Politique de confidentialité

Cette politique concerne l’application ClubCast, accessible après création d’un compte. La page d’attente publiée avant l’ouverture du service dispose de sa propre politique, limitée à la liste d’information ; elle n’est pas remplacée par le présent document.

1. Le point à comprendre en premier : qui répond de quoi

ClubCast est un outil que des clubs utilisent pour enregistrer des informations sur des personnes : bénévoles, membres du bureau, licenciés, familles, invités, contacts d’entreprises partenaires.

ClubCast ne décide pas ce que les clubs enregistrent. Cette distinction n’est pas rhétorique : elle détermine à qui s’adresser pour exercer ses droits.

Les engagements de ClubCast comme sous-traitant figurent dans l’Annexe RGPD — Accord de sous-traitance, qui vaut contrat au sens de l’article 28 du RGPD et qui est communiquée à tout club sur demande.

2. Responsable du traitement

Baptiste BIDAULT, entrepreneur individuel exerçant sous le nom commercial ClubCast
47 rue Vivienne, 75002 Paris, France — SIREN 108 298 084
Contact : hello@clubcast.fr

ClubCast n’est pas tenu de désigner un délégué à la protection des données. L’adresse ci-dessus est le point de contact unique pour toute question relative aux données personnelles.

3. Traitements dont ClubCast est responsable

3.1 Compte et authentification

Données : adresse électronique, mot de passe sous forme chiffrée irréversible, état de confirmation de l’adresse, dates de création et de dernière connexion, clubs de rattachement, rôle et périmètre, date d’expiration éventuelle de l’accès, jetons de session.

Finalité : créer et sécuriser l’accès, vérifier l’identité, appliquer les droits d’accès, permettre la récupération d’un mot de passe. Base légale : exécution du contrat (article 6.1.b du RGPD). Durée : pendant toute la vie du compte, puis suppression dans les conditions de l’article 7.

3.2 Invitations

Données : adresse électronique du destinataire, rôle proposé, note éventuelle, identifiant de la personne ayant invité, jeton d’invitation, dates d’expiration, d’acceptation ou de révocation. Une invitation expire automatiquement au bout de quatorze (14) jours.

Finalité : permettre à un club d’ouvrir un accès à une personne qu’il a choisie. Base légale : exécution du contrat, l’invitation étant émise à l’initiative et sous la responsabilité du club. Durée : conservée avec l’espace du club, puis supprimée avec lui.

3.3 Abonnement et facturation

Données : offre souscrite, statut de l’abonnement, dates de début, de fin, de période et d’essai, identifiants du client et de l’abonnement chez le prestataire de paiement, identifiant de la dernière facture, événements de facturation reçus.

Finalité : exécuter l’abonnement, encaisser, éditer les factures, respecter les obligations comptables. Base légale : exécution du contrat (6.1.b) et obligation légale (6.1.c). Durée : les pièces comptables sont conservées dix (10) ans à compter de la clôture de l’exercice, conformément à l’article L. 123-22 du code de commerce. Cette conservation survit à la fermeture du compte.

3.4 Mesure de la consommation de l’assistant

Données : identifiant du club, identifiant de l’utilisateur ayant lancé la génération, fonction appelée, modèle utilisé, nombre de jetons consommés, durée, statut de réussite ou d’échec, code d’erreur, coût estimé, identifiant technique de l’appel, empreinte d’unicité de la demande.

Finalité : décompter les crédits inclus dans l’offre, rembourser automatiquement un crédit en cas d’échec, empêcher le double débit d’une même demande, maîtriser les coûts et détecter un usage anormal. Base légale : exécution du contrat (6.1.b) et intérêt légitime de ClubCast à maîtriser les coûts d’un service à prix fixe (6.1.f). Durée : pendant la durée du contrat ; supprimées avec l’espace du club.

3.5 Journal d’activité

Données : identifiant du club, identifiant de l’auteur de l’action, nature de l’action, type et identifiant de l’élément concerné, métadonnées de contexte, date.

Finalité : tracer les actions importantes, permettre à un club de comprendre qui a fait quoi, établir la preuve en cas de litige ou d’incident de sécurité. Base légale : intérêt légitime à la traçabilité et à la sécurité (6.1.f). Durée : pendant la durée du contrat ; supprimé avec l’espace du club.

