Politique de confidentialité

Version privacy-2026-10-10 · en vigueur depuis le 10 octobre 2026

Cette traduction est fournie à titre de courtoisie. En cas de divergence, la version espagnole fait foi.

Chez Clybo’, nous traitons les données personnelles conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil (règlement général sur la protection des données, RGPD) et à la législation maltaise qui le complète (Data Protection Act, chapitre 586 des lois de Malte), puisque le responsable est établi à Malte, ainsi qu'aux lois des États américains en matière de vie privée qui seraient applicables. Cette politique vous explique quelles données nous collectons, à quoi nous les utilisons, pendant combien de temps et quels sont vos droits.

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est FlamaTech Consulting LTD, société immatriculée au C99332, dont le siège est situé The Penthouse 20, Lyons Range Court, Bisazza Street,Sliema (Malta), numéro de TVA MT28308119.

Identité : FlamaTech Consulting LTD (Clybo’)
NIF / TVA : MT28308119
Immatriculation : C99332
Siège : The Penthouse 20, Lyons Range Court, Bisazza Street, Sliema, Malta
Contact général : hola@clybo.app
Délégué à la protection des données : dpo@clybo.app

2. Données collectées

Selon votre relation avec Clybo’, nous traitons les catégories de données suivantes :

Gestionnaires de club : nom, e-mail, téléphone, données du club (CIF, adresse fiscale), coordonnées bancaires pour le paiement de l'abonnement.
Tuteurs : nom, e-mail, téléphone, pièce d'identité, référence de paiement et adresse postale.
Sportifs : nom, date de naissance, pièce d'identité, données médicales (lorsque le tuteur les fournit), consentements signés.
Données techniques : adresse IP, user agent, journaux d'audit et, avec votre consentement, e-mail de connexion comme identifiant analytique du compte, pages consultées, connexions, fonctions utilisées, navigateur, appareil, localisation approximative et métriques de performance LCP, INP, CLS et FCP.

Données sensibles. Les données médicales des mineurs sont chiffrées au repos en AES-256 et ne sont accessibles qu'aux personnes autorisées du club. Elles sont supprimées automatiquement lorsque le sportif quitte le club.

3. Finalités et base juridique

Nous traitons vos données pour les finalités suivantes :

Finalité	Données traitées	Base juridique
Gérer l'inscription d'un club et l'accès à la plateforme	E-mail, mot de passe haché, nom, données fiscales du club (NIF, raison sociale, adresse fiscale)	Exécution du contrat (art. 6, par. 1, point b, RGPD)
Traiter les cotisations et émettre des factures électroniques (VeriFactu)	Données du tuteur payeur, référence de carte tokenisée et données du sportif	Exécution du contrat + obligation légale (art. 6, par. 1, points b et c, RGPD)
Service client	E-mail, contenu du message, historique de la conversation	Intérêt légitime (art. 6, par. 1, point f, RGPD)
Prévention de la fraude et sécurité de la plateforme	Journaux d'accès, IP, user agent et erreurs techniques du serveur avec un contexte minimisé	Intérêt légitime (art. 6, par. 1, point f, RGPD)
Diagnostic et correction des erreurs du tableau de bord de gestion du club	Identifiant interne du compte (pas l'e-mail), club et rôle, écran et moment de l'erreur, type et trace technique de l'erreur et opération qui a échoué. N'inclut pas les données saisies dans les formulaires ni le contenu des réponses. Envoyé via notre API, sans cookies ni enregistrement de session, et sans créer de profil de personne dans PostHog.	Intérêt légitime (art. 6, par. 1, point f, RGPD) : fournir et maintenir le service souscrit. Ne dépend pas du consentement à l'analyse ; vous pouvez vous y opposer en écrivant à l'adresse de contact.
Analyse produit et amélioration de la plateforme	E-mail de connexion normalisé comme identifiant de compte dans PostHog, pages consultées, méthode et résultat de la connexion, fonctions utilisées, navigateur, appareil, localisation approximative et métriques de performance LCP, INP, CLS et FCP. Dans l'app des familles et dans les formulaires d'inscription, enregistrement de la session pour détecter les dysfonctionnements : structure de l'écran, clics, défilements et temps. Le texte, ce que vous saisissez, les images et les liens sont masqués dans le navigateur avant l'envoi, de sorte que l'enregistrement ne contient ni noms, ni documents, ni coordonnées. Google Analytics 4 est limité au site vitrine public et ne reçoit pas l'identifiant de compte.	Consentement (art. 6, par. 1, point a, RGPD), révocable à tout moment
Communications commerciales	E-mail, nom, nom du club	Consentement (art. 6, par. 1, point a, RGPD), révocable à tout moment

