Politique de confidentialité

Qui est responsable de quoi

Deux acteurs interviennent, et leurs responsabilités ne sont pas les mêmes.

Votre club est responsable des données de ses membres

L'effectif, les fiches des joueurs, les présences, le calendrier, les séances, les programmes et les résultats de tests sont saisis par le club, pour ses propres besoins. Le club décide de ce qu'il enregistre et pourquoi : au sens du règlement général sur la protection des données (RGPD), il est le responsable de ce traitement. Pour ces données, Ovalyst agit comme sous-traitant : nous les hébergeons et les affichons selon les instructions du club, et nous ne les utilisons pour rien d'autre.

L'éditeur d'Ovalyst est responsable des comptes et de la liste d'attente

Information à compléter avant la mise en ligne : nom ou raison sociale de l'éditeur, Information à compléter avant la mise en ligne : adresse postale de l'éditeur, est responsable du traitement des données de compte (adresse e-mail, nom, mot de passe haché, date et version du consentement) et de la liste d'attente de la bêta.

Contact pour toute question sur vos données : Information à compléter avant la mise en ligne : adresse e-mail pour les demandes RGPD.

Au lancement, seul le staff a un compte

Dans la version actuelle, seuls les membres du staff d'un club (dirigeants, entraîneurs, éducateurs, préparateurs physiques) ont un compte. Les joueurs figurent dans l'effectif sous forme de fiches, sans compte ni accès à l'application. L'espace joueur, les comptes des parents et les convocations sont construits mais fermés : quand un club les ouvrira, les règles décrites ci-dessous pour le joueur et son représentant légal s'appliqueront, et cette page le dira.

Les données traitées, et pourquoi

Ovalyst ne vend aucune donnée, n'affiche aucune publicité, ne fait ni profilage ni décision automatisée, et n'utilise pas vos contenus pour entraîner des modèles d'intelligence artificielle.

Données de santé : aucune

Ovalyst ne traite aucune donnée de santé. Il n'existe dans l'application ni diagnostic, ni certificat médical, ni statut « blessé », ni motif d'indisponibilité, ni champ destiné à les recevoir. Ce n'est pas une politique interne que nous nous engageons à tenir : c'est une propriété de la base de données, vérifiée à chaque livraison par des tests automatiques qui échouent si une telle donnée réapparaît quelque part.

Quand un joueur ne peut pas jouer, le staff le note comme indisponible, éventuellement jusqu'à une date. L'application ne demande pas pourquoi et ne conserve pas la raison. Elle ne regarde que le joueur, sa famille et son médecin.

Les résultats de tests physiques sont traités comme des données sportives, non comme des données de santé. Ils ne sont jamais obligatoires : l'application fonctionne sans eux. L'application n'enregistre ni le poids ni la taille des joueurs : associées, ces deux mesures relèvent des données de santé.

Les zones de texte libre qui portent sur une personne affichent un rappel à la saisie : n'y écrivez aucune information de santé. Si vous constatez qu'une telle information a malgré tout été saisie à votre sujet, demandez son effacement au club, ou écrivez-nous.

Qui voit quoi dans l'application

Les données d'un club ne sont visibles que de ses membres : ce cloisonnement est appliqué par la base de données elle-même, pour chaque ligne, et pas seulement par l'interface. Un visiteur sans compte n'a accès à aucune donnée, hors ce que montre un lien que le club ou vous avez choisi de partager (voir plus bas). À l'intérieur d'un club, les règles sont les suivantes. Le « staff » désigne les administrateurs, les coachs et les préparateurs physiques. Les accès du joueur et de son représentant légal ne valent que lorsque le club a ouvert l'espace joueur ; au lancement, ils n'ont pas de compte.

Ce qu'un lien partagé montre

• Lien de partage d'un schéma. La personne qui a le lien voit le schéma, sans compte : ni ses notes, ni le nom de code. L'auteur n'y est nommé, sous une forme courte (« Prénom N. »), que s'il a créé le lien lui-même et l'a demandé. Un joueur de l'effectif placé sur le schéma n'y apparaît que par son numéro. Le lien peut être révoqué à tout moment ; il cesse alors de fonctionner.
• Lien d'agenda. Vous pouvez créer un lien personnel qui affiche le calendrier dans l'agenda de votre choix (Google, Apple, Microsoft…). Cet agenda relit le lien régulièrement et garde une copie des événements : titre, type, horaires, statut, lieu et installation, noms des équipes et du club. Aucune donnée d'un autre membre n'y figure. C'est vous qui choisissez ce service : il traite ces événements selon ses propres règles. Révoquer le lien, quitter le club ou supprimer votre compte arrête la diffusion.

