Conformité RGPD : registre des traitements, droit à l'image, HTTPS

Registre des traitements (art. 30 RGPD) et formulaires d'autorisation de
droit à l'image (majeur / mineur) générés depuis un nouvel onglet « RGPD »
de l'administration (admins uniquement) : documents A4 imprimables et
téléchargeables, pré-remplis à partir des Paramètres de l'association. Le
registre recense les 7 traitements réels de l'application (adhésions,
annuaire, inscriptions, facturation, espace membre, photos, e-mails) avec
finalité, base légale, personnes, données, destinataires et durées ; la
facturation est conservée 10 ans (obligation comptable, art. L123-22).

Politique de confidentialité complétée du traitement de facturation
(adresse, factures, paiements), de la conservation comptable de 10 ans et
des destinataires (trésoriers, expert-comptable, administration fiscale).

HTTPS en production : en-tête HSTS (1 an, includeSubDomains) et redirection
HTTP→HTTPS (308) des requêtes reçues via le reverse proxy (X-Forwarded-Proto),
sans impacter les appels directs (healthcheck). Nouveau drapeau FORCE_HTTPS
dans docker-compose et .env.example, aux côtés de COOKIE_SECURE et
TRUST_PROXY documentés pour la production.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Fkg15RCxNgUys4ru73He2o

server/src/routes/admin.js

@@ -22,6 +22,7 @@ import { createStaffUser, resetStaffAccess } from '../userAccess.js';
 import { AccessError } from '../errors.js';
 import { buildInvitationEmail } from '../emailTemplate.js';
 import { buildCustomEmail } from '../customEmailTemplate.js';
+import { buildProcessingRegister, buildImageConsentForm } from '../complianceDocuments.js';
 import { billingRouter } from './billing.js';
 
 export const adminRouter = Router();
@@ -296,6 +297,28 @@ adminRouter.post('/emails/preview', adminOnly, validate(customEmailSchema), asyn
   }
 });
 
+// ---------- GDPR compliance documents (admin only) ----------
+// Print-ready HTML documents prefilled from the association parameters:
+// the record of processing activities (art. 30 RGPD) and the image-rights
+// authorization form (adult / minor variant).
+adminRouter.get('/compliance/register', adminOnly, async (_req, res, next) => {
+  try {
+    const association = await loadAssociationSettings();
+    res.json(buildProcessingRegister({ association }));
+  } catch (err) {
+    next(err);
+  }
+});
+
+adminRouter.get('/compliance/image-consent', adminOnly, async (req, res, next) => {
+  try {
+    const association = await loadAssociationSettings();
+    res.json(buildImageConsentForm({ association, minor: req.query.minor === '1' }));
+  } catch (err) {
+    next(err);
+  }
+});
+
 // ---------- Rencontres passées (admin + moderator manage; admin-only delete) ----------
 // Powers the "Rencontres passées" section on the home page and its dedicated
 // public page. Participant count is derived from the linked rencontre's