Politique de confidentialité

Cette politique explique quelles données personnelles nous traitons lorsque vous utilisez BookrGo, dans quel but et sur quelle base légale, avec qui nous les partageons et comment exercer vos droits.

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est Carlos Bernal, personne physique exploitant le service BookrGo (ci-après « nous » ou « le Service »), domicilié en Espagne aux fins du traitement des données. Vous pouvez nous contacter à [email protected] pour toute question relative à la protection de vos données.

2. Données que nous collectons

Nous collectons les données personnelles suivantes :

• Données de compte : nom, adresse e-mail et mot de passe (stocké de façon chiffrée avec bcrypt).
• Données de localisation : coordonnées géographiques approximatives (latitude et longitude), fournies volontairement pour afficher les terrains à proximité.
• Données de paiement : gérées intégralement par Stripe. Nous ne stockons ni numéros de carte ni coordonnées bancaires complètes ; nous conservons uniquement les identifiants de transaction Stripe.
• Jetons de notification push : identifiants d'appareil pour l'envoi de notifications via Firebase Cloud Messaging.
• Données d'utilisation : réservations effectuées, appartenance à des groupes, clubs et tournois, historique de classement ELO.
• Données de facturation : lorsqu'un établissement émet des factures via BookrGo (Verifactu), nous traitons pour son compte les données fiscales nécessaires (nom ou raison sociale, numéro fiscal et adresse) de l'établissement et des destinataires des factures et, si l'établissement a activé la transmission, nous les transmettons à l'administration fiscale espagnole conformément au système Verifactu.

3. Base légale du traitement

Nous traitons vos données sur les bases suivantes :

• Exécution du contrat (art. 6.1.b RGPD) : nécessaire pour fournir le service de réservation, gérer votre compte et traiter les paiements.
• Consentement (art. 6.1.a RGPD) : pour l'envoi de notifications push et l'utilisation des données de localisation.
• Intérêt légitime (art. 6.1.f RGPD) : pour la sécurité du service, la prévention de la fraude et l'amélioration du produit.

4. Finalité du traitement

Nous utilisons vos données pour :

• Créer et gérer votre compte utilisateur.
• Permettre la réservation de terrains de sport et la gestion de groupes.
• Traiter les paiements et abonnements via Stripe.
• Envoyer des notifications relatives à vos réservations, groupes et tournois.
• Afficher les terrains à proximité de votre position.
• Calculer et tenir à jour le classement ELO dans les tournois.

5. Tiers et sous-traitants

Nous partageons des données avec les prestataires suivants, strictement pour fournir le service :

• Stripe (stripe.com) : traitement des paiements. Stripe agit en tant que responsable de traitement indépendant pour les données de paiement.
• Firebase / Google Cloud (firebase.google.com) : envoi de notifications push.
• Resend (resend.com) : envoi d'e-mails transactionnels.
• Cloudflare (cloudflare.com) : CDN, protection DDoS et DNS.
• Hetzner (hetzner.com) : hébergement des serveurs (localisation : Falkenstein, Allemagne, UE).
• Sentry (sentry.io) : surveillance des erreurs et des performances à des fins de diagnostic technique du service.
• Awin (awin.com) : réseau d'affiliation qui gère les liens d'affiliation sortants et l'attribution des clics lorsque vous choisissez de suivre l'un de ces liens.

Nous ne vendons, ne louons ni ne partageons vos données personnelles avec des tiers à des fins de marketing.

6. Transferts internationaux de données

Nos serveurs se trouvent dans l'Union européenne (Allemagne). Certains de nos prestataires (Stripe, Firebase, Cloudflare, Sentry) peuvent traiter des données en dehors de l'EEE. Dans ces cas, les transferts sont réalisés dans le cadre de clauses contractuelles types approuvées par la Commission européenne ou d'autres mécanismes de transfert reconnus par le RGPD.

7. Conservation des données

Nous conservons vos données personnelles tant que votre compte reste actif. Si vous demandez la suppression de votre compte, vos données personnelles seront anonymisées et les enregistrements associés seront définitivement supprimés après un délai de conservation de 30 jours (suppression différée). Les données de paiement sont conservées conformément aux obligations légales fiscales applicables.

