1. Qui est responsable de tes données
Le responsable du traitement est Louis Castel SAS, 21 avenue de Toulouse, Appt 2, 31150 Bruguières, France, représentée par Louis Castel. Pour toute question ou demande relative à tes données : louis.castel31@gmail.com.
Aucun délégué à la protection des données (DPO) n'a été désigné : le traitement ne relève d'aucun des cas de désignation obligatoire prévus par l'article 37 du RGPD. Les demandes sont traitées directement par l'éditeur.
2. Les données qu'on traite
Ce que Strava nous transmet quand tu te connectes
La connexion se fait uniquement par Strava : on ne te demande jamais de mot de passe et on n'en stocke aucun. L'écran d'autorisation Strava liste les permissions demandées — read, activity:read et profile:read_all — et rien n'est récupéré tant que tu ne les as pas accordées.
| Catégorie | Données | Origine |
|---|---|---|
| Identité | Identifiant d'athlète Strava, prénom et nom, photo de profil, adresse e-mail si Strava la transmet | API Strava |
| Accès Strava | Jetons OAuth (access token, refresh token, date d'expiration, permissions accordées) | API Strava |
| Profil sportif | FTP (puissance seuil) et poids déclarés sur Strava | API Strava (permission profile:read_all) |
| Activité cycliste | Totaux 4 semaines / année / carrière (nombre de sorties, distance, temps de déplacement, dénivelé) et, sur les 42 derniers jours, distance, durée, dénivelé, vitesse moyenne et type de sport de chaque sortie | API Strava (permission activity:read) |
| Scores calculés | Cinq axes 0-100 (endurance, grimpe, vitesse, puissance, régularité) et un score global, déduits des données ci-dessus | Calculés par Grupetard |
| Vie du club | Inscriptions aux événements, équipe choisie, rôle de chef d'équipe, date d'inscription, rôle (membre ou administrateur), état de ton consentement de partage | Tes actions sur le site |
| Contenus déposés | Pour les administrateurs : fichiers FIT de parcours, nom, description, date et adresse de rendez-vous des événements | Tes dépôts |
| Journaux techniques | Adresse IP, date, page demandée et navigateur, enregistrés par le serveur | Ton navigateur |
On ne récupère ni les tracés GPS de tes sorties Strava, ni tes segments, ni tes photos, ni tes contacts, ni le contenu de tes activités privées. Les sorties servent uniquement à calculer des moyennes ; aucune de tes activités n'est affichée sur Grupetard.
3. Pourquoi, sur quelle base légale, et pour combien de temps
| Finalité | Base légale | Conservation |
|---|---|---|
| Créer et gérer ton compte, t'authentifier | Exécution du contrat (art. 6.1.b RGPD) — les conditions d'utilisation | Tant que ton compte existe |
| T'inscrire aux événements, constituer et équilibrer les équipes | Exécution du contrat (art. 6.1.b) | Tant que ton compte existe ; l'historique des participations est supprimé avec lui |
| Calculer ta fiche coureur (les cinq axes et le score global) à partir de tes données Strava | Consentement explicite (art. 6.1.a et 9.2.a), donné sur l'écran d'autorisation Strava | Instantané écrasé à chaque synchronisation (au plus une fois toutes les 6 h), supprimé avec le compte |
| Montrer ta fiche aux autres membres sur les listes de départ | Consentement (art. 6.1.a), activable et révocable à tout moment depuis ta fiche coureur | Tant que le consentement est actif |
| Interroger l'API Strava en ton nom | Exécution du contrat (art. 6.1.b) | Jetons conservés tant que le compte existe ou jusqu'à révocation de l'accès côté Strava |
| Sécurité du service, prévention des abus, journaux techniques | Intérêt légitime (art. 6.1.f) et obligation légale (art. 6 II LCEN) | 12 mois maximum |
4. Poids et FTP : un cas à part
Données sensibles
Ton poids et ta FTP renseignent ton état physique. Par prudence, on les traite comme des données de santé au sens de l'article 9 du RGPD : ils ne sont collectés que si tu autorises la permission profile:read_all sur l'écran Strava, ils servent uniquement à calculer l'axe « puissance » de ta fiche, et ils ne sont jamais affichés en clair aux autres membres — seul le score 0-100 qui en découle l'est, et uniquement si tu as activé le partage.
Sans cette permission, Grupetard fonctionne : l'axe puissance reste simplement vide.
