Observation enregistrée le 21 octobre 2026 dans la base métier TOMBOLA-001-01, table Décisions & risques, clé OBS-TMB-BENCH-CS039-20261021 (record recX5m77eW72ZxZfD). Cinq références externes ont été rapprochées par catégories de fonctions, pas classées en conformité française : RallyUp (tirages multi-lots et limitations gagnant), Givebutter (vitrine et tickets événementiels), HelloAsso (API et webhooks existants), TICKA (vitrine revendiquée par l'éditeur, conformité à vérifier) et RANDOM.ORG (historisation d'un tirage).
Porte d'arrêt légale : la fiche officielle Service-Public, vérifiée le 25 août 2026, impose notamment l'autorisation municipale et le présentiel pour les tombolas associatives concernées. Aucune intégration de vente de tombola en ligne autorisée par cette étude, même si une API sait techniquement le faire.
Anti-doublon : les décisions existantes sur le classement des lots, la répartition multi-jours, les snapshots participants, les modèles administratifs et les frontières événementielles restent les sources métier. Cette observation ajoute uniquement la comparaison avec les solutions externes. Avant toute US nouvelle : vérifier la couverture dans Azure et la recette produit réelle. Candidat de benchmark, pas cahier des charges nouveau, ni choix d'éditeur ni homologation. L'index transverse vit dans Galaxy CS-039, pas dans une base doublonnée.
<aside> ⚖️
GARDE JURIDIQUE D’ACTIVATION — 23/08/2026. CON-8 / TOMBOLA-001-01 est un outil, pas une autorisation d’organiser une tombola. Avant toute opération réelle, l’autorité Événementiel/Juridique doit confirmer le régime applicable. Pour la loterie/tombola associative visée par la fiche Service-Public actuelle : bénéfices affectés aux causes admises, lots mobiliers, autorisation du maire du siège (préfet de police à Paris), organisation par l’association elle-même et déroulement en présentiel. L’ancien workflow « tombola en ligne » reste supersédé/non activable. Une capacité technique HelloAsso, SaaS, import web ou notification ne doit jamais être interprétée comme autorisation de vendre ou d’organiser la loterie en ligne.
Source : Service-Public — Loterie, tombola ou loto traditionnel organisé par une association.
</aside>
<aside> 🎟️
État courant technique/documentaire — 19 août 2026. La migration physique v1.1 CANDIDAT de CON-8 est exécutée avec réutilisation des IDs et sans suppression des documents canoniques. Le reliquat structurel visible est 97 — QUARANTAINE — legacy événementiel à router, hors standard, en attente de propriétaires Drive confirmés. D5 / RUN reste non certifié. Les gates produit réellement ouverts restent : fermeture auth/secrets avant pilote externe, recette sur build candidat de première partie, décision AIPD oui/non, preuve d’accessibilité et consolidation FinOps. Azure interne non exposé reste non vérifiable avec les accès natifs actuels et ne doit pas être transformé en faux PASS.
</aside>
<aside> 🧪
R5 = résultat provisoirement favorable, avec gaps d’instance et 0 nouveau manque structurel universel identifié à ce stade. CON-8 est le sixième projet utilisé pour tester la généralisation du candidat v1.1 ; ce constat ne vaut pas homologation tant que la reprise à froid du template n’est pas close.
</aside>
TRV-DRIVE-TOMBOLA-001.RISK-TMB-AUTH-DEFAULT-001 reste ouvert et critique : authentification partagée/par défaut à supprimer, secrets à rotater/révoquer et actions administratives à tracer.tenant_id et isolation stricte sont des exigences d’instance déjà couvertes par Autorités + SEC-IAM + DATA + Intégrations + FinOps ; aucun nouveau module universel SaaS n’est requis.