1. Objet de la politique
La présente Politique de confidentialité vise à informer les utilisateurs de la plateforme Overbound (ci-après « la Plateforme » ou « Overbound ») des traitements de données à caractère personnel mis en œuvre, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.
Elle complète les Conditions Générales d’Utilisation disponibles à l’adresse https://overbound-race.com/cgu et s’applique à toutes les interactions avec Overbound, qu’elles soient numériques ou lors des événements physiques organisés ou opérés par Overbound.
2. Responsable de traitement & contact
- Responsable de traitement : Palvadeau Organisation, société par actions simplifiée unipersonnelle au capital de 5 000 €, immatriculée au RCS de Versailles sous le numéro 992 578 229, exploitant la marque Overbound, dont le siège social est situé 105 rue de la Brèche du Houx, 78760 Jouars-Pontchartrain, France.
- Délégué à la protection des données : Overbound n’a pas désigné de DPO, cette désignation n’étant pas obligatoire au regard de ses traitements (article 37 du RGPD). Toute question est traitée à l’adresse ci-dessous.
- Contact principal : contact@overbound-race.com
- Téléphone : +33 (0)6 52 26 60 54
3. Données collectées
- Données d’identification : nom, prénom, date de naissance, nationalité, sexe, photo, identifiant interne.
- Coordonnées : adresse postale, adresse email, numéro de téléphone.
- Données de compte : identifiant, mots de passe hashés, préférences linguistiques.
- Données d’inscription événementielle : format choisi, numéro de dossard, historique des participations.
- Données de sécurité : nom et téléphone d’un contact d’urgence (personne tierce, que le participant s’engage à prévenir) et, uniquement avec le consentement exprès du participant, informations de santé utiles aux secours (allergie, traitement…).
- Preuve d’acceptation : signature manuscrite dessinée à l’écran, date et heure, adresse IP, navigateur, version et empreinte numérique (SHA-256) du texte de la décharge signée.
- Transfert de dossard : identité du cédant et du bénéficiaire, date du transfert, paiement des frais de transfert.
- Données financières : informations de paiement traitées par Stripe (quatre derniers chiffres de la carte, token de paiement), factures et historiques de transaction.
- Données techniques : logs de connexion, adresse IP, device, navigateur, zones horodatées, cookies.
- Données de performance : chronométrage, classements, statistiques de course, notes et feedbacks.
- Données communautaires : messages envoyés via la Plateforme, participations aux forums, réponses aux enquêtes de satisfaction.
4. Finalités & bases légales
- Gestion des comptes utilisateurs et authentification – Base légale : exécution du contrat (art. 6(1)(b) RGPD).
- Inscription aux événements, gestion des dossards et suivi opérationnel – Base légale : exécution du contrat.
- Transfert de dossard entre deux personnes et information des deux parties – Base légale : exécution du contrat.
- Informations de santé transmises aux secours en cas d’intervention – Base légale : consentement explicite du participant (art. 9(2)(a) RGPD), retirable à tout moment ; sans ce consentement, aucune information de santé n’est conservée.
- Contact d’urgence – Base légale : intérêt légitime (sécurité des participants).
- Conservation de la décharge signée et des preuves de transfert, pour se défendre en cas de réclamation – Base légale : intérêt légitime (constatation, exercice ou défense de droits en justice).
- Gestion de la billetterie, paiement, facturation – Base légale : exécution du contrat et obligation légale (obligation comptable).
- Communication d’informations relatives aux événements, newsletters partenaires, offres commerciales – Base légale : consentement explicite ou intérêt légitime (relation clients).
- Analyse statistique et amélioration des services (fréquentation, performances, satisfaction) – Base légale : intérêt légitime.
- Lutte contre la fraude, respect des obligations légales, gestion des litiges – Base légale : obligation légale / intérêt légitime.
- Production de contenus média et communication (photos/vidéos) – Base légale : intérêt légitime, avec possibilité d’opposition.
5. Destinataires & sous-traitants
- Personnel habilité d’Overbound (équipes opérationnelles, support, marketing, finance) soumis à une clause de confidentialité.
- Organisateurs partenaires et prestataires logistiques (sécurité, chronométrage, bénévoles) pour les besoins de l’événement.
- Sous-traitants techniques : Vercel (hébergement), Supabase (base de données), Stripe (paiement), Resend (emails transactionnels), Sanity (CMS), Google Analytics et Google Tag Manager (mesure d’audience, avec consentement), Meta (mesure publicitaire, avec consentement), Sentry (suivi des erreurs).
- Autorités administratives ou judiciaires lorsqu’une obligation légale l’impose (réquisitions, enquêtes, lutte contre la fraude).
- Sponsors et partenaires commerciaux dans le cadre d'opérations marketing, uniquement si l’utilisateur a donné son consentement explicite.
6. Durées de conservation
- Compte utilisateur : durée d’activité du compte + 3 ans à compter de la dernière interaction pour relances marketing (intérêt légitime).
- Données relatives aux événements (inscriptions, factures) : 10 ans conformément aux obligations comptables et contractuelles.
