Version 2026-08-23.6 — applicable à l’activation commune des annuaires sur le site et dans l’application

Politique de confidentialité

Cette politique décrit comment Basket Pays de Gex utilise les données nécessaires à l’application, à l’API et à la vie sportive du club, ainsi que le rôle de son prestataire technique.

1. Qui traite les données ?

Basket Pays de Gex décide des finalités et des règles applicables aux données de ses membres. CODE & PROD développe, héberge, maintient et assiste la solution uniquement pour le compte du club et selon ses instructions. La FFBB reste responsable des traitements qu’elle réalise dans ses propres systèmes. L’accès FFBB/FBI utilisé par le club est limité à ses propres licenciés et ne confère aucun droit de réutilisation plus large.

2. Personnes concernées et origine des données

Le service concerne les licenciés mineurs et majeurs, leurs représentants autorisés, joueurs et joueuses, coachs, arbitres, membres du Bureau, responsables du club et personnes sollicitant le support. Les données sont fournies par l’utilisateur ou son représentant, détenues par le club, obtenues par l’accès autorisé FFBB/FBI pour les licenciés BPDG, produites par l’activité sportive, ou générées pour l’authentification, les notifications, la sécurité et l’assistance.

3. Données concernées

• Compte et identité : nom, prénom, e-mail, téléphone, mot de passe et codes temporaires hachés, identifiants, numéro de licence, rôles, équipes, rattachements et preuve d’âge minimal.
• Licence et activité sportive : identité fédérale, date de naissance, coordonnées et représentants, catégorie, assurance, dates liées au certificat médical, entraînements, matchs, convocations, réponses, présences, absences, organisation et statistiques basket. Aucun diagnostic ni motif médical libre ne doit être saisi dans l’application.
• Contenus choisis par l’utilisateur : messages, photos, vidéos, enregistrements vocaux, documents, questions et réponses TETRA, retour au support et capture d’écran facultative.
• Portraits officiels et droit à l’image : prénom, nom, portrait individuel, photo d’équipe, date d’enregistrement de l’autorisation et, le cas échéant, date de sa révocation.
• Modération : version des règles acceptée, blocages, signalements, motif, détail, instantané du contenu signalé, statut, note et horodatages.
• Notifications et sécurité : jeton Firebase, identifiant d’installation, notifications, état lu, requêtes de recherche, adresse IP ou empreinte anti-abus et traces techniques.
• Suppression de compte : référence de demande, adresse temporaire, empreinte HMAC, source, statut, personnes ayant traité la demande, note et dates de suivi.

Le profil mobile standard ne renvoie ni date de naissance, ni âge, ni taille. La date de naissance du titulaire est néanmoins requise lors de l’inscription et de toute nouvelle attestation de majorité : le serveur vérifie uniquement que la personne a au moins 18 ans, ne conserve pas la date brute et enregistre seulement la version de la règle et l’horodatage de l’attestation. Une date de naissance est aussi transmise ponctuellement lorsqu’un utilisateur choisit de vérifier un rattachement de licence ; elle peut enfin être visible dans un effectif détaillé uniquement par une personne autorisée à gérer l’équipe. Le dossier fédéral détenu au serveur n’est pas supprimé du seul fait que ces champs ne sont pas affichés.

L’application n’accède pas à la position de l’appareil, au carnet d’adresses, aux applications installées ni à un identifiant publicitaire. Elle ne contient ni publicité, ni paiement, ni achat intégré.

4. Finalités et bases légales

Lorsque le traitement repose sur l’intérêt légitime, la personne peut s’y opposer pour des raisons tenant à sa situation particulière. Le club examinera alors la demande et cessera le traitement, sauf motif légitime impérieux ou besoin de constater, exercer ou défendre un droit. Lorsque le traitement repose sur le consentement, celui-ci peut être retiré à tout moment aussi simplement qu’il a été donné, sans remettre en cause la licéité du traitement antérieur.

5. Destinataires, prestataires et transferts

Le prénom, le nom et le rôle ou la fonction des licenciés disposant du choix d’identité publique et du choix commun site + application, enregistrés et non retirés, peuvent être visibles sans compte par tout visiteur des deux supports, depuis le monde entier, tant que leur licence reste active. Le site et l’application résolvent le même portrait canonique depuis le stockage serveur commun. Le portrait personnel n’est affiché que si sa portée est également autorisée ; sinon, les deux supports utilisent le même portrait générique officiel. Sans identité publique ou sans le bloc public commun, aucune fiche nominative n’est publiée. Une fois affichés, les éléments autorisés peuvent techniquement être capturés, copiés, téléchargés ou repartagés hors BPDG ; les URL contrôlées et révocables, limites de débit et consignes de non-indexation réduisent certains abus sans empêcher ces copies. Une photo d’équipe n’est rendue publique que si le photographe habilité atteste que seules les personnes de l’effectif contrôlé apparaissent et si toutes les autorisations applicables sont valides ; à défaut, une illustration générique est utilisée. Les autres données sont accessibles uniquement aux utilisateurs, représentants, responsables d’équipe et membres du Bureau dont les droits sont contrôlés par le serveur, ainsi qu’aux destinataires attendus d’un canal de messagerie. Selon la fonction utilisée, les sous-traitants ou services suivants interviennent :

