CYBER SACLAY-TEAMAccueilCYBER SACLAY-TEAMAccueilAssociation Cyber Saclay-Team (loi 1901), Sceaux | Dernière mise à jour : 05/11/2026
La présente politique décrit comment l'association traite les données personnelles au sein de sa plateforme interne (console du Comité de Gouvernance et espace membre), conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés. Elle concerne les membres, les personnes qui candidatent ou s'inscrivent à nos événements, ainsi que les candidats inscrits dans notre vivier de recrutement.
Accès rapide : Candidatures et vivier de candidats | Formulaires d'inscription publics | Vos droits | Vous opposer au traitement | Signalements de contenus
Les données sont traitées par l'association Cyber Saclay-Team (RNA W921010914, SIRET 924 670 912 00014, 54 boulevard Desgranges, 92330 Sceaux), représentée par son Comité de Gouvernance. Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire pour l'association (article 37 du RGPD) ; le Comité de Gouvernance répond à toute question relative à vos données. Contact : contact@cybersaclayteam.com. Les e-mails techniques de la plateforme sont envoyés depuis panel@cybersaclayteam.fr (réponse vers contact@cybersaclayteam.fr).
| Traitement | Finalité | Base légale | Conservation |
|---|---|---|---|
| Registre des membres (identité, université ou école, coordonnées, catégorie, fonction, dates d'adhésion et de cotisation) | Gestion des adhésions et obligations statutaires | Exécution du contrat associatif ; obligation légale | Durée de l'adhésion, puis archivage limité aux obligations légales |
| Photo de profil (facultative ; les métadonnées comme la position GPS sont retirées au dépôt) | Identification au sein du registre | Consentement, retirable à tout moment | Jusqu'au retrait ou la fin de l'adhésion |
| Comptes d'accès (identifiant, empreinte du mot de passe, rôle) | Authentification et contrôle des accès | Intérêt légitime (sécurité) ; exécution du contrat | Durée de l'adhésion ; suppression à la clôture du compte |
| Réinitialisation de mot de passe (identifiant, adresse e-mail, jeton haché à usage unique, adresse IP, horodatage) | Récupération sécurisée d'un accès oublié | Intérêt légitime (sécurité du compte) | Lien valable 30 minutes puis invalidé ; purge sous 24 h |
| Journal d'activité et de sécurité (action, horodatage ; adresse IP des personnes connectées et des tentatives de connexion ; pour les personnes non connectées qui remplissent un formulaire public, seulement une empreinte non réversible de l'adresse IP) | Traçabilité et sécurité de la plateforme | Intérêt légitime | 12 mois maximum |
| Cotisations | Suivi financier de l'association | Exécution du contrat ; obligation légale | Durées comptables légales |
| Notes de frais et justificatifs | Traitement des remboursements | Obligation légale (comptable) | 10 ans (pièces comptables) |
| Formulaires et planification (réponses, disponibilités, créneaux réservés y compris comptes temporaires, fichiers joints) | Objet propre à chaque formulaire | Consentement recueilli à l'envoi ; intérêt légitime | Le temps nécessaire à l'objet du formulaire, puis suppression |
| Procurations | Représentation en assemblée | Exécution du contrat et des statuts | Durée de l'assemblée, puis archivage statutaire |
| Votes et assemblées (sondages, bulletins, procès-verbaux, pièces jointes) | Vie associative statutaire | Obligation statutaire ; intérêt légitime | Archivage statutaire des délibérations |
| Calendrier et événements (participations) | Organisation des événements | Intérêt légitime ; consentement | 12 mois après l'événement, puis suppression automatique |
| Participation à distance (choix de la modalité, envoi du lien de connexion) | Permettre de suivre un événement en ligne | Votre demande d'inscription | Celle de l'inscription (12 mois après l'événement) |
| Organisation partenaire invitante (organisation par laquelle vous indiquez avoir été invité(e)) | Permettre à chaque partenaire co-organisateur d'examiner les demandes de ses invités, dans la limite de ses places | Votre demande d'inscription ; intérêt légitime des co-organisateurs | Celle de l'inscription (12 mois après l'événement) |
