Politique de Confidentialité & RGPD
Dernière mise à jour : 20 avril 2026
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées via la plateforme BoulesConnect est :
MADSAAS SAS
05110 Lardier-et-Valença, France
SIREN : 821 350 600 — SIRET : 821 350 600 00036 — TVA : FR00821350600
Représentée par M. Marc-Antoine DUTOIT, Président
Contact protection des données : dpo@boulesconnect.fr
2. Données collectées selon votre rôle
Joueur / Membre
Nom, email, date de naissance, n° de licence, équipes & résultats sportifs, ville
Organisateur
Profil organisation, données Stripe Connect (KYC : identité, IBAN), données de facturation
Responsable de club
Profil club, liste des membres, demandes d'adhésion
Nous appliquons le principe de minimisation (Art. 5.1.c RGPD) : seules les données strictement nécessaires à chaque rôle sont collectées.
3. Tableau détaillé des traitements
Pour chaque donnée : finalité, base légale, caractère obligatoire ou facultatif, et durée de conservation.
| Donnée | Finalité | Base légale | Caractère | Durée |
|---|---|---|---|---|
| Nom et prénom | Identification, profil, résultats sportifs publics | Exécution du contrat | Oui (inscription impossible sans) | Durée du compte + 3 ans (prescription civile) |
| Adresse email | Connexion, notifications, communications de service | Exécution du contrat | Oui | Durée du compte + 3 ans |
| Numéro de téléphone | Contact capitaine d'équipe, alertes de dernière minute | Intérêt légitime (contact opérationnel le jour du concours) | Non (facultatif) | Durée du compte |
| Date de naissance | Catégories d'âge FFPJP (Minimes, Cadets, Juniors, Seniors, Vétérans) | Exécution du contrat + obligation sportive | Oui | Durée du compte + 5 ans |
| Numéro de licence fédérale (FFPJP…) | Renseigné par l'utilisateur pour l'inscription, l'organisation et les exports. Non vérifié automatiquement auprès d'un référentiel fédéral dans cette version. | Exécution du contrat | Oui pour les concours réservés aux licenciés | Durée du compte + 5 ans |
| Résultats et classements sportifs | Historique du joueur, podiums publics, archives sportives | Intérêt légitime (publication des résultats de compétitions sportives publiques) | Généré par votre participation | Archivage indéfini (résultats publics), dissociés du compte en cas de suppression |
| Données de localisation (ville, département, GPS navigateur) | Recherche de concours par proximité | Consentement (géoloc précise navigateur) / Exécution du contrat (ville déclarée) | Non pour la géoloc précise | Session / Durée du compte |
| Données de paiement (Stripe) | Traitement des paiements d'inscription | Exécution du contrat | Oui pour les inscriptions payantes | Données CB : jamais stockées chez nous. Transactions (montant, date, parties) : 10 ans (obligation comptable, art. L.123-22 C. com.) |
| Données KYC organisateurs (Stripe Connect) | Vérification d'identité et d'IBAN pour les virements | Obligation légale (LCB-FT, art. L.561-5 et s. CMF) | Oui pour devenir organisateur payant | 5 ans après la fin de la relation (art. L.561-12 CMF) — responsable : Stripe |
| Données de connexion (IP, user-agent, horodatages) | Sécurité, détection de fraude, preuves en cas de litige | Intérêt légitime (test de balance effectué) + Obligation légale (LCEN) | Collectées automatiquement | 12 mois (décret n° 2021-1362) |
| Cookies techniques (session, refresh token, CSRF) | Maintien de session authentifiée, protection CSRF | Exempt de consentement (strictement nécessaire — art. 82 LIL) | Oui pour utiliser les espaces connectés | 7 jours (refresh), session (autres) |
| Cookies analytiques (si activés) | Mesure d'audience anonymisée | Consentement (art. 82 LIL) | Non | 13 mois maximum (reco CNIL) |
Les traitements fondés sur l'intérêt légitime font l'objet d'un test de balance interne documenté (« Legitimate Interest Assessment ») vérifiant que vos droits et libertés ne sont pas disproportionnellement impactés. Vous pouvez vous y opposer à tout moment (voir section « Vos droits »).
