Politique de confidentialité

Dernière mise à jour : 3 septembre 2026

Responsable de traitement

Le responsable de traitement est ONG Conseil, 60 Boulevard de Sébastopol, 75003 Paris. Pour toute question relative à vos données ou pour exercer vos droits : rgpd@ongconseil.org.

Données collectées

Nous traitons les données saisies dans nos formulaires ainsi que les données techniques nécessaires à leur sécurité, à la mesure agrégée du trafic et au diagnostic des violations de la politique de sécurité du contenu (CSP) :

• Formulaire de contact : prénom, nom, adresse e-mail, organisation et, si vous le souhaitez, un message.
• Formulaires de candidature : prénom, nom, adresse e-mail, poste ou domaine visé, et le contenu de votre message (motivation, liens vers CV/portfolio que vous choisissez d'ajouter).
• Protection anti-abus : adresse IP, agent utilisateur et e-mail normalisé utilisés pour calculer des empreintes SHA-256 dans des compteurs temporaires. Ces empreintes sont pseudonymisées, non anonymes. Les journaux applicatifs n'enregistrent que des versions masquées de l'IP et de l'e-mail, avec l'horodatage et les métadonnées de l'événement.
• Rapports CSP : en cas de violation, le navigateur peut transmettre automatiquement la directive, les URL concernées, le fichier source, la ligne et la disposition du rapport. Avant journalisation, seules les origines des URL sont conservées, sans chemin, paramètres, fragment ni identifiants. L'adresse IP n'est journalisée que sous forme masquée.
• Mesure d'audience à l'edge : Cloudflare traite les métadonnées réseau et de requête nécessaires à Zone Analytics, pouvant inclure l'adresse IP, l'URL demandée, l'horodatage et le pays dérivé. Le tableau de bord restitue des indicateurs agrégés tels que les requêtes, la bande passante et les visiteurs uniques. Aucun script ni cookie analytique n'est chargé dans votre navigateur.

Les champs indiqués comme obligatoires sont nécessaires pour envoyer et traiter votre demande : sans eux, le formulaire n'est pas transmis. Le message du formulaire de contact et le poste ou domaine d'une candidature spontanée sont facultatifs ; la motivation demandée sur les formulaires de candidature est obligatoire.

Nous ne pratiquons aucun profilage publicitaire et n'achetons ni ne revendons de données.

Finalités et bases légales

• Répondre à une question générale ou à une prise de contact. Base légale : intérêt légitime à répondre à la demande.
• Traiter une demande de démonstration ou de prestation initiée par vous. Base légale : mesures précontractuelles.
• Recevoir, classer et étudier votre candidature. Base légale : mesures précontractuelles prises à votre demande.
• Conserver, pour de futures opportunités, le profil d'un candidat non retenu dont la candidature présente un intérêt, sauf opposition de sa part. Base légale : intérêt légitime de recrutement.
• Assurer la sécurité du site et prévenir les abus. Base légale : intérêt légitime à protéger le service et ses utilisateurs.
• Comprendre l'usage agrégé du site et piloter sa disponibilité, ses performances et son exploitation technique. Base légale : intérêt légitime à mesurer et améliorer le service sans profilage publicitaire.

La case obligatoire du formulaire confirme que vous avez lu cette information : elle ne constitue pas la base légale du traitement.

Destinataires et sous-traitants

Vos données sont accessibles aux collaborateurs d'ONG Conseil habilités selon la nature de la demande et aux prestataires techniques nécessaires au fonctionnement du site :

• Resend : acheminement transactionnel des champs complets du formulaire, du sujet fermé, de l'IP masquée et de l'horodatage vers la boîte destinataire.
• Google Workspace (Google) : réception et conservation des demandes dans la boîte destinataire. L'adresse de cette boîte n'est pas publiée.
• Cloudflare : hébergement, sécurité, exécution des fonctions, compteurs anti-abus dans un stockage technique privé, journaux techniques et Zone Analytics. Comme tout hébergeur edge, Cloudflare reçoit l'adresse IP réseau.

Transferts hors Union européenne

Cloudflare, Resend et Google peuvent traiter des données hors de l'Union européenne. Lorsque le RGPD l'exige, ces transferts sont encadrés, selon le prestataire et le flux concerné, par une décision d'adéquation, notamment le cadre de protection des données UE-États-Unis, et/ou par les clauses contractuelles types de la Commission européenne intégrées aux accords de traitement des données. Pour connaître les garanties applicables à votre demande, écrivez à rgpd@ongconseil.org.

Durées de conservation

• Données de contact dans Google Workspace : 12 mois maximum après le dernier échange.
• Candidatures : pendant la procédure de recrutement. Pour les seuls profils non retenus présentant un intérêt pour de futures opportunités : jusqu'à 24 mois après le dernier contact, sauf opposition ou demande d'effacement.
• Données d'e-mail et journaux d'acheminement chez Resend : 30 jours sur les offres standard utilisées par le service.
• Compteurs anti-abus : fenêtres de 60 secondes pour l'empreinte IP + agent utilisateur et pour l'IP seule et de 10 minutes pour l'e-mail ; expiration des compteurs global et par IP au prochain minuit UTC (au plus 24 heures). Une purge automatique des données expirées intervient normalement dans les 15 minutes, sous réserve d'incidents techniques ; un retard de purge ne prolonge pas la fenêtre de contrôle.
• Limiteur des rapports CSP en mémoire : fenêtre de contrôle de 60 secondes ; une entrée expirée peut rester en mémoire jusqu'à une requête ultérieure ou à la destruction de l'instance.
• Journaux applicatifs de contact et de rapports CSP : consultation en flux uniquement sur Cloudflare Pages Functions ; cette interface ne les conserve pas. Les journaux et métriques réseau propres à Cloudflare suivent les fenêtres de son offre.
• Zone Analytics : historique disponible pendant la fenêtre prévue par l'offre Cloudflare active ; cette fenêtre, variable selon le produit et l'offre, constitue le critère de conservation. Aucun export ou entrepôt analytique distinct n'est configuré par ONG Conseil.
• Préférences fonctionnelles (thème, langue et écran d'entrée) : jusqu'à leur effacement dans les réglages du navigateur.
• Cookie technique __Host-csrf_token : 2 heures ; copie du jeton dans la session de l'onglet jusqu'à sa fermeture ou son invalidation.

Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et, lorsque ses conditions sont réunies, de portabilité. Pour les exercer, écrivez à rgpd@ongconseil.org. Vous pouvez également introduire une réclamation auprès de la CNIL.

Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), protection anti-abus des formulaires (jeton CSRF, limitation de débit), minimisation et masquage des données, hébergement au sein d'une infrastructure sécurisée.

Cookies

Le détail des cookies et stockages locaux figure dans notre politique de cookies.