Sécurité et hébergement
Dernière mise à jour : 7 octobre 2026
Cette page s'adresse aux communes, et en particulier à leur délégué à la protection des données (DPO) : où sont vos données, qui les traite, comment elles sont protégées et comment vous les récupérez. Le détail complet des données collectées figure dans la politique de confidentialité.
1. Qui est responsable de quoi
MyAsso est éditée par CiviTech, entreprise individuelle française (SIRET 10689353000019).
- Espace mairie. Pour les traitements que la commune réalise dans l'espace mairie (instruction des subventions, gestion des salles communales, échanges avec les associations), la commune est responsable de traitement et CiviTech agit en sous-traitant au sens de l'article 28 du RGPD.
- Application des associations. Pour les comptes des membres et des associations, CiviTech est responsable de traitement, dans les conditions décrites par la politique de confidentialité.
2. Où sont hébergées les données
| Élément | Prestataire | Localisation |
|---|---|---|
| Base de données (comptes, associations, subventions, réservations, messages) | Aiven | Union européenne |
| Site, API et espace mairie | Cloudflare | Réseau mondial (UE et hors UE) |
| Fichiers, images et sauvegardes | Cloudflare R2 | Réseau mondial (UE et hors UE) |
| Emails (codes, récapitulatifs adressés aux mairies) | Resend | Hors UE |
| Notifications push de l'application mobile | Firebase (Google) | Hors UE |
Les transferts hors Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le EU-U.S. Data Privacy Framework. La liste complète des sous-traitants figure au point 3 de la politique de confidentialité.
L'espace mairie n'utilise ni Firebase, ni outil de mesure d'audience, ni traceur publicitaire. Il ne charge aucun script depuis un serveur tiers.
3. Comment les données sont protégées
- Chiffrement en transit : toutes les connexions passent en HTTPS, imposé au navigateur (HSTS). La liaison entre l'API et la base de données est elle aussi chiffrée.
- Mots de passe : hachés avec bcrypt, jamais stockés ni transmis en clair.
- Protection contre les attaques par essais : les tentatives de connexion répétées sont ralenties progressivement, et le nombre de requêtes est limité par adresse IP.
- Sessions de l'espace mairie : déconnexion automatique après une heure sans activité, pour qu'un poste d'accueil laissé ouvert ne reste pas connecté. Changer le mot de passe déconnecte tous les autres postes.
- Journal des actions : chaque décision ou modification faite dans l’espace mairie est datée et consignée, avec le nom que l’agent a indiqué sur son poste. La commune sait ainsi qui a accordé une salle ou tranché un dossier. Ce journal est conservé 3 ans.
- Politique de sécurité du contenu (CSP) stricte sur le site et sur l'espace mairie : le navigateur refuse tout script qui ne vient pas de nos serveurs.
- Environnements de test : ils ne reçoivent qu'une copie anonymisée de la base. Aucune donnée personnelle réelle n'y transite.
- Aucune exploitation commerciale : les données ne sont ni vendues, ni cédées, ni utilisées à des fins publicitaires.
4. Sauvegardes
La base de données est sauvegardée chaque jour, dans un espace de stockage distinct de celui des fichiers. Les sauvegardes quotidiennes sont conservées 14 jours, les sauvegardes hebdomadaires 90 jours. Une donnée supprimée disparaît donc définitivement de nos systèmes au plus tard sous 90 jours.
5. Réversibilité : récupérer vos données
- À tout moment, l'espace mairie exporte au format CSV (lisible dans Excel) la liste des associations, des activités, des réservations de salles et des dossiers de subvention.
- À la fin de l'abonnement, nous fournissons sur demande un export complet des données propres à la commune, puis nous les supprimons dans un délai de 30 jours (hors rotation des sauvegardes, voir ci-dessus).
- Les données des associations leur appartiennent : elles restent dans leur compte MyAsso, que la commune soit abonnée ou non.
6. En cas d'incident
Si une violation de données touche des données traitées pour le compte d'une commune, nous la prévenons sans délai excessif après en avoir pris connaissance, avec les informations dont elle a besoin pour ses propres démarches auprès de la CNIL, conformément à l'article 33 du RGPD.
7. Contact
Pour toute question de votre DPO, une demande de contrat de sous-traitance ou un questionnaire de sécurité : [email protected].