8. Vos droits

Conformément au RGPD, vous avez le droit :

• D'accès : obtenir une copie de vos données personnelles (disponible dans Compte > Exporter mes données).
• De rectification : corriger des données inexactes depuis votre profil.
• D'effacement : supprimer votre compte et les données associées (disponible dans Compte > Supprimer mon compte).
• À la portabilité : recevoir vos données dans un format JSON structuré.
• À la limitation du traitement : demander la limitation de l'utilisation de vos données.
• D'opposition : vous opposer au traitement fondé sur l'intérêt légitime.
• Au retrait du consentement : à tout moment, sans que cela n'affecte la licéité du traitement antérieur.

Pour exercer ces droits, contactez [email protected].

9. Cookies, stockage local, mesure d'audience et publicité

BookrGo utilise un cookie de session strictement nécessaire à l'authentification du panneau d'administration. Ce cookie est de type HttpOnly, Secure et SameSite=Strict ; conformément à l'exemption applicable aux cookies strictement nécessaires, il ne requiert pas de consentement.

L'application mobile et le site web utilisent le stockage local de l'appareil (SharedPreferences / localStorage) pour conserver le jeton d'authentification, les préférences de langue et de thème, ainsi que vos préférences de consentement.

Mesure propre : nous mesurons le trafic de façon anonyme et agrégée. L'essentiel est calculé sur notre serveur, sans rien enregistrer sur votre appareil. Pour savoir si nos pages reçoivent des visites répétées, nous enregistrons en outre un identifiant de mesure propre (bg_vid) : un nombre aléatoire, sans aucune donnée vous concernant, conservé dans votre navigateur pendant 13 mois au maximum, qui ne quitte pas notre domaine, n'est pas partagé avec des tiers et n'est pas associé à votre compte. Il ne sert qu'aux statistiques agrégées du site, jamais à vous profiler ni à personnaliser ce que vous voyez ; il relève donc de l'exemption applicable à la mesure d'audience. Vous pouvez le supprimer à tout moment en vidant le stockage de votre navigateur.

Analyse du site : sur le site public, nous pouvons activer Google Analytics avec votre consentement ; il n'est chargé dans votre navigateur qu'à ce moment-là.

Publicité web : certaines pages publiques indexables peuvent afficher des annonces Google AdSense. Google et ses partenaires peuvent utiliser des cookies pour diffuser et mesurer les annonces.

Publicité mobile : l'application mobile peut afficher des annonces Google AdMob aux utilisateurs sans Premium. Avant de demander des annonces personnalisées sur mobile, nous recueillons votre consentement via Google UMP. Les utilisateurs Premium ne voient aucune publicité.

Communications : les notifications relatives à vos réservations, groupes, matchs et tournois font partie du service (exécution du contrat). Les communications promotionnelles — par e-mail ou notification push — ne sont envoyées que si vous avez donné votre consentement marketing, que vous pouvez retirer à tout moment depuis votre profil sans affecter votre utilisation du service.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

• Mots de passe chiffrés avec bcrypt (nous ne stockons jamais de mot de passe en clair).
• Authentification par JWT avec des jetons de courte durée (15 minutes) et des jetons de rafraîchissement rotatifs.
• Communications chiffrées via HTTPS/TLS sur toutes les connexions.
• Protection contre les attaques par force brute grâce à une limitation du débit de requêtes et un blocage temporaire des comptes.
• Panneau d'administration protégé par une authentification à deux facteurs (TOTP).

11. Mineurs

Le Service s'adresse aux personnes âgées d'au moins 16 ans. Nous ne collectons pas intentionnellement de données concernant des mineurs de moins de 16 ans. Si vous avez connaissance qu'un mineur nous a fourni des données personnelles, contactez-nous afin que nous procédions à leur suppression.

12. Modifications de cette politique

Nous nous réservons le droit de modifier cette Politique de confidentialité. En cas de changements substantiels, nous vous en informerons via l'application ou par e-mail. La date de dernière mise à jour figure au début de ce document.

13. Contact et réclamations

Pour toute question relative à la protection des données, vous pouvez nous contacter à [email protected].

Si vous estimez que le traitement de vos données n'est pas conforme, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) sur www.cnil.fr.

Documents associés : Conditions d'utilisation, Utilisation acceptable, Conditions pour les établissements et Mentions légales.