4. Connexion avec Google

Clybo’ propose Google comme méthode facultative d'inscription et de connexion. L'authentification s'effectue via Google OAuth 2.0 et Supabase Auth. Les scopes utilisés sont email et profile :

email permet de recevoir l'adresse e-mail principale de votre compte Google et de savoir si Google l'a vérifiée.
profile permet de recevoir les données de profil de base disponibles, comme le prénom, le nom ou la photo. Google peut ne pas fournir tous ces champs.

Nous accédons à ces données uniquement pour créer ou associer votre compte, vous authentifier, maintenir votre session et initialiser les données de base de votre profil. Cette intégration ne demande aucune autorisation pour lire Gmail, Google Drive, Google Agenda, vos contacts ni d'autres contenus de votre compte Google.

Google transmet les données via Supabase Auth, qui les traite en tant que fournisseur d'authentification de Clybo’. L'identifiant d'identité, l'e-mail et les métadonnées de profil reçus sont stockés dans l'enregistrement d'authentification associé à votre compte. Ils sont conservés pendant les durées applicables aux données de compte indiquées dans la section « Durées de conservation » et ne sont pas partagés en dehors des prestataires nécessaires décrits dans cette politique. Nous ne vendons pas ces données et ne les utilisons pas à des fins publicitaires.

Vous pouvez supprimer la connexion depuis les connexions tierces de votre compte Google. Supprimer la connexion empêche les futures autorisations via Google, mais ne supprime pas à elle seule votre compte Clybo’ ni les données qui y ont déjà été intégrées. Pour demander l'accès à ces données, leur rectification ou leur effacement, utilisez les canaux de la section « Vos droits ».

L'utilisation et le transfert des informations reçues des API de Google sont conformes à la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée.

5. Destinataires des données

Nous ne partageons vos données qu'avec les prestataires strictement nécessaires à la fourniture du service, toujours dans le cadre d'un contrat de sous-traitance conforme à l'article 28 du RGPD :

Amazon Web Services (Francfort, UE) : hébergement de la plateforme.
Supabase (Supabase Auth) : authentification, association des identités et gestion des sessions.
Stripe Payments Europe Ltd. (Dublin, UE) : traitement des paiements.
Resend (Allemagne, UE) : envoi des e-mails transactionnels.
Cloudflare (réseau mondial) : DNS, sécurité périmétrique et transit technique du proxy géré de PostHog.
PostHog (infrastructure UE) : analyse produit et de performance consentie dans le navigateur, qui utilise l'e-mail de connexion normalisé pour relier l'activité d'un compte d'une session à l'autre et inclut, dans l'app des familles et dans les formulaires d'inscription, des enregistrements de session dont tout le contenu est masqué ; et diagnostic des erreurs du serveur et du tableau de bord de gestion du club sur la base de l'intérêt légitime, avec minimisation et nettoyage préalables. Il héberge aussi le support de Clybo’ du panneau, du site, de l'app staff et de l'app des familles (service client, intérêt légitime) : messages, version de l'app, type d'appareil et langue ajoutés au premier message depuis l'app staff ou l'app des familles et, si vous les indiquez, nom et e-mail. Dans le panneau de gestion, le chat est toujours disponible ; sur le site et dans les apps staff et familles, il ne se charge que lorsque vous l'ouvrez. En aucun cas il n'enregistre votre activité.
Google Ireland Limited (Google Analytics 4) : analyse consentie uniquement sur le site vitrine public. La balise n'est pas téléchargée avant acceptation ; elle ne reçoit ni identifiants de compte, ni formulaires, ni coordonnées, et les signaux et finalités publicitaires restent désactivés.
B2Brouter (Espagne, UE) : émission et transmission des factures lorsque le club active le module Fiscalité.
Agencia Tributaria Española (AEAT, administration fiscale espagnole) : ce n'est pas un prestataire ; elle reçoit les enregistrements de facturation transmis via VeriFactu lorsque la loi l'exige (obligation légale).

Nous ne vendons ni ne cédons les données à des tiers à des fins publicitaires.

