Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur le site GYMKA est :

• Éditeur : Fabien Dupont (société en cours de création)
• Contact : contact@gymka.eu
• Délégué à la protection des données (DPO) : non désigné — la taille de la structure ne requiert pas la désignation d'un DPO au sens de l'art. 37 RGPD. Les demandes liées aux données personnelles sont traitées directement par l'éditeur.

2. Données collectées

Nous collectons les données suivantes :

• Données d'identification : nom, prénom, email, date de naissance, pays
• Données de connexion : adresse IP, dates de connexion, navigateur utilisé
• Données sportives : club, discipline pratiquée, résultats de compétitions, scores
• Données relatives aux blessures et restrictions de pratique (déclaratives, facultatives) : saisies par vous-même ou par l'encadrement autorisé, pour adapter l'entraînement. Aucun document médical n'est demandé ni conservé.
• Données de paiement (si abonnement, paiement en ligne prévu et non actif à ce jour) : seront traitées exclusivement par Stripe, jamais stockées par GYMKA
• Coordonnées bancaires d'un organisateur (si vous ouvrez une billetterie) : IBAN et BIC du bénéficiaire, conservés par GYMKA et communiqués aux acheteurs pour leur permettre de régler par virement. Ils ne servent qu'à cet encaissement.
• Données de communication : messages échangés via la messagerie interne
• Mesure d'audience des vitrines : Quand une vitrine publique est consultée, GYMKA ajoute la vue à un total par jour et par provenance (lien direct, QR code, lien partagé…). Rien n'identifie le visiteur : ni cookie, ni adresse IP conservée, ni compte. Ces chiffres ne sont visibles que du titulaire de la vitrine et de son responsable légal ; ils sont conservés 25 mois et effacés avec le compte.
• Suivi du cycle menstruel (facultatif) :
  • Donnée de santé. La fonction est désactivée par défaut : seule l'athlète peut l'activer, depuis ses propres réglages, en cochant son consentement explicite.
  • Ce qui est conservé : les jours notés (début des règles et, s'ils sont renseignés, flux, symptômes, niveau de douleur et une note personnelle, chiffrée), les durées moyennes du cycle et des règles calculées à partir de ces jours, et la date du consentement.
  • Personne d'autre ne voit ces données dans GYMKA : ni le coach, ni les parents, ni le club. Aucun réglage ne permet de les partager.
  • Avant 10 ans, ou sans date de naissance connue, la fonction n'est pas proposée. De 10 à 14 ans, un responsable légal lié au compte doit d'abord autoriser la fonction depuis son espace parent (sa décision est conservée, datée) ; il ne voit aucune donnée, ni même si la fonction est utilisée, et l'athlète décide ensuite de l'activer. Si l'autorisation est retirée, le suivi est désactivé ; les données restent conservées et l'athlète peut les effacer. À partir de 15 ans, l'athlète décide seule.
  • À tout moment, l'athlète peut désactiver le suivi en gardant ses données, ou tout effacer ; tout est aussi effacé avec son compte. Ces données ne figurent pas dans le fichier d'export du compte.
  • Base légale : le consentement explicite de l'athlète (article 9, paragraphe 2, a) du RGPD) et, de 10 à 14 ans, l'autorisation d'un titulaire de l'autorité parentale (article 45 de la loi Informatique et Libertés).
  • Ce n'est pas un outil médical ni de contraception : la date des prochaines règles affichée est une estimation.

3. Finalités du traitement

Vos données sont utilisées pour :

• Gérer votre compte utilisateur et votre profil sportif
• Permettre votre inscription et participation à des compétitions
• Calculer et afficher vos résultats et classements (scoring conçu pour appliquer les codes de pointage publics en vigueur, cycle 2025-2028)
• Communiquer avec vous (notifications, emails transactionnels)
• Améliorer le service et résoudre les problèmes techniques
• Respecter nos obligations légales et réglementaires

4. Base légale

Le traitement de vos données repose sur les bases légales suivantes :

• Exécution du contrat : pour fournir le service GYMKA auquel vous adhérez (CGU)
• Consentement : pour les données relatives aux blessures et restrictions de pratique (recueilli dans l'espace personnel, au moment de la saisie)
• Consentement explicite (art. 9 RGPD) : pour le suivi du cycle menstruel, facultatif, activé par l'athlète seule (détail et règle d'âge à la section 2)
• Obligation légale : pour la conservation des données de facturation et d'audit
• Intérêt légitime : pour la sécurité du service et la prévention de la fraude

5. Mineurs (moins de 15 ans en France, 16 ans dans l'UE)

Conformément au RGPD et à la loi française (Loi Informatique et Libertés modifiée), l'inscription d'un mineur de moins de 15 ans (16 ans dans certains pays de l'UE) nécessite le consentement préalable du titulaire de l'autorité parentale.

Le profil de l'enfant est géré par le parent jusqu'à ses 15 ans. À cet âge, l'enfant peut réclamer l'autonomie de son compte. Aucune messagerie publique n'est accessible aux mineurs en mode autonome tant que le compte n'est pas en statut active.

