Politique de confidentialité

Pour les données d'un club, le responsable de traitement est le club lui-même (l'association), représenté par son président. L'éditeur de Cibléo agit comme sous-traitant au sens de l'article 28 du RGPD : il traite ces données sur instruction du club, pour lui fournir le service, et pour rien d'autre.

Contact pour toute question relative aux données : contact@cibléo.fr.

En tant qu'hébergeur du service, l'éditeur dispose d'un accès technique à l'infrastructure (base de données et clés de chiffrement). C'est inhérent à tout logiciel hébergé, et nous préférons l'écrire que le taire. Trois limites l'encadrent : son usage est réservé à l'exploitation, au support et à la résolution d'incident par le contrat de sous-traitance ; l'interface d'administration montre des agrégats, des données de compte et la configuration des clubs, et ne désigne un adhérent que par une référence — son identité n'y est déchiffrée qu'au cas par cas, pour le support, sur un motif écrit, après une nouvelle double authentification, et cette consultation est inscrite dans le journal d'activité du club lui-même ; enfin, toute action d'administration qui y est menée exige un motif et une double authentification, et laisse une trace que l'éditeur lui-même ne peut pas effacer.

Selon les modules activés par le club :

• Identité : nom, prénom, nom de naissance, civilité, sexe, date de naissance.
• Coordonnées : adresse postale, e-mail, téléphone.
• Identifiants fédéraux : n° de licence FFTir et instantané de licence importé d'EDEN/ITAC.
• Vie associative : présences, séances de tir contrôlé, réservations, cotisations, notes de frais des bénévoles, écritures comptables, messages et documents échangés dans l'espace du club.
• Carnet d'entraînement, si le tireur le tient : séances, scores et impacts, matériel (nom d'usage, jamais de numéro de série), objectifs, ressenti et forme du jour, et les photos de cibles qu'il choisit de joindre. Ces données sont au tireur : le club n'y a pas accès, sauf l'entraîneur désigné avec qui le tireur choisit de partager son carnet (forme du jour et matériel seulement s'il les coche ; chaque consultation lui est montrée, il retire le partage à tout moment) ; s'il rejoint le classement du club, les autres participants voient son prénom, l'initiale de son nom et son meilleur score de la saison par épreuve, rien d'autre, jusqu'à ce qu'il le quitte ; le texte libre, la forme du jour et les photos sont chiffrés, et les photos perdent leur position GPS avant l'envoi. Aucune n'est analysée par un service extérieur.
• Coordonnées bancaires, uniquement si le club les utilise : IBAN/BIC d'une note de frais, n° de chèque.
• Signature manuscrite, lorsqu'un document est signé dans l'application.
• Mesures disciplinaires, si le club en enregistre : motif, notes et observations.
• Rappels de sécurité, si le comité en adresse : le point de sécurité concerné (liste fermée) et, au besoin, un mot du comité, chiffré. Le tireur les lit dans son espace ; ce ne sont pas des mesures disciplinaires. Les situations dangereuses que signalent tireurs et comité ne désignent personne : ce qui a failli arriver et le jour, sans nom, sans heure, sans trace de l'auteur.
• Invités d'une séance de tir d'initiation : état civil, pour la liste nominative que l'organisateur doit tenir à la disposition des agents habilités de l'État (art. R. 312-43-1 du code de la sécurité intérieure). Le club peut y joindre une copie de pièce d'identité : la réglementation exige seulement que l'invité présente une pièce à son admission, sans en imposer ni la copie ni la conservation — c'est donc un choix du club, et cette copie est effacée au bout de 30 jours.

Le certificat médical est une donnée de santé, protégée par l'article 9 du RGPD. Cibléo ne le stocke pas : ni scan, ni nom de praticien, ni discipline, ni aucune mention médicale. Seules ses dates sont conservées (l'échéance, et la délivrance si le club la saisit), pour prévenir l'adhérent et le bureau avant qu'elle ne passe — une ligne par adhérent, écrasée à chaque renouvellement, donc sans historique.

