1. Qui nous sommes, et qui répond
Associação Casa Hacker, CNPJ (registre des entreprises du Brésil) 36.038.079/0001-97, association civile sans but lucratif dont le siège est à São Paulo et l’activité à Campinas, État de São Paulo. Nous sommes le responsable du traitement des données personnelles décrites ici, au sens de la LGPD brésilienne (loi 13.709/2018).
Délégué à la protection des données (DPO) : Geraldo Barros — privacidade@casahacker.org. C’est le canal pour toute question ou demande concernant vos données, et nous répondons sous 15 jours.
2. Ce que couvre ce document
Il couvre le traitement des données personnelles sur tous les fronts de la Casa Hacker, et pas seulement sur ce site : programmes éducatifs et socioculturels, inscriptions aux événements, relation avec l’équipe et les prestataires, obligations comptables et fiscales, reddition de comptes aux financeurs et canal de signalement.
La liste complète des opérations de traitement est tenue en interne dans un Registre des activités de traitement (RoPA), avec finalité, base légale, durée de conservation et sous-traitants concernés, révisé périodiquement. Ce qui est résumé ci-dessous en découle.
3. Données que nous traitons, par finalité
Nous regroupons par à quoi cela sert, car c’est cela qui détermine ce que nous demandons et combien de temps nous le conservons.
- Programmes éducatifs et socioculturels — identification, coordonnées, adresse, date de naissance, données du représentant légal, registre d’activités, présence, progression et travaux rendus ; lorsque le programme évalue son impact, également les réponses aux instruments d’évaluation. Comprend le dossier social des participants.
- Inscription aux événements ouverts — nom, coordonnées, adresse, date de naissance, genre, besoins d’accessibilité, présence et délivrance d’attestation.
- Équipe, prestataires et fournisseurs — données d’enregistrement, financières, fiscales et contractuelles ; vérification d’intégrité (due diligence) exigée par la législation anticorruption brésilienne ; avantages, déplacements et téléphonie professionnelle.
- Obligations comptables, fiscales et statutaires — comptabilité, factures, documents statutaires et certificats numériques des représentants légaux.
- Reddition de comptes aux financeurs — données des participants exigées par les conventions et les systèmes publics de financement culturel.
- Communication et site — nom, courriel et le message envoyé ; données de navigation, lorsque vous acceptez la mesure d’audience et la mesure publicitaire (voir cookies).
- Canal de signalement — ce que la personne rapporte, et son identification seulement si elle souhaite s’identifier (voir canal de signalement).
4. Enfants et adolescents
Une grande partie de nos programmes s’adresse aux enfants et aux adolescents — c’est la raison d’être de la Casa Hacker, et c’est pourquoi cette section existe à part.
- Le traitement respecte l’article 14 de la LGPD : l’intérêt supérieur de l’enfant et de l’adolescent guide chaque décision sur la donnée.
- La participation requiert le consentement spécifique et mis en évidence d’au moins un des parents ou du représentant légal (art. 14, §1), recueilli dans le Formulaire de participation.
- Nous ne conditionnons pas la participation à une de nos activités à la fourniture de données au-delà du nécessaire (art. 14, §4).
- L’usage de l’image et du témoignage fait l’objet d’une autorisation propre, distincte de l’inscription, et elle peut être retirée.
- La demande d’accès, de rectification ou de suppression peut être faite par le représentant légal, via le formulaire au bas de cette page.
5. Données sensibles
Certaines activités exigent des données que la LGPD qualifie de sensibles (art. 5, II). Nous ne traitons que le nécessaire, et toujours sur une base propre — jamais par commodité.
- Santé et handicap — lorsque vous nous indiquez un besoin d’accessibilité pour participer à un événement ou à une activité. Cela ne sert qu’à organiser cette participation.
- Données d’enfants et d’adolescents dans le dossier social — suivi du développement et de la participation aux programmes, avec le consentement du représentant.
- Origine ethnique/couleur et genre — utilisées de façon agrégée, pour mesurer la portée et l’équité des programmes et rendre compte aux financeurs.
- Biométrie — uniquement lors de la délivrance du certificat numérique ICP-Brasil des représentants légaux, sur exigence de l’autorité de certification.