• CODE & PROD et l’environnement d’hébergement/Plesk : exploitation de l’API, de la base, des médias, des sauvegardes techniques, des journaux et du support, pour le compte de BPDG.
• Transport d’e-mail : codes, confirmations, demandes de suppression, notifications et support.
• Opportunity SAS / AllMySMS, France : numéro de téléphone et contenu du code de connexion à usage unique pour les personnes habilitées au back-office. Les conditions publiques du prestataire indiquent une conservation standard pouvant atteindre 24 mois pour le numéro destinataire et 6 mois pour les comptes rendus de réception ; les réglages du compte peuvent réduire ces durées.
• Google Firebase Cloud Messaging et Firebase Installations : identifiant d’installation et jeton nécessaires à la livraison des notifications. Google indique conserver l’identifiant jusqu’à la demande de suppression par API, puis l’effacer de ses systèmes actifs et de sauvegarde dans un délai pouvant atteindre 180 jours.
• OpenAI : si une personne choisit d’utiliser TETRA, le serveur transmet sa question, le contexte sportif public utile du club et jusqu’à huit messages récents (questions ou réponses TETRA). L’API Moderations contrôle d’abord la question ; l’API Responses génère ensuite la réponse avec store:false, puis Moderations contrôle cette réponse avant son affichage. Un document e-Marque peut aussi être transmis volontairement à Responses par une personne habilitée. L’usage de TETRA est facultatif : refuser ses règles ou ne pas poser de question ne bloque aucune autre fonction de l’application. Aucune donnée personnelle ou médicale ne doit être saisie dans TETRA. OpenAI indique ne pas utiliser par défaut les données de l’API pour entraîner ses modèles. Les journaux de prévention des abus de Responses peuvent contenir des entrées ou sorties et sont conservés jusqu’à 30 jours par défaut, davantage si la loi ou la protection du service ou d’un tiers l’exige. Selon le modèle et la configuration, un cache chiffré de préfixe peut subsister jusqu’à 24 heures ; une image ou un fichier détecté comme contenu d’exploitation sexuelle de mineurs peut être conservé pour revue de sécurité. L’endpoint Moderations est actuellement indiqué sans conservation de journal d’abus ni état applicatif.
• OpenStreetMap : adresse IP et requête technique lorsque la carte d’une salle est chargée.
• Google Fonts : adresse IP et informations techniques si une police distante doit être téléchargée.
• Twitch : la version mobile actuellement soumise n’embarque ni lecteur, ni WebView, ni miniature distante Twitch. Avant le clic, le terminal interroge uniquement l’API BPDG pour connaître l’état du direct ; le serveur peut alors consulter l’API Twitch avec ses propres identifiants techniques, sans transmettre à Twitch l’adresse IP, l’identifiant, le jeton ou le contenu de l’utilisateur mobile. L’action explicite « Regarder sur Twitch » ouvre ensuite, dans une application externe, le lien HTTPS du compte officiel basketpaysdegex, contrôlé par BPDG ; Twitch reçoit alors les données techniques et interactions relevant de sa propre politique.
• Google reCAPTCHA : certaines pages web publiques utilisent ce service pour limiter les soumissions automatisées ; Google reçoit alors les données techniques nécessaires à cette vérification.

Les services Google et OpenAI peuvent faire intervenir des entités ou sous-traitants situés hors de l’Espace économique européen, notamment aux États-Unis. Leurs conditions de traitement prévoient les clauses contractuelles types de la Commission européenne et, lorsqu’elle est applicable, une décision d’adéquation. Une copie ou les références de ces garanties peuvent être demandées au contact données du club.

Basket Pays de Gex ne vend pas les données et ne les utilise pas pour le suivi publicitaire.

6. Durées et critères de conservation

Les échéances non automatisées font l’objet d’une revue et d’une action manuelles par les personnes habilitées. Une conservation plus longue n’est permise que pour une obligation identifiée ou un litige documenté, avec accès restreint. Les sauvegardes ne sont pas réutilisées à d’autres fins ; si une restauration intervient, les règles d’effacement sont réappliquées.

7. Vos droits et la suppression du compte

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition ou, lorsque ses conditions sont réunies, la portabilité de vos données à bureau.basketpaysdegex@gmail.com. CODE & PROD peut recevoir une demande technique à contact@codenprod.com et la transmettre au Bureau. Le club répond en principe sous un mois ; ce délai peut être prolongé de deux mois pour une demande complexe, après information de la personne.

