Brouillon. Ce texte n’est pas encore définitif : il est encore en cours de vérification et certaines informations peuvent manquer.
Politique de confidentialité
Dernière mise à jour :
La présente politique explique quelles données personnelles MyHalfs traite, pourquoi nous le faisons, combien de temps nous les conservons et quels sont vos droits. Nous ne collectons pas plus que ce dont nous avons besoin, n’utilisons aucun cookie de suivi et ne vendons jamais vos données.
Qui est responsable
Le responsable du traitement pour myhalfs.com et myhalfs.nl est :
- Nom
- [HANDELSNAAM] ([RECHTSVORM])
- Adresse
- [ADRES]
- Chambre de commerce néerlandaise (KvK)
- [KVK-NUMMER]
- [CONTACT-EMAIL]
- Téléphone
- [TELEFOONNUMMER]
Pour toute question relative à la protection de vos données, vous pouvez nous joindre à cette adresse e-mail.
En bref
- Votre profil est privé par défaut. C’est vous qui décidez de ce qui devient public.
- Le justificatif d’un tampon n’est visible que par vous et par les modérateurs et administrateurs de MyHalfs.
- Nous mesurons les visites sans cookies et sans enregistrer votre adresse IP.
- Nous n’enregistrons ni votre fréquence cardiaque ni aucune autre donnée de santé.
- Vous pouvez télécharger vos données et supprimer votre compte vous-même. Seul ce que nous devons conserver pour notre comptabilité est conservé (sans lien avec votre compte).
Liste d’attente
- Finalité
- Vous tenir au courant de MyHalfs, par exemple du lancement et des nouvelles courses, et vous contacter si vous nous avez indiqué vouloir devenir partenaire.
- Données
- Votre adresse e-mail, la langue du site, la page sur laquelle vous vous êtes inscrit, le moment de votre inscription et un code secret pour le lien de désinscription. Votre adresse e-mail et votre langue sont également enregistrées comme contact dans la liste d’attente de notre service d’e-mail (Resend). À chaque inscription, notre équipe peut recevoir une notification avec votre adresse e-mail et votre langue, dans une boîte mail de l’équipe MyHalfs (voir « Avec qui nous partageons des données »).
- Base légale
- Votre consentement. Vous pouvez le retirer à tout moment au moyen du lien de désinscription présent dans chaque e-mail.
- Durée de conservation
- Jusqu’à votre désinscription. Nous supprimons alors votre inscription de notre base de données. Chez notre service d’e-mail (Resend), votre adresse reste marquée comme « désinscrite », afin que vous ne receviez plus d’e-mails de la liste. À vérifier (V6): supprimer aussi le contact chez Resend ?
Compte et profil
- Finalité
- Vous permettre de vous connecter et vous fournir un compte et un profil.
- Données
- Votre adresse e-mail, un identifiant de compte, la date de création de votre compte et de votre dernière connexion, votre rôle (par exemple modérateur ou administrateur, si nous vous en attribuons un), et ce que vous renseignez dans votre profil : votre nom d’utilisateur (par défaut un nom aléatoire, comme runner-a1b2c3d4), votre nom affiché si vous en définissez un, ce que vous écrivez sur vous-même, votre pays, votre photo de profil et le fait que votre profil soit public ou non.
- Base légale
- Exécution du contrat : vous utilisez votre compte.
- Durée de conservation
- Tant que votre compte existe. Si vous supprimez votre compte, nous supprimons votre profil et votre photo de profil.
La connexion se fait au moyen d’un lien que nous envoyons à votre adresse e-mail (un lien de connexion). Vous n’avez pas de mot de passe. Notre service de connexion (Supabase) enregistre des données techniques telles que votre adresse IP afin de prévenir les abus. Lorsque vous demandez un lien de connexion, vous passez aussi un bref contrôle de sécurité de Cloudflare (voir « Sécurité, abus et journaux »).
Les photos de profil sont converties sur notre serveur en un nouveau fichier, sans les métadonnées cachées de votre appareil photo ou de votre téléphone (comme le lieu où la photo a été prise). Votre photo de profil dispose d’un lien fixe : toute personne qui possède ce lien peut voir la photo, même si votre profil est privé.
