1. Qui est responsable de tes données
Le responsable du traitement est Louis Castel SAS, 21 avenue de Toulouse, Appt 2, 31150 Bruguières, France, représentée par Louis Castel. Pour toute question ou demande relative à tes données : louis.castel31@gmail.com.
Aucun délégué à la protection des données (DPO) n'a été désigné : le traitement ne relève d'aucun des cas de désignation obligatoire prévus par l'article 37 du RGPD. Les demandes sont traitées directement par l'éditeur.
2. Les données qu'on traite
Ce que Strava nous transmet quand tu te connectes
La connexion se fait uniquement par Strava : on ne te demande jamais de mot de passe et on n'en stocke aucun. L'écran d'autorisation Strava liste les permissions demandées — read, activity:read et profile:read_all — et rien n'est récupéré tant que tu ne les as pas accordées.
| Catégorie | Données | Origine |
|---|---|---|
| Identité | Identifiant d'athlète Strava, prénom et nom, photo de profil, adresse e-mail si Strava la transmet | API Strava |
| Accès Strava | Jetons OAuth (access token, refresh token, date d'expiration, permissions accordées) | API Strava |
| Profil sportif | FTP (puissance seuil) et poids déclarés sur Strava | API Strava (permission profile:read_all) |
| Activité cycliste | Totaux 4 semaines / année / carrière (nombre de sorties, distance, temps de déplacement, dénivelé) et, sur les 3 dernières années, date, distance, durée, dénivelé, vitesse moyenne et type de sport de chaque sortie (résumés seulement, jamais le tracé) | API Strava (permission activity:read) |
| Scores calculés | Cinq axes 0-100 (endurance, grimpe, vitesse, puissance, régularité) et un score global, déduits des données ci-dessus | Calculés par Grupetard |
| Résultats de course | Si tu as activé le partage : le tracé GPS et les temps de ta sortie du jour d'une course à laquelle tu es inscrit, lus pour établir l'ordre de passage aux pancartes ; puis tes positions, points et éventuels malus, validés par l'organisateur | API Strava (permission activity:read) et calculs de Grupetard |
| Vie des clubs | Clubs Grupetard dont tu es membre ou organisateur, demandes d'adhésion en attente, inscriptions aux événements, équipe choisie, rôle de chef d'équipe, date d'inscription, date de dernière connexion, rôle (membre ou administrateur), portée de ton partage de fiche (toi seul, les organisateurs de tes courses, ou tout le monde) et le fait que tu aies déjà répondu à l'invitation à partager ta fiche | Tes actions sur le site |
| Clubs Strava | La liste de tes clubs Strava (identifiant et nom), lue à chaque connexion pour te reconnaître comme membre des clubs Grupetard qui y sont adossés ; pour un organisateur, le fait que tu administres un club Strava, lu quand tu crées ou lies un club. Rien de cette liste n'est conservé : seule ton adhésion au club Grupetard correspondant est enregistrée | API Strava (permission read) |
| Contenus déposés | Pour les organisateurs : fichiers FIT de parcours, nom, description, date et adresse de rendez-vous des événements ; nom et description des clubs ; s'il le renseigne, le lien de sa cagnotte et son numéro de téléphone Wero pour le soutien à une course — le numéro n'est montré qu'aux coureurs inscrits à cette course | Tes dépôts |
| Journaux techniques | Adresse IP, date, page demandée et navigateur, enregistrés par le serveur | Ton navigateur |
En dehors du cas des résultats de course — la seule situation où le tracé GPS d'une sortie est lu, une fois, avec ton partage activé — on ne récupère aucun tracé GPS de tes sorties Strava, ni tes segments, ni tes photos, ni tes contacts, ni le contenu de tes activités privées. Les autres sorties servent uniquement à calculer des moyennes ; aucune de tes activités n'est affichée sur Grupetard — seuls tes temps de passage aux pancartes d'une course en sont extraits.
