Politique de confidentialité

La présente politique décrit comment Paak collecte, utilise et protège les données personnelles traitées dans le cadre du site paak.club et de l'application Paak. Elle est rédigée en conformité avec la Loi fédérale suisse sur la protection des données (LPD / nLPD en vigueur depuis le 1^er septembre 2023) et, lorsqu'il s'applique, le Règlement général européen sur la protection des données (RGPD, règlement UE 2016/679).

1. Responsable du traitement

Emmara by Cyrille Barraud, entreprise individuelle de droit suisse (UID CHE-309.503.616), St. Alban-Anlage 25, 4052 Bâle, Suisse.
Contact pour toute question relative aux données personnelles : contact@paak.club.

2. Distinction entre visiteur du site, utilisateur de l'application et membre de club

Il est important de distinguer trois situations :

• Visiteurs de paak.club (site marketing) : vous consultez nos pages publiques ou remplissez un formulaire de contact. Les données vous concernant sont traitées par Paak.
• Utilisateurs de l'application Paak (dirigeants, entraîneurs, staff de club) : vous avez créé un compte et gérez un club. Les données de votre compte sont traitées par Paak.
• Membres de clubs gérés dans Paak (adhérents, parents, mineurs) : vos données sont enregistrées par le club qui vous a inscrit. Dans ce cas, le club est le responsable du traitement et Paak agit uniquement comme sous-traitant (art. 9 LPD / art. 28 RGPD). Pour toute demande sur vos droits, contactez d'abord votre club.

3. Données que nous collectons

3.1 Visiteurs du site paak.club

• Formulaire de contact / liste d'attente : prénom, nom, email, rôle déclaré, club. Base légale : consentement (art. 6 LPD ; art. 6 §1 a RGPD).
• Newsletter « Le Vestiaire » : adresse email, langue, dates de la demande et de la confirmation. L'inscription se fait en double opt-in : un email de confirmation vous est envoyé et votre adresse n'est ajoutée à la liste de diffusion qu'après votre clic sur le lien de confirmation (valable 48 heures) ; l'horodatage de cette confirmation est conservé comme preuve du consentement. Base légale : consentement (art. 6 LPD ; art. 6 §1 a RGPD), retirable à tout moment via le lien de désinscription présent dans chaque email. L'envoi passe par notre sous-traitant Brevo (France, UE) ; votre adresse ne sert à rien d'autre.
• Données techniques : adresse IP anonymisée (deux derniers octets effacés), type de navigateur, pages visitées et origine de la visite, via notre instance auto-hébergée de Matomo, sans cookie tant que vous n'acceptez pas les cookies analytiques (exemption CNIL « mesure d'audience » ; intérêt légitime, RGPD art. 6, par. 1, f) ; opposition à tout moment depuis la politique de cookies.

3.2 Utilisateurs de l'application (compte admin / staff)

• Identifiants d'authentification (email, clé de session Hanko), nom et prénom, rôle dans le club.
• Données de facturation si vous passez à un plan payant (email et nom de facturation).
• Traces techniques minimales nécessaires au fonctionnement et à la sécurité (journaux d'accès, historique de connexion, tentatives échouées).

3.3 Données gérées par les clubs dans l'application

Les clubs renseignent dans Paak les données nécessaires à leur gestion : coordonnées des membres, licences, cotisations, encadrement, présences, équipements. Paak héberge et sécurise ces données pour le compte du club, sans en exploiter le contenu.

Deux catégories appellent une mention particulière. Décharge de responsabilité : si le club a activé une décharge à l'inscription, la signature électronique du membre (ou de son représentant légal) est enregistrée avec le nom saisi, l'horodatage, l'adresse IP, l'identifiant du navigateur et une empreinte cryptographique du texte signé ; ces éléments constituent la preuve de la signature et sont conservés à ce titre (voir section 7). Genre : champ facultatif renseigné par le club ou par le membre ; il sert aux exigences fédérales (catégories de compétition, licences) et à des statistiques agrégées et anonymisées, jamais à un profilage individuel.

Pass'Sport (clubs français) : quand une famille remet au club son code Pass'Sport, ou le saisit sur le formulaire d'inscription du club, le club l'enregistre dans Paak pour demander à l'État le remboursement de la réduction accordée. Ce code indique que la personne bénéficie de cette aide, attribuée sous condition de ressources, de handicap ou de bourse. Il n'est visible que des administrateurs du club, ne sert qu'à appliquer cette réduction et à en obtenir le remboursement, et n'apparaît ni sur la fiche du membre ni dans les listes consultées par les entraîneurs.

