Politique de confidentialité
Conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée.
Dernière mise à jour : [JJ/MM/AAAA]
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées via le site tournoi360.fr est :
2. Données collectées et finalités
Tournoi360 collecte uniquement les données strictement nécessaires à son fonctionnement. Aucune donnée n'est vendue ni cédée à des tiers à des fins commerciales.
2.1 Création de compte et authentification
L'authentification est gérée par Supabase. Lors de la création d'un compte, les données suivantes sont collectées :
| Donnée | Finalité | Base légale |
|---|---|---|
| Adresse email | Identifiant de connexion, communications transactionnelles | Exécution du contrat |
| Mot de passe | Hashé par Supabase (bcrypt) — jamais accessible en clair | Exécution du contrat |
| Nom du club / org. | Identification de l'organisation sur la plateforme | Exécution du contrat |
| Date d'inscription | Horodatage du compte, lutte contre la fraude | Intérêt légitime |
| Jeton de session | Maintien de la connexion (cookie httpOnly) | Exécution du contrat |
2.2 Paiement et facturation
Le paiement est traité exclusivement par Stripe. Tournoi360 ne stocke jamais les coordonnées bancaires (numéro de carte, CVV, IBAN). Seules les données suivantes sont conservées dans notre base :
| Donnée | Finalité | Base légale |
|---|---|---|
| Identifiant client Stripe (stripe_customer_id) | Lier le compte au client Stripe | Exécution du contrat |
| Formule souscrite (plan_id) | Gestion des accès et crédits | Exécution du contrat |
| Statut de l'abonnement | Contrôle des droits de création | Exécution du contrat |
| Date de renouvellement | Information et rappels | Exécution du contrat |
| Crédits de tournoi (solde) | Décompte à chaque création | Exécution du contrat |
Pour les données de paiement traitées par Stripe, consultez leur politique de confidentialité sur stripe.com/fr/privacy.
2.3 Données des tournois
Les données saisies lors de la création et de la gestion des tournois sont associées au compte organisateur :
| Donnée | Finalité | Base légale |
|---|---|---|
| Nom du tournoi | Identification du tournoi | Exécution du contrat |
| Date, lieu, ville | Planification et page publique | Exécution du contrat |
| Catégorie d'âge | Informations du tournoi | Exécution du contrat |
| Noms des équipes participantes | Génération des poules et du planning | Exécution du contrat |
| Scores et résultats des matchs | Classements, phases finales, page publique | Exécution du contrat |
| Planning (terrains, horaires) | Organisation et affichage public | Exécution du contrat |
Ces données sont liées à l'activité sportive de tiers (équipes, clubs). Tournoi360 traite ces informations pour le compte de l'organisateur, qui en est responsable au sens du RGPD pour leur collecte auprès des équipes participantes.
2.4 Données techniques
À des fins de sécurité et de bon fonctionnement du service, les données suivantes peuvent être collectées automatiquement :
| Donnée | Finalité | Base légale |
|---|---|---|
| Adresse IP | Sécurité, lutte contre les abus (logs serveur OVH) | Intérêt légitime |
| Logs d'accès HTTP | Débogage, sécurité, monitoring | Intérêt légitime |
| Type de navigateur/OS | Compatibilité et débogage | Intérêt légitime |
Ces logs sont gérés par OVH (hébergeur) et soumis à leur propre politique de conservation (voir §5 sous-traitants).
4. Bases légales des traitements
Chaque traitement repose sur l'une des bases légales suivantes :
Exécution du contrat (art. 6.1.b RGPD)
Traitement nécessaire à la fourniture du service : création de compte, gestion des tournois, paiement, accès aux fonctionnalités.
Intérêt légitime (art. 6.1.f RGPD)
Sécurité du service, lutte contre la fraude, logs techniques. Ces intérêts ne prévalent pas sur les droits fondamentaux des personnes concernées.
Obligation légale (art. 6.1.c RGPD)
Conservation des données de facturation pendant 10 ans (obligation comptable, art. L123-22 Code de commerce).
5. Sous-traitants et transferts hors UE
Tournoi360 fait appel aux sous-traitants suivants. Des garanties contractuelles (Clauses Contractuelles Types approuvées par la Commission Européenne) encadrent les transferts vers des pays tiers.
OVH SAS
Hébergement du site (VPS OVH) — infrastructure UE exclusive
Localisation : France (Data Center Gravelines)
Supabase Inc.
