Politique de confidentialité

Éditeur du service : ProDay. Contact pour toute question relative aux données personnelles : proday.admin@gmail.com.

Raison sociale, forme juridique, siège social, numéro d'immatriculation (SIREN/SIRET) et directeur de la publication : [À COMPLÉTER]

Le responsable du traitement dispose d'un représentant au sens de l'article 27 du RGPD. Identité et coordonnées : [À COMPLÉTER]

Délégué à la protection des données (DPO) : [À COMPLÉTER]. En son absence, les demandes de droits sont traitées par l'éditeur à l'adresse ci-dessus.

Autorité de contrôle compétente pour les utilisateurs residing en France : Commission nationale de l’informatique et des libertés (CNIL).

Cette politique s'applique à l'application mobile ProDay, au site proday75.fr et à tous les traitements que ProDay réalise pour son propre compte, quels que soient les pôles et les rôles.

Elle ne couvre pas les traitements que ProDay réalise pour le compte d'un club : ces traitements sont décrits dans le document « Données traitées pour le compte des clubs », qui précise, traitement par traitement, si ProDay est responsable, sous-traitant ou responsable conjoint.

Elle ne couvre pas davantage les sites et services tiers vers lesquels vous pouvez être redirigé depuis ProDay : ceux-ci appliquent leur propre politique.

Nous appliquons les principes du RGPD tels qu'ils décrivent le produit :

• Finalités déterminées : chaque donnée collectée répond à une finalité identifiée, décrite ci-dessous et limitée à cette finalité.
• Minimisation : nous ne demandons que ce qui est nécessaire à la fonction concernée. Les données sensibles sont dans des espaces séparés, à accès restreint.
• Pas de réutilisation : les données d’un espace ne sont pas réemployées dans un autre espace sans base légale propre et sans information préalable.
• Sécurité par défaut : les profils ne sont pas publiquement indexables, les accès sont contrôlés côté serveur et chaque accès à un document sensible est journalisé.
• Respect des mineurs : les comptes de mineurs sont encadrés par défaut et leurs données ne sont jamais exposées publiquement de façon précise.

Les catégories ci-dessous correspondent aux collections réellement écrites par l'application. Rien n'y figure qui ne soit pas implémenté dans le produit.

• Compte et identité : adresse e-mail, nom affiché, rôle (joueur, coach, club, agent, recruteur, organisateur, kinésithérapeute, partenaire, parent, communauté), photo de profil, ville, langue, numéro de téléphone si vous le renseignez.
• Profil sportif : poste, catégorie d’âge, niveau, pied fort, budget, ville de préférence, historique sportif, statistiques de match, carte de visite joueur.
• Vérification de rôle : justificatifs d’identité, de licence ou de diplôme selon le rôle, avec lecture automatisée assistée et validation humaine.
• Contenus publiés : annonces de recrutement, messages, publications, réponses, photos, vidéos et reels.
• Organisation d’équipe : convocations, présences, compositions, feuilles d’équipe, événements, tournois, inscriptions.
• Recrutement : shortlists, rapports de scouting, feuilles d’essai, essais programmés.
• Finances du club : cotisations, dépenses, recettes, échéances, justificatifs de paiement.
• Santé : les informations que vous choisissez de partager dans l’espace santé — rendez-vous, échanges avec un professionnel, documents médicaux que vous déposez vous-même.
• Technique : identifiant de compte, jeton de notification push, type d’appareil, version de l’application, journaux techniques.
• Localisation : uniquement si vous l’autorisez, pour le covoiturage, les suggestions locales et le ciblage géographique partenaire.
• Paiements : références de transaction, identifiant d’abonnement et statut, sans stockage de vos coordonnées bancaires complètes.
• Site vitrine : adresse e-mail et rôle déclaré lors d’une inscription à la liste d’attente ou d’une demande de contact.

