Politique de confidentialité et de protection des données

Qui traite vos données

My Team Manager est une application de gestion de l’effectif et du staff technique destinée aux éducateurs de football de jeunes, disponible sur https://myteammanager.pt et sur https://app.myteammanager.pt.

• Nom: João Carlos Neves Leonardo
• Numéro fiscal (NIF): 269514686
• Localité: Odivelas
• Forme juridique: Entrepreneur individuel (empresário em nome individual)
• E-mail pour les questions de données personnelles: geral@myteammanager.pt

Délégué à la protection des données : aucun n’a été désigné. L’article 37 du RGPD ne l’exige pas à la taille actuelle du service ; nous réexaminerons cette décision à mesure que le nombre de comptes et de joueurs augmentera. D’ici là, les questions de données personnelles sont traitées directement par le prestataire, à l’e-mail ci-dessus.

La présente politique s’applique au site et à l’application. Elle ne décrit pas ce que des tiers font sur leurs propres sites : si vous suivez un lien vers l’extérieur, c’est la politique de ce site qui s’applique.

Deux rôles différents : responsable de traitement et sous-traitant

C’est la partie la plus importante du document, et elle est plus simple qu’il n’y paraît. Cette application contient deux ensembles de données, et notre rôle est différent pour chacun.

1. Les données de votre compte : ici, le responsable, c’est nous

Votre e-mail, votre nom, votre photo de profil, le forfait souscrit, les factures. Ces données existent parce que vous avez une relation avec nous. C’est nous qui décidons à quoi elles servent et comment elles sont traitées, et nous sommes donc le responsable de traitement.

2. Les données des joueurs : ici, le responsable, c’est vous

L’effectif, les fiches des joueurs, les photographies, les coordonnées des représentants légaux. Ces données ne sont pas les nôtres et ce n’est pas nous qui avons décidé de les collecter : c’est l’entraîneur, ou le club pour le compte duquel il travaille. Celui qui décide quelles données sont collectées, auprès de qui et dans quel but est le responsable de traitement. Nous ne sommes que le sous-traitant : nous conservons et traitons ces données pour votre compte, selon vos instructions.

Ce que cela signifie concrètement pour vous

• Il vous appartient de vous assurer qu’il existe une base légale pour traiter les données de chaque joueur : généralement le consentement du représentant légal, l’exécution d’un contrat avec le club ou le respect d’obligations fédérales.
• Il vous appartient d’informer les joueurs et leurs représentants légaux que les données se trouvent dans cette application et de ce à quoi elles servent.
• Il vous appartient d’obtenir un consentement spécifique pour la photographie. Au Portugal, le droit à l’image d’un mineur exige l’autorisation de ses représentants légaux.
• Si un représentant légal exerce un droit (accès, rectification, effacement), la demande vous est adressée. Si elle nous parvient, nous vous la transmettons et vous prévenons.

Ce que nous nous engageons à faire, en tant que sous-traitant

• Traiter les données uniquement selon vos instructions et pour vous fournir le service ;
• Ne pas utiliser les données des joueurs à des fins publicitaires, de profilage commercial ou d’entraînement de modèles ;
• Ne pas vendre ni céder ces données à des tiers ;
• Maintenir les mesures de sécurité décrites dans la section « Sécurité » ;
• Ne faire appel à d’autres sous-traitants que si nous les gardons listés dans la présente politique, en prévenant 30 jours à l’avance de l’arrivée d’un nouveau ;
• Vous prévenir dans un délai de 24 heures après avoir pris connaissance d’une violation de données vous concernant, afin que vous puissiez la notifier à la CNPD dans les 72 heures que la loi vous accorde ;
• Supprimer ou restituer les données à la fin du contrat, selon ce que vous demandez.

Quelles données sont traitées

La liste ci-dessous est la liste réelle des champs que l’application conserve. Ce n’est pas une énumération générique.

De votre compte et du staff technique

• E-mail et, si vous en choisissez un, nom d’utilisateur ;
• Mot de passe conservé sous forme de hash : jamais en clair. Si vous vous connectez avec Google, nous ne conservons aucun mot de passe, seulement l’identifiant stable que Google nous fournit ;
• Nom complet ;
• Rôle dans le compte : Gestionnaire du club, Entraîneur principal, Entraîneur adjoint ou Délégué ;
• Fonction descriptive, si vous la renseignez (par exemple « délégué de terrain ») ;
• Date de naissance, si vous la renseignez ;
• Téléphone, si vous le renseignez ;
• D’où vous veniez au moment de l’inscription (par exemple, « Instagram » ou « le site ») et votre réponse à « Comment nous avez-vous connus ? », si vous la donnez : elles servent seulement à savoir quels canaux amènent les inscriptions, jamais à vous suivre ailleurs ;
• Photo de profil, si vous en téléversez une ;
• Dates de création et de dernière modification de l’enregistrement ;
• Jetons techniques de session et de récupération du mot de passe.

De vos équipes

• Nom et abréviation de l’équipe, catégorie et saison ;
• Nom du club, terrain à domicile et couleur distinctive ;
• Écusson, si vous en téléversez un ;
• Observations que vous écrivez.

De l’effectif : les joueurs

Dans la grande majorité des cas, ces données concernent des mineurs. Voir la section suivante.

• Nom complet et nom court ;
• Date de naissance ;
• Photographie, si vous en téléversez une ;
• Numéro de maillot, poste et pied fort ;
• Taille et poids, si vous les renseignez ;
• Numéro de carte d’identité ou de passeport, si vous le renseignez, et numéro de licence fédérale ;
• Téléphone et e-mail du joueur, si vous les renseignez ;
• Nom, téléphone et e-mail du représentant légal ;
• Observations que vous écrivez dans la fiche.