3.6 Sécurité et prévention des abus

Selon le dispositif :

• limites de cadence : identifiant du club, identifiant de l’utilisateur, type d’action, fenêtre horaire, nombre d’appels ;
• formulaire public de demandes : une empreinte irréversible calculée à partir de l’adresse IP et du navigateur du visiteur, combinés à un secret serveur, avec le résultat de la tentative et son motif de refus éventuel. L’adresse IP n’est jamais enregistrée en clair et ne peut pas être reconstituée à partir de l’empreinte ;
• unicité de l’essai gratuit : une empreinte irréversible de l’adresse électronique du propriétaire, l’identifiant du compte, celui du club d’origine et la date.

Finalité : protéger le service contre les envois massifs, les inscriptions automatisées et le contournement de la règle d’un seul essai gratuit par club. Base légale : intérêt légitime à la sécurité du service et à la prévention de la fraude (6.1.f).

Durée : sept (7) jours pour les limites de cadence, trente (30) jours pour les empreintes du formulaire public — la purge est automatique —, et pour l’unicité de l’essai, aussi longtemps que cette règle est appliquée, la règle n’ayant pas de sens si la trace disparaît.

3.7 Courriers électroniques de service

Données : adresse électronique du destinataire, contenu du message, état de remise transmis par le prestataire d’envoi. Sont concernés : confirmation d’adresse, réinitialisation de mot de passe, invitation à rejoindre un club, notification d’une nouvelle demande, réponse adressée à l’auteur d’une demande, messages relatifs à l’abonnement.

Ces messages ne sont pas de la prospection commerciale. ClubCast n’envoie aucune lettre d’information et ne cède aucune adresse à des tiers. Base légale : exécution du contrat.

3.8 Support et réclamations

Données : coordonnées, contenu des échanges, éléments techniques transmis. Finalité : répondre aux demandes, traiter les réclamations, les signalements de contenu illicite et les demandes d’exercice de droits. Base légale : exécution du contrat et intérêt légitime à conserver la trace d’une réclamation ; obligation légale pour les demandes d’exercice de droits. Durée : trois (3) ans à compter du dernier échange.

4. Données traitées pour le compte des clubs

Dans l’espace d’un club, ClubCast traite, sur instruction de ce club et sans en déterminer les finalités :

• l’identité et les coordonnées des personnes du bureau, bénévoles, entraîneurs, responsables et référents ;
• leurs compétences, disponibilités, responsabilités, charge, présence en réunion et participation aux missions ;
• les demandes reçues, leur contenu, les pièces jointes et les échanges, y compris lorsqu’elles proviennent de familles sans compte ;
• les dépenses, recettes, avances de frais et justificatifs, avec les personnes et fournisseurs concernés ;
• les invités d’une manifestation, leurs options de repas, leur placement et leur présence ;
• les contacts au sein des entreprises partenaires ;
• les documents déposés par le club ;
• les notes libres saisies dans les fiches, les tâches et les réunions.

Finalité et base légale : déterminées par le club. Durée : celle décidée par le club, dans la limite de la durée du contrat augmentée de la période transitoire de trente (30) jours.

Une personne dont les données ont été enregistrées par un club adresse ses demandes à ce club. Une demande reçue par ClubCast est transmise au club sans délai, et son auteur en est informé ; ClubCast ne répond jamais directement à la place du club.

5. Origine des données

• de vous, lorsque vous créez un compte, saisissez des informations ou déposez un fichier ;
• d’un club, lorsqu’il enregistre des informations vous concernant sans que vous ayez de compte — c’est le cas le plus fréquent pour un bénévole, un invité ou un contact ;
• du formulaire public, lorsque vous adressez une demande à un club sans créer de compte ;
• de Stripe, pour l’état de l’abonnement et des paiements ;
• de votre navigateur, pour les seules données techniques nécessaires à la session et à la sécurité.

6. Destinataires

Les données ne sont ni vendues, ni louées, ni cédées, ni transmises à des tiers à des fins commerciales ou publicitaires.

6.1 Au sein d’un club

L’accès est déterminé par le rôle et le périmètre attribués par le club. Les contrôles sont appliqués en base de données à chaque requête : masquer un bouton ne constitue jamais une permission. Un responsable d’équipe n’accède ni aux autres équipes, ni aux finances globales, ni aux documents de portée club, ni aux réunions de bureau.

Les besoins alimentaires renseignés pour une soirée sont stockés séparément et réservés aux personnes habilitées.

6.2 Prestataires techniques

Chacun est lié par un contrat lui interdisant tout usage propre des données.