Certaines données sont qualifiées de sensibles au sens de l'article 9 du RGPD : leur traitement est interdit sauf exception prévue par le règlement. ProDay en traite trois catégories, chacune dans un espace fermé :

• Santé connectée — Apple Santé ou Google Health Connect : nombre de pas, sommeil, fréquence cardiaque au repos. Elle est lue sur votre appareil, conservée dans son stockage local et n’est jamais transmise à ProDay.
• Suivi de bien-être journalier (sommeil, courbatures, énergie, stress, score et risque de blessure) : conservé dans le stockage local de l'appareil, jamais transmis.
• Coffre médical : documents que vous déposez volontairement (ordonnances, comptes rendus, imagerie). Ils sont accessibles à vous seul, à votre parent autorisé si vous êtes mineur, au praticien qui vous a accordé un accès, et à l'administration ProDay dans les conditions décrites plus bas.
• Coffre personnel : vos propres pièces (identité, licence, carte de visite joueur). Vous seul y avez accès, l'administration ProDay en cas de vérification de compte.
• Feuilles d'équipe : documents déposés par un club concernant ses joueurs. Aucun client ne peut les lire : seul le service d'administration ProDay y accède.
• Autorisations d’accès : chaque partage d'un document de votre coffre, avec sa portée, sa date d'octroi et sa date de révocation. Vous pouvez les révoquer à tout moment.

Une même donnée peut servir plusieurs finalités. Pour chacune, la base légale est la suivante.

• Exécution du contrat : création et fonctionnement du compte, accès aux fonctions de votre pôle, messagerie, contenus que vous publiez, statistiques de match, convocations, gestion d’équipe, abonnements.
• Consentement : données de santé connectées, activation de la géolocalisation, notifications push au-delà des notifications de service, dépôt de justificatifs de vérification par l’IA, traitement de données concernant un mineur, traceurs non nécessaires du site.
• Intérêt légitime : sécurité de la plateforme, limitation des abus, modération des contenus, prévention de la fraude, amélioration du service, support utilisateur, mesure d’audience anonymisée du site.
• Obligation légale : conservation de certaines preuves en cas de réquisition ou de litige, tenue des informations de facturation, obligations applicables aux données publiques de la Fédération Française de Football.

Vos données ne sont ni vendues ni louées. Elles sont accessibles :

• Au personnel ProDay strictement nécessaire à l’exploitation du service (support, modération, sécurité).
• Aux autres membres de votre espace, selon les droits que vous avez accordés : par exemple, un staff voit les convocations et la présence de ses joueurs ; un recruteur voit les profils que vous choisissez de rendre visibles.
• Au club concerné lorsque vous êtes membre de son équipe : le club est le seul habilité à lire les données qu’il a lui-même saisies (feuilles d’équipe, finances, feuilles d’essai).
• Aux prestataires listés ci-dessous, qui traitent pour notre compte sur instruction documentée.
• Aux autorités administratives ou judiciaires lorsque la loi nous y oblige.

Les données sont hébergées sur l'infrastructure Google Firebase (authentification, base de données, stockage de fichiers, fonctions cloud, projet proday-155b0) et, pour le site vitrine, sur Netlify. Les fonctions sont déployées en région europe-west1. Localisation exacte des données Firestore et Firebase Storage : [À COMPLÉTER]

ProDay fait appel aux prestataires suivants, dont l'usage est décrit précisément :

