Mentions légales.

Éditeur du site

1 % pour les Enfants, fonds de dotation reconnu d'intérêt général.
Siège : 9 rue Delerue, 92120 Montrouge, France.
RNF : 092-FDD-00143-04 · SIREN : 100 690 593 · SIRET : 100 690 593 00015.
Directeur de publication : Stephen Lurie.
Contact : support@1pourcentpourlesenfants.org.

Hébergement

Site statique hébergé par Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA (entité certifiée EU-US Data Privacy Framework). Diffusion via le réseau CDN européen de Vercel (régions Paris / Francfort en priorité).

Propriété intellectuelle

L'ensemble du site (textes, images, logo, mark « 1 % pour les Enfants ») est protégé par le droit d'auteur. Toute reproduction non autorisée est interdite.

Données personnelles (RGPD)

Responsable de traitement

1 % pour les Enfants (coordonnées ci-dessus). Délégué à la protection des données : rgpd@1pourcentpourlesenfants.org.

Données collectées, finalités, bases légales et durées

Formulaire de contact (nom, email, intention, message) : répondre à votre demande. Base légale : intérêt légitime à répondre aux personnes qui nous écrivent (art. 6-1-f RGPD), ou mesures précontractuelles (art. 6-1-b). Conservation : 12 mois après le dernier échange.
Candidature association (nom, RNA, secteur, territoire, mission, email, date et version des conditions générales acceptées) : étudier le partenariat. Base légale : mesures précontractuelles (art. 6-1-b). Conservation : 24 mois après le dernier échange, ou durée du partenariat le cas échéant.
Association hors de France à recontacter (nom de l'association, email, mission) : vous écrire quand le Fonds s'ouvrira aux associations d'autres pays. Base légale : consentement (art. 6-1-a RGPD), donné par la case « Me recontacter ». Conservation : jusqu'à cette ouverture, ou jusqu'au retrait de votre accord (rgpd@…).
Inscription entreprise (raison sociale, SIRET, contact prénom/nom, email, téléphone, produit engagé, CA estimé, ville, secteur, association choisie pour chaque produit) : exécuter votre engagement, émettre les attestations de paiement et les reçus fiscaux, reverser les dons aux associations désignées. Le nom d'une entreprise qui choisit de rester privée n'est pas communiqué aux associations qu'elle soutient : elles la voient sous la mention « Mécène anonyme ». Bases légales : exécution du contrat (art. 6-1-b) et obligation légale comptable / fiscale (art. 6-1-c). Conservation : 10 ans (comptabilité), avec archivage intermédiaire des coordonnées 3 ans après la fin de la relation. Une inscription jamais payée est effacée au bout de 12 mois.
Espace d'aperçu d'une entreprise (nom de l'entreprise, prénom et email du contact, email du second contact le cas échéant, contenus préparés dans l'espace : textes, images, produits, date et version des conditions générales acceptées) : ouvrir l'espace gratuit, envoyer les rappels de mise en ligne. Base légale : mesures précontractuelles (art. 6-1-b). Destinataires : l'équipe du Fonds, et l'ambassadeur dont le lien a servi, qui voit seulement le nom de l'entreprise « en essai » dans son carnet ; rien n'est publié avant la mise en ligne et la validation. Conservation : 120 jours après l'ouverture de l'espace s'il n'est pas mis en ligne, ou jusqu'au refus du dossier par le Fonds, puis suppression de la fiche, des produits préparés et des images ; une fois l'espace mis en ligne, les durées de l'inscription entreprise s'appliquent.
Second contact (adresse email du second contact qu'une entreprise engagée ou une association partenaire désigne depuis son espace) : donner à cette personne accès à l'espace de la structure, l'en informer par email et prévenir le contact principal de chaque changement. Base légale : intérêt légitime de la structure et du Fonds à ce que plusieurs personnes puissent gérer l'espace (art. 6-1-f). Conservation : tant que la personne reste second contact. Après son retrait, l'adresse ne figure plus que dans l'historique des emails envoyés, gardé avec la fiche de la structure pour les mêmes durées que les coordonnées du contact principal.
Groupes (nom affiché du membre : dénomination de l'entreprise ou de l'association, « Mécène anonyme » pour une entreprise privée, prénom et initiale du nom d'un ambassadeur ; type de compte ; date d'arrivée dans le groupe) : permettre aux membres d'un groupe de se reconnaître et à ses administrateurs de le gérer. Base légale : exécution du service demandé en rejoignant le groupe (art. 6-1-b). Destinataires : les autres membres du groupe et ses administrateurs ; le rapport d'activité du groupe donne des totaux (sur les 12 derniers mois terminés, sauf les entreprises rencontrées, les citoyens inscrits et les montants reçus par les associations, comptés sur toute la durée), jamais le montant ou le temps d'un membre, et ne communique pas un total qui repose sur moins de trois contributeurs. Seule exception : le membre qui coche « Je partage le détail de mes chiffres avec les administrateurs » (case décochée par défaut, retirable à tout moment) voit ses propres chiffres figurer dans le rapport, sur la base de son consentement (art. 6-1-a) ; les membres qui ne partagent pas n'y figurent qu'ensemble, et seulement s'ils sont au moins trois. Conservation : jusqu'au départ du membre, à la fermeture du groupe ou à la fermeture du compte. Quand un administrateur retire un membre, une trace sans nom est gardée tant que le groupe existe, pour que la personne ne puisse revenir qu'en le redemandant.