Hébergement base de données PostgreSQL + authentification
Localisation : UE — région eu-west-3 (Paris) sur infrastructure AWS
Stripe Payments Europe Ltd
Traitement des paiements en ligne
Localisation : Irlande (UE) — clauses contractuelles types pour flux US
Brevo (Sendinblue) SAS
Envoi d'emails transactionnels (confirmation, factures)
Localisation : France / Allemagne
6. Durée de conservation
| Catégorie de données | Durée de conservation |
|---|---|
| Données de compte (email, club) | Durée de vie du compte + 3 ans après clôture |
| Sessions d'authentification | Jusqu'à déconnexion ou expiration (≤ 1 semaine) |
| Données des tournois et matchs | 3 ans après la date du tournoi (puis anonymisation) |
| Journal d'audit (RGPD art. 30) | 36 mois glissants |
| Données de paiement (références) | 10 ans (obligation légale comptable) |
| Données Stripe (carte, coordonnées) | Gérées exclusivement par Stripe — non conservées par Tournoi360 |
| Logs techniques serveur (OVH) | 30 jours (rotation systemd) |
| Cookies de session | Session (sb-*) ou 2 h (sa_session) |
7. Sécurité des données
Tournoi360 met en œuvre les mesures techniques et organisationnelles suivantes pour protéger les données personnelles :
- Chiffrement des communications via HTTPS/TLS (Let's Encrypt sur VPS OVH)
- Mots de passe hashés par Supabase (algorithme bcrypt) — jamais stockés en clair
- Cookies d'authentification httpOnly et Secure (non accessibles via JavaScript)
- Accès à la base de données protégé par Row Level Security (RLS) de Supabase
- Données de paiement traitées exclusivement par Stripe (certifié PCI-DSS niveau 1)
- Accès administrateur limité à des comptes protégés par token JWT signé
- Séparation des environnements de développement et de production
Malgré ces mesures, aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés, l'éditeur s'engage à notifier la CNIL dans les 72 heures conformément à l'article 33 du RGPD.
8. Vos droits RGPD
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :
Droit d'accès (art. 15)
Obtenir une copie de toutes les données que nous détenons sur vous.
Droit de rectification (art. 16)
Corriger des données inexactes ou incomplètes vous concernant.
Droit à l'effacement (art. 17)
Demander la suppression de vos données (sous réserve des obligations légales de conservation).
Droit à la limitation (art. 18)
Bloquer temporairement l'utilisation de vos données dans certains cas.
Droit à la portabilité (art. 20)
Recevoir vos données dans un format structuré et lisible par machine.
Droit d'opposition (art. 21)
Vous opposer à un traitement fondé sur l'intérêt légitime.
Suppression du compte
Pour demander la suppression de votre compte et de vos données, contactez-nous à [EMAIL RGPD — ex. rgpd@tournoi360.fr]. La suppression sera traitée dans un délai de 30 jours, à l'exception des données soumises à une obligation légale de conservation (données de facturation : 10 ans).
Note : les données des tournois passés (scores, classements) peuvent être conservées sous forme anonymisée à des fins statistiques.
9. Contact et exercice des droits
Pour exercer vos droits ou pour toute question relative à la protection de vos données :
Par email : [EMAIL DÉDIÉ RGPD — ex. rgpd@tournoi360.fr]
Par courrier : [NOM DE LA SOCIÉTÉ — ADRESSE COMPLÈTE]
Merci de préciser l'objet de votre demande et de joindre une copie de votre pièce d'identité. Nous répondrons dans un délai d'un mois (délai extensible à 3 mois pour les demandes complexes).
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr/fr/plaintes.
10. Modifications de la politique
L'éditeur se réserve le droit de modifier la présente politique de confidentialité à tout moment, notamment pour se conformer à de nouvelles exigences légales ou à l'évolution du service.
Les utilisateurs seront informés de toute modification substantielle par email ou par une notification visible sur le site. La poursuite de l'utilisation du service après notification vaut acceptation de la nouvelle politique.
Version en vigueur depuis le : [JJ/MM/AAAA]
Avant la mise en production
Les champs en surligné jaune doivent être complétés. En particulier : identité du responsable de traitement, email RGPD dédié, durée de conservation des données tournois, et dates de mise à jour. Ce bloc d'avertissement doit être supprimé avant mise en ligne.