• OpenAI — Assistant conversationnel, génération de séances, préparation de match, brief d’analyse vidéo. Données transmises : Textes saisis par l’utilisateur et contexte sportif qu’il a lui-même fourni ; aucune donnée du compte n’est transmise automatiquement. Prestataire optionnel.
• Mistral AI — Lecture automatisée des justificatifs d’identité, de licence ou de diplôme. Données transmises : Image du justificatif encodée en base64, transmise pour lecture ; le texte extrait est comparé au champ saisi par l’utilisateur. Prestataire optionnel.
• Veo — Suivi et analyse de séquences vidéo de matchs, tags automatiques de joueurs et de séquences. Données transmises : Flux ou extraits vidéo de matchs fournis par le club ou le staff. Infogérance : Royaume-Uni (veo.co.uk). Prestataire optionnel.
• Brevo — E-mails transactionnels et d’information : notifications de compte, invitations, parcours bêta, devis. Données transmises : Adresse e-mail, nom affiché, rôle et contenu du message.
• EmailJS — Relais d’envoi d’e-mails si Brevo est indisponible. Données transmises : Adresse e-mail, nom affiché, rôle et contenu du message. Prestataire optionnel.
• RevenueCat — Gestion technique des abonnements in-app et synchronisation des droits d’accès aux offres. Données transmises : Identifiant applicatif de l’utilisateur et identifiant de transaction d’abonnement. Infogérance : États-Unis.
• Stripe — Paiements ponctuels au profit des clubs (cotisations, séances, tournois) lorsque le club organisateur l’a configuré. Données transmises : Montant, référence de paiement et identifiant de l’utilisateur. Prestataire optionnel.
• Firebase Cloud Messaging — Notifications push (jeton d’appareil associé au compte). Données transmises : Jeton de notification du terminal.
• Cal.com — Prise de rendez-vous avec les professionnels de santé : ProDay lit le lien de réservation du praticien et conserve la référence de réservation. Données transmises : Lien de réservation du praticien et référence de rendez-vous.
• API-Sports — Résultats, calendrier et classements des compétitions. Données transmises : Aucun identifiant utilisateur : seules des requêtes de compétition sont envoyées.
• Google Translate — Traduction de l’interface ProDay dans votre langue — uniquement nos propres libellés, jamais vos contenus. Données transmises : Libellés de l’interface, mis en cache sur l’appareil ; aucun identifiant utilisateur transmis.
• Fédération Française de Football (DOFA et districts) — Synchronisation des clubs, effectifs et classements officiels. Données transmises : Données publiques d’équipes et de joueurs transmises par la fédération.

Certains prestataires sont établis ou infogèrent hors de l'Espace économique européen. Un transfert de données personnelles hors EEE n'est licite qu'encadré par une garantie Appropriate.

• Veo, infogérant au Royaume-Uni : cadre applicable après la décision d’adéquation du Royaume-Uni et son.application. Accord de sous-traitance à documenter.
• OpenAI, Mistral AI, RevenueCat et Stripe : localisation et garanties applicables (clauses contractuelles types, liste des transferts, mesures d’accompagnement) à confirmer et documenter avant publication.
• [À COMPLÉTER] — Inventaire complet des transferts, mécanisme retenu pour chacun, et date de mise en place.

Nous appliquons des mesures techniques et organisationnelles proportionnées au risque. Sont effectivement en place dans le produit :

• Chiffrement des échanges entre votre appareil et nos serveurs.
• Contrôle d'accès vérifié côté serveur pour chaque collection : une requête directe vers une donnée qui ne vous appartient pas est rejetée, même depuis l'application.
• Coffres de documents sensibles à accès restreint, avec partage explicite, révocable, et expirant.
• Journal de confidentialité : chaque consultation, téléchargement, partage ou suppression d’un document sensible est enregistré avec l’auteur de l’opération et l’heure.
• Feuilles d’équipe (données de joueurs, souvent mineurs) : aucun accès direct depuis un client ; seul le service d’administration peut les lire.
• Limitation du débit des requêtes pour freiner les tentatives automatisées.

En cas de violation de données personnelles (accès non autorisé, perte, divulgation), nous respectons l'article 33 du RGPD : nous évaluons la gravité, notifions l'autorité de contrôle dans les délais prévus lorsque la violation est susceptible d'engendrer un risque élevé, et informons les personnes concernées lorsque le risque est élevé.

Nous conservons un registre interne des violations. Coordonnées de l'équipe de sécurité et procédure de signalement d'une faille : [À COMPLÉTER]

Les durées applicables sont les suivantes. Lorsqu'une durée n'est pas encore arrêtée, elle est signalée comme à compléter plutôt qu'inventée.

