Politique de confidentialité

La présente politique décrit comment Paak collecte, utilise et protège les données personnelles traitées dans le cadre du site paak.club et de l'application Paak. Elle est rédigée en conformité avec la Loi fédérale suisse sur la protection des données (LPD / nLPD en vigueur depuis le 1^er septembre 2023) et, lorsqu'il s'applique, le Règlement général européen sur la protection des données (RGPD — règlement UE 2016/679).

1. Responsable du traitement

Emmara by Cyrille Barraud, entreprise individuelle de droit suisse (UID CHE-309.503.616), St. Alban-Anlage 25, 4052 Bâle, Suisse.
Contact pour toute question relative aux données personnelles : contact@paak.club.

2. Distinction entre visiteur du site, utilisateur de l'application et membre de club

Il est important de distinguer trois situations :

• Visiteurs de paak.club (site marketing) — vous consultez nos pages publiques ou remplissez un formulaire de contact. Les données vous concernant sont traitées par Paak.
• Utilisateurs de l'application Paak (dirigeants, entraîneurs, staff de club) — vous avez créé un compte et gérez un club. Les données de votre compte sont traitées par Paak.
• Membres de clubs gérés dans Paak (adhérents, parents, mineurs) — vos données sont enregistrées par le club qui vous a inscrit. Dans ce cas, le club est le responsable du traitement et Paak agit uniquement comme sous-traitant (art. 9 LPD / art. 28 RGPD). Pour toute demande sur vos droits, contactez d'abord votre club.

3. Données que nous collectons

3.1 Visiteurs du site paak.club

• Formulaire de contact / liste d'attente — prénom, nom, email, rôle déclaré, club. Base légale : consentement (art. 6 LPD ; art. 6 §1 a RGPD).
• Newsletter « Le Vestiaire » — adresse email, langue, dates de la demande et de la confirmation. L'inscription se fait en double opt-in : un email de confirmation vous est envoyé et votre adresse n'est ajoutée à la liste de diffusion qu'après votre clic sur le lien de confirmation (valable 48 heures) ; l'horodatage de cette confirmation est conservé comme preuve du consentement. Base légale : consentement (art. 6 LPD ; art. 6 §1 a RGPD), retirable à tout moment via le lien de désinscription présent dans chaque email. L'envoi passe par notre sous-traitant Brevo (France, UE) ; votre adresse ne sert à rien d'autre.
• Données techniques — adresse IP tronquée, type de navigateur, pages visitées, via notre instance auto-hébergée de Matomo. Uniquement si vous acceptez les cookies analytiques.

3.2 Utilisateurs de l'application (compte admin / staff)

• Identifiants d'authentification (email, clé de session Hanko), nom et prénom, rôle dans le club.
• Données de facturation si vous passez à un plan payant (email et nom de facturation).
• Traces techniques minimales nécessaires au fonctionnement et à la sécurité (journaux d'accès, historique de connexion, tentatives échouées).

3.3 Données gérées par les clubs dans l'application

Les clubs renseignent dans Paak les données nécessaires à leur gestion : coordonnées des membres, licences, cotisations, encadrement, présences, équipements. Paak héberge et sécurise ces données pour le compte du club, sans en exploiter le contenu.

Deux catégories appellent une mention particulière. Décharge de responsabilité : si le club a activé une décharge à l'inscription, la signature électronique du membre (ou de son représentant légal) est enregistrée avec le nom saisi, l'horodatage, l'adresse IP, l'identifiant du navigateur et une empreinte cryptographique du texte signé — ces éléments constituent la preuve de la signature et sont conservés à ce titre (voir section 7). Genre : champ facultatif renseigné par le club ou par le membre ; il sert aux exigences fédérales (catégories de compétition, licences) et à des statistiques agrégées et anonymisées — jamais à un profilage individuel.

3.4 Espace membre (portail sans compte)

Chaque adhérent peut accéder à un Espace membre sans créer de compte : le club lui envoie par email un lien personnel sécurisé, et les rubriques sensibles (profil, documents) exigent en plus un code à usage unique envoyé par email. Le club reste responsable du traitement ; Paak agit comme sous-traitant (voir section 2). Dans ce cadre, Paak traite :

• Données de session du portail — empreinte cryptographique (SHA-256) du lien et du code à usage unique (jamais stockés en clair), horodatages de création, de dernière activité, d'expiration et de révocation, adresse IP et navigateur. Finalité : fonctionnement et sécurité du portail (limitation des tentatives, détection d'abus). Justification : exécution du contrat conclu avec le club et intérêt légitime de sécurité.
• Documents déposés volontairement par le membre — certificat médical ou licence, déposés via le portail avec un consentement explicite recueilli et versionné au moment du dépôt (données de santé : art. 5 lit. c LPD ; art. 9 §2 a RGPD). Les fichiers sont chiffrés au repos dans un espace de stockage dédié et ne sont accessibles qu'au club concerné, qui les examine et les valide. Le dépôt en ligne est facultatif : le certificat ou l'attestation peut toujours être remis directement au club, sans aucune conséquence pour le membre. Le consentement porte sur le canal de dépôt numérique — la production du document elle-même relève des obligations prévues par le code du sport et les règlements fédéraux. Pour les mineurs de moins de 15 ans, le consentement est recueilli conjointement auprès du mineur et du ou des titulaires de l'autorité parentale (art. 45 de la loi Informatique et Libertés).
• Choix de confidentialité — le portail comprend un centre de consentement où le membre peut consulter et retirer un consentement à tout moment (art. 7 §3 RGPD) — le retrait vaut pour les traitements fondés sur le consentement, comme les documents déposés. Pour les traitements fondés sur un intérêt légitime ou public (par exemple les statistiques agrégées), le membre peut s'y opposer (art. 21 RGPD). Une demande de limitation du traitement (art. 18 RGPD) rend le portail en lecture seule.

