Documents légaux

1. Identité du responsable du traitement

KIDS LIFE SKILLS a.s.b.l. (« nous ») est le responsable du traitement des données personnelles traitées via https://www.kidslifeskills.org/.

• Entité : KIDS LIFE SKILLS a.s.b.l. (R.C.S. Luxembourg F12048)
• Adresse du siège : 31, Rue de Remich, L-5331 Contern (Moutfort), Luxembourg
• Courriel de contact : info@kidslifeskills.org | privacy@kidslifeskills.org

2. Données personnelles collectées

• Données parents : nom, prénom, courriel, téléphone, téléphone secondaire, adresse de facturation, langue préférée, adresse IP, journaux des transactions de paiement.
• Données enfants : nom, prénom, date de naissance, genre, niveaux linguistiques, niveau scolaire, photo d'identification interne (obligatoire pour les listes de sécurité), relevés de présence.
• Données de santé et d'allergies (art. 9 RGPD) : conditions médicales, allergies ou besoins particuliers déclarés par le parent.
• Consentements média granulaires : autorisations distinctes de diffusion (prise de vue, publication interne, publication imprimée, publication sur les réseaux sociaux), horodatages d'audit et identifiants des auteurs de l'action.

3. Bases légales du traitement et consentement santé (art. 9 RGPD)

• Gestion du compte et des inscriptions : art. 6(1)(b) RGPD, nécessité contractuelle.
• Données de santé et d'allergies de l'enfant (art. 9(2)(a) RGPD, consentement explicite) : la saisie de données médicales ou d'allergies requiert une case à cocher explicite et non pré-cochée — « J'autorise expressément Kids Life Skills à traiter et conserver les données médicales/allergies de mon enfant aux fins de sécurité et de protection en cas d'urgence durant les activités, conformément à l'art. 9(2)(a) du RGPD. »
• Photos d'identification internes : art. 6(1)(f) RGPD, intérêt légitime de sécurité opérationnelle et de vérification d'identité.
• Médias de communication (photos/vidéos) : art. 6(1)(a) RGPD, double consentement explicite librement révocable.
• Facturation et pièces comptables : art. 6(1)(c) RGPD, obligation légale au titre du droit commercial luxembourgeois.

4. Sécurité des données, architecture de stockage et notification des violations (72 h)

L'ensemble des enregistrements de la base de données et des photos d'enfants est stocké de manière sécurisée sur l'infrastructure Google Cloud Platform (GCP) dans des régions de l'Union européenne (europe-west1 / europe-west3). Les photos d'enfants sont protégées par des URL signées V4 à durée de vie courte et par un contrôle d'accès GraphQL basé sur les rôles (JWT).

• Gestion des violations de données (72 h, RGPD) : en cas d'incident de sécurité affectant les comptes utilisateurs ou les profils d'enfants, KLS notifiera la Commission Nationale pour la Protection des Données (CNPD) dans les 72 heures suivant la découverte, conformément à l'art. 33 du RGPD, et informera les titulaires de comptes concernés sans délai injustifié lorsqu'un risque élevé est identifié.

5. Durées de conservation et révision annuelle des données de santé (31 juillet)

• Expiration annuelle des données de santé (art. 9 RGPD) : afin de garantir l'exactitude médicale et de respecter la minimisation des données (art. 5(1)(c)/(d) RGPD), les données de santé et d'allergies déclarées expirent automatiquement à la fin de chaque année scolaire (31 juillet). Les parents réinscrivant leur enfant pour les programmes d'automne doivent obligatoirement confirmer ou mettre à jour la fiche médicale avant toute réservation. Exception stages d'été : si l'enfant est inscrit à un stage d'été à cheval sur le 31 juillet (par ex. du 28 juillet au 2 août), sa fiche de santé reste valide jusqu'à la fin du stage concerné avant de devoir être revalidée.
• Comptes actifs et données des enfants : conservés de manière continue tant que le compte est actif, et archivés automatiquement après 3 années d'inactivité consécutives.
• Pièces comptables et factures : conservées 10 ans conformément au droit fiscal et commercial luxembourgeois.

6. Préférences de communication par courriel et vos droits RGPD

• Communications opérationnelles transactionnelles : les alertes opérationnelles obligatoires (confirmations de réservation, changements de site en urgence, réinitialisations de mot de passe) sont envoyées au titre de l'art. 6(1)(b) RGPD, nécessité contractuelle.
• Communications marketing : les lettres d'information pédagogiques et annonces de nouveaux cours sont envoyées au titre d'un opt-in souple (art. 6(1)(f) RGPD) et comportent un lien de désabonnement en un clic dans chaque pied de message.
• Vos droits au titre du RGPD : vous disposez des droits d'accès, de rectification, d'effacement et de portabilité de vos données, ainsi que du droit de retirer votre consentement. Vous pouvez modifier ou supprimer les fiches de santé de votre enfant à tout moment depuis votre espace personnel (dès lors que l'enfant n'est pas inscrit à un cours en cours).
• Vous disposez également du droit d'introduire une réclamation auprès de l'autorité luxembourgeoise de protection des données : CNPD — Commission Nationale pour la Protection des Données, 15, Boulevard du Jazz, L-4370 Belvaux, Luxembourg (https://cnpd.public.lu/).