Nous n’utilisons pas de données sensibles pour la publicité, le profilage commercial ni aucune décision automatisée.
6. Bases légales
Chaque traitement a une base légale déclarée. Celles que nous utilisons :
- Consentement (art. 7, I ; art. 11, I) — inscription aux événements, communications facultatives, cookies de mesure d’audience, usage de l’image et du témoignage, et dossier social des participants ;
- Consentement du représentant légal (art. 14, §1) — participation d’enfants et d’adolescents ;
- Exécution d’un contrat (art. 7, V) — relation avec l’équipe, les prestataires, les fournisseurs et les partenaires, et mise en œuvre des programmes ;
- Obligation légale ou réglementaire (art. 7, II ; art. 11, II, a) — comptabilité, fiscalité, statuts, reddition de comptes aux organismes publics et aux financeurs, et instruction d’un signalement ;
- Intérêt légitime (art. 7, IX) — sécurité de l’information, prévention de la fraude, assistance technique au matériel de l’association et amélioration des programmes.
7. Cookies et stockage local
Essentiel (toujours actif) : nous conservons dans votre navigateur (localStorage) vos préférences de la barre d’accessibilité (thème, police, contraste, etc.) et votre choix dans cet avis. Rien de tout cela ne vous identifie ni ne quitte votre appareil.
Mesure d’audience et mesure publicitaire (facultatives, seulement si vous acceptez) : si vous acceptez dans l’avis, nous activons Google Analytics 4 avec IP anonymisée pour comprendre comment le site est utilisé. La même acceptation permet de mesurer quelles annonces du programme Google Ad Grants vous ont amené ici : le cookie _gcl_aw conserve pendant 90 jours l’identifiant du clic sur l’annonce, et le décompte des conversions (un document téléchargé, un courriel commencé) est envoyé à Google Ads — sans aucune donnée qui vous identifie. Vous pouvez refuser sans perdre aucune fonction. Pour révoquer ensuite, effacez les données de ce site dans le navigateur — l’avis réapparaît à la visite suivante.
Pas de publicité personnalisée ni de remarketing. La personnalisation des annonces est refusée dans le Consent Mode lui-même, Google Signals est désactivé, et vos données ne servent ni à construire des profils ni à vous suivre sur d’autres sites. Nous ne vendons pas de données de navigation.
8. Avec qui nous partageons
Nous ne vendons ni ne cédons de données personnelles. Le partage se produit dans trois situations, et dans celles-là seulement :
- Sous-traitants — entreprises qui traitent des données pour notre compte et sur nos instructions, afin de rendre l’activité possible. Nous exigeons une clause de protection des données au contrat. Par catégorie : infrastructure et informatique en nuage, signature électronique, système de gestion financière et comptable, plateforme éducative, plateforme d’inscription aux événements, mobilité et déplacements, avantages, téléphonie, certification numérique et plateforme du canal de signalement.
- Responsables de traitement autonomes — institutions qui reçoivent la donnée et la traitent ensuite sous leur propre décision et responsabilité : financeurs et fondations auxquels nous rendons compte, organismes publics de financement culturel et services d’enregistrement.
- Autorités — lorsque la loi l’exige, et dans la limite de ce qui est exigé.
La liste nominative des sous-traitants et la situation contractuelle de chacun figurent dans notre registre interne et peuvent être demandées via le formulaire au bas de cette page, en choisissant « Avec qui l’avez-vous partagé ? ».
9. Transfert international
Une partie de notre infrastructure se trouve hors du Brésil, et cela doit être dit clairement : il y a transfert international de données (art. 33 de la LGPD).
- Nuage et collaboration — services d’infrastructure, courriel, stockage et visioconférence hébergés aux États-Unis. L’ensemble des données de l’organisation y transite.
- Sauvegarde en nuage — copies chiffrées dans des régions hors du Brésil.
- Mesure d’audience du site et mesure publicitaire — Google Analytics 4 et Google Ads traitent les données de navigation aux États-Unis, et ne sont activés que si vous acceptez.