Lorsqu'un adhérent s'inscrit à un événement du club (un repas, par exemple), il peut ajouter une remarque libre — une allergie, un régime. Ce qu'il y écrit peut relever de la santé : la remarque est donc facultative et chiffrée, lue par les seuls membres du bureau qui ont accès à l'agenda du club, et ne sert qu'à organiser l'événement.

Une échéance ne dit rien de l'état de santé d'une personne : c'est la limite que nous nous imposons. De même, le lieu de naissance, le département, le pays et la nationalité ne sont plus collectés.

Le carnet d'entraînement propose au tireur de noter, s'il le souhaite, sa forme du jour (sommeil, énergie, stress, sur une échelle de 1 à 5) pour la rapprocher de ses résultats. C'est facultatif et chiffré ; le club n'y a pas accès, et seul l'entraîneur avec qui le tireur partage son carnet la voit, s'il a coché cette case.

Les traitements reposent sur l'exécution du contrat d'adhésion et l'intérêt légitime du club à administrer son activité, ainsi que sur le respect d'obligations légales : la liste nominative des personnes reçues en séance de découverte, que l'association doit tenir à la disposition des agents habilités de l'État (article R. 312-43-1 du code de la sécurité intérieure) ; le registre des séances de tir contrôlé, qui fonde l'attestation de pratique délivrée par le président pour une demande d'autorisation de catégorie B (arrêté du 28 avril 2020) ; et les obligations comptables de l'association. Les données ne sont jamais utilisées à des fins commerciales, ni revendues, ni cédées, ni utilisées pour entraîner un modèle d'intelligence artificielle.

• Chiffrement au repos (AES-256-GCM) des données les plus sensibles : nom, prénom, e-mail, téléphone, nom et date de naissance, adresse, n° de licence, coordonnées bancaires, signatures manuscrites, motifs de sanction, notes administratives, et les pièces jointes d'une fiche d'invité. La base de données ne contient, pour ces champs, que du texte chiffré.
• Isolation stricte entre clubs, appliquée par la base de données elle-même et non par l'application seule : un club ne peut pas lire les données d'un autre, même en cas de défaut applicatif.
• Accès restreint par rôle : chaque rôle du bureau n'accède qu'à ce qui le concerne, au niveau que le club lui donne (lecture, création, modification, suppression), et l'envoi de messages aux adhérents exige une permission distincte de celle qui permet de les rédiger.
• Double authentification obligatoire pour tout compte du bureau, redemandée à chaque connexion, et vérifiée par la base de données elle-même ; un espace du bureau se ferme seul après une heure sans geste.
• Fichiers stockés dans des espaces privés, servis par des liens à durée limitée.
• Journal d'audit des accès et écritures sensibles, et journal distinct — inaltérable, avec motif obligatoire — de toute intervention de l'éditeur sur les données d'un club.
• Hébergement dans l'Union européenne pour la base de données, les fichiers et l'application.

Cibléo n'utilise aucun cookie publicitaire, aucun outil de mesure d'audience et aucun traceur tiers. Les seuls cookies déposés sont strictement nécessaires au fonctionnement du service : club actif, session, second facteur d'authentification, et un marqueur d'activité (une valeur aléatoire renouvelée à chaque clic, qui permet de fermer l'espace du bureau après une heure sans geste) ; s'y ajoute, seulement si vous la choisissez, la langue d'affichage de l'espace tireur (français ou allemand), gardée sur votre appareil. À ce titre (article 82 de la loi Informatique et Libertés), ils ne requièrent pas votre consentement — et c'est pourquoi vous ne voyez aucune bannière.

L'outil de supervision technique qui signale les pannes (Sentry, voir ci-dessous) ne dépose aucun cookie et ne mesure pas l'audience : il n'est déclenché que par une erreur, et n'envoie ni votre identité ni votre adresse IP.