4. Données collectées indirectement (Art. 14 RGPD)
Dans le cadre de la constitution de son annuaire des clubs de petanque, de jeu provencal et de boule lyonnaise, BoulesConnect collecte des informations publiquement disponibles a partir des annuaires officiels des federations (FFPJP, FFBL). Les donnees concernees sont strictement des donnees d'identification d'organisations : nom du club, numero d'affiliation, adresse, coordonnees de contact et, le cas echeant, nom et coordonnees professionnelles du president ou du secretaire lorsqu'ils ont ete rendus publics par le club sur les sites des federations.
Source : pages publiques des sites ffpjp.org et ffbl.fr.
Finalite : permettre aux joueurs de rechercher un club par zone geographique et discipline, aux organisateurs de contacter les clubs pour leurs evenements, et aux clubs de revendiquer et enrichir leur fiche sur BoulesConnect.
Base legale : interet legitime (Art. 6.1.f RGPD). Une analyse d'interet legitime (LIA) a ete documentee et est disponible sur demande a dpo@boulesconnect.fr.
Conservation : tant que le club figure dans l'annuaire officiel de sa federation. En cas de depart de la federation, de demande d'opposition ou d'effacement, les donnees sont supprimees sous 30 jours (Art. 12.3 RGPD).
Vos droits : conformement aux articles 15 a 22 du RGPD, vous disposez d'un droit d'acces, de rectification, d'effacement, de limitation, d'opposition (Art. 21 — droit renforce car base legale = interet legitime) et de portabilite. Si vous etes responsable d'un club et souhaitez retirer, modifier ou revendiquer la fiche correspondante, utilisez le bouton « Retirer ma fiche » present sur chaque page de club ou ecrivez a dpo@boulesconnect.fr.
5. Mineurs (Art. 8 RGPD, Art. 45 LIL)
Conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, l'inscription sur BoulesConnect est réservée aux personnes âgées d'au moins 15 ans. Aucun compte ne peut être créé par ou pour un mineur de moins de 15 ans.
Les sports de boules comportent des catégories jeunes (Minimes, Cadets, Juniors). Les joueurs de 15 à 18 ans peuvent créer un compte et s'inscrire aux concours de manière autonome. Les titulaires de l'autorité parentale peuvent à tout moment demander l'accès, la rectification ou la suppression des données de leur enfant en contactant dpo@boulesconnect.fr.
6. Décisions automatisées et profilage (Art. 22)
BoulesConnect ne prend aucune décision produisant des effets juridiques ou affectant significativement les utilisateurs, fondée exclusivement sur un traitement automatisé, au sens de l'article 22 du RGPD.
Les traitements automatisés mis en œuvre (tri géographique des concours, suggestions de concours, détection de paiements frauduleux côté Stripe) sont de simples aides à la navigation ou à la sécurité, et n'emportent aucune conséquence juridique automatique.
7. Sous-traitants et destinataires
Vos données sont partagées uniquement avec les sous-traitants et responsables de traitement tiers suivants, dans la stricte limite de leur mission. Nous ne vendons jamais vos données.
Traitement des paiements d'inscription et virements vers les organisateurs (Stripe Connect Standard). Pour les données KYC des organisateurs, Stripe agit en qualité de **responsable de traitement indépendant** (relation contractuelle directe entre Stripe et l'organisateur). Pour les données de paiement des joueurs, Stripe agit en qualité de sous-traitant de BoulesConnect et de responsable de traitement indépendant pour ses propres obligations réglementaires.
Clauses contractuelles types UE + Stripe certifié EU-US Data Privacy Framework
Hébergement des serveurs applicatifs, de la base de données PostgreSQL et des sauvegardes. Aucune donnée n'est stockée hors de l'Union européenne chez ce sous-traitant.
Hébergeur UE — certifié ISO 27001 et ISO 27701
Envoi des emails de vérification, réinitialisation de mot de passe et notifications de concours.
Hébergement UE — certifié ISO 27001
8. Vos droits
Conformément au RGPD (Règlement UE 2016/679) et à la loi Informatique et Libertés, vous disposez des droits suivants :
Droit d'accès (Art. 15)
Obtenir confirmation du traitement de vos données et en recevoir une copie.
Droit de rectification (Art. 16)
Corriger des données inexactes ou compléter des données incomplètes. La plupart des corrections sont directement disponibles dans les paramètres de votre compte.