- Mobilité professionnelle — le service de transport utilisé dans les activités de l’organisation est exploité par une entreprise aux États-Unis.
Le transfert s’appuie sur des clauses contractuelles de protection des données avec les sous-traitants et sur le respect de l’art. 33. Nous conservons une sauvegarde redondante dans un centre de données au Brésil (Valinhos, São Paulo), et le Cockpit — notre système interne, où vit le dossier des participants — fonctionne sur un serveur au Brésil (São Paulo).
10. Combien de temps nous conservons
La durée suit la finalité, et ce que la loi exige. Passé ce délai, la donnée est supprimée ou anonymisée.
- Comptabilité, fiscalité et due diligence fournisseur — 10 ans, sur exigence de la législation fiscale brésilienne ;
- Contrats et relation avec l’équipe et les prestataires — durée + 5 ans ;
- Programmes et dossier social — durée + 5 ans, délai de la reddition de comptes aux financeurs ;
- Évaluation d’impact — réponses individuelles jusqu’à la publication du rapport de cycle ; anonymisées ensuite. Résultats agrégés : cycle + 5 ans ;
- Inscription à un événement — 2 ans après l’événement ;
- Formulaire de contact — 24 mois ;
- Signalement — instruction + 5 ans ;
- Document statutaire et validité juridique de signature — permanent, par nature du registre ;
- Mesure d’audience du site — 26 mois ;
- Mesure publicitaire — 90 jours (cookie
_gcl_aw) ; - Préférences dans votre navigateur — jusqu’à ce que vous les effaciez.
11. Sécurité
Données en transit via TLS 1.2 ou supérieur. Données au repos chiffrées, et sauvegardes chiffrées.
L’accès se fait par profil et par périmètre — chaque personne n’atteint que la donnée nécessaire à sa fonction — et les actions sur des données personnelles sont consignées dans une piste d’audit chaînée par hachage, qui n’autorise aucune modification rétroactive.
Nous tenons un registre des incidents de sécurité. Si un incident présente un risque important pour vos droits, nous vous en informons, ainsi que l’ANPD (autorité brésilienne de protection des données), comme l’exige l’art. 48.
12. Vos droits, et comment les exercer
À tout moment, vous pouvez :
- Confirmer qu’un traitement existe et accéder à vos données ;
- Rectifier une donnée incomplète, inexacte ou obsolète ;
- Demander l’anonymisation, le blocage ou la suppression d’une donnée inutile ou excessive ;
- Demander la portabilité ;
- Savoir avec qui nous l’avons partagée ;
- Retirer votre consentement, et savoir ce qui se passe si vous ne consentez pas ;
- Vous opposer à un traitement réalisé sans consentement.
La voie à suivre est le formulaire au bas de cette page. Il ouvre une demande formelle avec un numéro de protocole et un délai décompté, qui entre directement dans la file du DPO — vous n’avez pas besoin de connaître le nom juridique de ce que vous voulez, il suffit de choisir la phrase la plus proche de votre question. Nous répondons sous 15 jours.
Le formulaire ne demande aucune pièce d’identité, et vous ne devez pas y envoyer de CPF, de pièce d’identité ni de photo de document. Si la demande exige de confirmer qu’il s’agit bien de vous, le DPO en convient dans sa réponse, de façon proportionnée.
Si vous préférez écrire, privacidade@casahacker.org vaut autant et respecte le même délai. Et vous pouvez à tout moment saisir l’ANPD.
13. Canal de signalement
Irrégularité, harcèlement ou manquement à l’éthique disposent d’un canal propre, confidentiel et indépendant de cette politique : compliance.casahacker.org.
L’identification est facultative. Lorsque la personne s’identifie, son identité est protégée et l’accès restreint à celles et ceux qui instruisent. La purge du dossier est un acte humain du DPO, sans automatisation.
14. Modifications de cette politique
Lorsque cette politique change de façon substantielle, nous mettons à jour la date en haut et, si le changement touche une base légale ou élargit une finalité, nous vous en informons par les canaux que vous utilisez déjà avec nous.
Les ancres des sections (#dados, #direitos, #solicitar…) sont stables : un lien que vous avez partagé continue de fonctionner.