Politique de confidentialité
Mise à jour le
Quelles données We-Card utilise, pourquoi, combien de temps, avec qui, et comment exercer vos droits. Cette politique couvre le site, l’appli des membres et les consoles des clubs, des réseaux et des commerçants partenaires.
Responsable et rôle des clubs
Le responsable du traitement est WE-FORM (We-Form SARL), éditeur de We-Card, 12 rue de la Part-Dieu, 69003 Lyon, France. Pour toute question sur vos données : contact@we-card.fr.
Le rôle des clubs et des réseaux
Chaque club ou réseau est responsable des données de ses membres : fiches, statuts, équipes, invitations, annuaire. WE-FORM les traite pour son compte, en qualité de sous-traitant (article 28 du RGPD), selon ses instructions et l’annexe « Données personnelles » des conditions générales de vente. Les demandes qui concernent ces données lui sont transmises.
WE-FORM reste responsable de son propre service : votre compte et sa sécurité, la carte, les achats, les factures et les remboursements, les e-mails et notifications du service.
Données traitées et durées
Les durées chiffrées du tableau ci-dessous sont appliquées par l’application, qui efface elle-même les données arrivées à échéance, sauf les pièces comptables (10 ans, obligation légale) : elles ne sont pas encore supprimées automatiquement. Les autres durées sont indiquées telles quelles : fixées par le club, liées à la vie du compte ou en cours de définition.
| Finalité | Données | Base légale | Conservation |
|---|---|---|---|
| Compte, connexion et sécurité | Adresse e-mail, nom, codes de connexion, sessions (adresse IP, navigateur), secret de double authentification chiffré | Exécution du contrat ; intérêt légitime (sécurité du service) | Codes de connexion : 24 heures ; traces contre les abus (adresse IP) : 48 heures ; session : 14 jours, effacée 30 jours après sa fin ; compte : jusqu’à sa suppression |
| Vie du club et carte, pour le compte du club | Fiche du membre (nom, adresse e-mail, statut, équipe, photo, téléphone facultatif ; pour un mineur, le parent rattaché), carte, annuaire et messagerie selon vos choix, invitations et demandes d’adhésion | Celle du club ou du réseau ; WE-FORM agit comme sous-traitant | Fixée par le club ; demandes d’adhésion traitées effacées après 90 jours |
| Achats, factures et remboursements | Identité de l’acheteur (pour un club : raison sociale, adresse du siège, SIREN ou RNA, numéro de TVA), produit, montants, dates, référence du paiement. Aucune donnée de carte bancaire : elle est saisie et traitée par Stripe | Exécution du contrat ; obligation légale (comptabilité) | Pièces comptables : 10 ans (article L123-22 du Code de commerce) |
| Commission de partenariat des clubs | Relevés et autofactures, coordonnées bancaires du club (IBAN chiffré) | Exécution du contrat (mandat d’autofacturation) ; obligation légale | Pièces comptables : 10 ans ; coordonnées bancaires : durée maximale en cours de définition (aucune suppression automatique à ce jour) |
| E-mails et SMS du service | Adresse e-mail ou numéro de téléphone, contenu du message, état de l’envoi | Exécution du contrat | 90 jours après l’envoi |
| Notifications de l’appli | Abonnement de l’appareil (adresse technique fournie par le navigateur, appareil réduit au libellé « navigateur · système »), notifications reçues et lues | Votre accord, donné dans le navigateur et retirable à tout moment | Réceptions : 13 mois ; abonnement en échec effacé après 30 jours |
| Offres des partenaires du club | Votre accord et sa date, offres reçues | Consentement, à retirer à tout moment dans Mon profil | Accord : jusqu’à son retrait ; offres reçues : comme les notifications (13 mois) |
| Challenges : tickets de caisse | Photo du ticket, montant, commerce, décision du club | Exécution du contrat (règlement du challenge accepté) | Photo effacée 30 jours après la décision |
| Bourse de l’emploi | Annonces, prises de contact et coordonnées échangées | Exécution du contrat | Effacées 12 mois après l’archivage ou le retrait de l’annonce |
| Avis vérifiés sur les partenaires du club | Texte de l’avis, prénom et initiale du nom de son auteur, date du passage ou de l’achat qui a permis de le déposer, décision du club, réponse du partenaire | Votre choix de déposer un avis, que vous pouvez retirer à tout moment | Effacé dès que vous le retirez ; sinon 12 mois après sa publication ou après la dernière décision du club |
| Support et journal d’audit | Échanges avec l’équipe We-Card ; actions sensibles (auteur, date, adresse IP) | Intérêt légitime (sécurité, preuve) ; obligation légale | Durée maximale en cours de définition (aucune suppression automatique à ce jour) |
Données obligatoires, origine des données, décisions automatisées
- Obligatoire ou facultatif : l’adresse e-mail est nécessaire pour créer un compte et vous connecter ; sans elle, le service ne peut pas fonctionner. Dans les formulaires, un champ marqué « facultatif » peut rester vide ; sans les autres, la demande ne peut pas aboutir.
