Politique de confidentialité

Qui est responsable de quoi

• Données des adhérents (et des parents qui paient pour eux) : le club est le responsable du traitement. Lapelio est son sous-traitant, au sens de l'article 28 du RGPD, et suit l'accord de sous-traitance.
• Données du compte du club (propriétaire, coachs, abonnement Lapelio) : Sidahmed Larbi Youcef EI (nom commercial : Deep Moats), éditeur de Lapelio, est le responsable du traitement.

Adhérent ou parent : pour toute question sur vos données (les voir, les corriger, les effacer), adressez-vous d'abord à votre club. Nous l'aidons à vous répondre. Vous pouvez aussi nous écrire, nous transmettrons.

Données des adhérents (traitées pour le club)

Ce que le club peut enregistrer :

• identité et contact : prénom, nom, téléphone, e-mail, mineur ou non, personne qui paie (souvent un parent), contact d'urgence ;
• vie au club : formule, ceinture et barrettes, présences, réservations, licences fédérales, inscriptions aux événements, commandes de la boutique, votes aux sondages, notes du coach ;
• paiements : montants dus et payés, moyen (espèces, chèque, virement, carte…), dates, reçus, acceptation du règlement du club ;
• documents que le club ou l'adhérent dépose (autorisation parentale, certificat médical…). Un certificat médical est une donnée de santé : le club ne le demande que si c'est nécessaire, et seuls le club et l'adhérent y ont accès ;
• messages de rappel : modèle utilisé, canal, date et statut d'envoi, accord ou refus de recevoir des messages.

Pourquoi : gérer les inscriptions et les cotisations, savoir qui a payé, envoyer des rappels de paiement, suivre les présences. Base légale (choisie par le club) : l'exécution du contrat d'adhésion et l'intérêt légitime du club ; le consentement pour les messages non liés à l'adhésion.

Combien de temps : tant que le club les garde. Quand le club supprime un adhérent ou ferme son compte, les données sont effacées (voir « Durées de conservation »). Les lignes de paiement peuvent être conservées sous forme anonymisée pour que les totaux du club restent justes.

Données du compte du club (Lapelio responsable)

• E-mail, nom, rôle (propriétaire ou coach), double authentification

  Pourquoi

  Pourquoi · Créer et sécuriser le compte

  Base légale

  Base légale · Contrat (art. 6.1.b)

• Nom, adresse et réglages du club

  Pourquoi

  Pourquoi · Faire fonctionner le service, page publique du club si vous la publiez

  Base légale

  Base légale · Contrat

• Abonnement et factures Lapelio

  Pourquoi

  Pourquoi · Facturer, tenir la comptabilité

  Base légale

  Base légale · Obligation légale (art. 6.1.c)

• Journaux techniques et de sécurité (sans contenu de vos fiches)

  Pourquoi

  Pourquoi · Détecter les abus et les pannes

  Base légale

  Base légale · Intérêt légitime (art. 6.1.f)

• Usage de l'application (pages, actions), si activé

  Pourquoi

  Pourquoi · Améliorer le produit

  Base légale

  Base légale · Intérêt légitime, avec opposition possible

• Notifications sur votre téléphone

  Pourquoi

  Pourquoi · Vous prévenir d'un paiement ou du récap du soir

  Base légale

  Base légale · Consentement (vous l'activez)

Visiteurs des pages publiques

Page publique du club, réservation d'un cours d'essai, événements, lien de paiement : nous traitons ce que vous saisissez (nom, téléphone ou e-mail) pour le compte du club concerné. Pour limiter les abus, nous gardons une empreinte non réversible de votre adresse IP pendant 24 heures au plus.

Paiements par carte

Les paiements par carte passent par Stripe, sur le compte Stripe du club. Lapelio ne détient jamais l'argent et ne voit jamais votre numéro de carte complet.

Nous lisons chez Stripe le montant, la date, et l'e-mail ou le téléphone saisi au paiement, pour inscrire le paiement sur la bonne fiche. Après un paiement, la page de confirmation affiche le nom du club, le montant, la période, la date et la marque de la carte avec ses 4 derniers chiffres. Ces informations sont lues chez Stripe à l'affichage, pas stockées par Lapelio, et votre nom n'y apparaît pas.

Messages WhatsApp et e-mails

Pour chaque rappel, nous gardons le modèle, le canal, la date et le statut d'envoi. Quand un adhérent répond sur le numéro WhatsApp de Lapelio, le texte de sa réponse n'est pas conservé : nous lisons seulement s'il demande à ne plus recevoir de messages (STOP), et nous enregistrons ce refus. Si un jour nous conservons le texte des réponses, ce sera 30 jours au plus, et cette page sera mise à jour avant.