6.3 Autorités

Les données peuvent être communiquées à une autorité administrative ou judiciaire sur réquisition régulière.

7. Durées de conservation

Les suppressions effectuées dans la Plateforme passent d’abord par une corbeille réversible : un élément supprimé cesse d’être visible mais reste récupérable, afin d’éviter les pertes accidentelles. Il disparaît définitivement avec l’espace du club.

8. Sécurité

• chiffrement des communications, en-têtes de sécurité stricts et politique de sécurité de contenu à valeur unique par requête ;
• chiffrement des données au repos chez l’hébergeur de base de données ;
• cloisonnement strict de chaque club et contrôle des droits en base à chaque requête ;
• fichiers stockés dans un espace privé, jamais public, servis par des liens signés valables cinq minutes, et contrôlés sur leur contenu binaire réel avant enregistrement ; un PDF embarquant un élément actif — script, action au lancement, pièce jointe intégrée — est refusé au dépôt ;
• mots de passe stockés sous forme chiffrée irréversible ;
• limitations automatiques contre les usages abusifs ;
• journaux d’activité en écriture seule pour les sessions clientes ;
• sauvegardes quotidiennes, avec une procédure de restauration documentée et éprouvée par un exercice réel.

En cas de violation de données, ClubCast informe le club concerné dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, et notifie la CNIL lorsqu’il y est tenu.

Aucune mesure ne supprime tout risque. Le choix d’un mot de passe robuste, le retrait des accès des personnes qui quittent le club et l’interdiction du partage de compte relèvent des utilisateurs et du club.

9. Fonctions d’intelligence artificielle

Ce qui se passe lorsqu’une génération est lancée :

• seules les données nécessaires à la fonction demandée sont transmises au fournisseur de modèle, après vérification des droits côté serveur ;
• les contenus ne sont pas conservés par le fournisseur au titre du service : les appels sont émis avec l’option de non-conservation. Le fournisseur peut conserver temporairement des éléments à des fins de sécurité, selon ses propres engagements ;
• les contenus ne servent à entraîner aucun modèle, ni chez ClubCast, ni chez le fournisseur ;
• ClubCast ne journalise aucun contenu, ni en entrée, ni en sortie : seules les métadonnées listées à l’article 3.4 sont enregistrées ;
• l’utilisateur à l’origine de l’appel est transmis sous la forme d’un identifiant pseudonymisé irréversible, à des fins de sécurité, et jamais sous son adresse électronique ;
• la sortie est un brouillon : rien n’est enregistré, créé, publié ni envoyé sans une action humaine distincte.

10. Absence de décision automatisée et de profilage

En particulier : l’assistant n’attribue aucun accès, ne modifie aucune permission, ne valide aucune dépense, ne déclenche aucun remboursement, n’affecte jamais automatiquement une personne à une tâche ou à une mission. Lorsqu’une suggestion de responsable est affichée, elle résulte soit d’un nom prononcé en réunion et rapproché d’une fiche existante, soit d’un classement déterministe fondé sur les compétences enregistrées ; l’origine est affichée et la désignation reste humaine.

Aucun profilage à des fins publicitaires, commerciales ou d’évaluation de personnes n’est réalisé.

11. Cookies et mesure d’audience

La Plateforme n’utilise aucun cookie publicitaire et aucun traceur permettant de vous suivre d’un site à l’autre. Aucun bandeau de consentement n’est affiché : les seuls cookies déposés sont strictement nécessaires au service que vous demandez, et sont à ce titre dispensés de consentement.

La page d’accueil publique — et elle seule — utilise Vercel Web Analytics pour compter les visites. Cet outil ne dépose aucun cookie, ne stocke rien sur votre appareil et ne collecte aucune donnée à caractère personnel : il ne conserve ni adresse IP, ni identifiant, et ne permet ni de vous reconnaître d’une visite à l’autre, ni de vous suivre sur d’autres sites. Les statistiques produites sont exclusivement agrégées. À ce titre, la mesure relève de l’exemption de consentement prévue pour les outils de mesure d’audience strictement limités à cette finalité.

La mesure est assurée par l’hébergeur de la Plateforme, déjà mentionné à l’article 6.2 : elle n’introduit aucun destinataire nouveau et aucun script provenant d’un autre domaine.

Aucun outil de mesure n’est actif dans l’espace connecté du Club : l’activité qui y est enregistrée l’est par le journal d’activité de la Plateforme, décrit à l’article 3, et à d’autres fins.

