Politique de confidentialité

Pour les données introduites par un club dans son espace (adhérents, coachs, compétiteurs, présences, paiements du club, documents), le club est en principe responsable du traitement et IDE Informatique agit en qualité de sous-traitant, pour le compte du club et selon ses instructions.

Pour les utilisateurs de Kombora (responsables de club et collaborateurs) :

• identité (nom, prénom) ;
• coordonnées (adresse e-mail, numéro de téléphone) ;
• informations du compte (rôle, permissions, club de rattachement) ;
• informations de connexion et de sécurité (identifiants d'authentification, horodatage des connexions, journal d'activité des actions réalisées dans l'application) ;
• informations relatives au club (nom, coordonnées, disciplines, paramétrage) ;
• informations de facturation et d'abonnement (statut d'abonnement, dates de période, identifiants client et abonnement chez le prestataire de paiement) ;
• communications avec le support.

Les données de carte bancaire ne sont ni collectées ni conservées par Kombora : elles sont traitées directement par le prestataire de paiement.

Pour les personnes enregistrées par un club (adhérents, coachs, compétiteurs) : identité, coordonnées, date de naissance, genre, discipline, présences, cotisations et paiements, documents téléversés par le club, informations d'assurance. Ces données sont introduites sous la responsabilité du club.

• création et administration du compte utilisateur et de l'espace club ;
• fourniture des fonctionnalités de Kombora ;
• gestion de l'abonnement et de l'essai gratuit ;
• facturation et suivi des paiements ;
• support et communication avec le client ;
• sécurité, traçabilité des actions et prévention des abus ;
• respect des obligations légales (notamment comptables et fiscales).

• Exécution du contrat : création et gestion du compte, fourniture du service, gestion de l'abonnement, support.
• Obligation légale : facturation, conservation des pièces comptables, obligations en matière de TVA.
• Intérêt légitime : sécurité de la plateforme, journalisation des actions, prévention des fraudes et abus, amélioration du service.
• Consentement : uniquement lorsqu'il est réellement requis, par exemple pour d'éventuelles communications non essentielles. Aucun traitement essentiel du service ne repose sur le consentement.

Pour les données des adhérents saisies par un club, la base juridique est déterminée par le club, responsable de ce traitement.

Les données ne sont pas vendues. Elles sont accessibles au personnel d'IDE Informatique strictement dans la mesure nécessaire, et aux sous-traitants techniques suivants, réellement utilisés en production :

• Supabase (Supabase, Inc.) — base de données PostgreSQL, authentification et stockage de fichiers (photos et documents des clubs). Instance hébergée sur AWS, région eu-west-1 (Irlande, UE).
• Hébergement et diffusion de l'application web — la plateforme de déploiement utilisée pour servir le site et l'application (domaine lovable.app) et son réseau de diffusion de contenu. Entité juridique exacte à confirmer avant publication.
• Stripe (Stripe Payments Europe, Limited pour les comptes établis hors Amériques) — traitement des paiements d'abonnement et facturation.
• Resend (Plus Five Five, Inc.) — envoi des e-mails transactionnels (bienvenue, invitations, notifications de compte).

Le site public utilise Google Analytics 4 (Google Ireland Limited) à des fins de mesure d'audience. Aucun outil publicitaire ni de tracking comportemental publicitaire n'est intégré. Les modalités figurent à l'article 10.

Le club peut par ailleurs être amené à utiliser des canaux externes (e-mail, messagerie) pour ses relances ; il en reste responsable.

Le détail des sous-traitants ultérieurs (service, données concernées, localisation, garanties connues) figure à l'annexe 3 de l'accord relatif au traitement des données.

La base de données, l'authentification et le stockage des fichiers sont hébergés dans l'Union européenne (Irlande).

Certains prestataires sont établis aux États-Unis ou disposent d'infrastructures et de personnel hors de l'Espace économique européen ; des transferts hors EEE sont donc possibles. Les accords de traitement identifiés sont : le Data Processing Addendum de Supabase, Inc., le Data Processing Agreement de Stripe intégré au Stripe Services Agreement (EU-US Data Privacy Framework et clauses contractuelles types selon les cas), et le Data Processing Addendum de Plus Five Five, Inc. (Resend), qui inclut les clauses contractuelles types.

Les garanties applicables à la plateforme d'hébergement et de diffusion de l'application restent à confirmer contractuellement.

• Données du compte et du club : conservées pendant toute la durée d'utilisation du service. Après expiration de l'essai ou résiliation, l'espace passe en lecture seule et les données sont conservées pendant 90 jours à compter de ce passage en lecture seule. Au terme de ce délai, les données opérationnelles du club (adhérents, paiements, présences, planning, documents et fichiers associés) peuvent être supprimées. Toute réactivation de l'abonnement pendant ces 90 jours annule la suppression prévue.
• Avertissements avant suppression : deux rappels sont adressés au responsable du club, environ 30 jours puis 7 jours avant la date prévue de suppression.
• Éléments supprimés dans l'application : Kombora applique une suppression logique (corbeille) permettant la restauration ; la purge définitive est déclenchée par le club.
• Sauvegardes applicatives Kombora : instantanés créés par le club ou automatiquement (notamment avant restauration ou réinitialisation), conservés dans l'espace du club et supprimés avec lui. Rotation : 10 sauvegardes automatiques, 5 sauvegardes de sécurité, 30 sauvegardes manuelles maximum.
• Journal d'activité du club : journal métier et de traçabilité, conservé avec les données du club et supprimé avec elles.
• Sauvegardes d'infrastructure et journaux techniques des prestataires (base de données, hébergement, authentification, paiement, e-mails) : durées déterminées par chaque prestataire et non contrôlées par IDE Informatique. À CONFIRMER avant publication.
• Documents comptables et de facturation : conservés conformément aux durées légales applicables en Belgique.