4. Finalités du traitement

• Fournir le service Paak et l'assistance correspondante.
• Traiter les paiements et émettre les factures.
• Envoyer les communications opérationnelles (confirmation d'inscription, rappels de paiement, alertes de sécurité).
• Améliorer le produit à l'aide de statistiques agrégées (uniquement avec consentement aux cookies analytiques).
• Respecter nos obligations légales (comptabilité, demandes d'autorités compétentes).

5. Bases légales (RGPD) / motifs de justification (LPD)

• Exécution du contrat — comptes utilisateurs, facturation, fonctionnement du service.
• Consentement — cookies analytiques, formulaires de contact volontaires, communications marketing.
• Intérêt légitime — sécurité du service, prévention de la fraude, amélioration fonctionnelle.
• Obligation légale — conservation comptable, réponses aux autorités, compliance FIJAISV (art. L.212-9 code du sport français) pour les clubs concernés.

6. Sous-traitants et destinataires

Nous faisons appel à des sous-traitants européens pour fournir le service. Aucune donnée n'est transférée hors de l'Union européenne ou de la Suisse (voir la section 11 pour la seule exception, qui dépend de vous).

Des accords de sous-traitance (DPA, art. 28 RGPD / art. 9 LPD) sont signés avec chacun de ces fournisseurs.

7. Durée de conservation

• Compte utilisateur — pendant toute la durée d'utilisation, puis jusqu'à 90 jours après la résiliation avant suppression définitive.
• Données de facturation — 10 ans (obligation comptable suisse, art. 958f CO).
• Listes d'attente et demandes de contact — jusqu'à 2 ans après le dernier échange, sauf désinscription.
• Données d'un membre gérées par un club — tant que le club les conserve. Les demandes de suppression passent par le club.
• Sessions de l'Espace membre — purgées 90 jours après expiration ou révocation ; codes à usage unique purgés 30 jours après utilisation ou expiration.
• Documents déposés via l'Espace membre — tant que le club les conserve ; supprimés immédiatement en cas d'exercice du droit à l'effacement.
• Journaux techniques de sécurité — 12 mois maximum.
• Newsletter — jusqu'à votre désinscription ; les demandes d'inscription jamais confirmées ne rejoignent aucune liste et suivent la durée « listes d'attente » ci-dessus.
• Preuves de signature d'une décharge — conservées au-delà d'une demande d'effacement dans la seule mesure nécessaire à la constatation, à l'exercice ou à la défense de droits en justice (art. 17 §3 e RGPD), puis supprimées.

8. Vos droits

Conformément à la LPD et au RGPD, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie de vos données personnelles.
• Droit de rectification — corriger des données inexactes ou incomplètes.
• Droit à l'effacement — demander la suppression de vos données (sous réserve des obligations légales).
• Droit à la limitation — suspendre temporairement un traitement contesté.
• Droit d'opposition — refuser un traitement fondé sur l'intérêt légitime ou le marketing.
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine.
• Droit de retirer votre consentement à tout moment, sans effet rétroactif.

9. Autorité de contrôle

Vous avez le droit d'introduire une réclamation :

• auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne — edoeb.admin.ch (pour les résidents suisses) ;
• ou auprès de l'autorité de protection des données de votre pays de résidence dans l'UE (par exemple la CNIL en France — cnil.fr).

10. Sécurité

Les données sont chiffrées en transit (TLS 1.2+), les mots de passe utilisateurs sont remplacés par des passkeys (Hanko, authentification sans mot de passe), les sauvegardes de base de données sont chiffrées. Les accès administrateurs sont journalisés et protégés par authentification renforcée.

11. Transferts internationaux

Aucun transfert de données vers un pays tiers n'a lieu dans le cadre des traitements que nous opérons. L'ensemble de l'infrastructure est hébergée dans l'Union européenne, avec des sous-traitants exclusivement européens. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne, ce qui garantit une protection équivalente dans les deux sens.

Une exception dépend de vous : si vous choisissez Se connecter avec Google sur la page de connexion, vous vous authentifiez directement auprès de Google LLC (États-Unis), certifiée au titre des cadres de protection des données UE–États-Unis et Suisse–États-Unis. Notre infrastructure et nos sous-traitants restent européens ; la connexion via un tiers reste un choix de l'utilisateur. Les passkeys et les codes à usage unique envoyés par e-mail, qui constituent la voie par défaut, n'impliquent aucun prestataire non européen.

12. Modifications de la présente politique

Nous pouvons mettre à jour cette politique pour refléter des évolutions légales ou techniques. La date de dernière mise à jour figure en haut de ce document. Les modifications substantielles seront signalées par email aux utilisateurs actifs.

Pages liées

• Mentions légales
• Politique de cookies
• RGPD et protection des données — guide club