Politique de confidentialité

1. Introduction

La Fabrique Sport Santé s'engage à protéger la vie privée de ses membres et utilisateurs, conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi française Informatique et Libertés modifiée.

La présente politique détaille les données personnelles que nous collectons, leurs finalités, la manière dont elles sont protégées et les droits dont vous disposez.

2. Responsable du traitement

La Fabrique Sport Santé
4 Rue Robert Destarac, 65000 Tarbes, France
contact@lafabriquesportsante.fr

Nous ne disposons pas de Délégué à la Protection des Données (DPO) désigné. Toute demande relative à vos données personnelles peut être adressée à l'adresse ci-dessus.

3. Données collectées et finalités

3.1 Inscription et gestion des abonnements

Lors de votre inscription ou de votre achat en ligne, nous collectons :

• Nom, prénom, adresse électronique, numéro de téléphone
• Photo d'identité (gestion de l'accès aux installations)
• Document d'identité (carte nationale d'identité ou passeport) pour vérification
• Relevé d'identité bancaire (RIB) en cas de prélèvement SEPA
• Informations d'abonnement (formule souscrite, dates, historique des paiements)

Base légale :exécution du contrat d'abonnement (art. 6-1-b RGPD).

3.2 Données médicales et de santé

Pour l'accès à certains services (bilans de santé, programmes sportifs personnalisés), nous collectons :

• Certificat médical d'aptitude à la pratique sportive
• Questionnaire de santé (de type PAR-Q ou équivalent)

Ces données constituent des données de santé sensiblesau sens de l'article 9 du RGPD. Leur traitement est fondé sur votre consentement explicite, que vous pouvez retirer à tout moment sans que cela n'affecte la licéité du traitement antérieur à ce retrait.

Base légale :consentement explicite (art. 9-2-a RGPD).

3.3 Données de paiement

Les paiements en ligne sont traités par notre prestataire Stripe. Nous ne stockons jamais vos coordonnées bancaires complètes : seuls un identifiant de transaction et le résultat du paiement sont conservés dans notre système.

Base légale :exécution du contrat (art. 6-1-b RGPD).

3.4 Espace client (connexion en ligne)

Si vous accédez à votre espace personnel, des données de connexion sont enregistrées (adresse électronique, horodatage) à des fins de sécurité et de prévention des accès non autorisés.

Base légale :intérêt légitime — sécurité du service (art. 6-1-f RGPD).

3.5 Formulaire de contact

Les données transmises via notre formulaire de contact (nom, adresse électronique, message) sont utilisées uniquement pour répondre à votre demande.

Base légale :intérêt légitime (art. 6-1-f RGPD).

4. Sous-traitants & conformité RGPD

Vos données sont accessibles uniquement au personnel habilité de La Fabrique Sport Santé. Elles peuvent être transmises aux sous-traitants techniques suivants, strictement nécessaires à la fourniture du service. Chaque partenaire a conclu avec nous un Data Processing Addendum (DPA) garantissant le respect du RGPD.

• Vercel Inc. (USA — Data Privacy Framework UE–US) :Hébergement de la plateforme et de l'espace client. Vercel agit en tant que sous-traitant (Processor) via un DPA conforme au RGPD. Conformité RGPD →
• Neon, Inc. (Francfort, Allemagne — UE) :Hébergement de la base de données au sein de l'Union européenne. Neon agit en tant que sous-traitant (Processor) via un DPA au strict respect des normes de sécurité européennes. Conformité RGPD →
• Cloudflare, Inc. (international) :Sauvegardes. Cloudflare s'engage contractuellement via un DPA à la protection des données conformément au RGPD. Conformité RGPD →
• Stripe Payments Europe, Ltd (Irlande — UE) : Traitement des paiements en ligne. Stripe agit en tant que responsable de traitement indépendant pour les données bancaires collectées directement via ses interfaces sécurisées, avec une conformité PCI-DSS stricte.
• Resend (Irlande — UE) :Envoi d'e-mails transactionnels (confirmation de commande, mot de passe oublié, rappels…). Resend agit en tant que sous-traitant (Processor) et garantit le traitement des données au sein de l'Union européenne via un DPA. Conformité RGPD →
• Seeklient Technologies (Tarbes, France — UE) : Développement et maintenance technique. En tant que prestataire basé en France, Seeklient traite les données uniquement sur instruction du responsable de traitement, dans le strict respect de la confidentialité et des obligations contractuelles établies. Politique de confidentialité →

Nous ne vendons, n'échangeons ni ne louons vos données personnelles à des tiers à des fins commerciales.

5. Transferts hors de l'Union européenne

La majorité de nos sous-traitants est établie au sein de l'Union européenne (Neon à Francfort, Stripe et Resend en Irlande, Seeklient en France). Le seul transfert vers un pays tiers concerne Vercel Inc. (États-Unis) et Cloudflare (international), encadrés par :

• Le Data Privacy Framework UE–États-Unis pour Vercel
• Les clauses contractuelles types (CCT)approuvées par la Commission européenne (art. 46 RGPD) pour Cloudflare

La base de données principale est hébergée en Allemagne et n'est pas soumise à des transferts hors UE.

6. Durée de conservation

• Données d'abonnement, de contact et documents d'identité : 3 ans après la fin du contrat ou du dernier contact
• Documents médicaux (certificat, questionnaire de santé) : 3 ans après la fin de l'adhésion
• Données comptables et de facturation : 10 ans (obligation légale de conservation des pièces comptables)
• Données de connexion :1 an

Au-delà de ces durées, vos données sont supprimées ou anonymisées de manière irréversible.

7. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger des informations inexactes ou incomplètes
• Droit à l'effacement(« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition: vous opposer à certains traitements fondés sur l'intérêt légitime
• Droit de retrait du consentement : pour les données de santé, à tout moment et sans préjudice de la licéité des traitements antérieurs
• Droit à la limitation du traitement : dans les circonstances prévues par le RGPD

Pour exercer vos droits, adressez votre demande à : contact@lafabriquesportsante.fr

En cas de réponse insatisfaisante, vous avez le droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement de toutes les communications (HTTPS/TLS)
• Accès restreint aux données via authentification forte
• Base de données hébergée au sein de l'Union européenne (Francfort)
• Sauvegardes chiffrées régulières
• Suppression sécurisée des documents sensibles sur demande ou à l'expiration de la durée de conservation

10. Modifications

La présente politique de confidentialité peut être mise à jour à tout moment. La date de dernière mise à jour est indiquée en haut de cette page. En cas de modification substantielle, nous vous en informerons par voie électronique ou via l'espace client.