Politique de confidentialité

1. Qui est responsable ?

Pour les données de votre structure (club, écurie, promotion, comité) et de ses compétiteurs, votre structure est responsable du traitement : c'est elle qui décide quels compétiteurs sont inscrits et quelles pièces sont demandées. FightMed ([éditeur, voir mentions légales]) agit comme sous-traitant pour son compte, dans les conditions de l'accord de traitement joint aux Conditions générales.

Pour les données de compte (email, mot de passe, journal d'activité) et pour le fonctionnement du service, FightMed est responsable du traitement.

Contact pour toute question relative aux données : contact@fightmed.app. [Si un délégué à la protection des données est désigné : nom et contact.]

2. Quelles données ?

Compétiteur : identité (nom, prénom, date de naissance, sexe), catégorie de poids, statut (amateur, professionnel), coordonnées (email, téléphone), responsable légal pour un mineur, licences fédérales, palmarès (combats, résultats, méthode), organisations auxquelles il est rattaché.

Données de santé : certificats et examens médicaux déposés (certificat de non contre-indication, sérologies, imagerie, bilans), leurs dates et validités, repos et suspensions médicales, certificats de reprise. Ce sont des données relevant de l'article 9 du RGPD.

Utilisateur (coach, manager, matchmaker, médecin, administrateur) : email, nom, rôle, organisation, journal des actions.

Techniques : adresse IP et horodatage des connexions et des consultations de documents, identifiants de session.

3. Pourquoi et sur quelle base ?

Constituer et vérifier le dossier de compétition d'un compétiteur au regard des règlements fédéraux et des exigences des organisateurs ; relancer les pièces manquantes ; transmettre le dossier à un organisateur ; calculer les périodes de repos obligatoires : exécution du contrat conclu avec la structure (art. 6.1.b) et, pour les données de santé, consentement explicite du compétiteur ou de son responsable légal, recueilli avant tout dépôt (art. 9.2.a). Le consentement peut être retiré à tout moment auprès de la structure ou de FightMed ; le retrait entraîne la suppression des données de santé concernées.

Gérer les comptes, sécuriser le service, journaliser les accès aux données de santé : intérêt légitime de FightMed et des structures à la sécurité et à la traçabilité (art. 6.1.f), et obligation légale de sécurité (art. 32).

Facturer les abonnements : exécution du contrat et obligations comptables.

FightMed ne prend aucune décision médicale ni fédérale : il indique si une pièce est présente, conforme sur la forme et valide à une date donnée au regard d'un règlement. L'aptitude reste l'appréciation du médecin ; la validation reste celle de la fédération ou de l'organisateur.

4. Qui voit quoi ?

Les membres de votre structure, selon leur rôle (un coach ne voit que les compétiteurs de ses groupes ; un médecin peut être le seul à voir les pièces si la structure l'a décidé).

Un organisateur à qui votre structure a transmis un dossier : les pièces de ce dossier uniquement, en lecture seule, pendant 90 jours, avec le consentement du compétiteur. Chaque consultation est journalisée et visible par la structure.

Un manager ou un autre club avec lequel un compétiteur est partagé, après consentement du compétiteur.

Aucune donnée n'est vendue, louée ni transmise à des tiers à des fins commerciales.

5. Sous-traitants

Supabase (base de données, fichiers, authentification) — données hébergées à Francfort, Allemagne (UE).

Vercel (exécution de l'application) — région Francfort (UE) ; société américaine, encadrée par les clauses contractuelles types de la Commission européenne.

Resend (envoi des emails de relance, d'invitation et de connexion) — société américaine, clauses contractuelles types ; les emails ne contiennent jamais de pièce médicale, seulement un lien sécurisé.

Sentry (suivi des erreurs techniques) — données techniques uniquement, sans contenu de document.

[Stripe (paiement) — à ajouter quand la facturation est activée.]

Aucun document médical n'est transmis à un sous-traitant situé hors de l'Union européenne.

6. Combien de temps ?

Documents et données de santé d'un compétiteur : pendant la durée du rattachement à la structure, puis supprimés 12 mois après la fin de la saison au cours de laquelle il a quitté la structure, ou immédiatement à la demande de la structure ou du compétiteur.

Dossiers déposés via une invitation sans compte (combattant invité par un organisateur) : 90 jours après la date de la compétition, puis supprimés.

Liens de dépôt envoyés au combattant : 30 jours. Liens de consultation d'un dossier transmis à un organisateur : 7 jours.

Journal des accès aux documents : 12 mois.

Données de compte : jusqu'à la suppression du compte, puis 30 jours.

Données de facturation : 10 ans (obligation comptable).

À la suppression d'un compte ou d'un compétiteur, les fichiers sont effacés du stockage, pas seulement les références.

7. Sécurité

Chiffrement des données en transit (TLS) et au repos ; cloisonnement par structure appliqué au niveau de la base de données (politiques de sécurité par ligne) ; accès aux fichiers par liens signés à durée limitée ; journalisation des consultations ; sauvegardes [quotidiennes — à confirmer selon le plan d'hébergement]. Les emails ne transportent jamais de pièce jointe médicale.

[Point en cours d'analyse juridique : qualification au regard de la certification Hébergeur de données de santé (HDS). FightMed ne traite pas de données de santé pour le compte d'un établissement de soins ; la nécessité d'un hébergement certifié HDS est examinée avec un conseil.]

8. Vos droits

Accès, rectification, effacement, limitation, portabilité, opposition et retrait du consentement : auprès de votre structure (coach, manager) ou directement à contact@fightmed.app. Une structure peut exporter l'intégralité des données d'un compétiteur (archive JSON et fichiers) et les supprimer définitivement depuis l'application. Réponse sous un mois. Vous pouvez saisir la CNIL (cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Mineurs : le consentement et l'exercice des droits passent par le responsable légal.

9. Modifications

Toute modification substantielle est annoncée aux structures par email 30 jours avant son entrée en vigueur.