| Liste d'attente et annulation (rang sur la liste d'attente, date d'attribution d'une place, date d'annulation) | Attribuer dans l'ordre les places libérées et permettre d'annuler une inscription en un clic | Votre demande d'inscription | Celle de l'inscription (12 mois après l'événement) |
| Invitations par e-mail (utilisateurs externes) | Vous informer des événements et formulaires de l'association | Consentement (case facultative, retirable en un clic dans chaque e-mail et depuis votre espace) | Jusqu'au retrait de votre accord ou la suppression du compte |
| Badges | Identification et accès aux événements | Intérêt légitime | Le temps de l'événement ; suppression automatique 6 mois après la dernière modification de la session de badges |
| Demandes de création de compte « Nous rejoindre » (identité, coordonnées, rôle souhaité) | Instruction des demandes d'adhésion | Mesures précontractuelles prises à votre demande | Jusqu'à la décision ; une demande refusée est supprimée 3 mois après la décision ; pour une demande acceptée, les informations reprises dans le registre sont effacées de la demande 3 mois après la décision |
| Vivier de candidats (nom, prénom, e-mail, téléphone, école, campus, formation, parcours, niveau, informations complémentaires transmises, suivi des contacts : appel, SMS, relance, entretien, statut, commentaires et avis consultatifs des membres du Comité) détails | Recrutement de nouveaux membres : prise de contact, organisation des entretiens, suivi des candidatures | Intérêt légitime de l'association à recruter ses membres (vous pouvez vous y opposer à tout moment) | 24 mois après le dernier contact ou la dernière mise à jour, puis suppression automatique ; suppression immédiate en cas d'opposition |
| Grilles d'évaluation des entretiens (candidat, poste visé, date, jury, appréciations) | Sélection des candidats aux postes et missions de l'association | Intérêt légitime ; mesures précontractuelles | Durée du processus de sélection, puis conservation limitée à la durée du mandat concerné |
| Comptes « Utilisateur externe » (adresse e-mail servant d'identifiant, nom, formulaire d'origine, dates de création, d'activation et de dernière connexion, empreinte du mot de passe) détails | Donner accès, à une personne extérieure à l'association qui le demande, aux formulaires et notifications qui lui sont destinés et à son espace CV | Consentement (case cochée lors de l'inscription, puis activation par e-mail) | Tant que le compte est utilisé ; suppression sur simple demande ; compte non activé supprimé au bout de 7 jours ; compte sans connexion depuis 3 ans supprimé automatiquement |
| Profil candidat d'un utilisateur externe (identité, coordonnées, études, centres d'intérêt, compétences, disponibilités, présentation) détails | Faire connaître son profil au Comité de Gouvernance et l'intégrer automatiquement à la base des candidatures | Consentement (case cochée à l'envoi), retirable à tout moment | Tant que le compte existe ; dans la base des candidatures, durée applicable aux fiches candidats (24 mois sans activité) |
| CV et présentation (fichier PDF, texte de présentation, recherche de stage ou d'alternance et période) détails | Faire connaître son parcours au Comité de Gouvernance et, pour aider les étudiants à trouver des opportunités professionnelles, le transmettre aux partenaires de l'association et aux membres de son écosystème | Consentement (case cochée au premier dépôt), retirable à tout moment | Jusqu'à leur suppression par la personne, la suppression de son compte ou son départ de l'association |
| Commandes avec paiement (identité, contact, articles, montant, statut du paiement et code de transaction ; aucune donnée bancaire) détails | Gestion des commandes, des paiements, de la commande groupée et de la remise des articles | Exécution de la commande | Durée de conservation des pièces comptables (10 ans) |
| Formulaires d'inscription publics (événements, candidature « Rejoindre l'écosystème » ; pour une participation soumise à validation, avis consultatifs des membres du Comité) détails | Gestion des inscriptions et des candidatures, recontact | Consentement ; mesures précontractuelles prises à votre demande | 12 mois après l'événement ; 24 mois après l'envoi pour une candidature ; suppression automatique |
| Attestations | Délivrance de documents | Exécution du contrat associatif | Durée de l'adhésion, puis archivage limité |
