Politique de confidentialité

Ce que nous faisons : vous rendre trouvable par des clubs, quand et comme vous le décidez. L’essentiel des protections décrites ici ne sont pas des réglages d’interface mais des règles appliquées par la base de données elle-même — même une requête forgée ne les contourne pas.

Les cinq choses à retenir

• Votre téléphone et votre e-mail restent masqués jusqu’à ce qu’un club vous propose un essai.
• Vous décidez de votre visibilité : retirer votre fiche, masquer un club précis — qui ne peut pas savoir qu’il l’est.
• Vous voyez qui vous a consulté, club par club.
• Notre équipe ne lit ni vos coordonnées privées, ni vos conversations non signalées, ni les appréciations qu’un club porte sur ses licenciés. Ce ne sont pas des promesses : ce sont des politiques d’accès absentes.
• Un compte de mineur n’existe pas sans son représentant légal, et la fiche d’un mineur naît invisible.

Le responsable du traitement est [À COMPLÉTER : dénomination sociale et adresse du siège], éditeur de Pelouz — identité complète dans les mentions légales.

• Pour toute question ou pour exercer vos droits : contact@pelouz.fr, ou l’espace d’assistance.
• Délégué à la protection des données : [À COMPLÉTER : nom et contact du délégué, ou mention indiquant qu’aucune désignation n’est obligatoire]

Vous pouvez à tout moment introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr. Nous préférons que vous nous écriviez d’abord, mais ce n’est pas une condition.

La plateforme porte deux rôles distincts, et la distinction commande tout le reste. Elle n’est pas un détail de rédaction : elle dit à qui vous devez vous adresser.

Ce à quoi nous nous engageons comme sous-traitant

Pour les traitements dont un club est responsable, nous agissons sur ses instructions et conformément à l’article 28 du RGPD. Nous nous engageons à :

• ne traiter ces données que pour fournir le service, et pour aucune finalité propre — ni statistique commerciale nominative, ni enrichissement de nos propres fiches, ni prospection ;
• les tenir confidentielles, et n’y donner accès qu’aux personnes de notre équipe qui en ont besoin. En pratique, les appréciations du staff et les notes portées sur un licencié ne nous sont pas accessibles : aucune politique d’administration ne les ouvre ;
• mettre en œuvre les mesures de sécurité décrites à l’article 13 ;
• assister le club lorsqu’une personne concernée exerce ses droits, et lorsqu’il doit notifier une violation de données ;
• n’engager d’autre sous-traitant que ceux listés à l’article 10, et informer le club de tout changement avant qu’il n’ait lieu ;
• supprimer ou restituer les données à la fin de la relation, selon le choix du club, sous réserve de ce que la loi nous impose de conserver.

Une entrée par nature de donnée. La « base légale » est le fondement juridique du traitement au sens de l’article 6 du RGPD — ce qui nous autorise à le faire.

Ce que nous ne collectons pas

• Aucune donnée de santé. Le statut « blessé » d’une fiche d’effectif est un état de disponibilité sportive, sans diagnostic, sans date d’entrée à l’infirmerie, et sans champ pour en dire plus. Un club qui détournerait un champ de texte pour y écrire une information médicale manquerait à ses engagements.
• Aucune donnée bancaire. Il n’existe aujourd’hui aucun moyen de paiement sur la plateforme ; à l’ouverture des offres payantes, les données de paiement seront traitées par le seul prestataire de paiement.
• Aucun numéro de licence fédérale, aucune donnée relative à vos opinions, convictions, origine ou orientation.
• Aucune géolocalisation. La distance est calculée depuis la commune que vous déclarez, jamais depuis la position de votre appareil.