• Compte et profil — Durée de l’utilisation du service (base : contrat). Purge automatique : non implémentée à ce jour.
• Justificatifs de vérification — [À COMPLÉTER] (base : obligation_legale). Purge automatique : non implémentée à ce jour.
• Coffre médical et agenda de rendez-vous — [À COMPLÉTER] (base : contrat). Purge automatique : non implémentée à ce jour.
• Feuilles d’équipe — [À COMPLÉTER] (base : contrat). Purge automatique : non implémentée à ce jour.
• Vidéos de match, clips et annotations — [À COMPLÉTER] (base : contrat). Purge automatique : non implémentée à ce jour.
• Reels et publications de la Community — [À COMPLÉTER] (base : contrat). Purge automatique : non implémentée à ce jour.
• Signalements et décisions de modération — [À COMPLÉTER] (base : interet_legitime). Purge automatique : non implémentée à ce jour.
• Journaux de sécurité et d’administration — [À COMPLÉTER] (base : interet_legitime). Purge automatique : non implémentée à ce jour.
• Données de compte après demande de suppression — [À COMPLÉTER] (base : obligation_legale). Purge automatique : non implémentée à ce jour.
• Données de santé connectée et de bien-être — Jusqu’à la déconnexion de l’appareil ou la suppression manuelle (base : consentement). Purge automatique : non implémentée à ce jour.
• Preuves de consentement et d’acceptation des CGU — [À COMPLÉTER] (base : obligation_legale). Purge automatique : non implémentée à ce jour.
• Références de paiement — [À COMPLÉTER] (base : obligation_legale). Purge automatique : non implémentée à ce jour.

ProDay s'adresse à des mineurs : le football amateur compte une grande part de joueurs de 10 à 17 ans. Le compte d'un mineur ne peut être créé qu'avec l'accord et la supervision d'un responsable légal, et il est configuré par défaut en mode protégé.

• À l'inscription, l'âge déclaré déclenche l'affichage d'un encadrement spécifique : déclaration du responsable légal, création d'un compte Parent lié, filtrage des contacts entrants, paramétrage du temps d'écran.
• Le responsable légal dispose d'un accès au paramétrage de l'encadrement. Le compte du parent est un compte distinct, distinct du compte du mineur.
• Les données sensibles d'un mineur (santé, feuilles d'équipe) ne sont jamais publiées dans la Community et ne sont pas accessibles aux autres membres.
• Une fois devenu majeur, le titulaire peut reprendre la gestion de son compte et mettre à jour son encadrement : [À COMPLÉTER] (procédure de bascule automatique).

ProDay héberge des photos et des vidéos : photo de profil, contenus publiés dans la Community, vidéos de matchs et d'entraînements, clips et annotations, reels. Les règles applicables à chaque usage sont détaillées dans les documents « Droit à l'image, photos et vidéos » et « Vidéo et intelligence artificielle ».

• Vous restez titulaire de vos photos et vidéos : vous accordez à ProDay une licence limitée au fonctionnement du service (voir les CGU).
• Le droit à l’image d’une personne ne vous appartient pas : publier la photo ou la vidéo d’un tiers, notamment d’un mineur, exige son accord. C’est une infraction pénale, y compris en ligne.
• Pour les vidéos de matchs, chaque joueur identifiable doit avoir fait l’objet d’une autorisation : la méthode de recueil et sa conservation doivent être définies.
• Vous pouvez demander le retrait d’un contenu qui vous met en scène : voir la procédure de signalement dans les règles Community.

ProDay utilise des fonctions d'intelligence artificielle pour l'assistance conversationnelle, la génération de séances, la préparation de match et l'analyse vidéo. Le détail figure dans le document « Vidéo et intelligence artificielle ». Les points essentiels :

• Les requêtes transmises aux prestataires d’IA sont celles que vous saisissez, augmentées du contexte sportif que vous choisissez d’envoyer. Vos données de compte ne sont pas transmises automatiquement.
• Aucun entraînement de modèle d’IA n’est réalisé avec vos données, vos vidéos ou vos contenus.
• Aucune décision produisant des effets juridiques n’est prise de manière entièrement automatisée à votre défaveur. La vérification d’un rôle et la modération impliquent un contrôle humain.
• Les réponses générées sont indicatives et peuvent être erronées : ne vous y fiez pas pour une décision médicale, scolaire ou sportive.

ProDay n'utilise pas de décision automatisée produisant des effets juridiques à votre défaveur au sens de l'article 22 du RGPD : aucune décision de sanction, de refus d'accès ou de classement n'est prise par un algorithme seul. La modération assistée par IA propose un signalement à un humain qui décide.