| Documents déposés par le membre (certificat de scolarité, attestation de formation VSS) | Vérification des conditions d'adhésion et des obligations de formation | Exécution du contrat associatif ; intérêt légitime | Durée de l'adhésion ; remplacés à chaque nouveau dépôt |
| Signatures électroniques et codes de vérification (image de la signature, date, adresse IP lors de la signature de la charte, codes à usage unique hachés) | Signature de la charte, des procurations et des demandes de paiement ; confirmation des décisions | Exécution du contrat associatif ; intérêt légitime (preuve) | Durée de conservation du document signé ; codes : quelques minutes |
| Remarques du Comité et suivi des contributions (remarques sur un membre, missions et participations bénévoles, relances) | Suivi de l'engagement et vie associative | Intérêt légitime | Durée de l'adhésion ; certaines remarques peuvent vous être rendues visibles |
| Décisions et contestations | Information des membres des décisions du Comité et exercice du droit de contestation | Exécution des statuts | Archivage statutaire |
| Drive des membres (fichiers déposés et leurs noms, tailles, empreinte d'intégrité, dossiers, propriétaire, accès accordés, liens de partage : empreinte du jeton, expiration, mot de passe haché, nombre de téléchargements ; journal des opérations) détails | Stocker et partager des fichiers entre membres ayant un rôle ; supervision et sécurité par le Comité de Gouvernance | Exécution du contrat associatif ; intérêt légitime (sécurité de la plateforme) | Jusqu'à la suppression par le membre ou par le Comité ; liens expirés effacés après 90 jours ; journal 12 mois |
| Signalements de contenus (catégorie, adresse du contenu, explication, nom et e-mail de l'auteur du signalement, facultatifs pour certaines catégories, empreinte non réversible de l'adresse IP, décision et motifs) détails | Traiter les signalements de contenus illicites, informer l'auteur du signalement et la personne concernée de la décision | Obligation légale (règlement (UE) 2022/2065 sur les services numériques, articles 16 et 17) | 12 mois après la décision, puis suppression automatique |
| Matériels | Suivi du matériel confié | Intérêt légitime | Durée de la mise à disposition |
| Notifications et e-mails | Information des membres (transactionnel) | Intérêt légitime ; consentement selon le cas | Le temps nécessaire à l'information |
| Notifications push, facultatives (adresse technique d'abonnement fournie par votre navigateur, clés de chiffrement, appareil) | Vous alerter sur votre téléphone ou ordinateur | Consentement (activation volontaire, retirable à tout moment) | Tant que l'abonnement est actif ; suppression à la désactivation ou si l'abonnement expire |
| Projets et tâches (intitulés et descriptions des projets et tâches, membres assignés et leurs rôles, sous-tâches, commentaires et mentions, dépendances, pièces jointes, groupes de travail) | Organisation collaborative et suivi des missions de l'association | Intérêt légitime ; exécution du contrat associatif | Durée du projet, puis suppression ou archivage à sa clôture |
| Double authentification (2FA), facultative (secret de l'application d'authentification, codes de secours hachés, indicateur d'activation) | Renforcer la sécurité de l'accès à votre compte | Consentement (activation volontaire) ; intérêt légitime (sécurité) | Tant que la 2FA reste activée ; suppression à sa désactivation ou à la clôture du compte |
Les données sont réservées aux membres habilités du Comité de Gouvernance et, pour certaines missions (par exemple le suivi des candidatures, la gestion des badges ou l'organisation d'un événement), aux personnes auxquelles le Comité a délégué un accès limité et temporaire : membres, ou représentants d'une organisation partenaire pour les seules demandes de ses invités. Ces personnes acceptent au préalable un engagement de confidentialité ; leur accès est journalisé et prend fin 30 jours après l'événement. Chacun n'accède qu'aux données nécessaires à sa mission, selon le principe de moindre privilège (par exemple, le traitement des notes de frais est limité au Président, au Trésorier, au Secrétaire Général, au Vice-Président et au Directeur Exécutif). Aucune donnée n'est vendue ni transmise à des tiers à des fins commerciales.