Espace ambassadeur (prénom, nom, email, code postal, façons d'aider, association soutenue, message libre, photo de carte facultative, temps donné déclaré, parrainages, date d'acceptation de la charte des ambassadeurs) : gérer votre compte d'ambassadeur, votre carte et votre relevé d'activité. Base légale : consentement donné à l'inscription (art. 6-1-a) et exécution du service (art. 6-1-b). Conservation : jusqu'à la fermeture du compte, puis 3 ans pour la trace des échanges. La photo de carte est supprimée dès la fermeture du compte. Une inscription jamais confirmée par le lien reçu par e-mail est effacée sous 15 jours.
Don Ambassadeur et kit de bienvenue (nom, adresse postale, email, montant, adresse de livraison, téléphone demandé par le formulaire de paiement pour la livraison, taille du t-shirt) : émettre le reçu fiscal et envoyer le kit. Bases légales : obligation légale comptable et fiscale (art. 6-1-c) et exécution du service (art. 6-1-b). Conservation : 10 ans pour le reçu et la comptabilité ; l'adresse de livraison et le téléphone 12 mois après le dernier envoi.
Entreprises contactées par un ambassadeur (nom de l'entreprise, contact, email, téléphone, ville, SIRET, choix exprimé depuis le QR code d'un ambassadeur ou d'une association partenaire ; entreprises notées par l'ambassadeur dans son espace : nom, ville, suivi) : recontacter l'entreprise qui l'a demandé, respecter une demande de ne plus être sollicitée, suivre l'action de l'ambassadeur. Bases légales : consentement pour être recontacté (art. 6-1-a), intérêt légitime pour l'opposition et le suivi (art. 6-1-f). Destinataires : l'équipe du Fonds et l'ambassadeur ou l'association concerné (prénom seulement de l'ambassadeur du côté de l'entreprise). Avec « Vérifier une entreprise », les autres ambassadeurs voient seulement qu'une entreprise est déjà partenaire et présentée sur le site public, qu'elle ne doit pas être sollicitée (parce qu'elle l'a demandé, ou sans aucune raison pour une entreprise privée, un espace d'aperçu ou un dossier en revue), ou qu'elle a été approchée par un ambassadeur dans les 30 derniers jours : jamais qui l'a approchée ni ses coordonnées. Conservation : 12 mois après le dernier échange ; une demande d'opposition est gardée sans limite de durée, tant que l'entreprise ne la retire pas.
Charte des ambassadeurs et incidents de démarchage (ambassadeur concerné, entreprise, SIRET, date, d'où vient l'incident : QR code de l'ambassadeur, entreprises qu'il suit ou constat de l'équipe ; date de l'email de rappel, suite donnée, retrait d'accès décidé le cas échéant) : faire respecter les demandes des entreprises de ne plus être sollicitées, rappeler la charte à l'ambassadeur et décider, le cas échéant, du retrait de son accès. Base légale : intérêt légitime du Fonds à faire respecter le droit d'opposition des entreprises (art. 6-1-f et art. 21 RGPD). Destinataires : l'équipe du Fonds seulement, jamais les autres ambassadeurs ni l'entreprise. Aucune décision automatique : un retrait d'accès est toujours décidé par l'équipe. Conservation : 3 ans après l'incident.
Photos et rapports publiés par une association (images de personnes, dont des enfants) : présenter l'action de l'association sur sa page et auprès des entreprises qui la soutiennent. Base légale : intérêt légitime de l'association et du Fonds (art. 6-1-f) ; l'association garantit avoir l'autorisation des personnes photographiées et, pour un enfant, de ses parents (conditions générales, article 9.2), et le confirme par une case à chaque dépôt. Destinataires : le public et les entreprises qui soutiennent l'association. Conservation : jusqu'au retrait par l'association ou la fin du partenariat ; les fichiers sont ensuite effacés comme indiqué pour Cloudflare ci-dessous.
Commandes de matériel (structure, contact, adresse de livraison, téléphone, articles commandés) : établir le devis, encaisser et livrer. Bases légales : exécution du contrat (art. 6-1-b) et obligation comptable (art. 6-1-c). Conservation : 10 ans pour les pièces comptables ; l'adresse de livraison 12 mois après l'envoi.
Logs techniques et sécurité (adresse IP, user-agent, route, statut HTTP) : sécurité, limitation du nombre de requêtes et lutte contre la fraude. Base légale : intérêt légitime (art. 6-1-f). Conservation : l'adresse IP utilisée pour la limitation de débit est supprimée automatiquement à l'expiration de la fenêtre de mesure (de 1 minute à 24 heures selon la route) ; les événements de sécurité (par exemple une tentative d'accès avec un lien invalide) sont conservés au plus 90 jours dans notre outil de suivi d'erreurs ; les journaux techniques de l'hébergeur sont conservés quelques jours selon sa politique.