- Données reçues de votre club : quand votre club ou réseau vous inscrit lui-même (import d’un fichier, fiche créée dans sa console, invitation), vos données viennent de lui : nom, prénom, adresse e-mail, téléphone, statut, équipe et, pour un mineur, le parent rattaché. Une date de naissance importée sert seulement à repérer les mineurs : elle n’est jamais enregistrée.
- Commerces partenaires : le nom, l’adresse, le numéro SIRET et l’activité d’un commerce peuvent être repris de l’Annuaire des entreprises de l’État (source publique).
- Décisions automatisées : aucune décision produisant des effets juridiques à votre égard, ou vous affectant de manière significative, n’est prise sur le seul fondement d’un traitement automatisé (article 22 du RGPD).
Démonstrations, marques et rendez-vous
Quand vous demandez une démonstration depuis la page d’accueil, remplissez la fiche partenaire des marques ou prenez rendez-vous, We-Form SARL utilise vos coordonnées (nom, fonction, e-mail, téléphone, organisation) et ce que vous nous écrivez pour étudier votre demande, préparer votre offre et vous recontacter.
- Base légale : mesures précontractuelles prises à votre demande (article 6.1.b du RGPD).
- Destinataires : seule l’équipe We-Card les reçoit, par notre prestataire d’envoi d’e-mails. Le rendez-vous se prend sur Calendly.
- Durée : 3 ans après notre dernier échange.
- Elles ne sont ni vendues ni cédées à des tiers.
Inscription en ligne d’un club
Quand vous inscrivez un club sur la page « Inscrire mon club », We-Form SARL utilise les données suivantes.
- Votre adresse e-mail, prouvée par un code de connexion à usage unique : elle devient celle de votre compte et de votre accès d’administrateur du club.
- Ce que vous saisissez : le nom, le sport et la ville du club, votre prénom et votre nom, la tranche de membres choisie et votre déclaration de représenter le club.
- Finalités : créer l’espace du club et votre accès, vous permettre de choisir une formule et de payer, éviter les inscriptions en double ou abusives.
- Base légale : mesures précontractuelles prises à votre demande (article 6.1.b du RGPD) ; intérêt légitime pour la lutte contre les abus (article 6.1.f du RGPD).
- Destinataires : vous recevez un e-mail de confirmation ; l’équipe We-Card reçoit une alerte par e-mail avec le nom, la ville et le sport du club, la tranche choisie, votre nom et votre adresse e-mail. Ces e-mails passent par notre prestataire d’envoi d’e-mails.
- Contrôle contre les abus : les codes demandés et les inscriptions envoyées sont comptés par adresse IP (pour une adresse IPv6, sa première moitié seulement) ; ces compteurs sont effacés après 48 heures. L’adresse IP de votre connexion est aussi inscrite au journal d’audit avec l’inscription, ou avec le refus d’une inscription en double ; la durée de conservation de ce journal est en cours de définition.
- Durée : tant que le club n’a pas payé sa première commande, son inscription reste enregistrée jusqu’à ce que l’équipe We-Card la supprime : aucune suppression automatique n’a lieu. Cette suppression efface le club et votre fiche d’administrateur ; votre compte de connexion et le journal d’audit restent. Pour faire supprimer votre compte : contact@we-card.fr.