Les fichiers déposés sur le drive sont accessibles à leur propriétaire, aux personnes ou groupes avec lesquels il les partage, aux détenteurs d'un lien de partage valide et aux membres habilités du Comité de Gouvernance, qui disposent d'une vue d'ensemble du drive et en administrent le partage.
Certains documents (par exemple attestations, justificatifs, comptes rendus ou listes de membres) sont susceptibles d'être transmis à l'Université Paris-Saclay ou à l'administration française (autorités et organismes compétents) en cas de demande légitime, de contrôle ou de vérification, dans le respect de la réglementation applicable.
L'hébergement de la plateforme et l'envoi des e-mails sont assurés par Hostinger, au sein de l'Union européenne. Les polices de caractères et bibliothèques techniques sont hébergées sur nos propres serveurs : la consultation des pages ne transmet votre adresse IP à aucun service tiers (Google Fonts, CDN, outil de statistiques).
Seule exception, facultative : si vous activez les notifications push, les alertes transitent par le service de notification de votre navigateur (Google pour Chrome et Android, Mozilla pour Firefox, Apple pour Safari, Microsoft pour Edge), qui peut être situé hors de l'Union européenne. Le contenu des notifications est chiffré de bout en bout et n'est pas lisible par ces services. Vous pouvez désactiver ces notifications à tout moment depuis votre espace membre ou votre navigateur.
Participation à distance à un événement : le lien envoyé par e-mail ouvre le service de visioconférence choisi par l'équipe organisatrice (par exemple Microsoft Teams, Zoom, Google Meet ou Jitsi), qui traite vos données de connexion selon sa propre politique et peut être situé hors de l'Union européenne (transferts encadrés, notamment par le cadre de protection des données UE-États-Unis). Aucune donnée d'inscription ne lui est transmise par la plateforme.
Paiement des commandes : lorsqu'une commande est réglée en ligne, le paiement par carte s'effectue sur la page sécurisée de SumUp (prestataire de paiement), qui traite les données bancaires selon sa propre politique de confidentialité. Le panel ne reçoit ni ne conserve aucune donnée de carte : seuls le statut du paiement, son montant, sa date et le code de transaction lui sont communiqués.
Aucun autre sous-traitant n'a accès aux données.
Pour recruter de nouveaux membres, l'association tient un vivier de candidats dans un outil interne réservé au Comité de Gouvernance (et, le cas échéant, aux membres auxquels il en a délégué l'accès pour une session de recrutement).
Des informations que vous nous avez communiquées : formulaire de candidature ou d'inscription, échange lors d'un forum, d'un salon ou d'un événement, liste de contacts établie à cette occasion. Lorsque vos données ne proviennent pas directement de vous, nous vous en informons au plus tard lors de notre premier contact, et dans tous les cas dans un délai d'un mois.
Identité (nom, prénom), coordonnées (e-mail, téléphone), établissement, campus, formation, parcours et niveau d'études, informations complémentaires que vous avez transmises, ainsi que le suivi de votre candidature (sessions de recrutement, appels, SMS, relances, entretien, statut, commentaires du Comité). Aucune donnée sensible n'est demandée.
Vous contacter au sujet de l'association, organiser les entretiens et assurer le suivi des candidatures. Ce traitement repose sur l'intérêt légitime de l'association à recruter ses membres (article 6.1.f du RGPD). Aucune décision n'est prise de manière automatisée : chaque candidature est examinée par des personnes.