Chaque choix d’image ou de publication peut être retiré auprès du Bureau, sans conséquence sur l’adhésion ni sur l’activation de la licence. Le retrait du portrait personnel invalide son URL contrôlée et le remplace par le portrait générique lorsque l’identité reste autorisée. Le retrait de l’identité publique ou du bloc commun site + application retire la personne des deux annuaires. Le retrait n’empêche pas la conservation restreinte de la preuve nécessaire au traitement de la demande. Le Bureau traite séparément toute ancienne URL statique ou copie mise en cache qui lui est signalée.

La demande de suppression ouvre une revue sécurisée et n’efface rien immédiatement. Le compte applicatif est distinct de la licence sportive. Les données qui ne disposent plus d’un fondement sont supprimées ou anonymisées ; l’historique fédéral, les preuves de modération et les obligations identifiées suivent les durées ci-dessus. Une preuve d’identité complémentaire n’est demandée qu’en cas de doute raisonnable et de façon proportionnée.

8. Mineurs

Un compte direct est réservé à une personne majeure, âgée d’au moins 18 ans. Le profil de tout licencié mineur est géré uniquement depuis le propre compte d’un parent ou représentant légal adulte enregistré par le club. Le code de rattachement est envoyé aux coordonnées autorisées du dossier de licence, jamais automatiquement à l’adresse personnelle du mineur.

Le seuil de 18 ans est une condition contractuelle protectrice de BPDG, plus stricte que le seul seuil légal applicable au consentement à certains services en ligne. Le service n’offre aucun compte direct à un mineur. Lorsqu’une autorisation ou un consentement est juridiquement nécessaire pour une fonction concernant un mineur, le club le recueille auprès du représentant habilité et fournit au mineur une information adaptée. En cas de donnée absente, contradictoire ou contestée, aucun rattachement automatique n’est effectué et le Bureau réalise une revue.

Pour la saison 2026-2027, le représentant habilité de BPDG a confirmé que chaque licence active dispose d’un formulaire d’autorisation d’image signé, conservé par le club et retrouvable par numéro FFBB. Le portrait individuel, la photo d’équipe et la publication publique peuvent être refusés séparément sans empêcher l’adhésion ou l’activation de la licence ; un retrait ultérieur laisse également la licence active. Le formulaire nomme le site et l’application dans un choix public commun. Avant toute activation, le Bureau relie à la licence une référence permettant de retrouver son exemplaire signé, sa date, son signataire et les choix acceptés. Le Studio officiel et les pages publiques vérifient ensuite côté serveur la licence active et les portées applicables. Une identité autorisée sans portrait individuel utilise le visuel générique ; sans identité publique ou sans le bloc public commun, la personne n’apparaît dans aucun annuaire. Pour un mineur, l’autorisation est enregistrée par le représentant habilité et le jeune reçoit une information et est associé à la décision dans des termes adaptés à son âge et à sa maturité. Pour une photo d’équipe sans attestation du photographe ou dont les personnes représentées ne peuvent pas être reliées de manière fiable aux autorisations applicables, une illustration générique est conservée.

Pour le jeune licencié : tant que tu es mineur, ton parent ou représentant gère ton profil depuis son compte. Le club utilise les informations utiles pour t’inscrire dans ton équipe, envoyer les convocations à ton représentant et enregistrer les réponses de présence. Tu peux demander à ton représentant ou au club de voir ou corriger ces informations et, lorsque la loi le permet, de les supprimer.

9. Sécurité et modération

Les flux API utilisent HTTPS. Les mots de passe et codes temporaires sont hachés, le jeton mobile est placé dans le stockage sécurisé de la plateforme et les autorisations métier sont contrôlées côté serveur. La messagerie n’est pas chiffrée de bout en bout.

Avant un premier envoi dans la messagerie ou TETRA, l’application présente les règles d’utilisation. Elle prévoit le signalement de contenus et le blocage de certains auteurs. Un signalement peut conserver un instantané destiné uniquement à sa revue par les personnes habilitées.

10. Mise à jour et contact

Version 2026-08-23.6, applicable à compter de l’activation commune des annuaires publics sur le site et dans l’application. Le build mobile 60 déjà transmis ne contient pas encore ces annuaires : leur activation mobile nécessite une version ultérieure. Cette version remplace la version 2026-08-23.5 et documente le refus granulaire sans effet sur la licence, la publication couplée sur les deux supports et l’utilisation du portrait générique lorsque le portrait individuel n’est pas autorisé. Une évolution substantielle des fonctions, finalités, destinataires, services techniques ou durées entraîne une mise à jour de cette politique et, si nécessaire, une nouvelle information dans l’application.

Contact données : bureau.basketpaysdegex@gmail.com. Contact technique : contact@codenprod.com.