Ces cookies ne suivent votre navigation sur aucun autre site. Les supprimer vous déconnecte et rétablit le club affiché par défaut.

12. Transferts hors Union européenne

La base de données et les fichiers sont hébergés dans l’Union européenne.

Certains prestataires listés à l’article 6.2 sont établis aux États-Unis ou peuvent y accéder pour l’exploitation du service. Ces transferts sont encadrés par les garanties du chapitre V du RGPD : clauses contractuelles types de la Commission européenne et, le cas échéant, certification au titre du cadre de protection des données UE — États-Unis, complétées par le chiffrement en transit, la minimisation des données transmises et la non-conservation des contenus par le fournisseur de modèles d’intelligence artificielle.

Une copie des garanties applicables est communiquée sur demande écrite.

13. Mineurs

L’ouverture d’un compte est réservée aux personnes majeures. La Plateforme n’est pas destinée aux mineurs et aucun compte ne doit leur être attribué.

Un club peut être amené à enregistrer des données concernant des mineurs dans le cadre de son activité. Il agit alors en qualité de responsable du traitement et il lui appartient de recueillir les autorisations parentales requises. Une demande relative aux données d’un mineur s’adresse au club.

14. Données sensibles

La Plateforme n’est pas conçue pour héberger des données de santé et ne bénéficie d’aucune certification d’hébergeur de données de santé. Le dépôt de certificats médicaux, ordonnances ou pièces médicales y est contractuellement interdit.

Le champ « besoins alimentaires » d’une soirée peut révéler une information relevant de l’article 9 du RGPD. Il est stocké dans un emplacement distinct de la fiche de l’invité, il reste facultatif, et son accès est réservé aux personnes chargées du repas — les gestionnaires du club et le responsable du pôle « Repas et traiteur ». Cet accès cesse immédiatement lorsque la personne quitte le club.

Le club ne renseigne ce champ qu’avec le consentement explicite de la personne concernée. La Plateforme ne recueille pas ce consentement elle-même — l’invité n’a pas de compte — mais elle en exige et conserve l’attestation : le membre du club qui saisit l’information déclare avoir informé la personne et obtenu son accord, et cette déclaration est enregistrée avec son identité et son horodatage. Sans elle, rien n’est enregistré.

Cette information est supprimée automatiquement sept jours après la fin de l’événement. Sa finalité est de servir le bon plat au bon convive : elle s’éteint avec le repas, et le délai ne couvre que la clôture de la soirée.

15. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, à la portabilité, et du droit de définir des directives post-mortem sur le sort de vos données.

Où s’adresser :

• données saisies par un club vous concernant — bénévole, invité, auteur d’une demande, contact partenaire : auprès du club. ClubCast n’a pas qualité pour y répondre à sa place et lui transmet toute demande reçue ;
• compte, abonnement, facturation, consommation, sécurité : auprès de ClubCast, à hello@clubcast.fr.

ClubCast répond dans un délai d’un mois, prolongeable de deux mois pour une demande complexe, avec information sur la prolongation. Une pièce justificative d’identité peut être demandée en cas de doute raisonnable.

Portabilité et export. Les exports proposés dans la Plateforme sont accessibles quelle que soit l’offre souscrite, y compris l’offre gratuite. Les données qui ne disposent pas d’un export en libre-service sont extraites sur demande, sans frais, dans un délai de trente (30) jours.

Suppression du compte ou de l’espace d’un club. La demande s’effectue par courrier électronique à hello@clubcast.fr, depuis l’adresse du propriétaire de l’espace. Elle est exécutée dans un délai de trente (30) jours, sous réserve de la période transitoire de réversibilité et des conservations légales mentionnées à l’article 7.

Réclamation. Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07, ou sur cnil.fr. Un échange préalable avec ClubCast n’est pas un préalable obligatoire.

16. Modification de cette politique

Cette politique peut être modifiée pour tenir compte d’évolutions du service ou de la réglementation. Toute modification substantielle est notifiée par courrier électronique et annoncée dans la Plateforme au moins trente (30) jours avant son entrée en vigueur. La version et la date figurent en tête du document.

17. Contact

hello@clubcast.fr
Baptiste BIDAULT — ClubCast, 47 rue Vivienne, 75002 Paris, France

À lire avec les Conditions Générales d’Utilisation et les Conditions Générales de Vente.