Conditions Générales d'Utilisation (CGU)

Article 1 : Objet et champ d'application

Les présentes Conditions Générales d'Utilisation régissent les modalités d'accès et d'utilisation de la plateforme logicielle en ligne ColoDeck SaaS (ci-après le « Service »), conçue spécifiquement pour la gestion, la sécurisation et le suivi réglementaire des Accueils Collectifs de Mineurs (ACM) en France : séjours de vacances, colonies, camps sous tente, accueils de loisirs et séjours sportifs.

Toute connexion au Service ou utilisation d'un compte utilisateur emporte acceptation sans réserve des présentes CGU. L'utilisateur qui n'accepterait pas l'intégralité de ces dispositions doit s'abstenir d'accéder au Service.

Article 2 : Accès au Service, ouverture de compte et stricte personnalité

L'accès au Service s'effectue dans le cadre d'un contrat d'abonnement ou de licence souscrit par un organisme gestionnaire d'ACM (ci-après l'« Organisme Client »). Les familles accèdent à leur espace par le lien d'inscription d'un séjour transmis par l'Organisme Client.

Compte strictement personnel : Chaque identifiant de compte est strictement individuel et incessible. Le partage d'identifiants entre plusieurs personnes est formellement interdit.

Traçabilité légale : Toute action effectuée sur le Service (validation de pointage, inscription au registre du personnel, administration d'un soin, validation de baignade) est enregistrée de manière nominative et horodatée au journal d'audit.

Sécurité des mots de passe : Tout mot de passe doit comporter au minimum douze caractères et combiner majuscules, minuscules, chiffres et caractères spéciaux. L'utilisateur est seul gardien de la confidentialité de ses accès.

Article 3 : Cloisonnement des profils

Afin de respecter le principe de minimisation du RGPD et la confidentialité des données sensibles, le Service applique un cloisonnement par profil métier et par périmètre de données, contrôlé par l'application puis par la base de données elle-même (Row-Level Security) :

Éditeur ColoDeck : supervision des organismes clients, licences et facturation, sans accès aux données des mineurs ni aux données de santé.
Support ColoDeck : aucun accès aux données des séjours par défaut. Le siège de l'Organisme Client peut lui ouvrir un accès délégué, motivé, limité à un séjour ou à l'organisme, d'une durée de sept jours au plus et révocable, aux fiches du terrain (jeunes, pointages, incidents), en lecture seule et jamais aux données de santé. Chaque accès est inscrit au journal d'audit de l'Organisme Client.
Siège de l'organisme : supervision de ses séjours, registres légaux, conformité CEE et convoyage, sans accès aux dossiers de santé individuels.
Coordinateur régional : mêmes vues, limitées aux séjours de son périmètre géographique délégué.
Directeur de séjour : gestion de son séjour (chambres, plannings, pointages, registres). Responsable du suivi sanitaire et de la confidentialité du registre, il accède, pour son seul séjour, aux fiches sanitaires, aux PAI, aux ordonnances et au registre des soins, en lecture et en écriture. Son adjoint y accède en lecture seule.
Assistant sanitaire : personne désignée par le directeur pour assurer le suivi sanitaire : fiches sanitaires, PAI, ordonnances et registre des soins de son séjour, en lecture et en écriture.
Surveillant de baignade : poste de surveillance aquatique, ratios d'encadrement dans l'eau, validation des fiches paillettes.
Animateur : application terrain, planning d'activités, rôles du jour, journal du blog et modération des photos. Pour la santé, il ne reçoit que la conduite à tenir en cas d'urgence et les aménagements utiles (repas, activités).
Familles : espace famille personnel pour l'inscription, le dépôt des informations de santé et des pièces demandées, et la consultation du blog du séjour.

Toute écriture sensible est horodatée, attribuée nominativement à son auteur et inscrite au journal d'audit de l'Organisme Client.

Article 4 : Données de santé et Hébergement de Données de Santé (HDS)

Le Service traite des données hautement sensibles relatives à la santé de mineurs (antécédents médicaux, régimes alimentaires, allergies vitales, protocoles d'accueil individualisé - PAI, prescriptions médicales scannées).

Conformément à l'article L. 1111-8 du Code de la santé publique, ces données seront hébergées par un hébergeur certifié HDS, en France. Cet hébergement n'est pas encore en place : tant qu'il ne l'est pas, aucune donnée de santé réelle n'est saisie dans le Service, qui ne fonctionne que sur des données de démonstration.