La suppression au terme des 90 jours n'est pas automatisée à ce jour : elle est déclenchée de manière contrôlée par IDE Informatique, après vérification. Les durées de conservation des sauvegardes et du journal d'activité au-delà de la suppression du club restent à arrêter définitivement et seront publiées avant leur application.

Kombora applique un cloisonnement strict des données par club au niveau de la base de données et du stockage de fichiers, un contrôle d'accès par rôles et permissions, et l'authentification des utilisateurs. Les échanges se font en HTTPS.

Conformément au RGPD, vous disposez, selon les cas, des droits suivants : accès, rectification, effacement lorsqu'il est applicable, limitation du traitement, opposition lorsqu'elle est applicable, portabilité lorsqu'elle est applicable, et retrait du consentement lorsque le traitement repose sur celui-ci.

Ces droits s'exercent auprès de michael.xhrouet@gmail.com. Si votre demande concerne des données introduites par un club (adhérent, coach, compétiteur), elle doit en principe être adressée au club concerné, responsable de ce traitement ; IDE Informatique transmettra la demande le cas échéant.

Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle compétente. Pour la Belgique : Autorité de protection des données (APD), Rue de la Presse 35, 1000 Bruxelles.

Le site public et l'application n'utilisent que des traceurs strictement nécessaires à leur fonctionnement :

• stockage local du navigateur pour maintenir la session d'authentification de l'utilisateur connecté ;
• un cookie technique mémorisant l'état d'affichage de l'interface (barre latérale) ;
• des cookies techniques déposés par le prestataire de paiement lors du processus de paiement, sur ses propres pages.

Le site public utilise en outre un outil de mesure d'audience soumis au consentement du visiteur :

• Finalité : mesurer la fréquentation du site, comprendre l'utilisation des pages et améliorer le service.
• Outil : Google Analytics 4, fourni par Google Ireland Limited.
• Données utilisées : données techniques (pages consultées, provenance, type d'appareil, navigateur, données approximatives de localisation dérivées de l'adresse IP) et événements de navigation (par exemple : clic sur un bouton d'essai, création d'un compte ou d'un club, démarrage d'un abonnement).
• Absence de données identifiantes : Kombora n'envoie volontairement aucune donnée directement identifiante à Google Analytics (ni nom, ni adresse e-mail, ni téléphone, ni identifiant de compte ou de club).
• Consentement : ces cookies et technologies de mesure ne sont utilisés qu'en fonction du choix exprimé par le visiteur. Par défaut, et tant qu'aucun choix n'a été exprimé, la mesure d'audience est désactivée (Google Consent Mode : analytics_storage = denied). Aucune mesure publicitaire n'est activée.
• Refus et modification du choix : le visiteur peut refuser dès la bannière affichée lors de la première visite, et modifier son choix à tout moment via le lien « Gérer les cookies » présent en pied de page du site public.

Le choix du visiteur est conservé localement dans son navigateur afin d'être respecté lors des visites suivantes. Aucun traceur publicitaire n'est déposé par Kombora.

Kombora n'a pas vocation à traiter des catégories particulières de données au sens de l'article 9 du RGPD. Les certificats médicaux ne sont plus gérés par la plateforme et la saisie d'informations médicales détaillées (diagnostic, traitement, médecin, notes médicales) est désactivée : le suivi des blessures se limite à l'indisponibilité sportive (zone, type, gravité, dates, statut).

Le module de documents permet toutefois de téléverser des fichiers libres, et plusieurs champs de commentaire ou de notes sont laissés à la libre appréciation du club (notes d'adhérent, notes de coach, notes confidentielles, commentaires de paiement, de relance, de planning ou d'assurance). Il appartient au club de n'y déposer aucune donnée de santé ni autre donnée sensible non nécessaire.

Un club peut enregistrer des adhérents mineurs : identité, date de naissance, coordonnées, contact d'urgence, documents et informations de vie du club. La plateforme ne comporte aucun mécanisme de recueil ou de preuve d'une autorisation parentale. Le club, responsable du traitement, doit disposer d'une base juridique appropriée — qui dépend du contexte et n'est pas nécessairement le consentement — et informer les personnes concernées et leurs représentants légaux.

Les contacts d'urgence renseignés sur la fiche d'un adhérent (nom, téléphone) sont eux-mêmes des personnes concernées. Ces données sont conservées et supprimées avec la fiche de l'adhérent ; leur information relève du club.

Cette politique peut être mise à jour pour refléter l'évolution du service ou du cadre légal. La date de dernière mise à jour figure en haut de page.

Ce document décrit le fonctionnement technique constaté et n'a pas fait l'objet d'une validation par un professionnel du droit.