Privé, sauf si vous en décidez autrement. Par défaut, votre profil n’est visible que par vous. Si vous rendez votre profil public, tout le monde peut voir votre nom affiché, votre pays et votre bio. Votre nom d’utilisateur et votre photo de profil apparaissent aussi à côté des messages que vous publiez sur le forum. Un profil public rend également votre passeport public : chacun peut alors consulter les semi-marathons qu’un modérateur a approuvés (ville et année), les totaux et vos défis réalisés, et vos chronos uniquement si vous activez aussi cette option. Les numéros de passeport ne sont pas secrets : votre passeport peut donc aussi être trouvé sans lien. Nous demandons aux moteurs de recherche de ne pas l’indexer. Vous pouvez désactiver cela à tout moment. Votre adresse e-mail, vos commandes, vos numéros de dossard et vos justificatifs ne sont jamais publics.
Passeport, tampons et justificatifs
- Finalité
- Enregistrer les semi-marathons que vous avez courus sous forme de tampons dans votre passeport, calculer votre progression dans les défis et vérifier qu’un tampon est correct.
- Données
- Pour chaque tampon : la course et l’édition, votre chrono, votre numéro de dossard, le justificatif que vous téléversez, le statut de la vérification et, une fois la vérification effectuée : qui l’a effectuée, quand, et une éventuelle explication. En outre, votre numéro de passeport et vos défis réalisés.
- Base légale
- Exécution du contrat : vous utilisez le passeport.
- Durée de conservation
- Les tampons tant que votre compte existe, ou jusqu’à ce que vous supprimiez vous-même un tampon. Nous ne conservons les justificatifs que le temps nécessaire à la vérification : À vérifier (V6): durée ; proposition : 30 jours après la vérification, après quoi seul le résultat est conservé.
Qui voit votre justificatif ? Les justificatifs sont conservés dans un espace de stockage à accès restreint. Seuls vous et les modérateurs et administrateurs de MyHalfs pouvez les consulter. Ils ne sont jamais publics, même si votre passeport est public. Les modérateurs les examinent eux-mêmes ; il n’y a pas de décision automatisée.
Ne téléversez que ce qui est nécessaire : par exemple une capture d’écran de votre résultat ou votre diplôme de finisher. S’il montre d’autres personnes ou des données de santé (comme votre fréquence cardiaque), rendez-les d’abord méconnaissables. Une photo peut aussi contenir des données cachées, comme le lieu où elle a été prise. Nous convertissons les photos en un nouveau fichier sans ces données ; un PDF est conservé tel quel.
Propositions de course
- Finalité
- Examiner une course que vous proposez et, si elle est approuvée, l’ajouter au calendrier des courses. Vous contacter si nous avons une question sur votre proposition.
- Données
- Les informations sur la course que vous saisissez (comme le nom, le lieu, la date et le site web), votre identifiant de compte et le moment de votre proposition.
- Base légale
- Exécution du contrat : vous utilisez une fonctionnalité de votre compte.
- Durée de conservation
- Les informations sur la course elles-mêmes ne sont pas des données personnelles et restent dans le calendrier des courses. Nous conservons le lien avec votre compte jusqu’au traitement de votre proposition. À vérifier (V6): durée ; proposition : supprimer lors du traitement, au plus tard après 3 mois Si vous supprimez votre compte, nous supprimons vos propositions qui n’ont pas (encore) été acceptées. Pour les propositions acceptées, nous supprimons le lien avec votre compte et vos commentaires.
Commandes et paiement
- Finalité
- Exécuter votre commande : réaliser et livrer votre poster, vous écrire au sujet de votre commande, vous demander votre chrono après la course, effectuer les remboursements et traiter les réclamations. En outre, notre comptabilité.
- Données
- Votre adresse e-mail, le nom figurant sur le poster, votre chrono (ou le fait que vous n’avez pas pris le départ ou avez abandonné), la course, la création et le coloris, le numéro de commande, le montant et la TVA, le statut de votre paiement, le moment où vous avez consenti à l’exécution immédiate et, si vous êtes connecté : le lien avec votre compte.
