Règlement interne relatif à la protection des données personnelles
Association RésOT-Alsace
Association de droit local Alsace-Moselle
1 rue Camille Schlumberger – 68000 Colmar – France
SIRET : 493 757 785 00024 – NAF : 94.99Z
Contact : contact@resot.alsace
Version : août 2026
Préambule
RésOT-Alsace est une association de droit local ayant notamment pour objet de fédérer, représenter, accompagner et professionnaliser le réseau des Offices de tourisme d’Alsace.
Dans le cadre de son fonctionnement associatif, de l’animation de son réseau, de l’organisation de rencontres et de formations ainsi que de ses actions de communication et de partenariat, RésOT-Alsace est amenée à collecter et traiter des données à caractère personnel.
Le présent règlement définit les principes et les règles appliqués par l’association afin d’assurer la protection de ces données conformément au règlement (UE) 2016/679 du 27 avril 2016, dit Règlement général sur la protection des données – RGPD –, ainsi qu’à la loi française Informatique et Libertés.
Il s’applique aux dirigeants de l’association ainsi qu’à toute personne physique ou morale intervenant pour le compte de RésOT-Alsace et ayant accès à des données à caractère personnel.
Article 1 – Responsable des traitements
RésOT-Alsace est responsable des traitements de données dont elle détermine les finalités et les moyens.
L’association est représentée par son Président, actuellement M. Thierry Sautivet.
Les demandes relatives à la protection des données personnelles et à l’exercice des droits peuvent être adressées à :
RésOT-Alsace – Protection des données personnelles
1 rue Camille Schlumberger – 68000 Colmar
contact@resot.alsace
RésOT-Alsace ne dispose actuellement pas d’un délégué à la protection des données – DPO.
La nécessité de désigner un DPO est réexaminée en cas d’évolution importante de la nature ou du volume des traitements réalisés.
Article 2 – Personnes habilitées à traiter les données
L’accès aux données personnelles traitées pour le compte de RésOT-Alsace est limité aux personnes qui en ont besoin dans le cadre de leurs missions.
Peuvent notamment être concernés le Président, le Trésorier, le Secrétaire ainsi que les personnes chargées des missions de RésOT-Alsace au sein du service Mission Attractivité Alsace d’Alsace Destination Tourisme.
Chaque personne ayant accès à ces informations est tenue à une obligation de confidentialité et doit utiliser les données exclusivement pour les missions qui lui sont confiées.
Les droits d’accès aux différents outils doivent être individualisés lorsque cela est techniquement possible et supprimés ou modifiés lorsqu’une personne cesse d’exercer les fonctions justifiant cet accès.
Les conditions dans lesquelles Alsace Destination Tourisme traite des données pour les besoins de RésOT-Alsace sont précisées dans la convention liant les deux associations. La qualification de chacune des parties au regard du RGPD doit être formalisée en fonction des traitements concernés.
Article 3 – Principes applicables
RésOT-Alsace veille à ce que les données personnelles soient collectées pour des objectifs déterminés et légitimes, limitées aux informations effectivement nécessaires, exactes et actualisées lorsque cela est nécessaire.
Les données ne doivent pas être utilisées ultérieurement pour une finalité incompatible avec celle qui a justifié leur collecte.
Elles ne doivent pas être conservées indéfiniment. Une durée de conservation ou des critères permettant de la déterminer sont définis pour chaque traitement dans le registre des activités de traitement de l’association.
RésOT-Alsace met en œuvre des mesures organisationnelles et techniques proportionnées aux risques afin de prévenir notamment la perte, l’accès non autorisé, la divulgation, l’altération ou la destruction des données.
Article 4 – Principales catégories de personnes concernées
Les traitements réalisés par RésOT-Alsace peuvent notamment concerner les administrateurs et membres du Bureau de l’association, les représentants et élus de ses membres, les directeurs et salariés des Offices de tourisme d’Alsace, les anciens administrateurs, les partenaires institutionnels, les contacts professionnels, les fournisseurs et prestataires ainsi que les participants aux formations, réunions, assemblées générales, événements et autres actions organisées par l’association.
Article 5 – Données susceptibles d'être traitées
Selon les finalités concernées, RésOT-Alsace peut notamment traiter des données d’identification et de contact telles que le nom, le prénom, la fonction, l’organisme, l’adresse professionnelle, l’adresse électronique et le numéro de téléphone.
Peuvent également être traitées des informations liées aux inscriptions à des événements ou formations, des éléments nécessaires à la facturation et aux paiements, des coordonnées bancaires professionnelles, des photographies et vidéos ainsi que, lorsqu’elles sont indispensables, des informations relatives aux besoins d’accueil des participants.
Aucune donnée ne doit être demandée au seul motif qu’elle pourrait être éventuellement utile ultérieurement.
La collecte de données susceptibles de révéler l’état de santé, les convictions religieuses ou toute autre donnée particulièrement protégée doit être évitée lorsque l’objectif poursuivi peut être atteint autrement.
