Politique de confidentialité
La présente politique décrit comment Klubin traite vos données personnelles, conformément au Règlement général sur la protection des données (RGPD) et à la loi « Informatique et Libertés ».
1. Responsable du traitement
Le responsable du traitement des données est :
- Raison sociale
- CARDAN — Cyril Hagège (EI)
- Forme juridique
- Entrepreneur individuel (EI)
- Adresse
- 16 rue d'Aguesseau, 94490 Ormesson-sur-Marne, France
- SIRET
- 534 425 012 00034
- Contact
- contact@klubin.fr
2. Délégué à la protection des données (DPO)
Pour toute question relative au traitement de vos données ou pour exercer vos droits, vous pouvez contacter notre délégué à la protection des données à l'adresse : rgpd@klubin.fr.
3. Données collectées, finalités et bases légales
Nous collectons uniquement les données nécessaires au fonctionnement du service. Les données de santé sont des données sensibles au sens de l'article 9 du RGPD : elles sont chiffrées au repos et leur accès est strictement limité.
| Catégorie | Exemples | Finalité | Base légale |
|---|---|---|---|
| Identité et coordonnées | Nom, prénom, adresse e-mail, numéro de téléphone, date de naissance, adresse postale. | Création et gestion du compte, identification au sein du club. | Exécution du contrat |
| Vie associative | Adhésions à un ou plusieurs clubs, rôles, équipes, présences et inscriptions aux événements. | Gestion de la vie du club et des activités sportives. | Exécution du contrat |
| Données de paiement | Formules d'adhésion, cotisations, abonnements et historique de paiement (traités via Stripe). | Encaissement des cotisations et gestion des abonnements. | Exécution du contrat et obligation légale (comptable et fiscale) |
| Licences et données sportives | Numéros de licence, champs personnalisés définis par le club. | Suivi des licences et des informations propres au club. | Exécution du contrat et obligation légale |
| Données de santé | Informations médicales, certificats et attestations de santé. Ces données sont chiffrées au repos. | Vérification de l'aptitude à la pratique sportive et respect des obligations fédérales. | Consentement explicite et obligation légale (Art. 9 RGPD) |
| Mineurs et autorisations parentales | Autorisations et consentements donnés par le ou les titulaires de l'autorité parentale. | Encadrement légal de l'inscription et de la pratique des mineurs. | Consentement du titulaire de l'autorité parentale et obligation légale |
| Journaux d'activité et de sécurité | Historique des actions, journal d'audit, adresse IP et agent utilisateur enregistrés à des fins de sécurité. | Traçabilité, sécurité du service et prévention de la fraude (journal d'audit inviolable). | Intérêt légitime et obligation légale |
| Sessions de connexion | Sessions actives, adresse IP, type d'appareil et navigateur, fuseau horaire déclaré par le navigateur. | Authentification, gestion des sessions et sécurité du compte. Le fuseau horaire sert à dater les e-mails de sécurité à votre heure locale, afin que vous puissiez vérifier qu'une action vient bien de vous. | Exécution du contrat et intérêt légitime |
4. Destinataires et sous-traitants
Vos données sont accessibles aux personnes habilitées au sein de votre club (administrateurs, encadrants) selon leur rôle. Nous faisons appel aux sous-traitants suivants, qui agissent sur nos instructions et présentent des garanties appropriées :
| Sous-traitant | Finalité | Localisation | Garantie |
|---|---|---|---|
| Render Services, Inc. | Hébergement de l'application et de la base de données. À ce titre, Render héberge l'ensemble des données du service. Render est également l'hébergeur au sens de la LCEN (voir les mentions légales). | Union européenne (région de Francfort) ; société établie aux États-Unis | Clauses Contractuelles Types (CCT) de la Commission européenne |
| Stripe | Traitement des paiements, des cotisations et des abonnements. Stripe agit en tant que prestataire de services de paiement. | États-Unis et Union européenne | Clauses Contractuelles Types (CCT) de la Commission européenne |