L'éditeur, en tant qu'administrateur technique, peut accéder à la base pour la maintenance, la sécurité et le support. Il ne le fait que lorsque c'est nécessaire, et pour les données d'un club, à sa demande ou pour corriger un incident.

Joueurs mineurs

Beaucoup de licenciés sont mineurs. Deux règles s'appliquent.

• Pour créer un compte, il faut avoir 15 ans ou plus, ou avoir l'accord de son représentant légal. C'est la déclaration demandée à l'inscription ; sa date est conservée avec le compte.
• Un club peut créer la fiche d'un joueur mineur sans que celui-ci ait de compte. C'est alors au club de recueillir l'accord du représentant légal, comme il le fait pour la licence. Quand la date de naissance indique moins de 15 ans, la fiche du joueur propose, à côté du nom et du téléphone du représentant légal, la case « Le représentant légal a donné son accord à l'utilisation d'Ovalyst ». Seuls le staff du club habilité à modifier la fiche privée et le représentant légal dont le lien a été vérifié par le club peuvent la cocher ou la décocher ; le joueur voit si l'accord est déclaré, sans pouvoir le déclarer lui-même, quel que soit son âge. Ovalyst enregistre alors la date à laquelle l'accord a été déclaré : cette date est posée par nos serveurs, une seule fois, et reste visible du staff sur la fiche ; décocher la case l'efface. Il s'agit d'une déclaration : elle ne remplace pas l'accord lui-même, dont le club doit pouvoir justifier.

Quand le club a ouvert les comptes des parents (fermés au lancement), un parent qui rejoint une équipe avec le rôle « parent » voit les informations de l'équipe ; une fois son lien de représentant légal vérifié par le club, il voit aussi le calendrier des équipes de son enfant. Il n'a pas accès à la fiche privée des autres joueurs dans l'application : pour consulter, corriger ou faire supprimer les données de son enfant, il s'adresse au club, ou à défaut à l'éditeur.

Combien de temps les données sont conservées

• Compte : le compte et ses données sont conservés tant que le compte existe. Vous pouvez le supprimer à tout moment depuis « Mon compte » : la suppression est immédiate et définitive.
• Compte inactif : aucune suppression n'est automatique. L'éditeur peut supprimer un compte resté inactif plus de trois ans, après en avoir informé son titulaire à l'adresse e-mail du compte.
• Liste d'attente : jusqu'à l'envoi de votre invitation, et au plus tard douze mois après votre demande ou à la fin de la bêta.
• Données d'un club : tant que le club existe dans Ovalyst, dans les limites qui suivent. Le club, qui en est responsable, les fait respecter avec les outils de l'application ; Ovalyst efface automatiquement ce qui est indiqué comme tel.
• Fiche d'un joueur (effectif) : pendant son adhésion, puis une saison après son départ. Il revient au club de supprimer la fiche d'un joueur parti, depuis l'effectif (« Supprimer le joueur ») ; la suppression efface aussi ses présences, ses séances réalisées et ses résultats de tests.
• Présences : deux saisons, la saison en cours et la précédente. Les plus anciennes sont effacées automatiquement chaque nuit.
• Calendrier : deux saisons. Il revient au club de supprimer les événements plus anciens, depuis le calendrier.
• Préparation physique (programmes, séances réalisées, tests) : deux saisons. Il revient au club de supprimer ce qui est plus ancien, depuis la préparation physique (suppression d'un programme, d'une séance réalisée ou d'une séance de tests), ou avec la fiche du joueur.
• Suppression d'un club : elle efface toutes ses données. Les photos du matériel et le logo qu'il avait déposés sont effacés automatiquement la nuit suivante, et en tout cas dans les trente jours.
• Photo ou logo que plus rien n'utilise (formulaire abandonné, image remplacée) : effacé automatiquement après sept jours.
• Compteurs de tentatives : ils ne servent que le temps de leur fenêtre (un quart d'heure aujourd'hui) ; ils sont effacés chaque nuit dès qu'ils ont plus d'un jour, et ceux d'un compte avec le compte.
• Notifications : la file d'envoi est effacée trente jours après sa création, envoyée ou non ; les notifications de l'application, cent quatre-vingts jours après. Un abonnement aux notifications de l'appareil dure jusqu'à ce que vous le retiriez, ou que le service de notification le déclare périmé. Tout part avec le compte.
• Liens de partage : effacés trente jours après leur révocation ou leur expiration. Liens d'agenda : effacés trente jours après leur révocation. Ceux d'un schéma partent avec le schéma, ceux d'un compte avec le compte.
• Liens de réponse envoyés par e-mail : seule leur empreinte est gardée ; elle est effacée trente jours après l'expiration du lien.
• Liens d'invitation du staff : gardés avec le club (empreinte, rôle proposé, dates), sans aucune donnée sur la personne invitée ; un lien ne sert plus dès qu'il expire ou qu'il est révoqué.
• Contenus affectés et réponses aux quiz : tant que le contenu et la fiche du joueur existent ; ils partent avec l'un ou l'autre.
• Journaux techniques de l'hébergeur : selon la durée appliquée par celui-ci, de l'ordre de quelques jours à quelques semaines.
• Sauvegardes de la base : elles sont écrasées selon le cycle du fournisseur ; une donnée supprimée en disparaît à l'issue de ce cycle.