Ce qu’un club ne voit pas

• Votre téléphone et votre e-mail, jusqu’à ce qu’un club vous propose un essai. Avant cela, la requête ne renvoie rien.
• Votre fiche, si vous l’avez retirée, ou si vous avez masqué ce club en particulier — qui ne sait pas qu’il est masqué. Une limite à connaître : ce masquage porte sur les comptes de dirigeant. Si vous avez coché « les autres joueurs peuvent me trouver », un dirigeant inscrit par ailleurs comme joueur retrouverait votre fiche. Ce réglage est décoché par défaut, et son libellé le dit.
• Votre date de naissance : seul votre âge est affiché sur votre fiche. Avec une réserve : un club qui vous a proposé un essai lit la ligne où elle vit, parce que la règle d’accès porte sur une ligne et jamais sur une colonne. C’est écrit à l’entrée « Date de naissance » de l’article 4, et ce n’est pas un détail de rédaction.
• Votre fiche entière, si le club n’est pas vérifié par nos soins.
• Les clubs que vous masquez, et votre dossier de vérification : seuls vous et notre équipe pouvez les lire — ni les autres dirigeants du club, ni aucun joueur. Les documents n’ont aucune adresse permanente : chaque lecture passe par un lien à durée limitée, cinq minutes pour une pièce d’identité, une heure pour une pièce de mandat.
• Le fait qu’il vous intéresse. Le vivier d’un club est entièrement privé, et vous n’en savez rien — un compteur d’intérêt visible desservirait celui qui est à zéro et n’apprendrait rien à celui qui est à dix.

Ce que notre équipe ne voit pas

Le back-office passe par les mêmes règles d’accès que le reste du site, jamais par une clé qui les contournerait. Quatre absences sont volontaires, et un contrôle automatisé les éprouve à chaque modification :

• Vos coordonnées privées et votre date de naissance. La table qui les porte ne reçoit aucune politique d’administration. Une exception, et elle est assumée : le téléphone que vous donnez dans un dossier de vérification, parce qu’un dossier dont on ne peut joindre l’auteur ne se traite pas. Ce numéro est donné pour cela, il vit dans le dossier et non dans votre fiche privée, et votre date de naissance n’y est jamais recopiée.
• Vos conversations, sauf celle qui fait l’objet d’un signalement ouvert. L’accès s’ouvre au signalement et se referme à son classement — c’est la politique d’accès qui le fait, pas l’interface.
• Les appréciations qu’un club porte sur ses licenciés, ses effectifs, ses présences et ses compositions d’équipe.
• Les clubs que vous masquez, et vos statistiques de saison.

Le CRM interne n’affiche d’ailleurs ni téléphone, ni date de naissance, ni statistiques, ni consultations de fiche : ce n’est pas un choix d’écran, c’est que ces tables ne nous sont pas ouvertes.

Un club vérifié tient l’effectif de ses équipes sur la plateforme. Les personnes qui y figurent n’ont pas forcément de compte ici — c’est même la situation la plus courante, et beaucoup sont mineures. Ce sont donc des données de tiers, dont le club est responsable et dont nous limitons le contenu au strict nécessaire à la gestion d’une équipe.

L’année sert au surclassement et à la pyramide des âges d’un groupe ; l’application affiche d’ailleurs « ~24 ans » et non « 24 ans », parce que c’est tout ce qu’une année permet d’affirmer. La note libre, elle, est le champ qui demande le plus de retenue : c’est un texte écrit par un bénévole sur une personne qui n’a pas de compte, souvent mineure, et le club s’engage à n’y porter aucune information médicale ni aucun jugement qu’il ne pourrait pas assumer devant la famille.

Ce que le club enregistre d’autre

• Ce qui se passe sur le terrain : minutes jouées, buts, passes, cartons, arrêts, présence aux entraînements, et les convocations envoyées avec la réponse de chacun.
• Les notes et appréciations du staff — ce qui a marché, ce qui est à travailler, une note sur dix. Elles ne sortent jamais du club : ni les autres clubs, ni la personne concernée, ni notre équipe n’y ont accès par l’application.
• Le covoiturage d’un match : le nom d’un conducteur — souvent un parent qui n’a aucune fiche ici, saisi comme un simple texte —, son point de départ, son heure, et qui monte avec qui. Les familles convoquées voient les prénoms abrégés des passagers, ce qui est nécessaire pour qu’un conducteur sache qui il charge, et jamais qui a accepté ou refusé sa convocation.
• La feuille de match déposée. Le document nomme les licenciés des deux clubs, avec leurs numéros de licence. Point important : rien de ce qui est lu n’est conservé — le texte extrait ne fait qu’un aller-retour vers l’écran du coach, et seuls des identifiants de fiches du propre effectif du club sont enregistrés. Aucune colonne ne porte un nom de joueur. Le fichier, lui, reste, dans un espace privé accessible aux seuls encadrants de l’équipe concernée.