Seules exceptions : une leçon de formation choisie par votre club peut intégrer une vidéo YouTube ou Vimeo, et la page « Règles de sécurité » (dans l'espace tireur comme sur la page publique ouverte par l'affiche du stand) propose deux vidéos de la Fédération française de tir, chargées seulement quand vous lancez la lecture. Elles sont lues dans leurs modes sans cookie ni suivi (youtube-nocookie, Vimeo « do not track »), mais votre navigateur contacte alors leurs serveurs, qui voient votre adresse IP.

Sur les écrans de connexion (espace du bureau comme espace tireur), de création de compte et de mot de passe, de code oublié ou de première connexion à l'espace tireur, à l'envoi du code de double authentification par e-mail et quand un geste irréversible se confirme par mot de passe, une vérification anti-robot (Cloudflare Turnstile) s'exécute : votre navigateur contacte les serveurs de Cloudflare, qui voient votre adresse IP et des caractéristiques techniques du navigateur, dans le seul but de distinguer une personne d'un robot. Elle ne reçoit ni votre adresse e-mail, ni votre mot de passe, ni votre n° de licence ou votre code, et ne sert ni à la publicité ni à la mesure d'audience.

Pour fournir le service, l'éditeur recourt aux sous-traitants suivants, encadrés par contrat. Ceux situés hors de l'Union européenne le sont sur la base des clauses contractuelles types de la Commission européenne (CCT) ou du cadre de protection des données UE–États-Unis (DPF). Les données hébergées dans l'Union par une société américaine restent soumises à ce même encadrement, celle-ci pouvant y accéder pour la maintenance.

Pendant la phase alpha, l'éditeur garde fermés l'envoi d'e-mails et de SMS d'un club à ses adhérents, les fonctions d'IA et le paiement : le prestataire d'envoi n'achemine alors que les e-mails liés au compte (invitation, code de connexion, alerte de sécurité), et rien ne part chez Anthropic ni chez Stripe. Ces canaux ne s'ouvrent que par un geste écrit et journalisé de l'éditeur.

Sept fonctions peuvent transmettre du contenu à Anthropic : l'aide à la rédaction, la lecture d'une facture, l'import d'un relevé bancaire, la lecture des statuts du club, l'assistant de l'aide, le brouillon de procès-verbal d'assemblée (qui reprend les noms du bureau de séance) et la traduction d'une annonce du club pour un licencié qui lit son espace en allemand (seuls le titre et le texte de l'annonce sont transmis, jamais sa fiche). Elles sont désactivées par défaut et n'interviennent qu'à la demande explicite d'un membre du bureau ou, pour la traduction, du licencié lui-même.

L'import de relevé bancaire, qui manipule des données particulièrement sensibles (IBAN, état civil, soldes), exige une double activation avant d'être disponible. Dans tous les cas, l'IA ne fait que proposer : aucune écriture n'est enregistrée sans validation humaine. Seule la traduction d'une annonce est conservée telle quelle, parce qu'elle ne fait que se lire : elle s'affiche toujours comme une traduction automatique, le texte d'origine à un geste, et disparaît dès que le club modifie son annonce. Le prestataire n'entraîne pas ses modèles sur ces contenus.

Ces durées ne sont pas des intentions : elles sont appliquées automatiquement par des tâches planifiées.