Prestataires et lieu d'hébergement

Ovalyst s'appuie sur trois prestataires techniques, et sur aucun autre.

• Base de données, authentification et stockage des fichiers : Information à compléter avant la mise en ligne : nom et adresse du fournisseur de la base de données (Supabase). Région d'hébergement : Information à compléter avant la mise en ligne : région d'hébergement de la base de données.
• Hébergement de l'application : Information à compléter avant la mise en ligne : nom de l'hébergeur. Région d'exécution : Information à compléter avant la mise en ligne : région d'hébergement de l'application.
• Envoi des e-mails (confirmation de compte, réinitialisation du mot de passe, notifications) : Brevo (Sendinblue SAS, France). Données traitées dans l'Union européenne.

Pour les données dont le club est responsable, ces prestataires sont des sous-traitants ultérieurs d'Ovalyst. Les deux premiers ont leur siège aux États-Unis. Même quand les données sont stockées dans l'Union européenne, un accès depuis un pays tiers reste possible pour le support ou la maintenance : ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les sociétés qui y adhèrent, par le cadre de protection des données UE–États-Unis. Si une région hors de l'Union européenne figure ci-dessus, l'ensemble des données y est transféré sous les mêmes garanties.

Aucun service de surveillance des erreurs n'est actif. S'il l'était un jour, il serait ajouté à cette liste et à l'accord de sous-traitance avant son activation.

Notifications sur votre appareil

Si vous acceptez les notifications sur votre appareil, chaque message passe par le service de notification de votre navigateur (celui de Google, d'Apple, de Mozilla ou de Microsoft, selon l'appareil). Ce service est choisi par votre appareil, et non par Ovalyst ; il peut être situé hors de l'Union européenne. Il ne reçoit qu'un contenu chiffré, qu'il ne peut pas lire, et l'adresse d'abonnement qu'il a lui-même attribuée à votre navigateur. Vous pouvez retirer cette autorisation à tout moment, dans l'application ou dans les réglages du navigateur.

Vidéos YouTube liées à un exercice

La fiche d'un exercice peut porter le lien d'une vidéo YouTube. C'est un lien sortant : Ovalystn'intègre aucun lecteur YouTube dans ses pages, et rien n'est transmis à YouTube avant que vous ne cliquiez sur le lien. En l'ouvrant, vous quittez Ovalyst pour le site de YouTube (Google), qui applique sa propre politique de confidentialité. YouTube n'est donc pas un prestataire d'Ovalyst.

