Conformité RGPD : registre des traitements, droit à l'image, HTTPS

Registre des traitements (art. 30 RGPD) et formulaires d'autorisation de
droit à l'image (majeur / mineur) générés depuis un nouvel onglet « RGPD »
de l'administration (admins uniquement) : documents A4 imprimables et
téléchargeables, pré-remplis à partir des Paramètres de l'association. Le
registre recense les 7 traitements réels de l'application (adhésions,
annuaire, inscriptions, facturation, espace membre, photos, e-mails) avec
finalité, base légale, personnes, données, destinataires et durées ; la
facturation est conservée 10 ans (obligation comptable, art. L123-22).

Politique de confidentialité complétée du traitement de facturation
(adresse, factures, paiements), de la conservation comptable de 10 ans et
des destinataires (trésoriers, expert-comptable, administration fiscale).

HTTPS en production : en-tête HSTS (1 an, includeSubDomains) et redirection
HTTP→HTTPS (308) des requêtes reçues via le reverse proxy (X-Forwarded-Proto),
sans impacter les appels directs (healthcheck). Nouveau drapeau FORCE_HTTPS
dans docker-compose et .env.example, aux côtés de COOKIE_SECURE et
TRUST_PROXY documentés pour la production.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Fkg15RCxNgUys4ru73He2o

.env.example

@@ -22,12 +22,20 @@ ADMIN_INITIAL_PASSWORD=ChangeMe-Admin-2026!
 # Initial password given to every seeded member account (demo data only)
 MEMBER_INITIAL_PASSWORD=ChangeMe-Membre-2026!
 
-# Set to "true" when serving over HTTPS (adds Secure flag on cookies)
+# --- HTTPS (production) -----------------------------------------------
+# In production, serve the site over HTTPS through your reverse proxy and
+# set the three flags below to "true". The proxy must forward the headers
+# X-Forwarded-Proto and X-Forwarded-Host to the app.
+
+# Adds the Secure flag on the session cookie (cookie sent over HTTPS only)
 COOKIE_SECURE=false
 
-# Set to "true" only when running behind a reverse proxy (TLS termination)
+# Lets the app trust X-Forwarded-* headers from the reverse proxy
 TRUST_PROXY=false
 
+# Redirects any plain-HTTP request (through the proxy) to HTTPS
+FORCE_HTTPS=false
+
 # Uncommon ports to avoid collisions with other services
 # Application (public web port)
 APP_PORT=8321