Article 6 – Finalités des traitements
Les données personnelles traitées par RésOT-Alsace sont utilisées notamment pour assurer la gestion de la vie associative et des adhérents, préparer et organiser les assemblées générales, réunions du Conseil d’administration et réunions du Bureau, animer le réseau des Offices de tourisme, assurer les échanges professionnels avec les membres et partenaires, organiser les formations et événements, gérer les inscriptions et les participations, administrer les relations avec les prestataires et fournisseurs, assurer la gestion comptable et financière de l’association, communiquer sur les activités du réseau et assurer le fonctionnement de ses outils et sites Internet.
Tout nouveau traitement poursuivant une finalité substantiellement différente doit être évalué avant sa mise en œuvre et ajouté au registre des traitements.
Article 7 – Base juridique des traitements
Chaque traitement doit reposer sur une base juridique prévue par le RGPD.
Selon les cas, les traitements de RésOT-Alsace peuvent notamment être nécessaires à l’exécution de ses obligations statutaires et de ses relations avec ses membres, à l’exécution d’un contrat ou de mesures précontractuelles, au respect d’une obligation légale ou à la poursuite de l’intérêt légitime de l’association à organiser et développer son réseau professionnel.
Le consentement est recueilli lorsqu’il constitue la base juridique adaptée au traitement concerné, notamment pour certains usages de communication, de traceurs ou d’images.
Le consentement ne doit pas être utilisé lorsqu’une autre base juridique correspond plus précisément à la situation.
Article 8 – Gestion de la base de contacts
RésOT-Alsace tient une base de contacts centralisée comprenant principalement des représentants, élus, directeurs, salariés et partenaires professionnels de son réseau.
Cette base est utilisée exclusivement dans le cadre des missions et activités de l’association.
Elle doit faire l’objet d’une vérification régulière afin de supprimer ou archiver les coordonnées devenues inutiles et d’actualiser les changements de fonctions et d’organismes.
L’accès au tableau partagé sur Google Drive est limité aux personnes habilitées. Le partage par lien public ou avec toute personne disposant du lien est interdit pour les fichiers comportant des données personnelles, sauf justification particulière et mesure de sécurité adaptée.
Article 9 – Formations, réunions et événements
Les inscriptions aux formations, réunions et événements peuvent notamment être réalisées au moyen de Google Forms, Framadate ou de tout autre outil validé par l’association.
Seules les informations nécessaires à l’organisation du rendez-vous doivent être demandées.
Les données recueillies pour une manifestation ne doivent pas être automatiquement utilisées pour une autre finalité sans que les personnes concernées aient été informées de cette utilisation.
Les listes de participants ne doivent pas être diffusées publiquement sauf nécessité particulière, information préalable des intéressés et base juridique appropriée.
Les informations relatives aux besoins alimentaires ou aux adaptations individuelles sont limitées au strict nécessaire et supprimées dès qu’elles ne sont plus utiles à l’organisation de l’événement.
Article 10 – Photographies et vidéos
RésOT-Alsace peut réaliser des photographies et vidéos au cours de réunions, formations, rencontres professionnelles et événements.
Les participants doivent être informés de manière visible lorsque des prises de vues sont réalisées et de l’utilisation susceptible d’en être faite.
Une attention particulière est portée aux photographies ou vidéos centrées sur une personne identifiable et utilisées dans des supports de communication, publications ou campagnes.
Lorsqu’une autorisation ou un consentement est nécessaire compte tenu de la nature de la prise de vue ou de son utilisation, celui-ci doit pouvoir être démontré.
RésOT-Alsace met en place un moyen simple permettant aux participants de signaler qu’ils ne souhaitent pas apparaître sur les photographies ou vidéos de l’événement.
Article 11 – Sites Internet, cookies et traceurs
RésOT-Alsace veille au respect des règles relatives à la protection des données sur les sites Internet dont elle est responsable.
Les sites doivent comporter une information accessible concernant les traitements de données personnelles et, lorsque cela est applicable, une politique relative aux cookies et autres traceurs.
Les traceurs soumis à consentement ne doivent être activés qu’après obtention du choix de l’utilisateur.
Le refus des traceurs doit être aussi accessible que leur acceptation et l’utilisateur doit pouvoir modifier ultérieurement son choix.
Les outils de mesure d’audience ne peuvent être dispensés de consentement que s’ils remplissent les conditions réglementaires applicables.
L’installation ou la modification d’un pixel publicitaire ou de suivi Meta, Instagram, LinkedIn ou provenant de tout autre tiers doit faire l’objet d’une vérification préalable de sa finalité, de la base juridique applicable, de la durée de conservation et des destinataires des données.
Article 12 – Publication de coordonnées sur Internet
La publication sur un site Internet des coordonnées nominatives de salariés, dirigeants, élus ou représentants des Offices de tourisme et partenaires constitue un traitement de données personnelles.
RésOT-Alsace veille à ne publier que les coordonnées professionnelles nécessaires à la finalité du site.
Les personnes concernées sont informées de la publication de leurs coordonnées et peuvent demander leur actualisation ou leur retrait lorsque leur maintien en ligne n’est plus justifié.
Une adresse fonctionnelle ou générique est privilégiée lorsqu’elle permet d’atteindre le même objectif.