Le suivi du cycle menstruel suit une règle d'âge propre, avec l'autorisation d'un responsable légal pour les plus jeunes : elle est détaillée à la section 2.

6. Durée de conservation

• Compte actif : pendant toute la durée d'utilisation du service
• Compte inactif : 3 ans après la dernière connexion, puis suppression ou anonymisation
• Données de facturation : 10 ans (obligation comptable)
• Logs de connexion : 12 mois (LCEN)
• Résultats sportifs anonymisés : conservés indéfiniment pour les statistiques publiques

7. Destinataires des données

Vos données peuvent être communiquées aux destinataires suivants :

• Personnel autorisé de GYMKA
• Clubs et fédérations dont vous êtes membre (selon votre rôle)
• Prestataires techniques (hébergement, base de données, e-mail, modération, vidéo) sous contrat conforme RGPD — la liste complète figure à la section 8
• Autorités compétentes en cas de réquisition judiciaire

Aucune donnée n'est vendue ou cédée à des tiers à des fins commerciales.

8. Sous-traitants et transferts hors UE

Les prestataires qui traitent des données pour le compte de GYMKA sont les suivants. La liste est identique à celle des mentions légales : elle est tenue à un seul endroit. La région de traitement n'est indiquée que lorsqu'elle est connue avec certitude ; « à confirmer » signifie que l'éditeur la vérifie auprès du prestataire.

Plusieurs de ces prestataires sont des sociétés de droit américain. Ces transferts sont encadrés par :

• le Data Privacy Framework (DPF) UE–USA approuvé par la Commission européenne le 10 juillet 2023 (décision d'adéquation 2023/1795) — Vercel, Stripe, Cloudflare et Sentry sont certifiés DPF ;
• les Clauses Contractuelles Types (CCT) de la Commission européenne (décision 2021/914) en complément, comme mesure de garantie supplémentaire.

Ces mécanismes garantissent un niveau de protection équivalent au RGPD pour vos données.

9. Vos droits

Vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15) : obtenir une copie de vos données
• Droit de rectification (Art. 16) : corriger des données inexactes
• Droit à l'effacement / "droit à l'oubli" (Art. 17) : supprimer vos données
• Droit à la limitation (Art. 18) : suspendre l'utilisation
• Droit à la portabilité (Art. 20) : récupérer vos données dans un format structuré
• Droit d'opposition (Art. 21) : refuser le traitement
• Droit de retirer votre consentement à tout moment

Pour exercer ces droits, contactez-nous à contact@gymka.eu. Nous nous engageons à vous répondre dans un délai d'un mois.

Vous disposez également du droit de déposer une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

10. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation : chiffrement TLS, mots de passe hashés (Argon2), JWT signés, isolation multi-tenant en base, journaux d'audit.

11. Comptes mail connectés (App Pulse)

L'application Pulse permet, à votre demande, de connecter un compte mail externe (Gmail, Outlook, Microsoft 365, ou tout serveur IMAP/SMTP générique) pour lire et envoyer des emails depuis l'app sans quitter GYMKA.

Données conservées : uniquement le jeton d'accès OAuth (ou le mot de passe d'application IMAP), votre adresse email, et le libellé du compte. Ces éléments sont chiffrés au repos en base de données (AES-256-GCM) avec une clé maîtresse stockée hors base.

Données NON conservées : le contenu de vos emails (objet, corps, destinataires, pièces jointes) n'est jamais stocké sur nos serveurs. Chaque consultation déclenche un appel temps réel à votre fournisseur (Gmail API / Microsoft Graph / IMAP) et la réponse vous est transmise sans persistance.

Périmètre des autorisations OAuth : nous demandons uniquement les autorisations nécessaires à la fonctionnalité (lecture, envoi, gestion des messages de votre compte). Nous n'accédons à aucune autre donnée de votre compte Google ou Microsoft. Vous pouvez consulter et révoquer ces autorisations à tout moment dans les paramètres de votre compte (Google : myaccount.google.com/permissions, Microsoft : account.microsoft.com/privacy).

Déconnexion : vous pouvez déconnecter un compte mail à tout moment depuis Pulse → Mail → menu du compte. La déconnexion supprime immédiatement le jeton chiffré de notre base et révoque l'autorisation côté fournisseur.

Confidentialité administrateur : ni l'équipe GYMKA, ni les administrateurs de votre club, ni les autres utilisateurs de la plateforme n'ont accès au contenu de vos emails ou à votre jeton. La confidentialité est technique (séparation par utilisateur en base + jeton chiffré) et applicative (aucun endpoint d'administration ne permet de lister ou lire les mails d'autrui).

Journaux : nous enregistrons uniquement les évènements techniques (connexion d'un compte, déconnexion, envoi d'un mail) avec horodatage et identifiant utilisateur — jamais le contenu, les destinataires ou les sujets. Ces journaux servent à l'audit de sécurité et au support technique.

12. Cookies

Le détail des cookies utilisés est disponible sur la page Cookies.

13. Modifications

La présente politique peut être modifiée à tout moment. Toute modification substantielle vous sera notifiée par email ou via une bannière sur le site. La date de dernière mise à jour figure en haut de ce document et l'historique des versions en bas.