5. Qui voit quoi
- Toi seul, par défaut : ta fiche coureur complète n'est visible que de toi tant que tu n'as pas activé le partage.
- Les autres membres connectés, si tu actives le partage : ton prénom, ta photo, tes cinq axes et ton score global apparaissent sur les listes de départ des événements auxquels tu participes. Tant que le partage est désactivé, ta fiche n'entre dans aucune moyenne d'équipe — agréger une fiche masquée reviendrait à la divulguer.
- Tous les visiteurs : le nom des événements, leur date, leur lieu de rendez-vous et leur parcours sont publics. La liste des inscrits ne montre le nom des coureurs qu'aux membres connectés.
- Les administrateurs du site (l'éditeur et les organisateurs désignés) accèdent aux inscriptions pour organiser les sorties.
Tes données ne sont ni vendues, ni louées, ni transmises à des annonceurs. Grupetard ne fait aucune publicité et n'utilise aucune donnée pour entraîner des modèles d'apprentissage automatique.
6. Sous-traitants et services tiers
| Service | Rôle | Où sont les données |
|---|---|---|
| OVH SAS | Hébergement du site et de la base de données (serveur administré par l'éditeur) | France (Union européenne) |
| Strava, Inc. | Source des données : authentification et API. Grupetard n'envoie aucune donnée à Strava en dehors des appels d'API effectués en ton nom. | États-Unis |
| Google LLC | Vignettes Street View des pancartes (uniquement si une clé API est configurée) et liens d'itinéraire ou d'agenda que tu ouvres toi-même | États-Unis |
| CARTO | Tuiles du fond de carte, chargées par ton navigateur quand tu ouvres la vue carte | Union européenne / États-Unis |
| DINUM — Base Adresse Nationale | Suggestions d'adresses de rendez-vous, uniquement dans le back office | France |
Transferts hors Union européenne
Les échanges avec Strava et Google impliquent un transfert vers les États-Unis. Ils sont encadrés par les décisions d'adéquation applicables (EU-US Data Privacy Framework) et, à défaut, par les clauses contractuelles types de la Commission européenne. Lorsque ton navigateur charge une tuile de carte ou une vignette Street View, il communique directement son adresse IP au fournisseur concerné, sans que Grupetard n'intervienne — voir la politique cookies.
7. Sécurité
- Tout le site est servi en HTTPS ; les jetons Strava ne quittent jamais le serveur et ne sont jamais exposés au navigateur.
- Aucun mot de passe n'est stocké : l'authentification est entièrement déléguée à Strava.
- L'accès à la base de données est restreint au serveur applicatif ; les sauvegardes restent sur l'infrastructure de l'hébergeur, en France.
- En cas de violation de données susceptible d'engendrer un risque pour tes droits, la CNIL est notifiée sous 72 heures et tu es informé si le risque est élevé.
8. Tes droits
Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par les articles 15 à 22 du RGPD, ainsi que du droit de retirer ton consentement à tout moment sans que cela remette en cause les traitements déjà effectués.
- Retirer le partage de ta fiche : en un clic depuis ta fiche coureur, sur la page d'accueil. Effet immédiat.
- Couper l'accès à Strava : depuis tes paramètres Strava, révoque l'autorisation de Grupetard. La synchronisation s'arrête aussitôt.
- Supprimer ton compte et toutes tes données : écris à louis.castel31@gmail.com. La suppression est effectuée sous 30 jours au plus et emporte l'effacement de ton profil, de tes jetons, de ta fiche coureur, des données Strava brutes conservées et de tes inscriptions.
- Exercer tes autres droits : une demande à louis.castel31@gmail.com reçoit une réponse sous un mois (prolongeable de deux mois pour les demandes complexes, avec information préalable).
Si la réponse ne te satisfait pas, tu peux introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
9. Décisions automatisées et profilage
Les scores de la fiche coureur et la répartition en équipes sont calculés automatiquement, mais ils ne produisent aucun effet juridique ni aucun effet significatif au sens de l'article 22 du RGPD : ils ne servent qu'à équilibrer des sorties entre amis. La composition des équipes reste modifiable par les organisateurs et par les membres.
10. Mineurs
Grupetard est réservé aux personnes âgées d'au moins 16 ans, âge minimum exigé par Strava dans l'Espace économique européen pour disposer d'un compte. Si nous apprenons qu'un compte a été créé par une personne plus jeune, il est supprimé.
11. Modifications
Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en haut de page ; en cas de changement substantiel, les membres sont informés lors de leur prochaine connexion.