Jusqu'à 24 mois après le dernier contact ou la dernière mise à jour de votre fiche ; la suppression est ensuite automatique. Si vous devenez membre, vos données rejoignent le registre des membres. Si vous vous opposez, elles sont supprimées immédiatement.
Vous pouvez vous opposer à tout moment, sans avoir à vous justifier, à ce que vos données figurent dans notre vivier et à être recontacté :
Votre fiche et l'historique de vos contacts sont alors supprimés. Nous conservons uniquement une empreinte chiffrée et irréversible de votre e-mail et de votre téléphone, dans le seul but de ne jamais vous réinscrire ni vous recontacter (liste d'opposition). Nous vous confirmons la prise en compte de votre demande dans un délai maximal d'un mois.
Les formulaires d'inscription aux événements et le formulaire de candidature « Rejoindre l'écosystème » sont accessibles sans compte. Les réponses (et les pièces jointes éventuelles) sont réservées aux membres habilités du Comité de Gouvernance et, pour un événement donné, aux personnes auxquelles le Comité en a confié l'organisation (accès limité à cet événement et journalisé). Elles sont utilisées uniquement pour gérer votre inscription ou votre candidature et vous recontacter à ce sujet. Pour certains événements, la participation est soumise à validation : votre demande est alors acceptée ou refusée par l'équipe organisatrice (ou par le représentant de l'organisation partenaire qui vous a invité(e), pour un événement co-organisé), et vous en êtes informé(e) par e-mail. Si vous choisissez de participer à distance, le lien de connexion vous est envoyé par e-mail et n'est jamais affiché sur la page. Lorsque l'événement est complet, vous pouvez être inscrit(e) sur une liste d'attente : les places libérées sont attribuées dans l'ordre fixé par l'équipe organisatrice et vous êtes prévenu(e) par e-mail. Chaque e-mail lié à votre inscription contient un lien personnel, unique et sécurisé pour l'annuler en un clic (après confirmation) ; ce lien ne donne accès à aucune de vos données. Une seule inscription est enregistrée par adresse e-mail et par événement. Une empreinte non réversible de votre adresse IP est enregistrée pour limiter les envois abusifs. Les réponses sont supprimées automatiquement 12 mois après l'événement, ou 24 mois après l'envoi pour une candidature. Les personnes inscrites via le formulaire de candidature peuvent être ajoutées au vivier de candidats décrit ci-dessus, avec les mêmes droits, dont le droit d'opposition.
Lorsqu'un formulaire d'inscription le propose, vous pouvez cocher une case pour créer un compte sur l'espace de l'association. Votre identifiant est l'adresse e-mail saisie ; vous recevez à cette adresse un lien personnel, à usage unique et valable 48 heures, pour choisir votre mot de passe. Sans activation, le compte est supprimé au bout de 7 jours ; un compte resté sans connexion pendant 3 ans est également supprimé.
Ce compte n'ouvre aucun accès aux informations des membres de l'association : il permet uniquement de répondre aux formulaires qui vous sont ouverts, de lire les notifications qui vous sont adressées, de gérer votre CV et votre présentation, d'ajouter si vous le souhaitez une photo de profil (visible par vous et par le Comité de Gouvernance, supprimable à tout moment), de compléter votre profil candidat et de demander à rejoindre l'association. Vous ne figurez pas dans le registre des membres tant que votre demande d'adhésion n'a pas été acceptée. La création d'un compte est réservée aux personnes de 15 ans ou plus. Recevoir nos invitations par e-mail est facultatif : cette case est proposée séparément, et chaque e-mail d'invitation contient un lien de désinscription. Depuis l'onglet « Mon profil », rubrique « Mes données », vous pouvez à tout moment télécharger vos données, gérer cet accord et supprimer votre compte vous-même.
