RGPD : rajouter consentement utilisation données personnelles

[clairezed]

A faire OSP / consul

• Ajout dans le formulaire d'inscription d'une checkbox privacy_policy_accepted_at "J'accepte que mes données personnelles soient recueillies pour le bon fontionnement du site du Conseil des Jeunes." + Lien vers la page "Vie privée". Pas d'inscription possible si non coché. => Enregistré dans une table à part PrivacyPolicyConsent pour avoir un historique.
• Gestion des cookies : utiliser https://github.com/AmauriC/tarteaucitron.js ?
• Chiffrage des données personnelles + suppression dans les logs (email / nom / prénom / IP ?). Cf https://shorts.dokkuapp.com/securing-user-emails-in-rails/
• Anonymisation des logs
• Portabilité des données : ajouter un bouton dans le profil des utilisateurs pour exporter un fichier json de leurs données personnelles. A régler : le périmètre (profil / idées, projets, commentaires dont ils sont l'auteur ?)

A faire CD Aude

• Registre des activités de traitement : recenser vos traitements de données et de disposer d’une vue d’ensemble de ce que vous faites avec les données personnelles.( Fiche CNIL avec exemple de registre)
• Rédiger la page Vie privé (privacy policy) en s'appuyant sur le registre. Infos à fournir :
  • pourquoi vous collectez les données (type de données collectées, à quoi vont servir les données collectées, « la finalité » ; par exemple pour gérer l’achat en ligne du consommateur) ;
  • ce qui vous autorise à traiter ces données (le « fondement juridique » : il peut s’agir du consentement de la personne concernée, de l’exécution d’un contrat, du respect d’une obligation légale qui s’impose à vous, de votre « intérêt légitime ») ;
  • qui a accès aux données (indiquez des catégories : les services internes compétents, un prestataire, etc.) / Destinataires ou catégories de destinataires des données (qui a besoin d’y accéder ou de les recevoir au vu des finalités définies) ;
  • combien de temps vous les conservez (exemple : « 5 ans après la fin de la relation contractuelle ») / Durée de conservation des données (ou critères permettant de la déterminer) ;
  • Droits des personnes concernées (opposition, accès, rectification, effacement ; nouveaux droits RGPD : limitation, portabilité) ;
  • les modalités selon lesquelles les personnes concernées peuvent exercer leurs droits (accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci) (via leur espace personnel survotre site internet, par un message sur une adresse email dédiée,par un courrier postal à un service identifié) ;
  • Identité et coordonnées de l’organisme responsable du traitement de données
  • les coordonnées du Délégué à la Protection des données,
• Renseigner Conditions d'Utilisation et Mentions légales (pages statiques dans views/pages)

Ressources

Pour consul + RGPD : cf consuldemocracy#2615