1. Objet et champ d’application
Cette politique s’applique au site officiel www.fesl.fr, à ses pages publiques, à ses flux de publication et à l’espace privé utilisé par les personnes habilitées. Elle décrit les traitements effectivement prévus par l’architecture du service. Les formulaires publics d’adhésion, de contact, d’assistance et de candidature ne sont pas ouverts par le site national dans sa configuration actuelle.
La FESL applique le règlement général sur la protection des données, la loi Informatique et Libertés et les textes français applicables. La présente politique complète l’information donnée au moment où une donnée est directement recueillie.
2. Responsable du traitement
Le responsable du traitement est la FÉDÉRATION DES ÉLÈVES ET SYNDICATS LYCÉENS (FESL), association déclarée régie par la loi du 1er juillet 1901, dont le siège social est situé 5 allée de la Pommeraie, 78520 Limay, France.
Pour toute question relative aux données ou pour exercer un droit, la personne concernée utilise le contact de protection des données publié dans les mentions validées du site. Ce contact est distinct des accès techniques de l’espace privé.
3. Principes appliqués
La FESL limite les données aux informations nécessaires à une finalité déterminée, les utilise de manière transparente, protège leur confidentialité et conserve les informations pendant une durée maîtrisée. Les droits d’accès aux fonctions internes sont accordés selon le rôle de la personne et le besoin d’en connaître.
Aucune donnée personnelle n’est demandée pour permettre la simple consultation des pages publiques. Lorsqu’une fonctionnalité nécessite une donnée, la collecte doit être précédée d’une information adaptée, et aucune donnée sensible ne doit être transmise par un canal qui n’est pas explicitement prévu pour la recevoir.
4. Traitements concernés
4.1 Consultation du site public
La consultation des pages, des actualités, des ressources et de l’annuaire public ne crée pas de compte et ne déclenche pas de collecte de formulaire. La recherche publique utilise le terme saisi pour sélectionner les contenus correspondants et le transmet dans l’adresse de la page. Il ne faut donc pas y inscrire de donnée personnelle ou sensible.
Les données techniques liées à une requête peuvent être traitées par le serveur et l’hébergeur pour acheminer la page, détecter les abus, maintenir la sécurité et établir les journaux techniques. Les catégories concernées sont notamment l’adresse demandée, l’heure, le navigateur, le système et les éléments nécessaires au diagnostic.
4.2 Comptes, authentification et MFA de l’espace privé
L’espace privé traite les informations nécessaires à la création et à la gestion de comptes nominatifs : adresse électronique professionnelle ou déclarée, nom affiché, rôle, rattachement éventuel à un collectif, état du compte, historique d’authentification et éléments techniques de session. Les comptes responsables utilisent une authentification multifacteur TOTP ; les secrets MFA et les codes de récupération sont protégés selon leur fonction de sécurité.
La finalité est de contrôler l’accès à des fonctions internes, de prévenir les usurpations et de permettre la révocation d’un accès. Les invitations et liens de récupération sont temporaires et à usage unique. Le détail de la base juridique, la durée exacte de conservation et les destinataires sont inscrits dans le registre interne validé avant toute extension du service.
4.3 Administration, habilitations et journal d’audit
Les actions administratives peuvent être inscrites dans un journal : création ou modification d’un contenu, évolution d’un compte, changement d’habilitation, publication, archivage ou opération de sécurité. L’adresse IP n’est pas conservée en clair dans le journal applicatif ; elle est hachée avec une clé serveur afin de contribuer à la détection des abus sans créer une liste directement lisible.
Le journal est réservé aux personnes autorisées. Il ne doit pas être utilisé pour suivre l’activité personnelle des visiteurs et ne contient pas le contenu des dossiers privés.
4.4 Publications, équipe et documents
Les personnes habilitées peuvent préparer des actualités, des pages, des fiches de collectifs et des fiches de sympathisants ou de membres publiées avec validation. Les données susceptibles d’apparaître sont celles qui sont saisies dans la fiche : nom affiché, qualité, biographie, photographie, ville ou crédit. La publication d’une fiche nominative suppose une base juridique et une autorisation adaptées à son contenu.
Les documents déposés dans l’espace privé sont conservés séparément, contrôlés avant approbation et accessibles selon les droits attribués. Les pièces qui contiennent des données personnelles ne doivent pas être rendues publiques sans vérification de leur contenu, de leur fondement et des droits de diffusion.