Si vous avez un compte ici

Relier votre compte à une fiche d’effectif est une demande que vous acceptez, jamais une décision du club : un trigger refuse toute écriture directe de ce lien, et le seul chemin est votre réponse. Une fois le lien accepté, vous recevez vos convocations dans votre espace et vous y répondez. Vous n’y voyez ni la composition d’équipe, ni la stratégie, ni les réponses de vos coéquipiers, ni aucune note du staff. Une seule entorse, et elle est assumée : le covoiturage d’un match où vous êtes convoqué vous montre les prénoms abrégés des personnes assises dans chaque voiture, parce qu’un covoiturage où le conducteur ne peut pas identifier qui il charge ne sert à rien. La ligne est tracée là : on voit qui est dans une voiture, jamais qui a accepté ou refusé sa convocation.

Pour demander l’accès, la rectification ou l’effacement de ces données, le plus direct est de s’adresser au club. Notre équipe reste joignable à contact@pelouz.fr si cette voie n’aboutit pas, et nous assistons le club dans le traitement de la demande.

Un club peut publier un événement — assemblée générale, loto, stage, détection, portes ouvertes — et y ouvrir des inscriptions. Le formulaire est public, et c’est tout son intérêt : la plupart des familles d’un club amateur n’ont pas de compte ici. C’est aussi le traitement le plus sensible du produit, et il est décrit en entier.

• Le club est responsable de sa liste, nous en sommes le sous-traitant. Les inscriptions ne sont lisibles que des personnes qui tiennent l’événement — une portée plus étroite que celle de l’événement, que tout le staff voit.
• La liste est conservée jusqu’à ce que le club la supprime, et aucune purge automatique ne s’en charge. C’est le club qui tient la liste et qui décide quand elle n’a plus d’usage : il peut la vider inscrit par inscrit, ou d’un coup en supprimant l’événement. C’est une décision assumée, avec trois contreparties : le lien de désinscription vit dans l’e-mail, l’écran du club affiche l’âge de la liste pour qu’une liste oubliée se voie, et cette page le dit.
• Le club ne reçoit rien d’autre que ce que vous tapez : si vous avez un compte ici, nous ne lui transmettons ni votre fiche, ni vos coordonnées, ni aucune donnée de ce compte. Une inscription à un événement ne vous fait pas entrer dans son effectif.
• Le club garde la trace de ses envois — à quelle date, par quels canaux, à combien de personnes, et le mot qui est parti. Les comptes sont figés au moment de l’envoi : la question est « qui a été prévenu », pas « qui le serait aujourd’hui ».

Le compte est celui de l’enfant, et un adulte le tient

L’identité enregistrée est celle du joueur — c’est son nom que son club cherche dans son effectif. Le représentant légal n’a pas de fiche à lui : il est nommé sur le compte de l’enfant, et c’est son adresse e-mail et son téléphone qui figurent comme coordonnées du compte.

La fiche naît en retrait

La fiche d’un mineur est créée invisible des clubs comme des autres joueurs, et la règle est tenue par la base : même un écran qui demanderait l’inverse ne peut pas la publier. Seul le représentant légal l’ouvre, depuis l’écran de confidentialité. C’est son geste, jamais un défaut.