Profil candidat. Depuis l'onglet « Mon profil », vous pouvez compléter une fiche reprenant les rubriques de la base des candidatures de l'association (prénom, nom, téléphone, école, campus, formation, parcours, niveau et description ; l'adresse e-mail est celle de votre compte). Dès la création de votre compte, le profil est créé automatiquement à partir des réponses données dans le formulaire d'inscription à l'origine de ce compte (lorsqu'elles comprennent au moins votre prénom et votre nom). Tant que le compte n'est pas activé par le lien reçu par e-mail, seule une nouvelle fiche peut être créée : une fiche déjà présente dans la base n'est jamais modifiée, et la fiche ainsi créée est supprimée avec le compte s'il n'est pas activé sous 7 jours. Le profil est transmis automatiquement au Comité de Gouvernance et figure dans la base des candidatures, mise à jour automatiquement à chaque modification, afin de pouvoir vous recontacter au sujet des activités, événements et recrutements de l'association. Il suit la durée de conservation des fiches candidats (24 mois sans activité) et il est supprimé avec votre compte, sauf s'il a déjà servi à une session de recrutement. Vous pouvez vous opposer à ce traitement à tout moment en écrivant à l'adresse indiquée à la section 6 : votre profil n'est alors plus transmis.
Comptes partenaires. Lorsqu'un formulaire d'inscription est destiné à la création d'un compte partenaire, ou lorsque le Comité de Gouvernance désigne un compte comme partenaire, l'espace comprend un profil partenaire (structure, prénom, nom, fonction dans la structure, téléphone, site internet) et un drive personnel de 1 Go. Ce profil sert uniquement à identifier la structure partenaire et à la recontacter : il n'est jamais relié à la base des candidatures. Il n'y a ni CV, ni profil candidat, ni demande d'adhésion. Les fichiers du drive ne sont visibles que par leur propriétaire et, pour des raisons de sécurité, par les membres habilités du Comité de Gouvernance ; ils ne peuvent être ni partagés ni publiés par lien, et ils sont supprimés avec le compte. Les membres de l'association peuvent partager des documents avec l'ensemble des partenaires (catégorie « Partenaires ») : ces documents apparaissent dans la rubrique « Partagés avec moi » du drive, en consultation seulement.
Demande d'adhésion. L'onglet « Rejoindre la CST » transmet votre demande au Comité de Gouvernance. Si elle est acceptée, une fiche vous concernant est créée au registre des membres, en compte temporaire, et vous conservez vos identifiants ; dès qu'un rôle vous est attribué, votre compte devient un compte membre. Une demande refusée est supprimée 3 mois après la décision.
Commandes avec paiement. Lorsque l'association propose une commande (pulls, articles aux couleurs de l'association…) à ses membres et, selon le formulaire, aux utilisateurs externes ou aux partenaires, le panel enregistre pour chaque commande : vos nom, adresse e-mail et, si vous l'indiquez, votre téléphone ; les articles, tailles, quantités et textes de personnalisation choisis ; le montant, la date d'acceptation des conditions de vente, le statut du paiement et le code de transaction transmis par SumUp ; la remise des articles. Finalité : gestion de la commande, de son paiement, de la commande groupée auprès du fournisseur (qui ne reçoit que les quantités, tailles et personnalisations, jamais votre identité) et de la remise. Base légale : exécution de la commande. Ces informations sont consultables par le Comité de Gouvernance et conservées pendant la durée de conservation des pièces comptables (10 ans). En cas de paiement par virement, le panel enregistre aussi la date à laquelle le virement a été annoncé, puis la date de la confirmation de sa réception et le nom du membre du Comité (Président ou Trésorier) qui l'a constatée ; les coordonnées bancaires de l'association ne sont communiquées qu'à l'acheteur concerné. Un utilisateur externe ou un partenaire n'accède qu'à ses propres commandes, depuis son espace. Votre attestation de paiement reste disponible depuis votre espace.
