Politique de confidentialité

1. Responsable du traitement

Le site Média Étudiant Rochelais (MER) est édité par l’association du même nom, association à but non lucratif régie par la loi du 1er juillet 1901.

L’association est responsable du traitement des données personnelles collectées sur https://mer-etudiant.fr, y compris l’espace rédaction et l’administration interne.

Elle est représentée par sa présidente, Chloé RIVATON.

Coordonnées :
Média Étudiant Rochelais
3 pass Jacqueline de Romilly
17000 La Rochelle
mediaetudiantrochelais@gmail.com
+33 7 68 91 37 42

2. Champ d’application

Cette politique s’applique :

• à la consultation du site public ;
• aux likes, recherches internes et partages d’articles ;
• aux comptes rédacteurs et membres du bureau (connexion, 2FA, reset de mot de passe, workflow éditorial).

3. Finalités

3.1 Publication

Mise en ligne d’articles (campus, associations, culture, sport, bons plans, événements). Un article publié peut indiquer l’organisateur, le lieu, les dates, les sources, le nom ou le pseudonyme de l’auteur, et le cas échéant celui de la personne qui a validé.

3.2 Comptes internes

Gestion des accès rédaction : identifiant, mot de passe, double authentification (application TOTP), droits, historique de soumission, de validation et de refus. Les mails automatiques partent quand un texte est soumis, publié ou renvoyé à l’auteur, et quand une tâche du planning éditorial est assignée avec une échéance. Un rappel part 48 heures avant cette date si la tâche n’est pas marquée « Fait ».

Une validation par la direction met l’article en ligne tout de suite. Il n’y a plus d’étape « Publier » séparée. Un rédacteur peut ensuite préparer une mise à jour sans dépublier la version en ligne.

La connexion (espace rédac et administration) passe par un test anti-robot Cloudflare Turnstile. Après authentification, un code à six chiffres est exigé. Une session inactive soixante minutes est coupée. Elle ne dure pas plus de huit heures.

3.3 Interactions publiques

Un like incrémente un compteur public. Pour limiter les abus, MER enregistre aussi, côté serveur, la session, l’adresse IP et le jour. Un cookie voted_[identifiant] évite d’afficher le bouton comme non cliqué au prochain passage.

Copier le lien ou ouvrir WhatsApp laisse une trace interne : article, type de partage, session, jour. On ne récupère pas votre carnet d’adresses WhatsApp. En revanche, une fois sur WhatsApp, c’est leur service, pas le nôtre.

Une recherche sur le site (mot-clé, rubrique éventuelle) est journalisée : texte saisi, session, jour, nombre de résultats. Ça sert à voir ce que les lecteurs cherchent, y compris ce qui ne donne rien.

3.4 Audience et sécurité

Une visite du site : une ligne par session et par jour. Une lecture d’article : une vue par session et par jour. On y rattache l’IP, le navigateur, la page d’entrée, le site d’origine s’il y en a un, et une localisation approximative (ville, pays, opérateur) via ip-api.com.

Les robots connus sont écartés. Les IPs servent aussi à plafonner les likes, les recherches et les tentatives de connexion. Pas de publicité, pas de revente, pas de profil nominatif d’un lecteur.

3.5 Hors ligne

Sur le public, un service worker peut garder quelques pages et fichiers dans le navigateur. Connexion, rédaction et admin restent hors de ce cache.

3.6 Bases légales

• intérêt légitime : informer, tenir les archives du média, mesurer l’audience en interne, sécuriser le site ;
• exécution de la mission éditoriale pour les rédacteurs (compte, 2FA, mails de workflow) ;
• consentement pour les stockages locaux qui ne sont pas nécessaires au service.

La mesure d’audience est première partie. Elle ne part que si tu cliques « Autoriser tout ». « Essentiels seulement » la coupe. Opposition aussi par mail, article 9.

4. Données traitées

4.1 Navigation et usage public

• adresse IP, identifiant de session, user-agent ;
• date, page d’entrée, référent, ville / pays / opérateur quand l’API répond ;
• article lu, liké ou partagé ;
• requête de recherche et, s’il y en a une, rubrique filtrée.

On ne recoupe pas ça avec un nom. Un étudiant n’est pas identifié à partir de son IP.