Le consentement, son retrait, et la majorité

• Le retrait du consentement se demande à tout moment, à contact@pelouz.fr ou depuis l’espace d’assistance. Le consentement étant la condition d’existence du compte, son retrait entraîne la suppression du compte et de la fiche. Un geste moins radical existe et suffit souvent : remettre la fiche en retrait, ce qui la rend à nouveau invisible sans rien supprimer.
• À dix-huit ans, rien ne se transfère : le compte est déjà celui du joueur, qui en reprend le mot de passe. Les colonnes du représentant légal ne sont pas effacées à cette date — qui a consenti, et quand, reste la trace de la licéité du traitement, et un parent qui corrige l’orthographe de son nom six mois plus tard ne consent pas à nouveau.
• Un mineur ne peut pas ouvrir de compte d’encadrant ni de dirigeant de club.

Les mineurs qui n’ont pas de compte

Deux autres traitements concernent des mineurs sans compte, et ils sont décrits plus haut : les fiches d’effectif d’un club (article 6) et les inscriptions à un événement (article 7). Dans les deux cas, le club est responsable du traitement, les données collectées sont réduites au minimum — jamais la date complète de naissance, jamais de coordonnée sur une fiche d’effectif — et c’est au club d’informer les familles.

La colonne de droite distingue deux choses qu’on confond souvent, et qui ne valent pas la même chose : ce que le code efface tout seul, et ce à quoi nous nous engageons sans qu’une tâche automatique ne s’en charge encore.

Vos données ne sont ni vendues, ni louées, ni cédées. Elles sont communiquées à trois catégories de destinataires, et à aucune autre.

Les autres utilisateurs, dans le périmètre que vous choisissez

C’est l’objet du service : un club vérifié lit votre fiche, un correspondant lit vos messages. Ce périmètre est décrit aux articles 4 et 5, et vous le réglez vous-même.

Nos sous-traitants techniques

Chacun est lié par un contrat conforme à l’article 28 du RGPD. Aucun n’est autorisé à utiliser vos données pour son propre compte.

Les autorités, sur demande légale

Nous répondons aux demandes des autorités judiciaires et administratives lorsqu’elles sont fondées en droit, et seulement dans le périmètre de la demande.

Ce que nous ne recevons pas, et ce que nous n’envoyons pas

Les données publiques des clubs — fiches, calendriers, résultats — sont lues depuis le registre fédéral et depuis l’API Géo de l’État. Ce sont des flux entrants : aucune donnée personnelle ne part vers eux. Aucun réseau social, régie publicitaire ou outil de mesure d’audience n’est intégré au site.

La base de données et les fichiers déposés sont hébergés dans l’Union européenne. Les traitements serveur s’exécutent dans la région configurée pour le projet chez notre hébergeur ; une seule tâche planifiée épingle explicitement Paris, et [À COMPLÉTER : vérifier et consigner la région par défaut du projet Vercel, qui n’est pas fixée dans le dépôt]. Deux flux sortent par ailleurs de l’Union, et ils sont nommés plutôt que passés sous silence :

• L’acheminement des e-mails par Resend, société américaine : votre adresse e-mail et le contenu du message transitent par ses serveurs.
• La remise des notifications poussées par les services de Google, Mozilla et Apple. La charge est chiffrée de bout en bout : ces services acheminent un message qu’ils ne peuvent pas lire.

Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est inscrit, par son adhésion au cadre de protection des données UE–États-Unis. Les sociétés Vercel et Supabase sont américaines, mais le stockage se fait dans la région européenne que nous avons choisie ; un accès depuis les États-Unis à des fins de support est encadré par les mêmes clauses. [À COMPLÉTER : vérifier et consigner, prestataire par prestataire, la garantie effectivement retenue — clauses types signées ou adhésion au cadre UE–États-Unis]

Vous pouvez les supprimer depuis les réglages de votre navigateur. Supprimer le cookie de session vous déconnecte ; supprimer les autres ne fait perdre qu’une préférence d’affichage, ou l’attribution d’un parrainage.

Les notifications poussées ne reposent pas sur un cookie mais sur une autorisation du navigateur, que vous accordez explicitement et qui se retire depuis les réglages du site dans votre navigateur. Un refus est détecté et coupe le canal, pour que vos réglages ne promettent pas un envoi qui ne peut plus arriver.