Durées de conservation

• Compte du club et données des adhérents : tant que le compte est ouvert. Après la fermeture, vous pouvez exporter vos données pendant 30 jours, puis tout est effacé. Les sauvegardes techniques disparaissent d'elles-mêmes dans les jours qui suivent.
• Factures Lapelio : 10 ans (obligation comptable, art. L123-22 du Code de commerce).
• Journaux de sécurité : 12 mois au plus.
• Empreintes d'adresses IP (anti-abus) : 24 heures.
• Textes des réponses WhatsApp : non conservés.

Nos sous-traitants

Nous faisons appel à ces prestataires, chacun lié par un contrat de protection des données. Les lignes « si activé » ne reçoivent rien tant que la fonction n'est pas allumée. Nous prévenons les clubs 30 jours avant d'ajouter ou de changer un sous-traitant.

• Supabase, Inc.

  À quoi il sert

  À quoi il sert · Base de données, connexion, fichiers

  Où

  Où · UE (Irlande)

  Garanties

  Garanties · DPA, données dans l'UE

• Vercel Inc.

  À quoi il sert

  À quoi il sert · Hébergement du site et des fonctions serveur

  Où

  Où · UE (Dublin) ; société américaine

  Garanties

  Garanties · DPA, clauses contractuelles types (CCT), Data Privacy Framework (DPF)

• Stripe

  À quoi il sert

  À quoi il sert · Paiements par carte, sur le compte Stripe du club

  Où

  Où · UE (Irlande) et États-Unis

  Garanties

  Garanties · Le club a son propre contrat avec Stripe ; CCT/DPF

• Resend

  À quoi il sert

  À quoi il sert · E-mails de service (codes de connexion, récapitulatifs)

  Où

  Où · États-Unis

  Garanties

  Garanties · DPA, CCT

• Google

  À quoi il sert

  À quoi il sert · Cartes et adresses (Maps/Places), connexion avec Google

  Où

  Où · UE et États-Unis

  Garanties

  Garanties · DPA, CCT/DPF

• Meta (WhatsApp)

  À quoi il sert

  À quoi il sert · Envoi automatique de messages WhatsApp, si le club l'active

  Où

  Où · UE et États-Unis

  Garanties

  Garanties · Conditions WhatsApp Business, CCT/DPF

• PostHog (Cloud EU)

  À quoi il sert

  À quoi il sert · Statistiques d'usage de l'application, si activé

  Où

  Où · UE (Allemagne)

  Garanties

  Garanties · DPA, données dans l'UE

• Anthropic

  À quoi il sert

  À quoi il sert · Aide à reconnaître les colonnes d'un fichier importé, si activé : seulement les en-têtes et des exemples masqués, jamais les fiches complètes

  Où

  Où · États-Unis

  Garanties

  Garanties · Conditions commerciales avec DPA, CCT

Quand des données sortent de l'Union européenne, c'est encadré par les clauses contractuelles types de la Commission européenne ou par le Data Privacy Framework UE–États-Unis.

Cookies

Aujourd'hui, Lapelio n'utilise que des cookies strictement nécessaires, exemptés de consentement : rester connecté, sécuriser la connexion à Stripe, mémoriser la langue et le thème que vous avez choisis, reconnaître la tablette d'accueil du club. Aucun cookie publicitaire, aucun cookie de mesure d'audience. Si cela change, nous vous demanderons votre accord avant.

Sécurité

Connexion chiffrée partout, double authentification obligatoire pour les clubs, chaque club ne voit que ses propres données (contrôle dans la base elle-même), clés et jetons chiffrés, journaux sans données personnelles. En cas de violation de données, nous prévenons les clubs concernés sans attendre pour qu'ils puissent prévenir la CNIL dans les 72 heures.

Vos droits

Vous pouvez demander à accéder à vos données, les corriger, les effacer, en limiter l'usage, vous opposer à un traitement fondé sur l'intérêt légitime, récupérer vos données dans un format lisible (portabilité), et retirer un consentement à tout moment.

Données d'un club : écrivez à TODO_FOUNDER@example.com. Données d'adhérent : écrivez à votre club (ou à nous, nous transmettrons). Nous répondons sous un mois.

Si vous pensez que vos droits ne sont pas respectés, vous pouvez porter plainte auprès de la CNIL : cnil.fr/plaintes, ou par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Mineurs

Lapelio s'adresse aux clubs, pas aux enfants. Les données d'un adhérent mineur sont saisies par le club, et les messages sont envoyés à la personne qui paie (souvent un parent).

Changements

Si cette politique change de façon importante, nous prévenons les clubs par e-mail au moins 30 jours avant. La date de version en haut de la page indique la dernière mise à jour.