Notes rédigées par le personnel du club : le personnel d'un club peut saisir dans Paak des notes en texte libre sur un membre : une note d'entraîneur sur un athlète, un compte rendu d'incident établi pendant une séance, ou une fiche d'arrêt après un traumatisme crânien (commotion). Une telle note peut révéler des informations sur la santé d'une personne, par exemple une blessure, même si son auteur n'en a pas l'intention. Ces notes ne sont pas collectées auprès du membre : c'est le club qui les rédige. Le club est le responsable du traitement : il décide de ce qu'il enregistre et pourquoi, et il informe ses membres. Paak héberge ces notes pour le compte du club. Elles sont visibles des comptes du personnel du club qui les a rédigées, et pas des autres clubs. Un membre peut demander au club une copie de ces notes ou leur effacement (voir sections 7 et 8).

3.4 Espace membre (portail sans compte)

Chaque adhérent peut accéder à un Espace membre sans créer de compte : le club lui envoie par email un lien personnel sécurisé, et les rubriques sensibles (profil, documents) exigent en plus un code à usage unique envoyé par email. Le club reste responsable du traitement ; Paak agit comme sous-traitant (voir section 2). Dans ce cadre, Paak traite :

• Données de session du portail : empreinte cryptographique (SHA-256) du lien et du code à usage unique (jamais stockés en clair), horodatages de création, de dernière activité, d'expiration et de révocation, adresse IP et navigateur. Finalité : fonctionnement et sécurité du portail (limitation des tentatives, détection d'abus). Justification : exécution du contrat conclu avec le club et intérêt légitime de sécurité.
• Documents déposés volontairement par le membre : certificat médical ou licence, déposés via le portail avec un consentement explicite recueilli et versionné au moment du dépôt (données de santé : art. 5 lit. c LPD ; art. 9 §2 a RGPD). Les fichiers sont chiffrés au repos dans un espace de stockage dédié et ne sont accessibles qu'au club concerné, qui les examine et les valide. Le dépôt en ligne est facultatif : le certificat ou l'attestation peut toujours être remis directement au club, sans aucune conséquence pour le membre. Le consentement porte sur le canal de dépôt numérique ; la production du document elle-même relève des obligations prévues par le code du sport et les règlements fédéraux. Pour les mineurs de moins de 15 ans, le consentement est recueilli conjointement auprès du mineur et du ou des titulaires de l'autorité parentale (art. 45 de la loi Informatique et Libertés).
• Choix de confidentialité : le portail comprend un centre de consentement où le membre peut consulter et retirer un consentement à tout moment (art. 7 §3 RGPD) ; le retrait vaut pour les traitements fondés sur le consentement, comme les documents déposés. Pour les traitements fondés sur un intérêt légitime ou public (par exemple les statistiques agrégées), le membre peut s'y opposer (art. 21 RGPD). Une demande de limitation du traitement (art. 18 RGPD) rend le portail en lecture seule.

4. Finalités du traitement

• Fournir le service Paak et l'assistance correspondante.
• Traiter les paiements et émettre les factures.
• Envoyer les communications opérationnelles (confirmation d'inscription, rappels de paiement, alertes de sécurité).
• Améliorer le produit à l'aide de statistiques agrégées (uniquement avec consentement aux cookies analytiques).
• Respecter nos obligations légales (comptabilité, demandes d'autorités compétentes).

5. Bases légales (RGPD) / motifs de justification (LPD)

• Exécution du contrat : comptes utilisateurs, facturation, fonctionnement du service.
• Consentement : cookies analytiques, formulaires de contact volontaires, communications marketing.
• Intérêt légitime : sécurité du service, prévention de la fraude, amélioration fonctionnelle.
• Obligation légale : conservation comptable, réponses aux autorités, compliance FIJAISV (art. L.212-9 code du sport français) pour les clubs concernés.

6. Sous-traitants et destinataires

Nous faisons appel à des sous-traitants européens pour fournir le service. Aucune donnée n'est transférée hors de l'Union européenne ou de la Suisse, à deux exceptions près, décrites à la section 11 : la connexion Google, qui dépend de vous, et Stripe, pour les clubs du Canada, des États-Unis et d'Australie qui ouvrent un compte Stripe depuis Paak.

Des accords de sous-traitance (DPA, art. 28 RGPD / art. 9 LPD) sont signés avec chacun de ces fournisseurs européens.

Stripe (clubs du Canada, des États-Unis et d'Australie) : dans ces trois pays, où Mollie n'ouvre pas de compte, un club peut créer depuis Paak son propre compte Stripe. Les paiements sont alors traités par Stripe sous le contrat que le club conclut lui-même avec Stripe lors de l'ouverture du compte : Stripe Payments Canada, Ltd. pour le Canada, Stripe, LLC pour les États-Unis, Stripe Payments Australia Pty Ltd. pour l'Australie. Stripe peut traiter et conserver ces données hors du Canada et hors de l'Union européenne. Paak ne reçoit de Stripe que l'identifiant du compte du club, l'état de ses vérifications et, pour chaque paiement, son état ; les numéros de carte et les coordonnées bancaires du club ne transitent jamais par Paak.