Mesures de sécurité

• Cloisonnement par club appliqué dans la base de données, ligne par ligne : une requête ne peut pas lire les données d'un autre club, même en contournant l'interface.
• Données sensibles des joueurs séparées de l'annuaire, avec un accès limité au staff et au joueur concerné.
• Connexions chiffrées (HTTPS) entre votre appareil, l'application et la base de données.
• Mots de passe conservés uniquement sous forme hachée, avec une longueur minimale de dix caractères ; l'éditeur ne peut pas les lire.
• Opérations sensibles (création de club, rôles, codes d'invitation, suppression de compte) exécutées et contrôlées côté serveur ; saisie des codes d'équipe, création de club, demandes de liste d'attente et liens entre organisations limitées en nombre sur un court intervalle (aujourd'hui, dix codes d'équipe par quart d'heure).
• Liens de partage, d'agenda et d'invitation : le lien n'est montré qu'une fois, à sa création ; la base n'en garde qu'une empreinte, qui ne permet pas de le reconstituer. Chaque lien se révoque, et ses ouvertures sont limitées en nombre sur un court intervalle.
• Aucun script publicitaire ou de mesure d'audience tiers n'est chargé ; une politique de sécurité du contenu limite les scripts à ceux de l'application.
• Ce qui est gardé sur l'appareil pour un usage sans réseau exclut la fiche privée des joueurs (coordonnées, date de naissance, contacts d'urgence, notes) et ne contient aucune donnée de santé ; tout est effacé à la déconnexion.

En cas de violation de données présentant un risque pour vous, nous prévenons les clubs concernés sans délai, et la CNIL dans les 72 heures lorsque la loi l'exige.

Vos droits, et comment les exercer

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, et du droit de retirer votre consentement à tout moment. La plupart s'exercent directement dans l'application.

• Récupérer vos données. Dans « Mon compte », le bouton « Exporter mes données » télécharge un fichier JSON avec votre compte, vos appartenances aux clubs, votre fiche joueur (fiche privée comprise), vos présences, vos séances de préparation, vos résultats de tests, la liste de vos créations et vos favoris, ainsi que l'historique de vos rôles, vos consentements, vos acceptations des documents contractuels et, le cas échéant, les présences des enfants que vous représentez. Vos commentaires, les liens que vous avez créés, les contenus qui vous sont affectés et vos réponses aux quiz n'y figurent pas encore : demandez-les à l'adresse indiquée plus bas, nous vous les transmettons dans le même délai.
• Corriger vos données. Votre nom et votre mot de passe se modifient dans « Mon compte » ; un joueur complète sa fiche dans « Mon profil ». Pour changer l'adresse e-mail du compte, écrivez-nous.
• Supprimer votre compte. Dans « Mon compte », « Supprimer mon compte » agit immédiatement et sans retour possible. Sont effacés : le compte, vos appartenances aux clubs, vos favoris, votre fiche privée de joueur (coordonnées, contacts, notes), vos séances de préparation, vos notifications, vos préférences et abonnements de notification, et vos liens d'agenda. Le texte de vos commentaires est effacé (le fil affiche « Commentaire supprimé »). Un club dont vous étiez le seul membre est supprimé avec toutes ses données. Restent, sous la responsabilité du club et détachés de tout compte : votre fiche dans l'annuaire (nom, postes, catégorie), vos présences, vos résultats de tests et les contenus que vous avez créés pour le club. Pour les faire supprimer, adressez-vous au club. Si vous êtes le seul administrateur d'un club qui compte d'autres membres, nommez d'abord un autre administrateur.
• Quitter la liste d'attente. Écrivez-nous depuis l'adresse concernée : elle est retirée sans autre formalité.
• Données gérées par votre club. Pour consulter, corriger ou faire effacer ce que le club a saisi à votre sujet (fiche, présences, tests), adressez-vous à un administrateur du club : c'est lui qui en répond. S'il ne peut pas agir, écrivez-nous et nous l'aiderons à répondre à votre demande.

Pour toute demande : Information à compléter avant la mise en ligne : adresse e-mail pour les demandes RGPD. Nous répondons dans un délai d'un mois. Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL (3 place de Fontenoy, 75007 Paris, cnil.fr).

Cookies et stockage sur votre appareil

Ovalyst n'utilise que ce qui est strictement nécessaire à son fonctionnement.