- À la commande : l’acceptation des conditions de vente (date et heure, version des textes, compte, adresse IP) est inscrite au journal d’audit, comme preuve du contrat.
Destinataires et prestataires
Vos données ne sont jamais vendues. Elles sont accessibles :
- à l’équipe We-Card habilitée, pour le service et le support ;
- à votre club ou réseau, pour les données de ses membres ;
- aux commerçants partenaires, quand vous utilisez un avantage : « Porteur vérifié » et le montant, votre prénom seulement si vous l’acceptez.
Les prestataires suivants les traitent pour notre compte, chacun pour sa seule mission :
| Prestataire | Rôle | Données | Pays du prestataire |
|---|---|---|---|
| Scaleway SAS | Hébergement : application, base de données, fichiers | Toutes les données du service | France |
| Brevo | Envoi des e-mails et des SMS du service | Adresse e-mail ou numéro de téléphone, contenu du message | France |
| Stripe Payments Europe, Limited | Paiements en ligne par carte | Données de paiement saisies sur les pages de Stripe, montant, adresse e-mail | Irlande |
| Calendly | Prise de rendez-vous des marques | Nom, adresse e-mail et réponses saisies lors de la réservation | États-Unis |
Les notifications de l’appli passent par le service de notification de votre navigateur (Google, Mozilla, Apple ou Microsoft selon le navigateur), choisi par celui-ci et non par WE-FORM. Ce service reçoit l’adresse technique de l’appareil et un message chiffré, qu’il ne peut pas lire.
Dans l’appli iPhone We-Card, si vous activez les notifications, elles passent par le service de notification d’Apple (Apple Push Notification service) : Apple reçoit un identifiant technique de l’appareil, ainsi que le titre et le texte de la notification, transmis de façon sécurisée.
Transferts hors de l’Union européenne
Calendly (États-Unis) et Stripe, qui peut traiter certaines données aux États-Unis, peuvent transférer des données hors de l’Union européenne. Pour les sociétés certifiées, ces transferts reposent sur la décision d’adéquation de la Commission européenne (Data Privacy Framework). Les garanties propres à chaque prestataire vous sont précisées sur simple demande : contact@we-card.fr.
Le service de notification de votre navigateur peut aussi se trouver hors de l’Union européenne : il ne reçoit que l’adresse technique de l’appareil et un message chiffré. Le service d’Apple utilisé par l’appli iPhone peut lui aussi se trouver hors de l’Union européenne.
Vos droits
Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de leur utilisation, vous opposer à un traitement fondé sur l’intérêt légitime, demander la portabilité des données que vous avez fournies et définir des directives sur leur sort après votre décès. Vous pouvez retirer à tout moment un accord donné, sans effet sur ce qui a été fait avant.
- Dans l’appli des membres, Mon profil permet d’exporter vos données, de modifier vos accords et de demander la suppression de votre compte (mode d’emploi : supprimer votre compte).
- Pour toute autre demande : contact@we-card.fr. En cas de doute sur votre identité, un justificatif peut vous être demandé.
- Réponse sous un mois, délai prolongeable de deux mois pour une demande complexe (vous en êtes alors informé).
- Données de membre gérées par un club ou un réseau : votre demande lui est transmise.
Vous pouvez aussi adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL, cnil.fr (s’ouvre dans un nouvel onglet)).
Sécurité
- Connexions chiffrées (HTTPS) sur tout le site.
- Connexion sans mot de passe, par code à usage unique envoyé par e-mail ; double authentification obligatoire pour l’équipe We-Card, imposée par défaut aux bureaux des clubs ouverts par l’équipe We-Card et au choix des clubs inscrits en ligne (réglage du club).
- Coordonnées bancaires (IBAN) et secrets de double authentification chiffrés dans la base de données.
- Données cloisonnées par club : chaque club ou réseau n’accède qu’aux siennes.
- Journal d’audit des actions sensibles, dont les entrées sont chaînées et que l’application ne peut ni modifier ni effacer.
Les mentions de l’éditeur et de l’hébergeur sont dans les mentions légales ; les conditions de vente aux clubs et aux réseaux dans les conditions générales de vente.