Article 13 – Prestataires et outils numériques
RésOT-Alsace utilise notamment des services proposés par Microsoft, Google, Avizi, Teams, Google Drive, Stancer, Tiime, WordPress, OVH, Illicoweb ainsi que les réseaux sociaux Facebook et Instagram.
Avant de confier des données personnelles à un prestataire, l’association vérifie le rôle de celui-ci au regard du RGPD et les garanties qu’il apporte en matière de confidentialité et de sécurité.
Lorsqu’un prestataire agit comme sous-traitant de RésOT-Alsace, la relation doit être encadrée par des dispositions contractuelles conformes à l’article 28 du RGPD.
Les contrats, conditions de service ou annexes relatives à la protection des données sont conservés afin que RésOT-Alsace puisse documenter sa conformité.
Une vigilance particulière est accordée aux éventuels transferts ou accès aux données depuis des pays situés hors de l’Espace économique européen.
Article 14 – Conservation et suppression
Les données ne sont conservées sous une forme permettant d’identifier les personnes que pendant la durée nécessaire à la finalité poursuivie ou pendant la durée imposée par une obligation légale.
Le registre des traitements précise les durées ou critères de conservation applicables à chaque catégorie de données.
Les fichiers temporaires créés à l’occasion d’une réunion, d’une formation ou d’un événement sont supprimés lorsqu’ils ne présentent plus d’utilité.
La fin du mandat d’un administrateur, le départ d’un salarié d’un Office de tourisme ou le changement d’interlocuteur donnent lieu à une mise à jour de la base de contacts.
Les documents devant être conservés à titre d’archive, de preuve d’une décision associative ou en application d’une obligation comptable ou juridique peuvent être placés dans une archive distincte dont l’accès est limité.
Article 15 – Sécurité des données
Les personnes autorisées à accéder aux données doivent respecter les mesures de sécurité mises en place par l’association et par les fournisseurs des outils utilisés.
Les comptes doivent être individuels autant que possible. Les mots de passe ne doivent pas être partagés et l’authentification multifacteur est activée lorsqu’elle est proposée par le service utilisé.
Les données personnelles ne doivent pas être envoyées à des destinataires qui n’en ont pas besoin ni stockées sur des supports personnels non sécurisés.
Avant tout envoi groupé par courrier électronique, l’expéditeur vérifie que les adresses des destinataires ne sont pas exposées inutilement aux autres destinataires.
Tout changement dans les personnes autorisées à accéder aux dossiers ou comptes de RésOT-Alsace doit entraîner une révision des droits d’accès correspondants.
Article 16 – Droits des personnes
Toute personne concernée dispose, dans les conditions prévues par la réglementation, d’un droit d’accès à ses données ainsi que, selon la situation, de droits de rectification, d’effacement, de limitation, d’opposition et de portabilité.
Elle peut également retirer son consentement lorsque le traitement repose sur celui-ci.
Les demandes sont adressées à contact@resot.alsace.
RésOT-Alsace vérifie l’identité du demandeur uniquement lorsque cela est nécessaire et répond dans les délais prévus par la réglementation.
Les personnes disposent également du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés – CNIL.
Article 17 – Violation de données personnelles
Toute personne ayant connaissance d’une perte, d’un accès non autorisé, d’une divulgation accidentelle, d’un piratage, d’un envoi à un mauvais destinataire ou de tout autre incident affectant des données personnelles doit en informer sans délai le Président ou la personne chargée du suivi opérationnel de RésOT-Alsace.
L’incident est documenté afin d’en déterminer la nature, les données concernées, le nombre de personnes potentiellement touchées, les conséquences possibles et les mesures correctrices prises.
Lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, RésOT-Alsace procède à la notification requise auprès de la CNIL dans les conditions et délais prévus par le RGPD.
Lorsque le risque est élevé, les personnes concernées sont également informées conformément à la réglementation.
Article 18 – Registre des traitements
RésOT-Alsace tient à jour un registre des activités de traitement.
Ce registre constitue le document de référence décrivant notamment, pour chaque traitement, sa finalité, les personnes concernées, les catégories de données utilisées, les destinataires, les prestataires impliqués, la base juridique, les durées de conservation, les éventuels transferts internationaux et les principales mesures de sécurité.
Il est actualisé à l’occasion de la création ou de la modification significative d’un traitement.
Article 19 – Réexamen du dispositif
La conformité de RésOT-Alsace en matière de protection des données est réexaminée périodiquement et notamment lors de la mise en place d’un nouvel outil numérique, d’un nouveau site Internet, d’une nouvelle collecte de données, d’une évolution importante de ses activités ou d’un changement de prestataire.
Le présent règlement est modifié lorsque l’évolution des traitements ou de la réglementation le nécessite.
Article 20 – Entrée en vigueur
Le présent règlement a été adopté par le Conseil d’administration de RésOT-Alsace le [date à compléter].
Conformément aux dispositions statutaires applicables au règlement intérieur de l’association, il est présenté à la plus prochaine Assemblée générale ordinaire lorsque cette procédure est requise.
Fait à Colmar, le [date]
Pour RésOT-Alsace
Thierry Sautivet
Président