6. Transferts internationaux

Les serveurs principaux et l'ingestion finale de PostHog se trouvent dans l'Union européenne. Le transit réseau peut passer par l'infrastructure mondiale de prestataires comme Cloudflare. Google Analytics peut impliquer un traitement par des entités du groupe Google hors de l'EEE. Ces transferts sont encadrés par les garanties prévues dans les conditions de mesure de Google, comme une décision d'adéquation en vigueur ou des clauses contractuelles types approuvées par la Commission européenne.

7. Durées de conservation

Compte actif : tant que le club maintient son abonnement.
Identité Google : l'identifiant, l'e-mail et le profil intégrés au compte suivent les mêmes durées que les données de compte. Supprimer la connexion dans Google ne les efface pas de Clybo’ ; vous pouvez demander leur effacement via les canaux indiqués ci-dessous.
Données fiscales et factures : 6 ans à compter de la clôture de l'exercice (art. 30 du Código de Comercio, le Code de commerce espagnol) et 7 ans à compter de l'émission pour les enregistrements VeriFactu.
Données de prospection commerciale : jusqu'au retrait de votre consentement.
PostHog : 12 mois maximum ; les enregistrements de session, 30 jours.
Google Analytics 4 : 2 mois pour les données utilisateur et d'événement ; les rapports standard agrégés ne sont pas soumis à ce contrôle de conservation. Ses cookies expirent au plus tard au bout de 12 mois et ce délai n'est pas renouvelé à chaque visite.
Préférence d'analyse : jusqu'à ce que vous la modifiiez ou effaciez le stockage local du site concerné.

8. Vos droits · RGPD

En tant que personne concernée, vous disposez des droits suivants :

Accès à vos données personnelles.
Rectification des données inexactes.
Effacement lorsqu'elles ne sont plus nécessaires.
Opposition au traitement fondé sur l'intérêt légitime.
Limitation du traitement.
Portabilité dans un format structuré et lisible.
Retrait du consentement à tout moment, sans effet rétroactif.

Pour les exercer, écrivez à dpo@clybo.app en indiquant votre nom et le droit que vous souhaitez exercer. Nous répondrons dans un délai maximal d'un mois.

Si vous estimez que le traitement n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de l'autorité de contrôle chef de file du responsable, l'Information and Data Protection Commissioner (IDPC) de Malte, ou auprès de l'autorité de l'État membre dans lequel vous résidez, travaillez ou dans lequel la violation présumée a eu lieu (art. 77 RGPD). En Espagne, il s'agit de l'Agencia Española de Protección de Datos (AEPD, l'autorité espagnole de protection des données).

9. Droits en matière de vie privée aux États-Unis

Lorsqu'une loi d'un État américain est applicable, ses résidents peuvent avoir le droit de connaître leurs données personnelles ou d'y accéder, de les corriger, d'en demander la suppression, d'en obtenir une copie portable et de s'opposer à leur vente, à leur partage à des fins de publicité comportementale, à la publicité ciblée ou au profilage produisant des effets juridiques significatifs. Ils peuvent également exercer ces droits sans subir de traitement discriminatoire.

Chez Clybo’, nous ne vendons ni ne partageons de données personnelles au sens du California Consumer Privacy Act (CCPA) et nous n'utilisons pas Google Analytics pour la publicité ciblée. Le site vitrine reconnaît néanmoins Global Privacy Control (GPC) comme une demande d'exclusion de l'analyse facultative. Vous pouvez aussi utiliser Paramétrer les cookies en bas de page ou écrire à dpo@clybo.app. Si une demande est refusée et que la loi de votre État reconnaît un droit de recours, vous pouvez faire appel en répondant à notre décision par le même canal.

10. Données des mineurs

Clybo’ est conçu pour que le club sportif soit le responsable du traitement des données des sportifs mineurs et de leurs tuteurs. Clybo’ agit en tant que sous-traitant conformément à un DPA (accord de traitement des données) signé entre les deux parties. La politique propre au club applicable aux mineurs est fournie par le club lui-même aux tuteurs au moment de l'inscription.

11. Sécurité

Nous appliquons des mesures techniques et organisationnelles raisonnables pour protéger les données : chiffrement AES-256 au repos, TLS 1.3 en transit, contrôle d'accès par rôles, journalisation de l'activité, sauvegardes chiffrées et revue périodique des prestataires.

12. Modifications de cette politique

Cette politique peut être mise à jour pour refléter des changements juridiques ou opérationnels. La date de la dernière révision figure en tête du document. Si les modifications sont substantielles, nous vous préviendrons par e-mail avant leur entrée en vigueur.

13. Nous contacter

DPO : dpo@clybo.app. Contact général : hola@clybo.app.