4.2 Comptes membres

• nom, prénom, identifiant, e-mail ;
• mot de passe haché (jamais en clair) ;
• secret TOTP (signé, pas en clair), date d’activation, dernier code déjà accepté ;
• groupes et droits ; articles rédigés, dates, motif de refus s’il y en a un ;
• sujets du planning éditorial (titre, description, assignation, échéance).

Un lien de réinitialisation de mot de passe, valable une heure, part par e-mail si la demande correspond à un compte. Les demandes trop nombreuses depuis une même IP ou une même adresse sont refusées.

Le mail d’assignation ou de rappel peut contenir un lien agenda signé. Ce lien n’exige pas de session : il n’ajoute que le titre et la date. Il cesse de fonctionner si la tâche est faite, réassignée ou datée autrement.

4.3 Contenu publié

Organisateur, lieu, dates, médias, sources. Une fois l’article en ligne, c’est public. Ça peut rester dans les archives après la fin de l’événement.

5. Cookies et technologies proches

Nécessaires au service :

• cookie de session (navigation, et authentification rédac / admin) ;
• préférence de langue ;
• cookie de like voted_[identifiant] ;
• jeton CSRF.

Audience : IP, session, géolocalisation approximative, recherches et partages, comme décrit plus haut. Pas de cookie publicitaire MER.

Le dialogue cookies pose un cookie mer_consent (et une copie en stockage local). « Essentiels seulement » laisse la session, la langue, la sécu et les likes. Pas les stats. Le détail est dans la politique des cookies.

6. Destinataires

Équipe technique et éditoriale de MER, personnes chargées de la validation, prestataire d’hébergement (OVH, France).

Pas de cession à des annonceurs. Communication possible aux autorités si la loi l’impose.

7. Hébergement, sécurité, sous-traitants

Serveurs dans l’Union européenne, principalement en France. Accès HTTPS. Mots de passe hachés. Accès machine limité, avec authentification forte.

Prestataires hors association, pour des morceaux précis :

• Cloudflare (Turnstile) : test anti-robot à la connexion rédac et à l’administration. IP et données techniques selon leur politique.
• ip-api.com : ville / pays / opérateur à partir de l’IP, pour les stats. L’offre utilisée est l’API HTTP.
• Google Fonts : polices chargées depuis les serveurs Google sur les pages publiques.
• Alphabet / Google : formulaire de recrutement (Google Forms), et YouTube si un rédacteur embarque une vidéo.
• cdnjs : librairie de recadrage d’image, uniquement sur l’espace rédaction.

On n’envoie pas la base des comptes à ces prestataires. Les transferts hors UE, s’il y en a, reposent sur leurs clauses et, le cas échéant, une décision d’adéquation.

8. Durées

• Visites : IP et user-agent retirés au bout de 14 jours. Les agrégats (ville, volumes) : au plus 6 mois.
• Lectures, recherches, partages, likes serveur : même finalité, au plus 6 mois.
• Journaux de sécu : 3 mois, sauf incident.
• Mails de contact : 12 mois après la dernière réponse.
• Compte rédacteur inactif : désactivation ou suppression possible après 2 ans.
• Cookie de like : 12 mois environ.
• Secret 2FA : tant que le compte existe.
• Lien de reset mot de passe : 1 heure.
• Articles publiés (auteur, texte, dates) : conservation d’archive, sans terme fixé. Un média ne gomme pas son historique.

9. Vos droits

RGPD et loi Informatique et Libertés : accès, rectification, effacement, limitation, opposition, portabilité pour les données que vous avez fournies.

Un auteur publié ne disparaît pas automatiquement des archives. Le retrait du nom sur un article déjà en ligne n’est pas un droit automatique.

Courriel : mediaetudiantrochelais@gmail.com
Courrier : Média Étudiant Rochelais, 3 pass Jacqueline de Romilly, 17000 La Rochelle.

Réclamation CNIL : cnil.fr

10. Modifications

Le texte change si le droit change, ou si une fonction du site crée un traitement nouveau. La version publiée ici fait foi. La date en tête de page n’est actualisée que lors d’une révision formelle.

11. Contact

Média Étudiant Rochelais
3 pass Jacqueline de Romilly
17000 La Rochelle
mediaetudiantrochelais@gmail.com
https://mer-etudiant.fr