Politique de confidentialité

Le responsable du traitement est le club auprès duquel vous réservez. C'est lui qui vend le créneau, qui décide des données qu'il collecte et de ce qu'il en fait. Il détermine les finalités et les moyens du traitement au sens de l'article 4.7 du RGPD. Ses coordonnées figurent sur sa page de réservation.

Padelio est son sous-traitant au sens de l'article 28 du RGPD. Nous fournissons le logiciel de réservation, d'encaissement et de gestion, et nous ne traitons les données de réservation que sur instruction du club. Nous ne les utilisons à aucune fin commerciale qui nous serait propre, et nous ne les vendons pas.

Une exception, et elle est nommée : pour la sécurité et le bon fonctionnement technique du Service — journaux de connexion, supervision des erreurs (article 5) — Padelio décide seul de ce qu'il conserve et pourquoi, sur le fondement de son intérêt légitime (article 6.1.f, rappelé à l'article 3). Sur ces deux traitements-là, et sur eux seuls, c'est nous qu'il faut interroger.

En pratique : adressez vos demandes au club, c'est lui qui décide. Vous pouvez aussi passer par nous — dpo@padelio.io — nous transmettons alors la demande au club concerné et l'exécutons sur ses instructions. Pour les questions portant sur Padelio en tant qu'outil (sécurité, hébergement, sous-traitants ultérieurs), cette même adresse est la bonne.

Dans le cadre d'une réservation, le club collecte, via Padelio :

• Identité : prénom, nom.
• Coordonnées : adresse e-mail, et le cas échéant numéro de téléphone.
• Données de réservation : club, court, créneau, options réservées.
• Données de paiement : traitées directement par Stripe — nous ne stockons jamais le numéro de carte (seul un identifiant de transaction est conservé).
• Données techniques : journaux de connexion, et données d'erreur anonymisées (Sentry) à des fins de fiabilité.
• Si vous utilisez l'application mobile : jeton de notification push (Expo), uniquement si vous activez les notifications.

La réservation s'effectue sans création de compte côté joueur : seules les données strictement nécessaires à la réservation sont collectées.

• Gérer la réservation et le paiement — exécution du contrat (art. 6.1.b RGPD).
• Envoyer les e-mails transactionnels (confirmation, annulation) — exécution du contrat.
• Assurer la sécurité et le bon fonctionnement du Service — intérêt légitime (art. 6.1.f).
• Communications marketing du club, le cas échéant — uniquement avec votre consentement explicite (art. 6.1.a), révocable à tout moment.
• Respecter les obligations comptables et légales du club, vendeur de la prestation — obligation légale (art. 6.1.c).

Le club auprès duquel vous réservez est destinataire de vos données en tant que responsable du traitement (article 1) — et non en tant que sous-traitant.

Pour exécuter ses instructions, Padelio recourt aux sous-traitants ultérieurs suivants :

• Stripe (traitement des paiements).
• Supabase (hébergement de la base de données et authentification, Union européenne — Paris).
• Resend (envoi des e-mails transactionnels).
• Vercel (hébergement de l'application web).
• Sentry (supervision des erreurs techniques — données préalablement anonymisées : e-mails et adresses IP supprimés avant envoi).
• Expo (EAS) (envoi des notifications push de l'application mobile, si vous les avez activées).

Ces prestataires agissent sur nos instructions, elles-mêmes données par le club, et sont liés par des engagements contractuels de confidentialité et de conformité au RGPD.

Certains prestataires (Stripe, Vercel, Resend, Sentry, Expo) peuvent traiter des données hors de l'UE. Ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission européenne, ou Data Privacy Framework).

• Données de réservation et de paiement : conservées le temps nécessaire à la gestion, puis archivées conformément aux obligations comptables (10 ans pour les pièces comptables).
• Consentement marketing : jusqu'au retrait du consentement, et au maximum 3 ans après le dernier contact.
• Données de mesure d'audience et de suivi (événements analytics) : 13 mois.
• Journaux d'envoi d'e-mails : 18 mois.
• Sessions de réservation non abouties (tunnel abandonné) : 12 mois.
• Demandes d'exercice de droits RGPD traitées : 12 mois après traitement.

Ces durées sont appliquées automatiquement par des purges programmées ; au-delà, les données sont supprimées ou anonymisées.

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment.

Pour les exercer, adressez-vous au club, responsable du traitement. Vous pouvez aussi nous écrire à dpo@padelio.io : nous transmettons la demande au club et l'exécutons sur ses instructions — y compris si vous avez réservé sans compte : indiquez l'adresse e-mail utilisée lors de la réservation, nous vérifierons votre identité par retour d'e-mail à cette adresse avant de traiter la demande. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Si vous disposez d'un compte, vous pouvez exporter ou supprimer vos données directement depuis la page Mes données personnelles.

Padelio utilise uniquement les cookies strictement nécessaires au fonctionnement du Service (session, sécurité). Aucun cookie publicitaire ou de traçage tiers n'est déposé sans votre consentement.