- Base légale
- Exécution du contrat conclu avec vous. Pour notre comptabilité : notre obligation légale de conservation.
- Durée de conservation
- Les données qui relèvent de notre comptabilité (comme le numéro de commande, la date, le montant, la TVA et le paiement) sont conservées pendant 7 ans, en raison de l’obligation fiscale néerlandaise de conservation (article 52 de la loi générale néerlandaise relative aux impôts de l’État, Algemene wet inzake rijksbelastingen). Les informations figurant sur le poster (nom et chrono) et les fichiers du poster sont conservés aussi longtemps que vous pouvez demander de nouveaux liens de téléchargement : À vérifier (V6): durée ; proposition : 12 mois après la livraison. Si vous supprimez votre compte, vos commandes payées sont conservées pour notre comptabilité, mais sans lien avec votre compte : nous y remplaçons votre adresse e-mail par un code anonyme. Les commandes non payées ou annulées, ainsi que les créations qui ne font pas partie d’une commande payée, sont supprimés avec votre compte. Si vous avez une commande que nous devons encore livrer, ou un paiement encore en cours, vous pouvez supprimer votre compte une fois la commande livrée, ou 24 heures après un paiement non finalisé.
Commander sans compte. Si vous commandez en tant qu’invité et vous connectez ensuite avec la même adresse e-mail, nous associons vos commandes et créations antérieures à votre compte, afin que vous puissiez les y retrouver. Nous ne le faisons qu’une fois votre adresse e-mail confirmée au moyen d’un lien de connexion. Base légale : exécution du contrat.
Paiement. Vous payez via Stripe. Stripe traite vos données de paiement (comme votre nom, votre adresse e-mail, vos coordonnées de carte ou bancaires et votre pays) pour effectuer le paiement. Nous recevons de Stripe le statut de votre paiement, mais pas vos coordonnées complètes de carte ou bancaires. Stripe est lui-même responsable de la prévention de la fraude et du respect de ses obligations légales ; la politique de confidentialité de Stripe s’applique à cet égard. À vérifier (V8): rôle de Stripe (sous-traitant ou responsable du traitement autonome) et entité Stripe concernée
Vérification de votre chrono. À vérifier (V13): le faisons-nous ? Si oui : nous recherchons votre chrono dans les résultats publics de la course, uniquement pour vous et uniquement avec le nom que vous nous indiquez, et nous n’enregistrons aucune donnée concernant d’autres coureurs
Livraison et téléchargements
- Finalité
- Vous livrer votre poster sous forme de fichier et vous permettre de demander de nouveaux liens de téléchargement.
- Données
- Les fichiers du poster (PDF et PNG), les liens de téléchargement temporaires et un code personnel avec lequel vous transmettez votre chrono ou demandez de nouveaux liens.
- Base légale
- Exécution du contrat.
- Durée de conservation
- Les liens de téléchargement fonctionnent pendant 7 jours. Nous conservons les fichiers du poster et le code personnel aussi longtemps que vous pouvez demander de nouveaux liens de téléchargement (voir ci-dessus, À vérifier (V6)).
Créations et partage
- Finalité
- Conserver votre création (le poster avec vos informations) pour l’aperçu, la commande et la livraison, et le partager si vous le souhaitez.
- Données
- La course, le modèle et la couleur, le nom figurant sur le poster et votre chrono, ainsi qu’un lien avec votre compte ou, si vous commandez en tant qu’invité, un code secret.
- Base légale
- Exécution du contrat.
- Durée de conservation
- Aussi longtemps que les fichiers du poster sont conservés (voir Commandes et paiement, À vérifier (V6)).