7. Durée de conservation

• Compte utilisateur : pendant toute la durée d'utilisation, puis jusqu'à 90 jours après la résiliation avant suppression définitive.
• Données de facturation : 10 ans (obligation comptable suisse, art. 958f CO).
• Listes d'attente et demandes de contact : jusqu'à 2 ans après le dernier échange, sauf désinscription.
• Données d'un membre gérées par un club : tant que le club les conserve. Les demandes de suppression passent par le club.
• Sessions de l'Espace membre : purgées 90 jours après expiration ou révocation ; codes à usage unique purgés 30 jours après utilisation ou expiration.
• Documents déposés via l'Espace membre : tant que le club les conserve ; supprimés immédiatement en cas d'exercice du droit à l'effacement.
• Journaux techniques de sécurité : 12 mois maximum.
• Newsletter : jusqu'à votre désinscription ; les demandes d'inscription jamais confirmées ne rejoignent aucune liste et suivent la durée « listes d'attente » ci-dessus.
• Preuves de signature d'une décharge : conservées au-delà d'une demande d'effacement dans la seule mesure nécessaire à la constatation, à l'exercice ou à la défense de droits en justice (art. 17 §3 e RGPD), puis supprimées.
• Codes Pass'Sport : effacés au plus tard 180 jours après la date limite de la campagne ; le suivi (montant, dates, état) reste avec les pièces comptables du club. En cas de demande d'effacement, un code déjà remboursé ou refusé est effacé aussitôt ; un code encore en attente de remboursement est conservé jusqu'à son règlement, dans la seule mesure nécessaire à l'exercice des droits du club (art. 17 §3 e RGPD).
• Notes du personnel, comptes rendus d'incident et fiches de commotion : les notes d'entraîneur sont supprimées lorsqu'une demande d'effacement est exécutée. Les comptes rendus d'incident et les fiches de commotion sont conservés au-delà d'une demande d'effacement dans la seule mesure nécessaire à la constatation, à l'exercice ou à la défense de droits en justice (art. 17 §3 e RGPD), pendant la durée de la prescription applicable.

8. Vos droits

Conformément à la LPD et au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données (sous réserve des obligations légales).
• Droit à la limitation : suspendre temporairement un traitement contesté.
• Droit d'opposition : refuser un traitement fondé sur l'intérêt légitime ou le marketing.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit de retirer votre consentement à tout moment, sans effet rétroactif.

9. Autorité de contrôle

Vous avez le droit d'introduire une réclamation :

• auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, edoeb.admin.ch (pour les résidents suisses) ;
• ou auprès de l'autorité de protection des données de votre pays de résidence dans l'UE (par exemple la CNIL en France, cnil.fr).

10. Sécurité

Les données sont chiffrées en transit (TLS 1.2+), les mots de passe utilisateurs sont remplacés par des passkeys (Hanko, authentification sans mot de passe), les sauvegardes de base de données sont chiffrées. Les accès administrateurs sont journalisés et protégés par authentification renforcée.

11. Transferts internationaux

Aucun transfert de données vers un pays tiers n'a lieu dans le cadre des traitements que nous opérons. L'ensemble de l'infrastructure est hébergée dans l'Union européenne, avec des sous-traitants européens, à l'exception de Stripe décrite ci-dessous. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne, ce qui garantit une protection équivalente dans les deux sens.

Une exception dépend de vous : si vous choisissez Se connecter avec Google sur la page de connexion, vous vous authentifiez directement auprès de Google LLC (États-Unis), certifiée au titre des cadres de protection des données UE–États-Unis et Suisse–États-Unis. Notre infrastructure et nos sous-traitants restent européens ; la connexion via un tiers reste un choix de l'utilisateur. Les passkeys et les codes à usage unique envoyés par e-mail, qui constituent la voie par défaut, n'impliquent aucun prestataire non européen.

Seconde exception, pour les clubs du Canada, des États-Unis et d'Australie qui ouvrent un compte Stripe depuis Paak : leurs paiements sont traités par Stripe sous le contrat du club avec Stripe (section 6), et Stripe peut traiter et conserver ces données hors du pays du club et hors de l'Union européenne.

12. Modifications de la présente politique

Nous pouvons mettre à jour cette politique pour refléter des évolutions légales ou techniques. La date de dernière mise à jour figure en haut de ce document. Les modifications substantielles seront signalées par email aux utilisateurs actifs.

Pages liées

• Mentions légales
• Politique de cookies
• RGPD et protection des données : guide club