4.5 Demandes et dossiers internes
Le code de l’espace privé prévoit des dossiers chiffrés et une messagerie interne pour certaines demandes. Les formulaires publics correspondants restent désactivés dans l’état actuel du site national. Si une demande est ouverte ultérieurement, l’information préalable précisera les données demandées, la finalité, la base juridique, les destinataires, les durées, les mesures de sécurité et le canal de suivi.
5. Destinataires et sous-traitants
Les données sont accessibles aux personnes de la FESL qui disposent d’une habilitation correspondant à leur fonction. Les données techniques peuvent être accessibles à l’hébergeur et aux prestataires indispensables au fonctionnement, à la sécurité, à la sauvegarde ou à l’envoi d’une notification lorsqu’un tel service est activé.
IONOS intervient comme prestataire d’hébergement selon les services souscrits par la FESL. Les contrats, annexes de protection des données, lieux de traitement et mesures de sécurité applicables doivent être conservés dans la documentation interne. Aucun prestataire tiers n’est ajouté au site public sans examen préalable.
6. Transferts internationaux
Les traitements sont conçus pour rester dans l’environnement d’hébergement et les services autorisés par la FESL. Aucun transfert international spécifique n’est présenté comme actif dans cette politique sans vérification du prestataire concerné. Lorsqu’un service externe implique un transfert hors de l’Espace économique européen, la FESL doit identifier le pays, le mécanisme juridique et les garanties applicables avant activation.
7. Durées de conservation
Les durées sont définies par catégorie de traitement dans le registre interne de la FESL et doivent être appliquées par suppression, archivage ou anonymisation à l’échéance. Une durée ne doit pas être déduite de la seule présence d’une table ou d’un fichier.
En conséquence, les personnes sont informées au moment d’une collecte de la durée ou du critère permettant de la déterminer. Les données de compte, d’habilitation, de journal, de document et de dossier ne sont pas conservées au-delà de ce qui est nécessaire à leur finalité et aux obligations applicables.
8. Protection des mineurs
Le site s’adresse notamment à des lycéennes et lycéens et doit rester compréhensible pour des visiteurs mineurs. Le site public ne demande pas de récit personnel, de donnée médicale ou de pièce d’identité. Toute fonctionnalité future destinée à recueillir des données de mineurs devra utiliser des informations claires, limiter les données et appliquer les règles françaises relatives au consentement et à l’autorité parentale lorsque le consentement est la base retenue.
9. Sécurité
Les mesures applicatives comprennent notamment des sessions protégées, la limitation des accès par rôle, une protection CSRF, le hachage des mots de passe, le MFA pour les responsables, la révocation des sessions, le chiffrement de certains dossiers, la quarantaine des documents et un journal d’audit. Ces mesures sont complétées par les contrôles d’hébergement, les sauvegardes, la gestion des secrets, les mises à jour et la surveillance des accès.
Aucune mesure technique ne supprime tous les risques. Toute personne habilitée doit protéger ses moyens d’accès, signaler une anomalie et ne pas partager un lien d’invitation, un secret MFA ou un document confidentiel.
10. Droits et réclamations
Dans les conditions prévues par le RGPD, la personne concernée peut demander l’accès à ses données, leur rectification, leur effacement, la limitation d’un traitement, la portabilité des données qu’elle a fournies ou s’opposer à un traitement fondé sur l’intérêt légitime. Elle peut retirer un consentement lorsqu’un traitement repose sur celui-ci.
La demande doit être adressée au contact de protection des données publié sur le site. Elle doit décrire le droit exercé et permettre de retrouver le traitement concerné. Une vérification proportionnée peut être demandée lorsqu’il existe un doute raisonnable sur l’identité ; une pièce d’identité ne doit pas être exigée systématiquement.
La FESL répond dans les délais prévus par le RGPD et informe la personne des motifs d’un éventuel refus. Toute personne peut introduire une réclamation auprès de la CNIL, notamment si elle estime que sa demande n’a pas reçu de réponse satisfaisante.
11. Évolution de la politique
La présente politique est mise à jour lorsque les traitements, les services, les sous-traitants, les durées ou les coordonnées du responsable changent. La date de dernière mise à jour figure dans la version publiée. Une modification substantielle doit être portée à la connaissance des personnes concernées par un moyen adapté.