Partage. Votre création n’est pas publique, sauf si vous choisissez « Créer un lien de partage » après votre commande. Elle obtient alors sa propre page (myhalfs.com/designs/…) avec votre poster et des visuels à partager qui affichent votre nom et votre chrono. Toute personne disposant du lien peut voir cette page, et le visuel apparaît lorsque vous partagez le lien sur les réseaux sociaux. Les moteurs de recherche n’indexent pas la page. Vous pouvez supprimer le lien à tout moment (depuis votre commande, ou via le lien figurant dans l’e-mail contenant votre poster) ; la page et les visuels disparaissent alors. Si votre commande est remboursée, nous supprimons nous-mêmes le lien. Les visuels déjà partagés ou téléchargés ne peuvent pas être récupérés. À vérifier (V17): une création est-elle publique par défaut ? Réalisé selon la proposition : uniquement après un choix explicite de partager
E-mails que nous envoyons
- Finalité
- Les e-mails liés à votre compte ou à votre commande : votre lien de connexion, la confirmation de votre commande, votre poster, la demande de votre chrono et un rappel, ainsi que des messages concernant vos tampons et vos défis. Nous n’envoyons des newsletters qu’à la liste d’attente, avec votre consentement.
- Données
- Votre adresse e-mail, votre nom si vous l’avez indiqué, le contenu de l’e-mail et le fait qu’il ait été distribué ou non.
- Base légale
- Exécution du contrat. Pour la liste d’attente : votre consentement.
- Durée de conservation
- Notre service d’e-mail (Resend) conserve les e-mails envoyés et leur statut de distribution pendant une durée limitée. À vérifier (V7): durée de conservation des journaux d’e-mails chez Resend
Mesure d’audience sans cookies
- Finalité
- Comprendre comment le site est utilisé, par exemple combien de visiteurs reçoit une page de course ou une page de poster, combien d’entre eux commencent et finalisent une commande, et par quel canal (comme un lien partagé) les gens arrivent.
- Données
- Pour chaque affichage d’une page publique (la page d’accueil, le calendrier des courses, une page de course, une page de poster, une création publique ou un passeport public ; pour ces deux derniers, uniquement le type de page, et non la création ou le passeport concerné) : le jour (sans l’heure), la page (sans le reste du lien), la langue, le domaine du site web de provenance (par exemple instagram.com, et non le lien complet), les codes de campagne figurant dans le lien (utm_source, utm_medium, utm_campaign) et le fait que vous soyez arrivé via un lien partagé (ref, et src : le type de visuel). Lorsqu’une commande est commencée ou payée : l’édition et le même canal, sans la langue ni le type de visuel, et uniquement la semaine (pas le jour). Nous n’utilisons aucun cookie ni aucun autre stockage sur votre appareil et n’enregistrons ni adresse IP, ni identifiant d’appareil, ni données de navigateur, ni identifiant de compte. Nous ne conservons le canal d’une commande que jusqu’à la réception du paiement (au maximum 3 jours, après quoi une tâche quotidienne le supprime). Ensuite, les données sont pseudonymes : elles ne sont pas directement liées à votre commande. Pour écarter les abus et les robots, nous comptons combien de fois une mesure provient de la même adresse IP (sous forme hachée, voir Sécurité, abus et journaux) et refusons les mesures provenant de navigateurs qui s’identifient comme robot ou crawler ; pour cela, nous lisons uniquement l’agent utilisateur (user agent) de votre navigateur, sans l’enregistrer. À vérifier (V7): pour une édition avec très peu de commandes, il reste théoriquement possible de remonter à une seule commande
- Base légale
- Notre intérêt légitime à améliorer le site et notre offre. Les données sont pseudonymes et ne sont pas directement liées à vous ni à votre commande.
- Durée de conservation
- À vérifier (V6): durée ; proposition : 25 mois, puis uniquement des totaux
Sécurité, abus et journaux
- Finalité
- Assurer la sécurité et la disponibilité du site, limiter les abus (comme un trop grand nombre de tentatives de connexion ou d’inscriptions) et résoudre les pannes.
- Données
- Lorsque vous vous connectez, vous inscrivez ou passez commande, ainsi que pour la mesure d’audience sans cookies, nous comptons combien de fois une requête provient de la même adresse IP ou adresse e-mail. Pour cela, nous n’enregistrons pas ces adresses sous une forme lisible, mais sous forme de code haché (HMAC) avec une clé secrète ; sans cette clé, le code ne permet pas de retrouver l’adresse. En outre, notre hébergeur (Netlify) et notre service de base de données et de connexion (Supabase) traitent des données techniques telles que votre adresse IP, votre navigateur et la page que vous demandez. Nos propres journaux techniques masquent les adresses e-mail (par exemple j***@gmail.com).
