Politique de confidentialité

La Fondation pour l'animation socioculturelle lausannoise (FASL), dans le cadre de Lausanne sur Mer (LSM). Cette page concerne l'app STAFF LSM : le staff, les personnes qui posent leur candidature comme bénévoles, le public qui réserve une activité et les personnes accidentées sur le site.

Contact protection des données : Sylvain Nicolier · sylvain.nicolier@fasl.ch

Si tu fais partie du staff

• Identité et contact : prénom, nom, date de naissance, email, téléphone, adresse, photo si tu en mets une
• Contact d'urgence
• Santé : allergies et intolérances alimentaires
• Administratif : numéro AVS, IBAN, banque, lieu d'origine, permis de séjour
• Copies de pièces (identité, carte AVS, carte bancaire, permis) : le fichier est supprimé dès la vérification, au plus tard 30 jours après le dépôt
• Brevets (type, dates) et leur scan, supprimé à la validation, au plus tard 30 jours après le dépôt
• Pour les mineurs : nom et email du représentant légal
• Contrats signés, avec la date, l'adresse IP et le navigateur de chaque signature
• Disponibilités, planning, heures, salaires
• Évaluations de fin de saison, anonymes pour la personne évaluée
• Recommandation du RH pour une prochaine saison, avec son motif

L'extrait de casier judiciaire n'est pas collecté par l'app : quand il est demandé, tu le remets directement aux RH de la FASL.

Si tu poses ta candidature comme bénévole

Ce que tu remplis dans le formulaire (identité, contact, motivation, postes, expérience, allergies, contact d'urgence) et ton CV si tu en joins un.

Si tu réserves une activité

Nom, prénom, email, téléphone, nombre de personnes et montant. Le paiement passe par Stripe : ta carte n'est jamais vue ni gardée par l'app.

Si tu as un accident sur le site

Un rapport d'accident : identité, contact, ce qui s'est passé, blessures, soins donnés et, pour un mineur, son représentant légal.

• Staff : préparer et exécuter ton contrat (planning, salaires, assurances sociales), sur la base du contrat de travail
• Allergies, contact d'urgence et rapports d'accident : protéger ta santé et ta sécurité
• Candidatures : choisir l'équipe bénévole, à ta demande
• Réservations : te donner ta place et encaisser le paiement
• Journaux : savoir qui a consulté ou modifié des données personnelles, et faire tourner l'app sans panne

Rien n'est vendu ni utilisé pour de la publicité.

• Profil et évaluations : la durée de ton contrat, plus 3 mois après la clôture de l'édition
• Heures, salaires et pièces salariales : 10 ans (art. 958f CO), durée LAVS pour les cotisations
• Certificats de travail et attestations émis : 10 ans, obligation légale (art. 330a CO). Ils restent téléchargeables même après la fermeture de ton compte
• Copies de pièces et scans de brevets : 30 jours au plus, ils ne vont pas dans les sauvegardes
• Journal des accès à ton dossier : 2 ans
• Journal des modifications de rôles et de l'administratif : 5 ans, le temps de contester un salaire
• Journal technique des erreurs : 90 jours
• Recommandation du RH pour une prochaine saison : 3 ans
• Sauvegardes : 60 jours

Ces journaux sont purgés automatiquement chaque nuit. Pour les candidatures, les réservations et les rapports d'accident, la durée est en cours de fixation : tu peux en demander l'effacement au contact ci-dessus.

Les admins de LSM, le RH pour l'administratif et les brevets, et les responsables pour ce qui touche leur équipe. Chaque accès à un dossier et chaque modification sensible est journalisé : auteur, personne concernée, action, adresse IP, navigateur, date et heure.

Sous-traitants techniques, liés par contrat :

• Supabase : base de données, connexion et fichiers, en Irlande (UE)
• Vercel : hébergement de l'app, à Francfort (UE)
• Resend : envoi des emails, aux États-Unis
• SMSFactor : SMS d'alerte à la cuisine, en France (UE)
• Google Drive : stockage des sauvegardes
• GitHub : exécution des sauvegardes et code source
• Stripe : paiement des réservations, établi aux États-Unis et en Irlande

La base de données et l'app sont hébergées dans l'UE. Les emails, les paiements et le passage des sauvegardes par GitHub sortent de l'UE : ces transferts reposent sur les garanties contractuelles des prestataires.

L'app est développée et maintenue avec un assistant de programmation IA (Claude Code, d'Anthropic, aux États-Unis). Il travaille surtout sur le code ; lors d'un diagnostic, il peut lire des données de la base. Ces échanges ne servent pas à entraîner ses modèles et sont effacés chez Anthropic après 30 jours.

• Chiffrement en transit et au repos
• Droits d'accès contrôlés ligne par ligne en base
• Mot de passe personnel, changé à la première connexion
• Aucun cookie publicitaire ni traceur tiers, seulement le cookie de session
• Notifications push seulement si tu les actives, désactivables à tout moment

• Consulter et corriger tes données dans ton profil
• Télécharger tout ce que l'app sait de toi et demander l'effacement depuis Mes données personnelles. Réponse dans les 30 jours.
• T'opposer à un traitement ou poser une question : écris au contact ci-dessus

Les réserves des responsables et la recommandation du RH pour une prochaine saison ne figurent pas dans le téléchargement : ce sont des notes internes de recrutement (art. 26 LPD). Tu peux en demander la lecture par écrit au contact ci-dessus, on te répond au cas par cas et on te dit pourquoi si une partie est retenue.

Ce qui doit être gardé par la loi (pièces salariales, contrats signés, journaux) reste conservé pour la durée légale, même après un effacement.

En cas de désaccord, tu peux t'adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT) ou à l'autorité de ton pays.