14. Contrôle d'accès automatisé aux terrains (serrures connectées)

Lorsqu'un établissement active le contrôle d'accès automatisé sur un terrain, la confirmation de votre réservation génère une autorisation temporaire (code ou permis numérique) vous permettant d'entrer par la porte concernée pendant votre créneau, et nous enregistrons quelle porte vous a été ouverte et à quel moment. Ce registre constitue également l'historique d'audit des accès de l'établissement.

Ce que nous traitons : la réservation correspondant à l'accès, la porte et l'établissement concernés, la fenêtre horaire de validité, l'état de l'autorisation (émise, délivrée, révoquée) et, si le fournisseur de la serrure l'exige, le code lui-même. Nous n'utilisons ni empreinte digitale, ni reconnaissance faciale, ni aucune autre donnée biométrique : les fournisseurs que nous prenons en charge fonctionnent par code ou permis numérique.

Pourquoi nous le traitons : pour vous fournir ce que vous avez réservé (l'accès au terrain) et, sur la base de l'intérêt légitime de l'établissement, afin qu'il puisse résoudre des incidents ou des litiges concernant qui a accédé à ses installations et quand. Nous ne vous demandons pas votre consentement pour cela, car cela fait partie intégrante de la réservation d'un terrain à accès automatisé — de même que nous ne le demandons pas pour traiter le paiement de votre réservation.

Qui traite cette donnée : selon l'établissement et l'usage concerné, l'établissement (pour la gestion et la sécurité de sa propre installation) et BookrGo (pour vous délivrer l'autorisation et exploiter le système) peuvent tous deux agir en tant que responsables du traitement pour des finalités différentes sur ce même registre. Nous finalisons par écrit la répartition exacte des responsabilités avec les établissements ; vous pouvez nous en demander le détail à [email protected].

Durée de conservation : entre 90 et 365 jours selon le plan de l'établissement ; une tâche automatique purge ces registres une fois ce délai écoulé.

Vos droits : vous pouvez demander l'accès ou la suppression de ce registre comme pour le reste de vos données (section « Vos droits » de cette politique), en écrivant à [email protected].

15. Droits à la vie privée en Californie et dans d'autres États américains (CCPA/CPRA)

BROUILLON : cette section est en cours de finalisation avec un conseil juridique américain en vue de notre lancement aux États-Unis et peut évoluer. Elle complète le reste de cette politique pour les résidents de Californie et d'autres États américains dotés de lois comparables.

Catégories de données personnelles collectées : identifiants (nom et adresse e-mail) ; activité sur des réseaux électroniques (utilisation de l'application et du site) ; géolocalisation approximative (uniquement avec votre autorisation) ; informations commerciales (réservations effectuées au sein d'une communauté) ; et déductions tirées de ces éléments. Nous n'utilisons pas de données personnelles sensibles pour déduire des caractéristiques vous concernant.

Vos droits (dans les limites légales et après vérification d'identité) :

• Savoir / accéder : demander les catégories et les éléments précis de données personnelles que nous avons collectées à votre sujet.
• Supprimer : demander la suppression des données personnelles collectées auprès de vous.
• Corriger : demander la rectification de données personnelles inexactes.
• Vous opposer à la « vente » ou au « partage » de vos données personnelles.
• Ne pas subir de discrimination pour avoir exercé ces droits.

Ne pas vendre ni partager mes informations personnelles : nous ne vendons pas vos données personnelles contre de l'argent. Toutefois, l'utilisation de cookies publicitaires sur nos pages web publiques (par exemple, Google AdSense) peut constituer une « vente » ou un « partage » à des fins de publicité comportementale intercontextuelle au sens de la CCPA/CPRA. Vous pouvez vous y opposer via le lien « Do Not Sell or Share My Personal Information » figurant en pied de page de notre site. Nous respectons également, de manière automatique, le signal de navigateur Global Privacy Control (GPC) : lorsqu'il est activé, nous le considérons comme un refus valide et n'activons pas les cookies publicitaires. Les utilisateurs Premium ne voient aucune publicité.

Comment exercer vos droits : utilisez les réglages de confidentialité de l'application et du site, ou écrivez à [email protected]. Nous nous efforçons de répondre sous 45 jours, avec une prolongation possible de 45 jours supplémentaires lorsque la loi l'autorise. Vous pouvez mandater un agent autorisé ; nous pourrons vous demander de vérifier votre identité avant d'agir.

---

Documents juridiques