3. Pourquoi, sur quelle base légale, et pour combien de temps
| Finalité | Base légale | Conservation |
|---|---|---|
| Créer et gérer ton compte, t'authentifier | Exécution du contrat (art. 6.1.b RGPD) — les conditions d'utilisation | Tant que ton compte existe |
| T'inscrire aux événements, constituer et équilibrer les équipes | Exécution du contrat (art. 6.1.b) | Tant que ton compte existe ; l'historique des participations est supprimé avec lui |
| Calculer ta fiche coureur (les cinq axes et le score global) à partir de tes données Strava | Consentement explicite (art. 6.1.a et 9.2.a), donné sur l'écran d'autorisation Strava | Instantané écrasé à chaque synchronisation (au plus une fois toutes les 6 h), supprimé avec le compte |
| Montrer tes scores — à tout le monde : sur les listes de départ et ton profil, aux coureurs de tes clubs ou de tes courses ; ou aux seuls organisateurs des courses où tu es inscrit, pour composer les équipes | Consentement (art. 6.1.a), à l'un ou l'autre cran, modifiable et révocable à tout moment depuis ta fiche coureur. Sur une course qui vise un niveau par équipe, le dossard demande au minimum le cran « organisateurs » | Tant que le consentement est actif |
| Établir les résultats d'une course (ordre de passage aux pancartes, classement) à partir de ta sortie du jour | Consentement (art. 6.1.a) — le partage de la fiche coureur, au cran « organisateurs » au minimum, révocable à tout moment ; sans lui, l'organisateur saisit les résultats à la main | Temps de passage et classements conservés avec l'événement, supprimés avec lui ou avec ton compte |
| Interroger l'API Strava en ton nom | Exécution du contrat (art. 6.1.b) | Jetons conservés tant que le compte existe ou jusqu'à révocation de l'accès côté Strava |
| Sécurité du service, prévention des abus, journaux techniques | Intérêt légitime (art. 6.1.f) et obligation légale (art. 6 II LCEN) | 12 mois maximum |
4. Poids et FTP : un cas à part
Données sensibles
Ton poids et ta FTP renseignent ton état physique. Par prudence, on les traite comme des données de santé au sens de l'article 9 du RGPD : ils ne sont collectés que si tu autorises la permission profile:read_all sur l'écran Strava, ils servent uniquement à calculer l'axe « puissance » de ta fiche, et ils ne sont jamais affichés en clair aux autres membres — seul le score 0-100 qui en découle l'est, et uniquement si tu as activé le partage.
Sans cette permission, Grupetard fonctionne : l'axe puissance reste simplement vide.
5. Qui voit quoi
- Toi seul, par défaut : tes statistiques Strava ne sont visibles que de toi tant que tu n'as pas activé le partage.
- Les organisateurs de tes courses, si tu choisis le cran « organisateurs » : tes six axes et ton score global ne sont lisibles que des comptes qui gèrent une course où tu es inscrit (organisateurs de son club, administrateur du site), sur la page de cette course, pour composer les équipes — jamais du peloton, ni sur ton profil. Une course qui vise un niveau par équipe demande ce cran au minimum pour prendre un dossard ; tu peux renoncer au dossard plutôt qu'au cran.
- Les autres membres connectés, si tu partages avec tout le monde : tes six axes et ton score global apparaissent sur les listes de départ accessibles aux inscrits, et la somme des scores de ton équipe face au niveau visé de la course, quand il y en a un. Ils sont aussi visibles sur ton profil par les membres effectifs d’un même club ou les inscrits confirmés d’un même événement publié. Tant que tu ne partages pas, ta fiche n'entre dans aucune moyenne d'équipe ni dans aucune somme — agréger une fiche masquée reviendrait à la divulguer.
- Tous les visiteurs : le nom des événements, leur date, leur lieu de rendez-vous et leur parcours sont publics. La liste des inscrits ne montre le nom des coureurs qu'aux membres connectés.
- Les résultats publiés d'une course : une fois validés par l'organisateur, ton nom, tes positions aux pancartes et tes points apparaissent sur la page de l'événement. Ton activité Strava n'est lue pour les pré-remplir que si ta fiche est lisible des organisateurs (cran « organisateurs » ou « tout le monde ») — sinon l'organisateur te classe à la main, d'après la route.
- Les membres d'un club et ses visiteurs : ton prénom et ta photo apparaissent sur la page du club dont tu es membre ; une demande d'adhésion en attente n'est visible que de ses organisateurs.
- Les coureurs que tu côtoies : les membres effectifs d’un même club ou les inscrits confirmés d’un même événement publié peuvent ouvrir ton profil, avec ton nom, ta photo, les clubs et courses en commun et tes trophées issus de résultats publiés. Les statistiques restent masquées sans ton consentement. Une demande d’adhésion ou un dossard en attente n’ouvre pas cet accès. Ton e-mail, ton poids, ta FTP et tes activités Strava brutes ne sont jamais affichés sur ce profil.