Depuis votre espace (membre ou utilisateur externe), vous pouvez déposer un CV au format PDF, un texte de présentation et indiquer si vous recherchez un stage ou une alternance, avec la période souhaitée. Ces informations sont recueillies avec votre accord explicite. Elles sont consultées par les membres du Comité de Gouvernance habilités à gérer les comptes et sont susceptibles d'être transmises aux partenaires de l'association et aux membres de son écosystème (entreprises, institutions, associations et professionnels avec lesquels elle collabore), dans le seul but d'aider les étudiants à trouver des opportunités professionnelles (stages, alternances, emplois). Elles ne sont jamais publiées ni vendues. Le fichier est stocké hors de tout accès web public et n'est jamais affiché directement dans une page. Vous pouvez à tout moment modifier ces informations, les retirer ou tout supprimer depuis votre espace, ce qui met fin à toute nouvelle transmission ; le retrait de votre accord ne remet pas en cause les transmissions déjà effectuées.
Les membres auxquels un rôle a été attribué disposent d'un drive dans leur espace pour déposer et partager des fichiers. Il n'est ouvert ni aux comptes temporaires, ni aux utilisateurs externes. Les comptes partenaires disposent d'un drive personnel de 1 Go, sans partage ni lien (voir « Comptes partenaires »). Chaque membre choisit avec qui il partage un fichier ou un dossier (une personne, une fonction, une catégorie de membres, tous les membres ou l'ensemble des partenaires, ces derniers en consultation seulement) et peut créer des liens de partage d'une durée de 30 jours au plus, réservés aux membres connectés ou ouverts à toute personne disposant du lien, éventuellement protégés par un mot de passe et limités en nombre de téléchargements. La personne qui reçoit un lien public peut consulter le contenu partagé sans compte ; seule une empreinte non réversible de son adresse IP est alors conservée dans le journal.
Accès du Comité de Gouvernance. Les membres habilités du Comité de Gouvernance disposent d'une vue d'ensemble du drive : noms, tailles et propriétaires des fichiers, accès accordés et liens actifs. Ils administrent le partage de chaque élément : ils peuvent donner l'accès à des membres ou à des groupes, modifier ou retirer un accès, créer ou désactiver un lien de partage, et télécharger ou supprimer un élément (par exemple pour la continuité des travaux de l'association, en cas de signalement, de contenu illicite ou de départ d'un membre). Chacune de ces opérations est inscrite au journal ; le propriétaire est prévenu par e-mail et par notification de tout accès ou lien ajouté à ses éléments, et peut être prévenu d'une suppression. Le drive personnel des comptes partenaires n'est jamais partagé par le Comité de Gouvernance.
Sécurité. Les fichiers sont conservés sur le serveur de l'association, hors de tout accès web public, sous un nom aléatoire, et ne sont jamais exécutés ; les droits sont vérifiés à chaque téléchargement. Chaque fichier est analysé automatiquement pendant son envoi, sans être ouvert ni exécuté : les programmes, scripts, documents à macros ou à contenu actif, fichiers déguisés et archives impossibles à contrôler sont refusés. L'analyse porte sur la nature technique du fichier, pas sur la lecture de son contenu par une personne. Un lien de partage repose sur un jeton aléatoire dont seule l'empreinte est conservée ; à votre demande, il vous est envoyé par e-mail au moment de sa création. Vous restez responsable des fichiers que vous déposez : n'y placez pas de données personnelles de tiers ou de données sensibles sans nécessité ni droit de le faire. Les fichiers restent en place jusqu'à leur suppression par leur propriétaire ou par le Comité. La liste de vos fichiers, des accès que vous avez accordés et des liens que vous avez créés figure dans l'export « Télécharger mes données ».
Toute personne peut signaler un fichier ou un contenu de la plateforme qu'elle estime illicite au moyen du formulaire de signalement, comme le prévoit le règlement européen sur les services numériques. Le signalement est réservé aux membres habilités du Comité de Gouvernance, qui l'examinent et prennent une décision motivée.
Données. Nature du contenu, adresse ou élément concerné, votre explication, votre nom et votre adresse e-mail (facultatifs pour un contenu pédopornographique ou terroriste), ainsi qu'une empreinte non réversible de votre adresse IP pour limiter les envois abusifs. Votre adresse e-mail sert uniquement à vous envoyer l'accusé de réception et la décision. Votre identité n'est pas communiquée à la personne dont le contenu est signalé, sauf obligation légale.