Droit à l'effacement (Art. 17)
Demander la suppression de votre compte. Les résultats sportifs publiés dans le cadre de compétitions officielles restent archivés (archives sportives publiques — art. 17.3.b RGPD), mais ils sont dissociés de votre espace personnel. Réponse sous 30 jours.
Droit à la portabilité (Art. 20)
Recevoir vos données dans un format structuré (JSON) et les transférer à un autre service. Export envoyé sous 30 jours.
Droit d'opposition (Art. 21)
Vous opposer au traitement fondé sur l'intérêt légitime, notamment la prospection commerciale (lien de désinscription dans chaque email marketing).
Droit à la limitation (Art. 18)
Demander la suspension temporaire du traitement de vos données dans les cas prévus par le RGPD.
Droit de retirer votre consentement (Art. 7.3)
Pour les traitements fondés sur votre consentement (cookies analytiques, géolocalisation précise), vous pouvez retirer votre consentement à tout moment, sans que cela ne compromette la licéité des traitements antérieurs.
Droit de définir des directives post-mortem
Conformément à la loi Informatique et Libertés (art. 85), vous pouvez définir des directives relatives au sort de vos données après votre décès, générales (auprès d'un tiers de confiance certifié CNIL) ou particulières (auprès de nous).
Comment exercer vos droits
Envoyez votre demande par email à dpo@boulesconnect.fr en indiquant votre adresse email de compte et la nature de votre demande. Une pièce d'identité pourra vous être demandée en cas de doute raisonnable sur votre identité (Art. 12.6 RGPD). Nous répondrons dans un délai maximum de 30 jours (Art. 12.3 RGPD), prolongeable de 2 mois pour les demandes complexes.
En cas de réclamation non résolue, vous pouvez saisir la CNIL : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou directement en ligne via cnil.fr/fr/plaintes.
9. Sécurité des données
MADSAAS SAS met en œuvre des mesures techniques et organisationnelles appropriées (Art. 32 RGPD) pour protéger vos données contre la perte, l'altération, la divulgation non autorisée ou l'accès illicite :
- Chiffrement en transit (HTTPS / TLS 1.3)
- Hachage des mots de passe (bcrypt)
- Authentification par tokens JWT à durée de vie courte (15 min) + rotation des refresh tokens
- Révocation centralisée des tokens en cas de déconnexion
- Contrôle d'accès par rôles (RBAC) avec principe du moindre privilège
- Hébergement en France (OVH Cloud, certifié ISO 27001 et ISO 27701)
- Sauvegardes régulières et chiffrées
- Journalisation des accès et actions sensibles (traçabilité)
- Procédure documentée de notification de violation (Art. 33/34 RGPD) : CNIL sous 72h, utilisateurs sans délai en cas de risque élevé
10. Cookies
La Plateforme utilise principalement des cookies strictement nécessaires à son fonctionnement (session, sécurité CSRF), exempts de consentement en application de l'article 82 de la loi Informatique et Libertés. Aucun cookie publicitaire ni tracker tiers n'est déposé sans votre consentement préalable.
Pour en savoir plus, consultez notre Politique de Cookies.
11. Transferts hors Union européenne
Vos données sont stockées et traitées dans l'Union européenne (OVH Cloud, France). Le seul transfert hors UE concerne Stripe, Inc. pour une partie du traitement des paiements. Ce transfert est encadré par :
- les Clauses Contractuelles Types adoptées par la Commission européenne (décision 2021/914),
- la certification de Stripe, Inc. au EU-US Data Privacy Framework.
12. Contact protection des données
MADSAAS SAS — Référent protection des données
Email : dpo@boulesconnect.fr
05110 Lardier-et-Valença, France
Délai de réponse : 30 jours maximum (Art. 12.3 RGPD), prolongeable de 2 mois pour les demandes complexes (vous en serez informé).
13. Modifications de la politique
MADSAAS SAS se réserve le droit de modifier la présente politique à tout moment. Toute modification substantielle sera notifiée aux Utilisateurs par email et/ou par notification sur la Plateforme au moins 15 jours avant son entrée en vigueur. La date de dernière mise à jour est indiquée en haut de ce document.