Deux décisions sont prises automatiquement, comme le prévoient les conditions générales : la suppression d'un espace d'aperçu qui n'a pas été mis en ligne (article 6 bis.5), et le retrait d'un produit, ou la radiation de l'entreprise s'il s'agit du dernier, 30 jours après sa mise en pause pour défaut de versement (article 20.3). Vous pouvez demander qu'une personne de l'équipe réexamine la décision en écrivant à rgpd@1pourcentpourlesenfants.org. Aucun profilage ; aucune donnée sensible n'est collectée.

Destinataires & sous-traitants

Airtable Inc. (US, certifié Data Privacy Framework) : base de données des leads, candidatures et inscriptions.
Vercel Inc. (US, certifié Data Privacy Framework) : hébergement et exécution des fonctions serverless.
INSEE / DINUM, API Recherche d'entreprises (api.gouv.fr) : vérification SIRET depuis le navigateur et depuis nos serveurs, lors de l'inscription et de l'émission des documents fiscaux, et recherche d'une entreprise par son nom et sa ville (page QR d'un ambassadeur, espace ambassadeur). Sont transmis le SIRET, le nom ou la ville saisis et, pour une recherche faite depuis votre navigateur, son adresse IP.
Stripe Payments Europe, Ltd. (IE) : prestataire de paiement pour les dons (don initial, don par produit, versement 1 %, Don Ambassadeur) et les commandes de matériel. Les données bancaires ne transitent jamais par nos serveurs.
Brevo (Sendinblue SAS) (FR) : envoi des emails transactionnels (confirmations, liens de connexion, reçus fiscaux et attestations).
Microsoft Ireland Operations Ltd (IE) : messagerie de l'équipe (réception de vos emails et de nos notifications internes) et prise de rendez-vous en ligne (Microsoft Bookings).
Cloudflare Inc. (stockage en Union européenne, certifié Data Privacy Framework) : hébergement des fichiers téléversés (logos, photos, rapports d'associations, images d'articles, photos de carte des ambassadeurs). Les fichiers d'une entreprise refusée ou radiée, ou d'une association qui quitte le réseau ou dont la candidature est refusée, sont effacés 30 jours après.
Upstash Inc. (US) : limitation du nombre de requêtes par adresse IP et prévention des envois en double (voir « Logs techniques et sécurité » ci-dessus). Les adresses IP sont supprimées automatiquement à l'expiration de la fenêtre de mesure (de 1 minute à 24 heures selon l'action) ; les identifiants techniques des envois déjà faits sont gardés au plus 13 mois.
Sentry (Functional Software, Inc.) (US, certifié Data Privacy Framework) : suivi des erreurs techniques du site. Les adresses email y sont masquées, mais une erreur peut contenir un nom ou un SIRET (par exemple l'objet d'un email qui n'a pas pu partir).

