Politique de confidentialité

1. Deux rôles distincts

Klubster intervient sous deux qualités au sens du RGPD :

• Responsable de traitement pour les données des comptes dirigeants (présidents), la facturation et l’usage de la plateforme.
• Sous-traitant pour les données des adhérents, dont chaque club reste le responsable de traitement. Les modalités figurent dans le contrat de sous-traitance.

2. Données traitées

• Identité et contact (nom, prénom, email, téléphone) ;
• Données d’adhésion (cours, statut de paiement, pièces) ;
• Date de naissance et, pour les mineurs, données du représentant légal ;
• Données de santé issues du questionnaire (catégorie particulière, art. 9 RGPD) — voir §6 ;
• Données techniques nécessaires à la sécurité (journaux, cookies d’authentification).

3. Finalités et bases légales

• Fourniture du service et gestion des adhésions — exécution du contrat ;
• Facturation de l’abonnement — obligation légale et contrat ;
• Sécurité et prévention des abus — intérêt légitime ;
• Questionnaire de santé (donnée sensible, art. 9) — consentement explicite (art. 9.2.a), donné par le représentant légal pour un mineur.

4. Destinataires et sous-traitants ultérieurs

Les données sont accessibles au club concerné et, en tant que prestataires techniques :

• Supabase (base de données, authentification, stockage) — hébergement AWS, Union européenne ;
• Vercel (hébergement applicatif) — société américaine ;
• Stripe (paiements, entité irlandaise) — aucune donnée bancaire n’est stockée par Klubster ;
• Resend (envoi des emails : confirmation de compte, confirmation d’inscription, messages du club) — société américaine ;
• Cloudflare (Turnstile — vérification anti-robot du formulaire d’inscription) — société américaine. Turnstile ne dépose aucun cookie publicitaire et ne sert pas au profilage ; il traite l’adresse IP et des signaux techniques du navigateur, le temps de la vérification.

Vos données d’adhérents — dossiers, pièces, questionnaires de santé, paiements — sont stockées dans l’Union européenne (Irlande), et les traitements serveur s’exécutent à Paris. Trois prestataires sont établis aux États-Unis : Vercel, qui sert les pages du site, Resend, qui achemine les emails, et Cloudflare, qui vérifie que l’inscription n’est pas automatisée. Les transferts correspondants sont encadrés par les clauses contractuelles types de la Commission européenne.

5. Durées de conservation

• Données d’adhérent : pendant l’adhésion, puis archivage limité et suppression à l’issue d’un délai défini avec le club ;
• Attestation de santé : conservée pour la saison concernée, puis supprimée ;
• Données de facturation : durée légale de conservation comptable.

6. Données de santé et mineurs

Selon les règles de la fédération et de l’activité concernées, un club peut demander un questionnaire de santé, un certificat médical, ou les deux. Par minimisation, Klubster ne conserve que le résultat (attestation négative ou certificat requis), la signature et la date — et non le détail des réponses. Les données de mineurs sont saisies par le représentant légal. La base légale est le consentement explicite (art. 9.2.a). Ces traitements sensibles font l’objet de mesures de sécurité renforcées et d’une analyse d’impact (AIPD).

7. Sécurité

Cloisonnement par club (politiques d’accès au niveau de la base), chiffrement en transit (HTTPS) et au repos, contrôle des accès, sauvegardes. En cas de violation de données, les obligations de notification (72 h) sont appliquées.

8. Cookies et mesure d’audience

Le fonctionnement du service repose sur des cookies strictement nécessaires à l’authentification. Aucun cookie publicitaire n’est déposé, et Klubster ne pratique aucun profilage.

Sur les pages de présentation de Klubster (accueil, tarifs, fonctionnalités), et uniquement sur celles-ci, une mesure d’audience Microsoft Clarity permet de comprendre ce qui se lit mal ou décourage les visiteurs. Elle fonctionne en mode sans cookie : rien n’est déposé ni lu sur votre terminal, aucun identifiant ne vous suit d’une visite à l’autre, et aucun profil n’est constitué. C’est la raison pour laquelle aucun bandeau ne vous est présenté. Microsoft Clarity est un service de Microsoft Corporation, société américaine ; les transferts s’appuient sur les clauses contractuelles types et le cadre de protection des données UE–États-Unis.

La page de création d’association est exclue de cette mesure : c’est la seule page de présentation où l’on saisit un nom, une adresse email et un mot de passe.

Cette mesure ne s’applique jamais aux espaces des associations ni de leurs adhérents — sites des clubs, formulaires d’inscription, espaces adhérents, cockpits. Aucune donnée d’adhérent, aucun dossier et aucune donnée de santé n’est transmis à cet outil : les pages qui en contiennent sont exclues de la mesure par construction.

Si vous ne souhaitez pas être compté dans cette mesure, l’option « Ne pas me suivre » (Do Not Track) de votre navigateur, ou n’importe quel bloqueur de traceurs, suffit à l’écarter. Vous pouvez aussi nous écrire : nous retirerons les enregistrements vous concernant.

9. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Pour les données détenues par un club, la demande s’adresse d’abord au club. Responsable : Mathieu Bourdieu (entrepreneur individuel), 652 chemin de Foumezous, 82370 Corbarieu — Contact : contact@klubster.fr. Vous pouvez saisir la CNIL (www.cnil.fr).