Personne concernée par un signalement. Si une mesure est prise sur un contenu que vous avez déposé, vous recevez un exposé des motifs et les voies de recours, conformément aux conditions d'utilisation.
Conservation. 12 mois après la décision, puis suppression automatique. En cas de soupçon d'infraction menaçant la vie ou la sécurité de personnes, les informations utiles peuvent être transmises aux autorités compétentes.
Les durées applicables à chaque traitement figurent dans le tableau de la section 2. De façon générale, les données sont conservées le temps strictement nécessaire à leur finalité, puis supprimées ou archivées dans la limite des obligations légales (notamment comptables).
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci. Écrivez à contact@cybersaclayteam.com ; réponse sous un mois (délai prolongeable de deux mois pour une demande complexe, auquel cas nous vous en informons). L'exercice de vos droits est gratuit. Depuis votre espace (membre ou utilisateur externe), le bouton « Télécharger mes données » vous remet immédiatement une copie des données vous concernant. Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr/plaintes) si vous estimez vos droits non respectés.
Vous pouvez également définir des directives relatives au sort de vos données après votre décès. Pour exercer vos droits, l'association peut vous demander de justifier votre identité si un doute raisonnable existe.
La plateforme ne prend aucune décision produisant des effets juridiques ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé, et ne réalise aucun profilage.
L'association s'adresse à un public étudiant, majoritairement majeur. Lorsqu'un membre est mineur, l'adhésion et le traitement de ses données requièrent l'accord de son représentant légal, et seules les données strictement nécessaires à la vie associative sont collectées. La création d'un compte « Utilisateur externe » est réservée aux personnes de 15 ans ou plus (article 45 de la loi Informatique et Libertés).
Connexions chiffrées (HTTPS) ; mots de passe protégés par hachage à sens unique Argon2id (repli bcrypt selon l'environnement) et jamais stockés en clair ; sessions sécurisées à expiration automatique et régénérées après changement de mot de passe. La réinitialisation de mot de passe utilise un lien à usage unique et de courte durée, un jeton haché en base, une réponse identique que le compte existe ou non, une limitation par IP et par compte, et un e-mail de confirmation après tout changement. La plateforme applique en outre une limitation des tentatives et du débit, des jetons anti-CSRF, un contrôle du type réel des fichiers déposés, un stockage des fichiers hors accès web public (le drive vérifie les droits à chaque téléchargement et refuse programmes, scripts et documents à macros), la journalisation des actions sensibles et des sauvegardes chiffrables (AES-256-GCM) ne contenant aucun mot de passe. Une double authentification (2FA) par application est proposée en option (codes de secours à usage unique stockés hachés). Hébergement au sein de l'Union européenne.
En cas de violation de données susceptible d'engendrer un risque pour les personnes, l'association notifie la CNIL dans les 72 heures après en avoir pris connaissance et, lorsque le risque est élevé, informe sans délai les personnes concernées. Toute violation, même non notifiée, est consignée dans un registre interne (nature, données et personnes concernées, conséquences, mesures prises), conformément à l'article 33.5 du RGPD.
La plateforme n'utilise qu'un cookie de session strictement nécessaire à l'authentification (aucun traceur publicitaire ou statistique) ; il expire à la fermeture du navigateur. Pour fonctionner comme une application installable, elle peut aussi conserver dans votre navigateur des fichiers techniques (logo, feuilles de style) et quelques préférences d'affichage ; la console du Comité garde une copie de travail du registre pour la durée de l'onglet seulement (effacée à sa fermeture et à la déconnexion). Ces éléments strictement nécessaires ne requièrent pas de consentement et ne servent à aucun suivi.
La présente politique peut être mise à jour pour refléter l'évolution des traitements ou de la réglementation. La date de dernière mise à jour figure en tête de page. Voir aussi les mentions légales et les conditions d'utilisation.