Politique de confidentialité

1. Responsable du traitement

Charles Calatayud, auto-entrepreneur (voir Mentions légales). Contact : contact@gliceo.com.

2. Données collectées

Gliceo collecte uniquement les données strictement nécessaires au fonctionnement du service :

• Compte utilisateur : nom, prénom, email, numéro de téléphone (facultatif), mot de passe (hashé).
• Adhérents de club (saisis par le club) : nom, prénom, date de naissance, genre, catégorie, adresse, contact parent, numéro de licence FFSG.
• Documents : licences FFSG, autorisations parentales, droit à l'image (uploadés par l'adhérent ou son club).
• Paiements : montants, dates, statut (sans stockage de données bancaires).
• Données techniques : logs serveur, adresse IP, user-agent (à des fins de sécurité et diagnostic).
• Analytique : pages consultées, actions clés (via PostHog, avec respect Do Not Track et masquage strict des inputs sensibles).

3. Finalités

• Fournir le service : gestion du club, authentification, notifications.
• Facturer l'abonnement SaaS.
• Améliorer le produit via analytique anonymisée.
• Assurer la sécurité (détection d'abus, prévention de fraude).
• Satisfaire aux obligations légales (comptabilité, reçus fiscaux).

4. Bases légales

• Exécution du contrat : compte, abonnement, paiement.
• Obligation légale : données comptables (10 ans).
• Intérêt légitime : sécurité, analyse d'usage anonymisée.
• Consentement : notifications push, cookies analytiques non essentiels.

5. Destinataires

Les données sont accessibles uniquement à :

• L'utilisateur lui-même et les membres du staff de son club (selon leurs rôles).
• L'équipe Gliceo pour support et maintenance.
• Les sous-traitants techniques : Supabase (hébergement DB, UE), Vercel (hébergement applicatif), Resend (envoi d'emails transactionnels), PostHog (analytique), Sentry (monitoring d'erreurs).

Aucune donnée n'est vendue ou cédée à des fins commerciales.

6. Durées de conservation

• Compte actif : tant que le compte est utilisé.
• Compte inactif : 3 ans après la dernière connexion, puis anonymisation.
• Données fiscales (paiements, reçus) : 10 ans (obligation légale).
• Logs techniques : 12 mois maximum.
• Backups : 30 jours glissants.

7. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données (export JSON disponible depuis Mon profil).
• Rectification : modifier vos données depuis votre profil.
• Effacement : demander la suppression (bouton depuis Mon profil). Les PII sont anonymisées ; les données fiscales sont conservées conformément à la loi.
• Opposition : refuser certains traitements (analytique, notifications).
• Portabilité : récupérer vos données dans un format structuré (JSON).
• Réclamation : saisir la CNIL.

Pour exercer ces droits : contact@gliceo.com.

8. Sécurité

Gliceo met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement TLS sur toutes les connexions.
• Chiffrement au repos des bases de données (Supabase).
• Authentification à deux facteurs (MFA) disponible.
• Contrôle d'accès par rôle (RBAC) pour chaque club.
• Hashage bcrypt des mots de passe.
• Monitoring continu des erreurs et anomalies (Sentry).
• Sauvegardes quotidiennes, rétention 30 jours.

9. Transferts internationaux

Les données utilisateurs sont hébergées dans l'Union Européenne (région eu-west-1, Irlande). Certains sous-traitants techniques (Vercel, Resend, PostHog) peuvent traiter des données dans d'autres pays, avec des garanties contractuelles adéquates (clauses contractuelles types de la Commission européenne).

10. Cookies

Gliceo utilise uniquement des cookies techniques nécessaires (authentification, session). Aucun cookie publicitaire ou de traçage tiers. Les outils analytiques (PostHog) sont configurés pour respecter le signal Do Not Track du navigateur et masquer systématiquement les champs sensibles.

11. Modifications

La présente politique peut évoluer. Toute modification substantielle sera notifiée par email 30 jours avant son entrée en vigueur.