Khaganat, mise à jour législative

Bonjour à toutes et à tous,

Il y a quelques chantiers sur des aspects légaux à prévoir. Ce n'est pas très fun mais c'est nécessaire. D'ailleurs, si vous tombez sur un aspect de la loi qui concerne Khaganat, signalez-le nous, afin qu'on ne loupe rien. La loi est complexe et immense et malgré l'adage il est impossible de tout connaitre...

Pour rappel, Khaganat se place sous la loi française : la structure juridique est une association française domicilié en France, les serveurs sont aussi en France (et c'est un choix), et enfin nos mentions légales le précisent bien. Ça ne nous fait qu'un ensemble de loi (grosso modo) à regarder !

Dans les trucs à voir :

RGPD : tapez ce mot-clé dans votre moteur de recherche préféré et amusez-vous... La RGPD est destinée à protéger les données des gens, et c'est une assez bonne chose dans l'ensemble, mais ça amène aussi un certain nombre de contraintes qui ne vont pas forcément être simples à résoudre dans notre cas. En tout cas, ça va nous prendre du temps... Le truc à faire est de lister tout ce qu'on collecte sur nos utilisateurs, dans un premier temps. Il y a plusieurs aspects :
- Côté association : pour les besoins de la préfecture, nous devons tenir une liste de nos membres avec des informations nominatives. Ce n'est pas public mais c'est quand même géré de façon informatique, d'ailleurs je ne suis plus sûre qu'on respecte les demandes de la CNIL à ce propos (c'était le cas au début quand la liste était un papier chez moi, mais la gestion informatique change la donne). Il faut donc voir comment gérer ces données correctement, ce qu'il faut mettre en place, ce qu'il faut déclarer.
- Côté site web, il me parait clair que la mise aux normes RGPD va se faire en fondant peu à peu le bazar dans un CMS unique (merci Django). Certains aspects me semblent sacréments complexes à gérer dans le cas du forum (comment on fait pour qu'un utilisateur récupère toutes ses données ? Et je ne veux pas qu'ils puissent tout effacer... anonymiser les messages, ok, mais les enlever c'est un bordel monstre...), mais c'est peut-etre assez simple pour qui sait gérer une base de donnée. Pour les cookies aussi, faire du ménage dans les CMS va faire du bien ; en théorie aucun d'eux n'entre dans le cadre des déclarations etc, mais bon...
- Côté serveur, il faut aussi trouver comment gérer les infos de connexion. Je n'ai pas encore lu les infos sur cette partie, je suis sûre qu'il y a déjà tout ce qu'il faut sur "garder les logs un an mais pas plus, et dans des fichiers uniquement accessibles sur requête judiciaire"... Enfin bon là aussi, il va falloir mettre à jour les pratiques et voir comment on peut gérer ça avec apache, nginx et tous les autres qui loguent les ip et permettent de recouper les infos
- Côté shard, ça risque d'être un bon bazar. La bonne blague étant qu'on ne maitrise pas assez cet aspect pour le changer, mais on pourra aussi difficilement nous accuser de l'exploiter

CNIL
Comme je le disais plus haut, l'évolution de notre structure fait qu'on devrait probablement actuellement déclarer un ou des fichiers à la CNIL : va falloir faire le tour.

Accueil de stagiaire
Voir aussi https://khaganat.net/forum/index.php/topic,581.0.html. À priori ça ne semble pas compliqué, mais ça me semble suspect.

Gestion des licences
Voir aussi https://khaganat.net/forum/index.php/topic,565.0.html. Il nous manque un outil pour nous assurer que la paternité est bien attribuée correctement aux divers assets.

Appel au don
Voir aussi https://khaganat.net/forum/index.php/topic,579.msg1931.html#msg1931.

L'appel au don est réglementé et nous ne sommes pas exactement dans les clous, il faut donc voir ça avec la préfecture.

Reconnaissance d'intérêt général et reçus fiscaux
Voir aussi https://khaganat.net/forum/index.php/topic,492.0.html. Ce chantier là n'est pas prioritaire, mais vu qu'on va faire de la paperasse pour l'appel aux dons, on peut peut-être en profiter pour ça.

Préfecture : quelques déclarations en plus
Il faut aussi faire passer à la préfecture les nouveaux statuts (et les mettre à jour sur le wikhan) et leur donner la liste des dirigeants de cette année. Et je devrais en profiter pour mettre à jour les infos publiques qu'on trouve sur l'association

Voilà... qui s'y colle, qui fait quoi ? Hop hop au boulot !

J'ai mis à jour la liste des membres, je peux m'occuper de modifier les statuts en ligne.
Dors et déjà, le compte rendu et les statuts ( fichiers ) sont en ligne dans la partie réservé au collège.

J'ai modifié les statuts dans la partie publique : https://khaganat.net/wikhan/fr:statuts
Ça avait été traduit en anglais et du coup c'est plus à jour... Bon, je ne sais pas si c'est bien important, pour l'anglais.