- Décharges signées et preuves de transfert (identité, signature, date, adresse IP) : 10 ans après l’événement, durée de prescription d’une action en réparation d’un dommage corporel (article 2226 du Code civil).
- Informations de santé et contact d’urgence : supprimés automatiquement 30 jours après l’événement, ou dès le transfert du dossard pour l’ancien titulaire.
- Documents PPS ou autorisations parentales : durée de l’événement + 1 an, puis archivage sécurisé ou suppression.
- Logs techniques : 12 mois maximum.
- Cookies : durée maximale de 13 mois. Choix de consentement renouvelé tous les 12 mois ; justificatif de consentement (choix, date, adresse IP tronquée) conservé 13 mois.
- Images et contenus médiatiques : 5 ans, ou suppression anticipée sur demande justifiée.
7. Droits des personnes & modalités d’exercice
- Droit d’accès : obtenir confirmation que des données sont traitées, accéder à leur contenu et en recevoir une copie.
- Droit de rectification : corriger, compléter ou mettre à jour des données inexactes ou incomplètes.
- Droit d’effacement (« droit à l’oubli ») : supprimer des données lorsque leur conservation n’est plus justifiée, dans la limite des obligations légales. Pour un compte connecté, la demande se fait directement depuis Mon compte > Profil > « Supprimer mon compte et mes données ». Les données liées à un paiement (factures) sont conservées 10 ans par obligation comptable, puis supprimées.
- Droit d’opposition : s’opposer à tout moment aux traitements fondés sur l’intérêt légitime (marketing, profilage léger).
- Droit à la limitation : geler temporairement une partie des traitements en cas de contestation.
- Droit à la portabilité : recevoir les données fournies dans un format structuré, couramment utilisé et lisible par machine.
- Droit de retirer son consentement : retirer à tout moment son consentement aux traitements reposant sur celui-ci (newsletters, cookies marketing).
- Modalités : envoyer un email à contact@overbound-race.com ou un courrier à Palvadeau Organisation (Overbound), 105 rue de la Brèche du Houx, 78760 Jouars-Pontchartrain. Réponse sous un mois (article 12 du RGPD).
8. Sécurité & confidentialité
- Base de données hébergée dans l’Union européenne (Supabase), chiffrement des données en transit (TLS) et au repos.
- Accès aux données des participants réservé aux comptes disposant du rôle administrateur ; règles d’accès appliquées au niveau de la base de données (Row Level Security).
- Journalisation des actions sensibles réalisées depuis l’interface d’administration (modification d’inscriptions, transferts).
- Signalement des vulnérabilités à contact@overbound-race.com.
- En cas de violation de données, notification à la CNIL dans les 72 heures et information des personnes concernées lorsque le risque est élevé (articles 33 et 34 du RGPD).
9. Transferts hors Union européenne
- Certains sous-traitants (Stripe Payments Europe Limited, Vercel Inc., Resend Technologies, LLC, Google) sont situés hors de l’UE (États-Unis). Les transferts sont encadrés par des clauses contractuelles types (CCT) approuvées par la Commission européenne et, le cas échéant, des mesures complémentaires (chiffrement, pseudonymisation).
- Overbound vérifie régulièrement les certifications et engagements de ses prestataires (Privacy Shield remplacé par le Data Privacy Framework).
10. Situation des mineurs
- L’accès à la Plateforme est possible dès 16 ans. Pour les mineurs de moins de 18 ans souhaitant s’inscrire à un événement payant, une autorisation parentale est exigée.
- Les données relatives aux mineurs sont traitées avec une vigilance renforcée : accès restreint, durée de conservation limitée à 3 ans, suppression sur simple demande du représentant légal.
12. Décisions automatisées & profilage
- Overbound ne recourt pas à des décisions entièrement automatisées produisant des effets juridiques pour les utilisateurs.
- Des traitements de profilage peuvent être utilisés pour recommander des événements ou proposer des offres personnalisées. Ils reposent sur l’historique de participation, le niveau déclaré et les préférences sportives. À tout moment, l’utilisateur peut s’y opposer via son espace personnel ou en écrivant à contact@overbound-race.com.
13. Partenariats & co-responsabilité
- Certaines courses peuvent être co-organisées avec des partenaires locaux (clubs sportifs, salles). Dans ce cadre, un accord de co-responsabilité est mis en place pour définir précisément les responsabilités respectives vis-à-vis des traitements de données. Les informations clés sont communiquées dans le règlement de chaque événement.
14. Mise à jour de la politique
Overbound peut modifier la présente Politique pour tenir compte des évolutions réglementaires ou fonctionnelles. Toute modification substantielle est notifiée par email ou via une bannière d’information au moins 15 jours avant son entrée en vigueur.
La Politique mise à jour est consultable en permanence sur https://overbound-race.com/privacy-policies. La date de dernière mise à jour figure en en-tête de page.
15. Recours & droit de saisir la CNIL
En cas de difficulté non résolue, l’utilisateur dispose du droit d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) – 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 – www.cnil.fr.
Les utilisateurs résidant dans un autre pays de l’Union européenne peuvent saisir l’autorité de contrôle compétente de leur lieu de résidence.