Les échanges avec le Service sont chiffrés en transit (TLS). Les pièces médicales déposées (ordonnances, PAI, justificatifs) sont chiffrées au repos en AES-256. Seuls le directeur du séjour, responsable du suivi sanitaire, et la personne qu'il désigne pour l'assister (assistant sanitaire) disposent du droit de saisie des données de santé, pour leur seul séjour ; l'adjoint du directeur les consulte en lecture seule. Aucun rôle d'organisation (siège, coordination), ni l'Éditeur, ni son support n'y accèdent. Chaque écriture et chaque ouverture d'une pièce médicale déposée sont inscrites au journal d'audit de l'Organisme Client.

Article 5 : Intégrité des registres et scellement SHA-256

Certains registres tenus dans le Service (registre du personnel, sections A et B, registre de baignade, dossier de contrôle exporté) sont scellés par une empreinte cryptographique SHA-256, accompagnée de la date et de l'heure du scellement relevées par le serveur.

Ce dispositif permet de détecter toute modification d'un registre postérieure à son scellement. Il constitue un élément de preuve de l'intégrité des enregistrements, dont la force probante est librement appréciée par l'administration ou le juge (articles 1366 et suivants du Code civil). Il ne constitue pas un horodatage électronique qualifié au sens du règlement (UE) n° 910/2014 (eIDAS) et ne dispense pas l'Organisme Client de la tenue de ses registres dans les formes prévues par les textes.

Article 6 : Archivage après le séjour et durées de conservation

À l'issue d'un séjour, les données qui doivent être conservées quittent le mode actif pour entrer dans l'archive de l'Organisme Client, en accès restreint. L'Organisme Client, responsable du traitement, reste maître des durées de conservation ; le Service applique par défaut les durées de référence suivantes :

Catégorie de données	Fondement légal	Délai de conservation
Fiches sanitaires et PAI d'un séjour sans incident	Minimisation (art. 5.1.e RGPD) : la fiche ne sert que pendant le séjour	Durée du séjour, puis suppression dans les 3 mois suivant sa fin
Registre des soins, accidents, incidents et pièces qui s'y rapportent	Art. 2226 et 2235 du Code civil : prescription de 10 ans en cas de dommage corporel, suspendue pendant la minorité	10 ans à compter de la majorité du mineur (jusqu'à ses 28 ans), ou de la consolidation du dommage si elle est postérieure
Registre de baignade	Aucune durée fixée par l'arrêté du 25 avril 2012. Le registre prouve la surveillance en cas d'action pour dommage corporel, ouverte au mineur jusqu'à 10 ans après sa majorité, même sans incident déclaré sur le moment (art. 2226 et 2235 du Code civil)	Jusqu'aux 28 ans du plus jeune mineur présent à la baignade (10 ans après sa majorité)
Registre du personnel et contrats d'engagement éducatif	Art. R. 1221-26 et L. 3245-1 du Code du travail	5 ans à compter de la fin du contrat
Avances de frais médicaux et pièces comptables	Art. L. 123-22 du Code de commerce	10 ans
Journal d'audit	Preuve des accès et des écritures	Durée de conservation du registre auquel chaque inscription se rapporte

Note : les sauvegardes techniques d'infrastructure suivent un cycle glissant de 30 jours, distinct de l'archivage des séjours. Une donnée supprimée disparaît des sauvegardes au plus tard à la fin de ce cycle.

Article 7 : Accès temporaire d'un agent de contrôle (portail inspecteur)

Le Service permet à l'Organisme Client d'ouvrir, à l'occasion d'un contrôle sur place, un accès temporaire en lecture seule à un agent de l'administration chargé du contrôle des accueils collectifs de mineurs. Cette fonctionnalité est un outil mis à la disposition de l'Organisme Client : l'Éditeur n'ouvre aucun droit d'accès propre au profit de l'administration. L'ouverture de cet accès est facultative : elle ne dispense pas l'Organisme Client de présenter ses documents à l'agent par tout autre moyen.

Rôle des parties. L'Organisme Client reste responsable du traitement des données de ses séjours et décide seul de leur communication à l'agent de contrôle. L'Éditeur intervient en qualité de sous-traitant, uniquement sur instruction de l'Organisme Client, dans le cadre du contrat de sous-traitance des données qui lui est annexé.

Vérification d'identité à la charge de l'Organisme Client. Avant toute ouverture, la direction du séjour ou le siège doit vérifier de visu la carte professionnelle de l'agent ou son ordre de mission, et le certifier dans le Service. Cette attestation est inscrite au journal d'audit. L'Organisme Client est seul responsable de l'ouverture d'un accès au profit d'une personne dont l'identité et la qualité n'auraient pas été vérifiées. Le prénom, le nom et le service déclarés par l'agent à son arrivée ne constituent pas une preuve d'identité : ils servent uniquement à la traçabilité.

