Politique de confidentialité (RGPD)

Chaque église (tenant) est responsable de traitement des données de ses membres et en définit les finalités. CYBEREVA, éditeur de Servir Christ, agit en qualité de sous-traitantau sens de l'article 28 du RGPD, dans le cadre d'instructions documentées.

Pour toute demande relative à vos données : privacy@cybereva.com ou notre DPO dpo@cybereva.com.

Nous limitons la collecte au strict nécessaire :

• Identité des membres et responsables (nom, prénom), coordonnées (email, téléphone).
• Rôles, appartenances (pôle, branche, ministère) et droits d'accès.
• Données d'organisation de la communauté et des événements.
• Pour le module Entrées/Sorties : présence horodatée des enfants et responsables autorisés à la reprise, aux fins de sécurité (safeguarding).
• Progression de lecture biblique et habitudes de dévotion (voir données sensibles ci-dessous).
• Journaux techniques (envois d'emails, actions de modération, consentements).

Gestion et animation de la communauté, sécurité des entrées/sorties, communication interne, administration des accès et suivi pastoral. Les bases légales mobilisées sont l'intérêt légitime de l'église (organisation de la vie communautaire), le consentement(données sensibles, communications) et, le cas échéant, l'exécution d'une mission confiée. Aucune revente ni cession de données à des tiers à des fins commerciales.

L'appartenance religieuse et les habitudes de lecture biblique constituent des données sensiblesau sens de l'article 9 du RGPD. Elles sont traitées sur la base du consentement explicite de la personne (ou de son représentant légal).

Les statistiques de lecture et de participation ne sont exploitées que sous forme strictement anonymisée et agrégée, avec un seuil de k-anonymat ≥ 5: aucun rapport n'est produit lorsqu'un groupe compte moins de 5 personnes. Les administrateurs et responsables n'ont jamais accès à la progression individuellede lecture d'un membre.

Nous appliquons le principe de minimisation par conception :

• Nous ne collectons pas la date de naissance, mais seulement une date d'anniversaire (jour et mois) pour les félicitations.
• Les enfants sont gérés par catégories/groupes et non par âge précis, afin de réduire les données identifiantes.

Le consentement parentalconstitue la porte d'entrée de toute donnée concernant un enfant : aucune donnée n'est traitée sans l'accord du titulaire de l'autorité parentale. Le module de sécurité (entrées/sorties) repose sur une machine à états contrôlée et journalisée, garantissant qu'un enfant n'est remis qu'à un responsable autorisé.

• Isolation multi-tenant stricte : cloisonnement des données par église via Row Level Security (RLS) PostgreSQL. Les données d'une église ne sont jamais accessibles à une autre.
• Contrôle d'accès RBAC matriciel (rôle × appartenance × pôle × périmètre) ré-autorisé à chaque requête côté serveur, avec protection anti-IDOR systématique.
• Chiffrement des données en transit (TLS) et au repos (hébergement Supabase/PostgreSQL, région UE/Paris).
• Authentification forte : politique de mots de passe robustes et double authentification MFA/2FA (TOTP) disponible.

• Journaux immuables (append-only)pour l'audit des accès, la modération et la traçabilité des actions sensibles.
• Registre de consentement append-only : chaque consentement (et son retrait) est horodaté et conservé de manière inaltérable, à des fins de preuve.

Alignées sur les recommandations de la CNIL :

• Progression de lecture : durée d'adhésion + 3 ans, puis anonymisation.
• Logs d'envoi (emails) : 12 mois.
• Journaux de modération : 5 ans.
• Signalements : 2 ans.
• Contenus supprimés : purge définitive à 30 jours.

Au terme de l'adhésion, les données personnelles sont archivées puis supprimées ou anonymisées selon les délais ci-dessus.

CYBEREVA fait appel à des sous-traitants sélectionnés pour leur conformité :

• Supabase - base de données et hébergement des données (Union européenne).
• Vercel - hébergement applicatif.
• Resend - acheminement des emails transactionnels.
• Anthropic (Claude)- fonctionnalités d'assistance par IA, sans réutilisation des données pour l'entraînement des modèles.
• Google Maps - géocodage d'adresses de lieux uniquement (jamais de personnes).

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès et de rectification.
• Droit à l'effacement (« droit à l'oubli »).
• Droit à la portabilité : export de vos données au format JSON / CSV.
• Droit d'opposition et de limitation.
• Droit de retirer votre consentement à tout moment.

Exercez ces droits auprès de privacy@cybereva.com ou de notre DPO dpo@cybereva.com. Vous pouvez également introduire une réclamation auprès de la CNIL.

La plateforme fait l'objet d'audits de sécurité réguliers - analyses SAST, DAST et SCA. Les vulnérabilités identifiées ont été corrigées et les politiques de cloisonnement RLS sont appliquées en base de données.