Élément en attente — information non définitiveBrouillon pour relecture juridique et linguistique. Ce n’est pas la version définitive. Le nom, le NIF et le domicile fournis ont été ajoutés. Ce texte n’est pas un avis juridique ni une déclaration de conformité au RGPD ou à la LOPDGDD.
Politique de confidentialité
Cette politique décrit les traitements que le code du site réalise aujourd’hui. Lorsqu’une donnée, une base juridique ou une durée n’est pas confirmée, elle est indiquée comme en attente. Publier cette politique ne signifie pas que le RGPD ou la LOPDGDD sont pleinement respectés.
Responsable
Le responsable du traitement est JUAN JOSE MENA CASANOCA, personne physique, NIF 46754258L.
Domicile : Bajada de Gomis número 1, 08023 Barcelona, Espagne.
Contact : hola@adoptaunebiker.com.
Quelles données sont collectées à l’inscription
Le formulaire de demande demande : prénom, nom, courriel, pays, ville, si tu es vétéran ou débutant par discipline, disciplines d’intérêt, vélo, comment tu roules et ce que tu cherches, et la langue de la demande.
Un brouillon est stocké uniquement dans ton navigateur (sessionStorage), dans cet onglet, jusqu’à l’envoi ou la fermeture. Rien n’est envoyé au serveur avant que tu appuies sur envoyer.
Demandes, membres et authentification
La demande est enregistrée pour que l’organisation la examine. Si elle est refusée ou supprimée, le code n’envoie pas de courriel à la personne. La ligne de la demande reste dans la base jusqu’à une suppression manuelle.
Si elle est acceptée, un compte et un profil sont créés, et un courriel opérationnel est envoyé avec l’accès. La demande acceptée n’est pas effacée : elle est marquée comme acceptée. La première connexion exige de changer le mot de passe.
L’organisation peut mettre à jour la fiche, activer ou désactiver une place, réinitialiser le mot de passe et laisser des notes internes. La désactivation rend la place inactive et bloque l’accès à l’intranet ; elle n’efface pas à elle seule le profil.
Courriels
Aujourd’hui, seuls des courriels opérationnels sont envoyés : bienvenue à l’acceptation d’une demande et avis en cas de réinitialisation du mot de passe. Ces messages sont nécessaires pour gérer les demandes, les comptes et le fonctionnement de la communauté.
Il n’y a ni newsletter ni promotions commerciales. Aucun consentement marketing n’est demandé, car cette finalité n’est pas active. Si une newsletter est proposée plus tard, cette politique et le mécanisme de consentement seront revus.
Strava
Connecter Strava est volontaire et optionnel, et n’est disponible que pour les membres connectés. Le site demande des droits de lecture du profil et des activités. Cette autorisation d’accès est donnée sur Strava ; elle n’est pas, à elle seule, la base juridique du traitement ultérieur de ces données sur Adopta un eBiker.
Sont enregistrés l’identifiant d’athlète, le nom, les jetons d’accès et de renouvellement, et jusqu’à quarante sorties à vélo (nom, type, distance, dénivelé, temps, date, tracé résumé, lien et caractère privé).
Les sorties non privées peuvent être vues sur la fiche du peloton. En se déconnectant, le compte local et les activités enregistrées sont effacés, et une révocation de l’accès est tentée auprès de Strava.
Prestataires qui interviennent aujourd’hui
Élément en attente — information non définitive
Les services suivants apparaissent dans le code ou dans le déploiement actuel. Chacun intervient pour une finalité distincte et tous ne traitent pas les mêmes données. L’emplacement exact, le contrat de traitement et les transferts internationaux doivent être confirmés avec leurs contrats et la configuration réelle du projet.
- Hébergement du site : Vercel. Il peut traiter des données techniques de la visite (par exemple adresse IP et journaux de requête) pour servir les pages.
- Base de données et authentification : Supabase. Il stocke les demandes, profils, notes internes, comptes Strava et la session des membres.
- Envoi de courriel opérationnel : Resend. Il reçoit le courriel et le nom lorsqu’une demande est acceptée ou qu’un mot de passe est réinitialisé.
- Strava, seulement si le membre connecte le compte. Il reçoit l’autorisation d’accès et peut traiter des données de l’athlète selon ses propres conditions.
- Cartes de sorties : tuiles OpenStreetMap via Leaflet, seulement dans l’intranet lorsqu’un tracé doit être affiché. Le navigateur demande les tuiles au prestataire de carte ; ce site ne leur envoie pas ta fiche de membre.
Analytique
Google Analytics est prévu pour plus tard, mais n’est ni configuré ni chargé. Il n’y a pas d’identifiant de mesure. Accepter les cookies n’active pas l’analytique tant que cet identifiant n’existe pas.