Nous n'utilisons pas non plus de profilage publicitaire, ni de reciblage, ni de vente de données. Les seules données de navigation conservées sur le site sont un compteur de pages vues sans identifiant persistant et votre choix de sons, conservés dans votre navigateur.

Le détail figure dans la politique cookies. En résumé :

• Traceurs strictement nécessaires : session administrateur et session bêta sur le site. Ils ne sont pas déposés tant que vous n’entrez pas dans l’espace concerné.
• Aucun traceur publicitaire, aucun pixel de reciblage, aucun SDK de réseau social.
• Mesure d’audience : un compteur serveur de pages vues, sans cookie publicitaire, sans identifiant persistant, activable ou refusable depuis le bandeau de consentement.
• Vos choix sont conservés dans votre navigateur et peuvent être modifiés à tout moment depuis le pied de page du site.
• Dans l’application mobile, aucun cookie web n’est déposé. Les réglages équivalents sont dans « Réglages → Confidentialité et données ».

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants, exercables gratuitement :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification : corriger des données inexactes ou incomplètes. Vous pouvez modifier votre profil et vos informations depuis l'application ; l'adresse e-mail et le compte d'authentification se modifient via « Réglages → Confidentialité et données ».
• Droit à l'effacement : demander la suppression de votre compte depuis « Réglages → Confidentialité et données », après double confirmation.
• Droit à la limitation : demander le gel temporaire d'un traitement contesté.
• Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime, pour des motifs tenant à votre situation particulière. L'abonnement à une prospection commerciale s'oppose en un clic.
• Droit à la portabilité : recevoir les données que vous avez fournies, dans un format structuré et couramment utilisé. L'export est disponible dans l'application pour les données que celle-ci connaît ; la liste complète et le délai de remise pour le reste sont indiqués dans l'écran d'export.
• Droit de retirer votre consentement : à tout moment, sans que cela remette en cause la licéité du traitement effectué auparavant. Le retrait s'effectue dans « Réglages → Confidentialité et données », ou en répondant STOP aux e-mails.
• Droit à la directive post-mortem : organiser l'organisation du traitement après votre décès.
• Droit de ne pas faire l'objet d'une décision automatisée : voir la section précédente.

Par e-mail à proday.admin@gmail.com, en précisant l'objet « Données personnelles », l'adresse du compte concerné et votre demande. Vous pouvez aussi utiliser « Réglages → Confidentialité et données → Contacter l'équipe chargée de la confidentialité ».

Nous répondons dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois pour une demande complexe ; nous vous en informons alors dans le mois. L'absence de réponse vous ouvre droit à la saisine de la CNIL.

Nous pouvons vous demander une preuve d'identité lorsque cela est nécessaire pour éviter une divulgation à un tiers. Nous conservons la trace de votre demande et de son traitement.

Dossier de demandes de droits : [À COMPLÉTER] (lieu de conservation, durée, accès).

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) : https://www.cnil.fr.

Tous les traitements décrits dans cette politique sont réalisés par ProDay pour son propre compte. Lorsque vous utilisez une fonction sur les données d'un club (organisation d'équipe, finances, recrutement, vidéos), le club est le responsable de traitement et ProDay intervient comme sous-traitant ou comme responsable conjoint, selon le traitement concerné. La répartition exacte, collection par collection, figure dans le document « Données traitées pour le compte des clubs ».

Dans ce cas, la demande doit être adressée en priorité au club concerné pour les données qu'il administre. ProDay assiste le club dans le traitement des demandes qui le concernent.

Chaque version est identifiée, datée de publication et datée d'entrée en vigueur. La version en vigueur est la 3.0.0, publiée le 2026-10-02 et entrant en vigueur le 2026-11-01.

Une correction de formulation ou une précision qui ne modifie ni vos droits ni nos obligations ne déclenche pas de nouvelle acceptation de votre part : elle est signalée par une nouvelle date de mise à jour.

En revanche, un changement substantiel — finalité nouvelle, données nouvelles, sous-traitant nouveau, durée modifiée, changement de responsable — vous est notifié dans l'application et, lorsque cela est nécessaire, dans l'application au moment de votre prochaine connexion. Vous pouvez alors refuser et supprimer votre compte sans que cela ne vous soit opposé.