- Base légale
- Notre intérêt légitime à disposer d’un site sécurisé et fonctionnel.
- Durée de conservation
- Un compteur s’applique à une courte fenêtre de temps (15 minutes au maximum) et est supprimé lors d’une requête ultérieure, une fois cette fenêtre écoulée. Les journaux de Netlify et de Supabase sont supprimés automatiquement après une durée limitée. À vérifier (V7): durée de conservation des journaux chez Netlify et Supabase
Contrôle de sécurité (Cloudflare Turnstile). Lorsque vous demandez un lien de connexion ou vous inscrivez sur la liste d’attente, Cloudflare Turnstile vérifie qu’un être humain utilise le formulaire, généralement sans que vous ayez à faire quoi que ce soit. Pour cela, votre navigateur charge un script et un cadre de Cloudflare (challenges.cloudflare.com), uniquement sur la page de connexion et dès que vous utilisez le formulaire de la liste d’attente. Cloudflare traite des données techniques relatives à votre navigateur et à votre connexion, telles que votre adresse IP et votre navigateur. Votre adresse e-mail n’est pas transmise à Cloudflare. Cloudflare renvoie un code à usage unique, que nous (pour la liste d’attente) ou notre service de connexion Supabase (pour la connexion) vérifions auprès de Cloudflare ; nous ne transmettons pas votre adresse IP à cette occasion. Base légale : notre intérêt légitime à prévenir les abus des formulaires, comme le spam et l’envoi massif de liens de connexion dans la boîte mail de quelqu’un. Cloudflare utilise également ces données pour améliorer sa propre détection des robots ; Cloudflare en est lui-même responsable. À vérifier (V7): rôle de Cloudflare (sous-traitant, et responsable du traitement autonome pour l’amélioration de Turnstile), DPA, garantie et durée de conservation chez Cloudflare
Nous protégeons en outre vos données par des mesures appropriées : le site ne fonctionne que via une connexion chiffrée (HTTPS), la base de données ne donne à chaque utilisateur accès qu’à ses propres données, les justificatifs et les fichiers de poster sont conservés dans un espace de stockage à accès restreint, et seules les personnes qui en ont besoin pour leur travail peuvent accéder aux données.
Contact et signalements
- Finalité
- Répondre à votre question, réclamation ou demande, et traiter les signalements de contenus inappropriés ou illicites.
- Données
- Votre adresse e-mail, votre nom si vous le mentionnez, le contenu de votre message et la suite que nous y avons donnée.
- Base légale
- Notre intérêt légitime à pouvoir répondre aux questions, ou l’exécution de votre commande si votre question porte sur celle-ci. Pour les signalements de contenus illicites : notre obligation légale (règlement sur les services numériques, Digital Services Act).
- Durée de conservation
- Aussi longtemps que nécessaire pour traiter votre question ou votre signalement, ou aussi longtemps qu’il se rapporte à une commande figurant dans notre comptabilité. À vérifier (V6): durée ; proposition : 2 ans après le traitement
Avec qui nous partageons des données
Nous ne vendons pas vos données. Nous faisons toutefois appel à quelques prestataires qui traitent des données pour notre compte (sous-traitants). Nous avons conclu avec eux, dans un contrat de sous-traitance, des accords en matière de sécurité et de confidentialité. À vérifier (V7): contrat de sous-traitance accepté pour chaque service
- Supabase
- Base de données, connexion et stockage de fichiers (photos de profil, justificatifs, fichiers de poster). Les données sont stockées dans un centre de données situé dans l’UE. Supabase et certains de ses sous-traitants ultérieurs sont établis en dehors de l’Espace économique européen (EEE), notamment aux États-Unis. À vérifier (V7): confirmer la région du projet (UE, p. ex. Francfort) et l’entité Supabase
- Netlify
- Hébergement du site. Netlify, Inc., États-Unis. Netlify traite les requêtes sur des serveurs situés dans le monde entier, y compris en dehors de l’EEE.