• Fiche d'adhérent : conservée pendant l'adhésion. Après 2 ans sans activité, le compte est désactivé (réversible, rien n'est effacé) ; après 10 ans, il est supprimé. Cette durée est notre choix : aucun texte ne fixe de durée propre à la fiche d'un adhérent d'association. Nous l'alignons sur celle des pièces comptables auxquelles la fiche est reliée (cotisations, écritures), soit dix ans. Compte comme activité : une présence, une séance, la saison de licence, un règlement de cotisation ou une demande de renouvellement. Une fiche dont une cotisation figure encore au journal comptable n'est pas supprimée : les comptes du club priment.
• Registre des séances de tir contrôlé : conservé aussi longtemps qu'il peut fonder l'attestation du président, laquelle porte sur toute la période de l'autorisation précédente — soit cinq ans en pratique. Le supprimer plus tôt priverait le tireur de la preuve de sa pratique.
• Pièce d'identité d'un invité : 30 jours après la séance. La fiche de séance, qui matérialise la liste nominative exigée par la réglementation, est conservée 3 ans — le texte impose de tenir cette liste à disposition, sans en fixer la durée : ce choix est le nôtre.
• Carnet d'entraînement : conservé tant que la fiche existe, et supprimé avec elle ; le tireur efface lui-même une séance, une arme, un objectif ou une photo à tout moment, et peut l'exporter avant de quitter le club. Une photo de cible jamais rattachée à une séance est effacée au bout de 48 heures.
• Rappels de sécurité : 12 mois. Signalements anonymes de situations dangereuses : 3 ans, pour suivre une tendance d'une saison à l'autre.
• Refus de pointage (motif, et distance au stand quand la position a été lue) : 12 mois dans la liste du bureau. Le refus reste inscrit au registre de présence, qui fait foi, et se conserve avec lui.
• Journaux d'envoi (qui a reçu quel e-mail ou SMS, et quand — jamais le contenu) : 24 mois.
• Journal d'audit : 18 moispour les traces automatiques, 24 mois pour les actions du bureau.
• Notifications : 60 jours après lecture, 180 jours au maximum.
• Sessions de connexion et jetons de liens temporaires : supprimés à expiration, au plus tard 30 jours après.
• Pièces comptables et registres réglementaires : conservés pendant la durée légale qui leur est propre.
• Fin du contrat d'un club : le club dispose de 90 jours pour récupérer ses données, ses présidents étant prévenus à l'avance ; elles sont ensuite supprimées automatiquement, fichiers compris. Les copies de sauvegarde chiffrées disparaissent au terme de leur rétention, douze mois au plus.

[précisions complémentaires propres à votre club]

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Plusieurs s'exercent directement dans l'application :

• Accès et portabilité : depuis votre espace tireur, « Mes informations » puis « Télécharger mes données » vous remet un fichier structuré de vos données : identité et coordonnées, licence, cotisation, présences des douze derniers mois, séances de tir contrôlé, réservations à venir, invitations, documents personnels, formation, rappels de sécurité et carnet d'entraînement. Ce que le fichier ne contient pas (historique plus ancien compris) (procédure disciplinaire, avis du moniteur, notes de frais, traces d'envoi, messages) vous est communiqué par le bureau sur simple demande.
• Rectification : vous corrigez vous-même votre état civil et vos coordonnées ; la correction est soumise au bureau, qui la reporte également sur EDEN.
• Opposition : vous pouvez refuser les communications commerciales du club et les SMS du club, indépendamment l'un de l'autre. Un refus des SMS est respecté à chaque envoi, quel qu'en soit l'objet. Un refus des communications commerciales écarte toute offre, vente ou promotion (lettres d'information marquées commerciales), par e-mail comme par SMS ; ce que le club dit à ses licenciés de la vie de l'association (annonces, événements, renouvellement, votre propre dossier) vous parvient toujours.
• Effacement : adressez votre demande au bureau de votre club, qui efface ce qui peut l'être. Les registres à valeur probante (présences, tir contrôlé) ne s'effacent pas à la demande : ils sont conservés pour leur durée propre, votre fiche étant alors désactivée. Un membre du bureau supprime lui-même son compte depuis « Paramètres → Mon compte », après avoir retapé son e-mail et son mot de passe.

Pour les autres demandes, adressez-vous au bureau de votre club (responsable de traitement) ou à contact@cibléo.fr. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

En cas de violation de données à caractère personnel, l'éditeur en informe le club sans délai injustifié, avec les éléments nécessaires à la notification que le club, responsable de traitement, doit adresser à la CNIL dans les 72 heures (article 33 du RGPD), et à l'information des personnes concernées lorsque l'article 34 l'exige.

Chaque club tient le registre de ses traitements (article 30 du RGPD). L'éditeur tient de son côté le registre des traitements effectués pour le compte des clubs et le met à disposition sur demande, avec le contrat de sous-traitance qui encadre le service.