S’il est activé plus tard, un consentement préalable sera demandé lorsque c’est nécessaire et cette politique sera mise à jour. Aucun traitement analytique n’est actif aujourd’hui.
Sécurité et journaux
L’accès à l’intranet exige une authentification. Les journaux d’erreur du serveur sont raccourcis pour ne pas laisser de courriels, mots de passe ni jetons en clair.
Ces journaux techniques se distinguent des données opérationnelles des demandes et profils, et des sauvegardes que le prestataire de base de données peut faire. Aucun journal de ce code n’est à lui seul une preuve juridique complète.
Conservation
Élément en attente — information non définitive
L’intention du titulaire est de ne pas conserver les demandes ni les données personnelles plus de six mois lorsque cela est compatible avec la finalité et les obligations applicables.
Ce délai de six mois ne s’applique pas aux données indispensables pour maintenir un compte actif, fournir le service ou traiter une obligation ou une réclamation. Le code applique ces règles : une tâche hebdomadaire liste les candidats. Le premier cycle est une simulation jusqu’à confirmation d’une suppression. Les lignes déjà refusées ou inactives commencent le délai à l’application de la migration, pas à la création.
Le tableau suivant décrit ce que fait le code. Il n’affirme pas qu’une suppression massive irréversible a déjà eu lieu.
| Catégorie | Ce qui se passe aujourd’hui | Critère proposé | Événement qui ouvre le délai | Suppression automatique |
|---|---|---|---|---|
| Demandes refusées | La ligne reste. Le refus est daté dans rejected_at | Six mois à compter du refus | Date à laquelle la demande est marquée comme refusée (rejected_at) | Oui, s’il n’y a pas de hold et que la tâche hebdomadaire confirme la suppression |
| Demandes abandonnées | Il n’existe pas de catégorie « abandonnée ». Une demande en attente reste | Elle n’est pas classée comme abandonnée. Elle est conservée jusqu’à une décision humaine | Sans objet. Pas de règle opérationnelle vérifiable d’abandon | Non. Les demandes en attente ne sont pas supprimées |
| Demandes en attente de décision | Elles sont conservées pour être examinées | Pendant leur traitement. S’il n’y a pas de décision, le délai de six mois proposé | Envoi de la demande ou dernière action de l’organisation | Non |
| Demandes acceptées | La ligne est marquée comme acceptée. Les données utiles sont copiées dans le profil | Tant que la place existe, la demande peut garder le texte d’origine. Quand la place inactive est supprimée, ou si la demande reste orpheline plus de six mois, les champs personnels sont anonymisés. La ligne reste comme trace sans données de contact, sauf hold | Acceptation de la demande. L’anonymisation suit la fermeture du membre ou le statut orphelin | La ligne n’est pas supprimée. Elle est anonymisée quand le membre est purgé ou que la demande est orpheline |
| Membres avec un compte actif | Profil, authentification et, le cas échéant, notes internes | Tant que la place est active et que le service a besoin de ces données. Le délai de six mois ne s’applique pas | Création de la place. Le délai de suppression ne commence pas tant que le compte est actif | Non. Supprimer ces données empêcherait le service |
| Comptes désactivés | Le profil reste inactif ; l’accès est bloqué | Six mois à compter de la désactivation, sauf obligation ou réclamation en cours | Passage à inactif (deactivated_at). created_at n’est pas utilisé | Oui, s’il n’y a pas de hold et que la tâche hebdomadaire confirme la suppression |
| Données de connexion et activités Strava | Conservées tant que la connexion est active | Tant que le membre maintient la connexion. La déconnexion les efface sur ce site | Connexion ou déconnexion par le membre | Oui à la déconnexion : le compte local et les activités sont supprimés et une révocation est tentée auprès de Strava. Pas de péremption par mois |
| Journaux techniques et de sécurité | Journaux d’erreur raccourcis sur le serveur ou l’hébergement | Le temps minimal nécessaire pour diagnostiquer et protéger le service. Encore à fixer | Chaque incident ou requête | Non contrôlé par ce code |
| Sauvegardes | Hors de ce code ; elles dépendent du prestataire de base de données ou d’hébergement | À confirmer avec le prestataire. Elles peuvent survivre à une suppression opérationnelle | Cycle de sauvegarde du prestataire | Non contrôlé par cette application |
| Obligations légales ou réclamations | retention_hold peut être posé sur la demande ou le profil. L’utilisateur ne peut pas l’enlever | Le temps nécessaire à cette obligation ou réclamation, même au-delà de six mois | Fait qui donne naissance à l’obligation ou à la réclamation | La suppression à six mois n’est pas promise |
Comment les six mois s’appliquent
Élément en attente — information non définitive
Le code distingue les demandes refusées, en attente et acceptées, et ne supprime pas les comptes actifs ni les administrateurs. Une tâche hebdomadaire liste les candidats. Une suppression réelle exige une confirmation dans l’API et en SQL. Le premier cycle ne supprime pas en masse sans revoir cette liste.