• Des cookies de session, déposés par le service d'authentification quand vous vous connectez : ils servent à vous reconnaître d'une page à l'autre et disparaissent à la déconnexion.
• Des préférences d'affichage enregistrées dans le stockage local du navigateur : thème clair ou sombre, état de la barre latérale et du groupe « Prévu », onglet ouvert de l'effectif, vue et filtres du calendrier (équipes, types, statuts), sonnerie du chronomètre de terrain. Elles ne disent rien d'une personne et restent sur l'appareil après la déconnexion.
• L'heure de la dernière coupure de réseau, effacée au retour du réseau.
• Des repères rangés au nom de votre compte : dernier compte connecté (nom affiché) et club actif, dernier temps affiché de chaque schéma, dernier écran ouvert au bord du terrain (son adresse et son titre, pour le jour même).
• Pour un usage sans réseau, une copie locale de ce que vous consultez : clubs et équipes, annuaire de l'effectif (noms, postes, catégories), présences, créations, séances et événements, préparation physique. Jamais la fiche privée d'un joueur (coordonnées, date de naissance, contacts d'urgence, notes).
• Les modifications faites sans réseau (présences, séance déjà enregistrée), jusqu'à leur envoi. Si votre session expire avant l'envoi, elles restent sur l'appareil jusqu'à ce que vous vous reconnectiez avec le même compte ; celles d'un autre compte ne sont jamais envoyées.
• Si vous utilisez la vue terrain : une copie locale des séances ouvertes et de leurs schémas, pour les relire sans réseau.
• Les copies locales, les modifications en attente, le dernier compte connecté et le club actif sont effacés à la déconnexion et au changement de compte. Les autres repères restent rangés au nom de votre compte : un autre compte ne les lit pas.

Il n'y a ni cookie publicitaire, ni mesure d'audience, ni traceur tiers, ni bouton de réseau social. La loi dispense de consentement les traceurs strictement nécessaires à la fourniture d'un service demandé par l'utilisateur : c'est pourquoi vous ne voyez pas de bandeau de cookies. Si cela devait changer, un choix vous serait proposé avant tout dépôt.

Évolutions de cette politique

Cette politique évoluera avec le service. La version et la date figurent en tête de page. En cas de changement important, les utilisateurs sont prévenus dans l'application ou par e-mail avant son entrée en vigueur. Voir aussi les conditions d'utilisation et les mentions légales.

Seconde mise à jour du 27 septembre 2026 : le service change de nom et s'appelle désormais Ovalyst. Aucun traitement, aucune donnée ni aucun destinataire ne change : pas de nouvelle acceptation de cette politique. Les conditions d'utilisation et l'accord de sous-traitance, qui citent le nom du service, passent en nouvelle version.

Mise à jour du 27 septembre 2026 : les notes d'un exercice, d'une combinaison ou d'un plan ne se lisent plus que des membres qui peuvent le modifier, jamais des joueurs ni des parents ; un lien de partage ne nomme l'auteur que s'il a créé le lien lui-même et l'a demandé. Aucun traitement ni destinataire nouveau : pas de nouvelle acceptation.

Mise à jour du 26 septembre 2026 : la page précise que le lien d'une vidéo YouTube, sur la fiche d'un exercice, est un lien sortant, sans lecteur intégré ni transmission avant le clic. Aucun traitement ni destinataire nouveau : pas de nouvelle acceptation.

Seconde mise à jour du 25 septembre 2026 : les durées de conservation sont détaillées par donnée, comme dans l'accord de sous-traitance (fiche d'un joueur, présences, calendrier, préparation physique), avec ce qu'Ovalyst efface automatiquement (présences au-delà de deux saisons, fichiers d'un club supprimé, images que plus rien n'utilise) et ce qu'il revient au club de supprimer. Seuls le staff habilité et le représentant légal vérifié déclarent l'accord du représentant. Aucun traitement ni destinataire nouveau : pas de nouvelle acceptation.

Mise à jour du 25 septembre 2026 : la page décrit la version actuelle, où seul le staff a un compte, et ajoute les invitations du staff, les contenus affectés et les quiz, les commentaires, les liens de partage et d'agenda, les notifications, le prestataire d'envoi des e-mails et les services de notification des navigateurs. Ces deux derniers destinataires figurent aussi dans la nouvelle version de l'accord de sous-traitance.

Mise à jour du 24 septembre 2026 : l'application n'enregistre plus le poids ni la taille des joueurs ; les mesures déjà saisies ont été effacées. Ce traitement est retiré de cette politique.