Faudra que je vois comment faire passer les infos à la préfecture pour le changement des statuts et la mise à jour des dirigeants ; ça peux se faire en ligne et vu que depuis que Teampass est down, je suis probablement la seule à pouvoir accéder à ces mots de passe... Enfin bref faudra me booster pour ça la semaine prochaine.

Je veux bien m'occuper du RGPD

Ma première déclaration à la préfecture avait foiré parce que j'avais commis l'erreur de faire ça en deux fois, du coup la préfecture a déclaré que c'était en doublon. Il m'a fallu un peu de temps pour m'y remettre, mais c'est envoyé. Là dedans, il y a :
- La mise à jour des dirigeantes
- L'adresse de gestion était encore à Roquefort... j'ai modifié.
- Les nouveaux statuts.

Je vais regarder pour les autres trucs à voir avec la préfecture.

Pour l'appel au don, ça me semble bien complexe. J'ai envoyé un message à service-public pour demander plus d'infos, on verra s'ils peuvent me répondre.

En attendant, de ce que je vois : l'autorisation d'appel au don est à renouveler chaque année. Il s'agit de faire un appel au don sur une campagne, c'est à dire dans un but bien précis. Financer les serveurs et l'association, ça reste un but précis, mais il faut tourner ça bien. Si ça vous intéresse, il y a ce gros document à lire sur la comptabilité et le financement des associations : www.anc.gouv.fr/files/live/sites/anc/files/contributed/ANC/1.%20Normes%20fran%c3%a7aises/Recueils/Activites_non_commerciales/Reg_9901_consolide.pdf

Parallèlement à ça, j'ai trouvé cette information sur les dons "manuels" : https://www.service-public.fr/associations/vosdroits/F2722

Je vais prendre une aspirine... 

Lyne a déclaré cette année les changements à la préfecture (compte-rendu d'AG et liste des dirigeantes).

Dans les trucs à faire, il faut faire notre règlement intérieur.

Vous avez le lien sur https://khaganat.net/wikhan/fr:reglement_association (qui pour le moment renvoie au pad https://pad.khaganat.net/p/reglementinterieurKH ).

Le gros est posé. On peut le valider comme ça mais on peut aussi le réécrire (voir la page du wikhan qui liste ce qu'il faut faire dessus).

On n'a pas avancé sur les chantiers plus haut... J'ai commencé à faire un peu de tri dans les potentiels fichiers à déclarer à la CNIL mais y'a encore du boulot.

Concernant le règlement intérieur, on est arrivée à une version qu'on considère comme aboutie avec Lyne.

Vous pouvez le lire et signaler si vous voyez des trucs à changer. Le collège votera d'ici le 10 octobre, donc c'est le moment de dire ce qui va ou pas.

https://pad.khaganat.net/p/reglementinterieurKH

La version du pad à valider est celle du 01/10/2019 (historique faisant foi). Si vous voulez corriger une coquille, pas de souci, ça remet rien en cause, par contre si vous changez plus, indiquez-le ici, ce sera plus simple à suivre.

Coucou, j'ai corrigé une coquille ligne 123 "Remboursement". Je valide le reste.

À propos de la CNIL, vos données sont moins protégées

https://www.cnil.fr/fr/la-cnil-dispense-de-declaration-les-fichiers-de-membres-et-donateurs-dassociations

En gros, on réduit la paperasse sur le sujet. Et ça date. Et tant mieux, du coup on était pas en défaut, ouf !

Mis à jour, quasi un an après. J'ai repris le travail sur la partie RGPD. C'est long et pas très folichon mais ça avance. Il me semble avoir compris ce qui est demandé, c'est déjà pas mal !

Pour information, j'ai caviardé les messages en rapport avec les AFK pour effacer les éléments d'identifications personnelles. On peut toujours savoir qui était là et quand, mais pas l'adresse perso de chacun. Si j'ai oublié un truc, signalez-le moi (ou éditez, si vous avez les droits).

Si vous voyez d'autres informations personnelles qui traînent (sur le forum, le wiki, etc) et qui ne sont pas listées dans le Registre des activités de traitement de Khaganat, signalez-les (envoyez un message aux admins, ou un mail à l'asso). On fera du ménage. L'objectif est de ne pas laisser ce genre d'info traîner en ligne en dehors du moment où on en a besoin ; par exemple, avoir l'adresse de "où on fait l'AFK" c'est utile, mais si c'est chez un des membres, cette info doit être effacée une fois l'AFK passée. Certes, certaines personnes se moquent que l'info soit publique MAIS si on le fait au fur et à mesure, ça sera moins de taf pour le jour où ça sera nécessaire (demande de la CNIL qui trouve qu'on abuse, harcèlement en ligne, quelqu'un qui change d'avis et veut s'anonymiser...).