- Resend
- Envoi d’e-mails (liens de connexion, e-mails de commande, liste d’attente). Resend (Plus Five Five, Inc.), États-Unis. À vérifier (V7): dans quelle région Resend traite et stocke nos e-mails
- Cloudflare
- Contrôle de sécurité (Turnstile) lors de la connexion et de l’inscription sur la liste d’attente. Cloudflare, Inc., États-Unis. Cloudflare traite les requêtes sur des serveurs situés dans le monde entier, y compris en dehors de l’EEE. À vérifier (V7)
- Stripe
- Paiements. Stripe Payments Europe, Limited, Irlande. Stripe peut également traiter des données chez Stripe, Inc. aux États-Unis. À vérifier (V8)
- E-mail de contact
- Notre boîte mail pour les questions, les signalements et les notifications de l’équipe lors de nouvelles inscriptions sur la liste d’attente. À vérifier (V7): quelle(s) boîte(s) mail reçoi(ven)t les notifications, chez quel fournisseur, où, et transfert éventuel
- Comptabilité
- À vérifier (V7): utilisons-nous un logiciel de comptabilité ou un comptable ? Si oui, l’indiquer ici
Données en dehors de l’EEE
Si des données sont transférées vers un pays situé en dehors de l’EEE, cela ne se fait qu’avec une garantie légale : une décision d’adéquation de la Commission européenne (comme le cadre de protection des données UE–États-Unis, ou EU-US Data Privacy Framework, pour les entreprises qui y participent) ou les clauses contractuelles types de la Commission européenne. Vous pouvez nous demander une copie de cette garantie. À vérifier (V7): quelle garantie s’applique à chaque service (Data Privacy Framework ou clauses contractuelles types)
Pour le reste, nous ne communiquons des données que si la loi nous y oblige, par exemple à l’administration fiscale néerlandaise (Belastingdienst).
Aucune donnée de santé
Nous ne demandons ni votre fréquence cardiaque ni aucune autre donnée de santé et ne les enregistrons pas. Nous n’importons pas de fichiers provenant de montres de sport ou d’applications. Nous ne considérons pas votre chrono comme une donnée de santé. Si votre justificatif contient malgré tout des informations de santé, comme votre fréquence cardiaque, rendez-les illisibles avant de le téléverser.
Vos droits
Vous avez le droit :
- d’accéder à vos données et de les recevoir dans un format courant. Si vous avez un compte, vous les téléchargez vous-même dans les paramètres de votre compte ;
- de faire rectifier les données inexactes. Vous modifiez vous-même votre profil et vos tampons ;
- de faire effacer vos données. Vous supprimez vous-même votre compte dans les paramètres de votre compte : votre profil, votre passeport, vos tampons et vos justificatifs sont alors supprimés. Les commandes sont conservées pour notre comptabilité, sans lien avec votre compte et sans votre adresse e-mail ;
- d’obtenir la limitation du traitement ;
- de vous opposer à un traitement fondé sur notre intérêt légitime ;
- de retirer votre consentement, sans incidence sur ce que nous avons fait avant ce retrait.
Si vous ne pouvez pas faire quelque chose vous-même, ou si vous n’avez pas de compte, écrivez-nous à [CONTACT-EMAIL]. Nous répondons dans un délai d’un mois. Il arrive que nous vous demandions d’abord de confirmer que la demande émane bien de vous. Les données que la loi nous oblige à conserver, comme notre comptabilité, ne sont supprimées qu’à l’expiration de la durée de conservation.
Nous ne prenons aucune décision vous concernant fondée exclusivement sur un traitement automatisé.
Introduire une réclamation
Si vous n’êtes pas satisfait de la manière dont nous traitons vos données, faites-le-nous d’abord savoir. Vous avez aussi toujours le droit d’introduire une réclamation auprès de l’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens), ou auprès de l’autorité de protection des données du pays de l’UE où vous résidez.
Modifications
Si nous commençons à utiliser des données d’une nouvelle manière ou faisons appel à un nouveau prestataire, nous mettons d’abord à jour la présente politique et publions la nouvelle version sur cette page, avec la date en haut. En cas de modification importante, nous vous en informons par e-mail si vous avez un compte.