contact@meeboc.fr. Une réponse est apportée dans un délai d'un mois. Depuis la page « Mon compte », vous pouvez aussi exporter vos données ou supprimer votre compte vous-même.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (www.cnil.fr).
Mise à jour
Cette politique pourra être mise à jour pour refléter l'évolution du site, de ses fonctionnalités ou de ses obligations légales.