Périmètre et durée. L'accès est limité à deux heures, utilisable sur un ou deux appareils, révocable à tout moment par l'Organisme Client. Il ne donne accès qu'au contenu du dossier de contrôle du séjour concerné : fiche du séjour, numéro de déclaration, registres du personnel (sections A et B), contrôle croisé, documents légaux scellés, pièces que l'organisme présente au contrôle (projet éducatif, projet pédagogique, attestation d'assurance), planning d'activités et registre de baignade (effectifs et drapeaux, sans fiche nominative). Il n'ouvre en aucun cas les données de santé (registre d'infirmerie, PAI, fiches sanitaires), les données nominatives des mineurs, les données financières ni le journal d'audit.

Avis de l'agent. L'agent peut, s'il le souhaite, indiquer dans le Service le motif de son contrôle, son avis et ses observations. Cet avis est déclaré par lui : il est inscrit au registre légal du séjour avec cette mention, n'a pas valeur de décision de l'administration et ne se modifie pas une fois transmis.

Traçabilité. L'ouverture, l'identité déclarée par l'agent, les consultations, les exports et la fin de l'accès sont inscrits au journal d'audit de l'Organisme Client, qui en est informé dans son espace, ainsi que le siège et la coordination concernés. L'agent est informé de cette traçabilité, de ses droits et de la durée de conservation à son entrée, par un écran d'information qu'il doit valider.

Absence de garantie de conformité. Le Service présente les registres tels que l'Organisme Client les a tenus. Il ne délivre aucune attestation de conformité et ne se substitue ni à la déclaration du séjour auprès de l'administration, ni aux contrôles d'honorabilité, que l'Éditeur ne détient ni ne conserve. L'extrait du service TAM n'est pas repris dans le Service : l'agent le consulte directement dans TAM. L'Éditeur n'est pas responsable des décisions prises par l'administration à l'issue d'un contrôle, ni du contenu des registres saisis par l'Organisme Client. Sa responsabilité reste régie par l'article 6 des Conditions Générales de Vente.

Article 8 : Contenus publiés par les utilisateurs (blog, photos, messages)

L'utilisateur qui publie un contenu (article du blog, photo, message, pièce déposée) en est responsable. Une photo d'un mineur n'est publiée sur le blog qu'après vérification, par la modération du séjour, de l'autorisation parentale de diffusion de son image (article 9 du Code civil). Le blog n'est ouvert qu'aux familles inscrites et confirmées du séjour : il est interdit de copier ou de rediffuser hors du Service les photos d'autres enfants.

L'Éditeur n'exerce pas de contrôle préalable sur les contenus publiés. Tout contenu manifestement illicite peut lui être signalé à l'adresse contact@colodeck.com : il le retire promptement dès qu'il en a connaissance, conformément à la LCEN.

Article 9 : Disponibilité du Service

L'Éditeur met en oeuvre les moyens raisonnables pour assurer la disponibilité du Service 24h/24 et 7j/7, hors plages de maintenance programmée. Les engagements de niveau de service, s'il y en a, figurent au contrat de l'Organisme Client.

Les opérations de maintenance sont effectuées en priorité en dehors des horaires de pointe du terrain. L'Organisme Client est averti au préalable de toute intervention planifiée susceptible d'interrompre l'accès au Service.

Article 10 : Suspension d'un compte et modification des CGU

Un compte peut être suspendu, par l'Organisme Client ou par l'Éditeur, en cas de partage d'identifiants, de tentative d'accès à des données hors de son périmètre ou de publication d'un contenu illicite. L'utilisateur en est informé, sauf si l'information compromettait la sécurité du Service ou une enquête.

L'Éditeur peut faire évoluer les présentes CGU, notamment pour suivre la réglementation. La nouvelle version est portée à la connaissance des utilisateurs avant son entrée en vigueur. L'utilisateur qui la refuse cesse d'utiliser le Service ; une famille peut alors demander la suppression de son compte.

Article 11 : Droit applicable et juridiction compétente

Les présentes CGU sont régies par le droit français. Tout différend relatif à leur validité, leur interprétation ou leur exécution qui ne pourrait être résolu à l'amiable sera porté devant les juridictions compétentes selon les règles de droit commun.

L'utilisateur qui agit en qualité de consommateur, notamment un parent, peut saisir à son choix, outre l'une des juridictions territorialement compétentes, celle du lieu où il demeurait au moment de la conclusion du contrat ou de la survenance du fait dommageable (article R. 631-3 du Code de la consommation).