Transferts hors UE

Les transferts vers les États-Unis (Airtable, Vercel, Sentry, et Cloudflare pour la diffusion des fichiers par son réseau) sont encadrés par le EU-US Data Privacy Framework et, à titre subsidiaire, par les Clauses Contractuelles Types de la Commission européenne. Les transferts vers Upstash (États-Unis) sont encadrés par les Clauses Contractuelles Types.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, ainsi que du droit de retirer votre consentement à tout moment. Pour les exercer, écrivez à rgpd@1pourcentpourlesenfants.org. Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris).

Cookies & traceurs

Le site ne dépose aucun cookie publicitaire ou de réseau social et ne suit pas votre navigation d'un site à l'autre. Seuls les éléments de stockage local suivants, strictement fonctionnels, sont utilisés, exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés (lignes directrices CNIL 2020-091) :

1pe-dash-session (localStorage) : garde votre connexion à votre espace ; effacé après 15 minutes sans activité (une heure pendant un paiement en ligne) ou à la déconnexion.
1pe-groupe (localStorage) : garde un lien d'invitation à un groupe le temps de vous connecter ; 30 jours au plus.
ribbon_dismissed_v1 (localStorage) : mémorise la fermeture du bandeau de lancement. Durée : jusqu'à effacement par l'utilisateur.

Mesure d'audience et de performance

Nous utilisons Vercel Web Analytics et Vercel Speed Insights (fournis par notre hébergeur Vercel Inc.) pour établir des statistiques de fréquentation agrégées et mesurer les performances techniques du site (temps de chargement, Core Web Vitals). Cette mesure est sans cookie et sans identifiant persistant : aucune donnée ne permet de vous ré-identifier ni de vous suivre d'un site à l'autre. Les informations collectées (pages vues, page d'origine, pays, type d'appareil et de navigateur, indicateurs de performance) sont anonymes et agrégées. Le traitement, strictement limité à la mesure d'audience du présent site et exempté de consentement dans les conditions posées par la CNIL, repose sur notre intérêt légitime à assurer le bon fonctionnement et l'amélioration du site (art. 6-1-f RGPD). Les transferts vers Vercel (États-Unis) sont encadrés par le Data Privacy Framework (voir ci-dessus).

Aucune bannière de consentement n'est donc requise. Vous pouvez à tout moment vider le stockage local depuis les réglages de votre navigateur.

Sécurité

Le site est servi en HTTPS strict (HSTS preload), avec une politique de sécurité du contenu (CSP) restrictive, des en-têtes X-Content-Type-Options, Referrer-Policy et Permissions-Policy. Les vulnérabilités peuvent être signalées via /.well-known/security.txt ou support@1pourcentpourlesenfants.org.

Conformité Digital Services Act (UE 2022/2065)

1 % pour les Enfants n'est pas une plateforme en ligne au sens du DSA. Ses procédures de signalement et de modération sont tenues à disposition sur demande. Point de contact unique : support@1pourcentpourlesenfants.org.

Médiation et litiges

Les services de la Plateforme s'adressent à des professionnels et à des organismes sans but lucratif : la médiation de la consommation (article L611-1 du Code de la consommation) ne s'applique pas à ces relations. En cas de différend, contactez d'abord support@1pourcentpourlesenfants.org ; les modalités de règlement des litiges sont décrites dans nos conditions générales.