Les sauvegardes du prestataire peuvent survivre à la suppression opérationnelle. Un hold légal arrête la suppression et l’anonymisation.
Droits
Tu peux demander l’accès, la rectification, l’effacement, l’opposition, la limitation et la portabilité, lorsqu’ils s’appliquent, à hola@adoptaunebiker.com.
Tu peux aussi saisir l’autorité de contrôle compétente. En Espagne, l’Agencia Española de Protección de Datos. Ce paragraphe ne remplace pas l’analyse de l’autorité applicable dans chaque cas.
Mineurs
Élément en attente — information non définitive
L’âge minimal prévu pour utiliser le site est de 18 ans. Le formulaire ne vérifie pas l’âge. Cette prévision doit être relue juridiquement avant d’être considérée comme une clause définitive.
Matrice des traitements (proposition, non confirmée)
Élément en attente — information non définitive
Le tableau suivant est une proposition pour relecture juridique. Il n’utilise pas une seule base pour tous les traitements. Il n’affirme pas que ces bases sont validées, ni que le modèle de la communauté est un contrat dans tous les cas.
| Finalité | Base proposée | Justification | Ce qui est indiqué à la personne | Décision juridique en attente |
|---|---|---|---|---|
| Gérer les demandes d’inscription | Mesures précontractuelles à la demande de la personne | La personne envoie le formulaire pour que sa demande soit examinée. Sans ces données, la demande ne peut pas être évaluée | Responsable, finalité, absence de marketing, et lien vers cette politique | Confirmer que la demande d’inscription peut être traitée comme une mesure précontractuelle et non comme un consentement générique |
| Fournir le service et gérer les comptes actifs | Exécution de la relation avec le membre et mesures nécessaires pour fournir le service | Après acceptation, un profil, une authentification et un état de la place sont nécessaires pour utiliser l’intranet | Qu’une place implique un compte, une fiche visible dans l’intranet et des courriels opérationnels | Confirmer si cette relation est un contrat de l’article 6.1.b du RGPD ou une autre base, selon le fonctionnement réel du service |
| Courriels opérationnels d’accès ou de mot de passe | Nécessaires à cette même relation | Sans le courriel de bienvenue ou de réinitialisation, l’accès ne peut pas être remis ou récupéré. Ce ne sont pas des promotions | Que seuls des messages opérationnels sont envoyés et qu’il n’y a pas de newsletter | Confirmer qu’aucun consentement marketing n’est exigé pour ces envois |
| Sécurité, prévention des abus et protection des comptes | Intérêt légitime, encore à documenter | Finalité : protéger l’accès. Nécessité : session authentifiée et journaux d’erreur raccourcis. Pondération : la sécurité est attendue ; ils ne servent pas au marketing ; les journaux sont raccourcis | Qu’il existe une session et des journaux techniques limités | Rédiger et conserver l’analyse d’intérêt légitime. Confirmer la durée de ces journaux |
| Obligations fiscales, comptables ou autres obligations légales | Obligation légale, seulement si elle est pertinente | Le site ne facture pas les inscriptions et ne vend pas de places. Cette base n’est pas considérée comme active | Elle ne sera mentionnée que s’il existe une obligation concrète | Confirmer s’il existe une obligation légale réelle imposant de conserver des données |
| Strava optionnel | Proposition : consentement pour le traitement sur ce site lors de la connexion, distinct de l’autorisation d’accès sur Strava | La connexion est volontaire. Strava accorde l’accès ; Adopta un eBiker traite ensuite jetons et activités pour les afficher dans l’intranet | Que c’est optionnel, quels droits sont demandés, ce qui est stocké, qui voit les sorties non privées et comment se déconnecter | Confirmer si la base est le consentement, l’exécution d’une fonction optionnelle du service, ou les deux, et le régime de Strava comme destinataire |
| Analytique future (éteinte aujourd’hui) | Consentement, lorsqu’elle sera activée et nécessaire | Il n’y a aujourd’hui ni identifiant ni script. Accepter les cookies ne charge pas l’analytique | Que l’analytique n’est pas active et que, si elle est allumée, un consentement préalable sera demandé | Ne pas l’activer ni la documenter comme un traitement réel tant que l’outil n’existe pas |
État : brouillon mis à jour avec les données d’identification du titulaire. La relecture juridique des bases, durées et transferts reste à faire. Les délais de six mois sont un critère prévu, pas une suppression automatique déjà en place. Le courriel de contact opérationnel est hola@adoptaunebiker.com.