Les règles de confidentialité ne sont pas implémentées dans les pages mais dans les politiques de sécurité au niveau des lignes de la base de données. La conséquence pratique est la seule qui compte : un défaut dans une page ne peut pas faire fuiter un numéro de téléphone, parce que la page n’y a pas accès non plus.

• Les mots de passe sont stockés sous forme de condensat, par notre service d’authentification. Nous ne les connaissons pas et ne pouvons pas les lire.
• Tout est chiffré en transit (HTTPS), et les données au repos le sont par l’hébergeur.
• Les fichiers sensibles ne sont jamais publics. Vidéos, pièces d’un dossier et feuilles de match vivent dans des espaces privés, et ne se lisent que par des liens signés à durée limitée — cinq minutes pour une pièce d’identité.
• Les accès de notre équipe sont nominatifs et journalisés, en ajout seul. Personne ne réécrit l’historique, nous compris.
• Les garanties sont éprouvées automatiquement. Une série de contrôles rejoue, avec de vraies sessions, chacune des promesses de cette page — le téléphone masqué, le masquage d’un club, l’impossibilité pour un club de réécrire une statistique qu’il atteste, l’impossibilité pour un destinataire de réécrire le texte de sa propre notification. Un contrôle qui tombe bloque la mise en production.

En cas de violation de données susceptible d’engendrer un risque pour vos droits, nous en informons la CNIL dans les 72 heures et vous en informons directement lorsque le risque est élevé. Une faille se signale à contact@pelouz.fr ; un signalement de bonne foi n’expose son auteur à aucune mesure.

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité, d’opposition, et du droit de retirer votre consentement à tout moment.

Ce que vous faites déjà vous-même, sans rien demander

• Modifier chaque information de votre fiche, de votre parcours, de votre carte.
• Retirer votre fiche de la recherche, ou masquer un club précis.
• Voir qui a consulté votre fiche.
• Régler vos notifications, canal par canal et événement par événement.
• Vous désinscrire d’un événement, depuis le lien de l’e-mail, sans compte.
• Refuser d’être rattaché à l’effectif d’un club, ou annuler un rattachement accepté.

Ce qui passe par une demande

Pour l’accès à l’ensemble de vos données, leur portabilité, la suppression de votre compte, ou toute autre demande : écrivez à contact@pelouz.fr ou ouvrez une demande depuis l’espace d’assistance.

• Nous répondons sous un mois, prolongeable de deux mois pour une demande complexe, auquel cas nous vous le disons avant l’échéance.
• C’est gratuit, et ça le restera quelle que soit l’évolution des offres payantes.
• Nous pouvons vous demander de justifier votre identité, mais seulement si un doute raisonnable existe — et jamais une copie de pièce d’identité pour une demande venant de l’adresse e-mail du compte.
• Votre droit d’accès porte aussi sur ce que notre équipe a écrit à votre sujet : la note interne, les étiquettes, la note d’un appel de vérification, le motif d’un refus. Ce ne sont pas des données déclarées, mais ce sont vos données.
• Pour les données qu’un club traite sur ses licenciés ou ses inscrits, adressez-vous au club, qui en est responsable. Si cette voie n’aboutit pas, écrivez-nous : nous assisterons le club, et nous vous le dirons si nous ne pouvons pas répondre à sa place.

Enfin, vous pouvez introduire une réclamation auprès de la CNIL à tout moment, sans nous avoir écrit d’abord.

Cette page suit le produit. Un nouveau traitement, une durée de conservation qui passe du côté du code, un sous-traitant qui change : la page est corrigée et la date en tête mise à jour.

• Une modification substantielle — nouvelle finalité, nouvelle catégorie de données, nouveau destinataire — est annoncée au moins trente jours avant son entrée en vigueur, par notification et par e-mail.
• Lorsque le traitement repose sur votre consentement, un nouveau consentement vous est demandé : nous ne l’étendons jamais par défaut.
• Les versions précédentes sont communiquées sur demande à contact@pelouz.fr.