| Resend / SMTP | Acheminement des e-mails transactionnels (confirmations, notifications, réinitialisation de mot de passe, invitations). | Union européenne ou États-Unis selon le fournisseur configuré | Clauses Contractuelles Types (CCT) en cas de transfert hors Union européenne |
| Cloudflare | Stockage des fichiers téléversés via Cloudflare R2 (photos de profil, documents, attestations et certificats médicaux), et diffusion du site (DNS, TLS, CDN), à ce titre l'adresse IP des visiteurs. | Union européenne (juridiction européenne du bucket R2) ; société établie aux États-Unis | Clauses Contractuelles Types (CCT) de la Commission européenne |
| Pusher | Diffusion en temps réel de la messagerie et des notifications (fonctionnalité optionnelle, activée selon la configuration). | Union européenne ou États-Unis selon la configuration | Clauses Contractuelles Types (CCT) en cas de transfert hors Union européenne |
| Web Push / VAPID | Envoi des notifications push via le service de messagerie du navigateur de l'utilisateur (Google, Mozilla, Apple, Microsoft). | Variable selon le navigateur et le système d'exploitation de l'utilisateur | Clauses Contractuelles Types (CCT) en cas de transfert hors Union européenne |
| Apple (APNs), Google (FCM) et Expo | Acheminement des notifications vers l'application mobile. Le jeton de notification de l'appareil et le contenu affiché (titre et texte, sans montant ni donnée de santé) transitent par ces services. | États-Unis | Clauses Contractuelles Types (CCT) de la Commission européenne |
5. Durées de conservation
Vos données sont conservées pour la durée strictement nécessaire aux finalités décrites ci-dessus :
- Compte et données de profil — Pendant toute la durée d'utilisation du service. À la suppression du compte, un délai de grâce de 30 jours s'applique avant l'effacement définitif.
- Comptes inactifs (dormants) — Un compte sans activité depuis 365 jours est signalé comme dormant et peut faire l'objet d'une procédure de suppression.
- Journaux de consultation — 90 jours.
- Journaux d'authentification (connexions, sécurité) — 365 jours.
- Journal d'audit des actions sensibles — Conservation permanente (registre inviolable à chaînage de hachage), conformément aux exigences de traçabilité.
- Données comptables et fiscales (paiements) — Conservées selon les obligations légales applicables (généralement 10 ans en matière comptable).
- Messagerie du club — Selon la configuration et la politique de conservation définies par chaque club.
6. Transferts hors de l'Union européenne
Certains de nos sous-traitants peuvent traiter des données en dehors de l'Union européenne, notamment aux États-Unis. Dans ce cas, ces transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne et, le cas échéant, par des mesures complémentaires garantissant un niveau de protection adéquat.
7. Vos droits
Conformément au RGPD, vous disposez des droits suivants : droit d'accès, de rectification, d'effacement, à la portabilité, à la limitation et d'opposition au traitement. Vous pouvez retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci.
Plusieurs de ces droits s'exercent directement depuis votre espace personnel :
- Portabilité — « Télécharger mes données » depuis votre profil exporte vos données au format JSON.
- Rectification — vous pouvez mettre à jour vos informations depuis votre profil.
- Effacement— la suppression de votre compte est disponible depuis votre profil. Un délai de grâce de 30 jours s'applique avant l'effacement définitif.
- Opposition — vous gérez vos préférences de notification depuis votre profil.
Pour tout autre droit, ou pour une demande spécifique, contactez notre DPO à l'adresse rgpd@klubin.fr. Nous répondons dans un délai d'un mois.
8. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.
9. Mineurs
Le service peut être utilisé pour gérer la participation de mineurs. L'inscription et la pratique d'un mineur requièrent l'autorisation et le consentement du ou des titulaires de l'autorité parentale, recueillis et conservés au sein du service. Les titulaires de l'autorité parentale peuvent exercer les droits du mineur dans les conditions décrites ci-dessus.