- Les organisateurs d'un club accèdent aux inscriptions de ses courses et aux demandes d'adhésion, pour les organiser. L'administrateur du site (l'éditeur) accède en plus à la liste des comptes (nom, photo, rôle, dates d'inscription et de dernière connexion, état du partage — jamais le contenu d'une fiche non partagée).
Tes données ne sont ni vendues, ni louées, ni transmises à des annonceurs. Grupetard ne fait aucune publicité et n'utilise aucune donnée pour entraîner des modèles d'apprentissage automatique.
6. Sous-traitants et services tiers
| Service | Rôle | Où sont les données |
|---|---|---|
| OVH SAS | Hébergement du site et de la base de données (serveur administré par l'éditeur) | France (Union européenne) |
| Strava, Inc. | Source des données : authentification et API. Grupetard n'envoie aucune donnée à Strava en dehors des appels d'API effectués en ton nom. | États-Unis |
| Google LLC | Vignettes Street View des pancartes (uniquement si une clé API est configurée) et liens d'itinéraire ou d'agenda que tu ouvres toi-même | États-Unis |
| CARTO | Tuiles du fond de carte, chargées par ton navigateur quand tu ouvres la vue carte | Union européenne / États-Unis |
| Open-Meteo | Météo du jour de course dans le briefing. C'est le serveur de Grupetard qui l'interroge, avec les seules coordonnées du rendez-vous et la date de la course : aucune donnée te concernant n'est transmise. | Union européenne |
| DINUM — Base Adresse Nationale | Suggestions d'adresses de rendez-vous, uniquement dans le back office | France |
Transferts hors Union européenne
Les échanges avec Strava et Google impliquent un transfert vers les États-Unis. Ils sont encadrés par les décisions d'adéquation applicables (EU-US Data Privacy Framework) et, à défaut, par les clauses contractuelles types de la Commission européenne. Lorsque ton navigateur charge une tuile de carte ou une vignette Street View, il communique directement son adresse IP au fournisseur concerné, sans que Grupetard n'intervienne — voir la politique cookies.
7. Sécurité
- Tout le site est servi en HTTPS ; les jetons Strava ne quittent jamais le serveur et ne sont jamais exposés au navigateur.
- Aucun mot de passe n'est stocké : l'authentification est entièrement déléguée à Strava.
- L'accès à la base de données est restreint au serveur applicatif ; les sauvegardes restent sur l'infrastructure de l'hébergeur, en France.
- En cas de violation de données susceptible d'engendrer un risque pour tes droits, la CNIL est notifiée sous 72 heures et tu es informé si le risque est élevé.
8. Tes droits
Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par les articles 15 à 22 du RGPD, ainsi que du droit de retirer ton consentement à tout moment sans que cela remette en cause les traitements déjà effectués.
- Retirer ou restreindre le partage de ta fiche : en un clic depuis ta page profil (toi seul, les organisateurs, tout le monde). Effet immédiat.
- Couper l'accès à Strava : depuis tes paramètres Strava, révoque l'autorisation de Grupetard. La synchronisation s'arrête aussitôt.
- Supprimer ton compte et toutes tes données : écris à louis.castel31@gmail.com. La suppression est effectuée sous 30 jours au plus et emporte l'effacement de ton profil, de tes jetons, de ta fiche coureur, des données Strava brutes conservées et de tes inscriptions.
- Exercer tes autres droits : une demande à louis.castel31@gmail.com reçoit une réponse sous un mois (prolongeable de deux mois pour les demandes complexes, avec information préalable).
Si la réponse ne te satisfait pas, tu peux introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
9. Décisions automatisées et profilage
Les scores de la fiche coureur et la répartition en équipes sont calculés automatiquement, mais ils ne produisent aucun effet juridique ni aucun effet significatif au sens de l'article 22 du RGPD : ils ne servent qu'à équilibrer des sorties entre amis. La composition des équipes reste modifiable par les organisateurs et par les membres.
10. Mineurs
Grupetard est réservé aux personnes âgées d'au moins 16 ans, âge minimum exigé par Strava dans l'Espace économique européen pour disposer d'un compte. Si nous apprenons qu'un compte a été créé par une personne plus jeune, il est supprimé.
11. Modifications
Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en haut de page ; en cas de changement substantiel, les membres sont informés lors de leur prochaine connexion.