Des modules du club

Dans un compte club, et selon le forfait et les modules que le club utilise, l’application conserve aussi :

• Les mensualités, cotisations et paiements des familles, y compris la réduction fratrie ;
• Les commandes de la boutique du club et, dans la boutique en ligne, le nom, l’e-mail et le téléphone de l’acheteur ;
• Les inscriptions aux tournois du club.

Ces données appartiennent au club : le club est le responsable du traitement et nous sommes sous-traitant, comme pour les données des joueurs.

De l’abonnement et de la facturation

• Forfait souscrit, statut de l’abonnement et date de fin de la période d’essai ;
• Données de facturation : nom, adresse et numéro fiscal que vous indiquez ;
• Historique des paiements. Les données de la carte sont saisies et conservées par Stripe : nous n’avons pas accès au numéro complet de la carte et ne le conservons pas.

Journal d’audit et données techniques

Les actions sensibles effectuées dans un compte sont enregistrées : qui, quoi, sur quel enregistrement, quand, depuis quelle adresse IP et avec quel navigateur. Cela sert à la sécurité et à comprendre ce qui s’est passé dans un compte : jamais à profiler l’utilisateur.

Le serveur conserve également des journaux techniques de fonctionnement (logs), avec un minimum d’informations sur les requêtes et les erreurs.

Documents

L’onglet Documents conserve les fichiers que l’entraîneur téléverse : règlements, communiqués, calendriers, fiches d’inscription. Pour chacun, nous conservons le nom, la catégorie, les notes que vous écrivez, le type et la taille du fichier, qui l’a téléversé et quand, ainsi qu’une date de validité si vous l’indiquez.

Un document appartient toujours à une équipe. Lorsqu’il est associé à un joueur, il n’est plus visible que par l’Entraîneur principal et le Délégué, pour la raison expliquée ci-dessus. Les fichiers ne sont servis qu’aux utilisateurs connectés et toujours en téléchargement (jamais ouverts dans l’application) et sont supprimés du serveur lorsque le document, le joueur ou l’équipe est supprimé.

Photographies

Lorsque vous téléversez une photographie (la vôtre, celle d’un joueur ou un écusson), elle est redimensionnée et convertie sur notre serveur avant d’être conservée. Au cours de ce processus, toutes les métadonnées EXIF sont supprimées, y compris la localisation GPS que de nombreux téléphones enregistrent dans l’image. Seule l’image reste.

À quoi elles servent et sur quelle base légale

Données des mineurs

Cette application a été conçue pour le football de jeunes. La catégorie la plus jeune, « Petizes » (moins de 7 ans), compte des enfants dès six ans. Il n’aurait aucun sens de traiter ce point comme une note de bas de page : il a donc sa propre section.

Quelles données de mineurs sont traitées

• Nom complet et nom court ;
• Date de naissance ;
• Photographie ;
• Poste, numéro de maillot, pied fort, taille et poids ;
• Numéro de carte d’identité ou de passeport et numéro de licence fédérale ;
• Téléphone et e-mail, lorsqu’ils existent ;
• Nom, téléphone et e-mail du représentant légal ;
• Observations écrites par l’entraîneur.

Ces données sont saisies par l’entraîneur. L’enfant n’utilise pas l’application, ne crée pas de compte et n’a accès à rien.

Qui est responsable du consentement

Cela comprend expressément le consentement pour la photographie. Au Portugal, l’utilisation de l’image d’un mineur exige l’autorisation des titulaires de l’autorité parentale, et cette autorisation doit être documentée.

Au Portugal, l’âge à partir duquel un mineur peut consentir seul au traitement de ses données dans les services en ligne est de 13 ans (loi portugaise n° 58/2019, article 16). L’application n’est toutefois pas proposée aux enfants : c’est l’entraîneur qui l’utilise. Le consentement pertinent est donc celui du représentant légal, toujours en dessous de 13 ans et, au-delà, conjointement avec le joueur lui-même lorsque le club le juge opportun, et c’est le club, ou l’entraîneur, qui le recueille et le conserve, par écrit, avant de saisir la fiche dans l’application.

Comment demander la rectification ou l’effacement

Un représentant légal qui souhaite consulter, rectifier ou effacer les données de son enfant doit s’adresser en premier lieu à l’entraîneur ou au club qui a saisi ces données. C’est lui qui a la relation avec la famille et qui est le responsable de traitement.

Si vous préférez nous écrire directement, écrivez à geral@myteammanager.pt. Dans ce cas :

1. Nous accusons réception de la demande ;
2. Nous identifions le compte où se trouvent les données et transmettons la demande au responsable ;
3. Nous vous communiquons les coordonnées dont nous disposons et apportons un soutien technique à l’exécution, y compris la suppression définitive de la fiche et de la photographie, si telle est la décision du responsable ;
4. Si le responsable n’agit pas, nous informons le demandeur de son droit de saisir la CNPD.

L’entraîneur peut, à tout moment et sans rien nous demander, rectifier une fiche ou supprimer un joueur depuis l’application elle-même.

Ce que nous ne faisons jamais avec les données des mineurs

Chaque compte est isolé des autres au niveau de la base de données elle-même. Un entraîneur ne peut pas voir l’effectif d’un autre, même si l’application comportait une erreur de programmation : l’isolement est garanti par le moteur de la base de données, et pas seulement par le code de l’application.

Avec qui nous les partageons

Nous ne vendons pas de données. Nous ne partageons que le nécessaire, et uniquement avec ceux qui nous fournissent des services indispensables au fonctionnement de la plateforme.

Aucun de ces fournisseurs ne reçoit de données sans qu’un contrat de sous-traitance conforme à l’article 28 du RGPD soit en vigueur : dans le cas de Stripe, de Moloni et de Google, les conditions de traitement qu’ils mettent eux-mêmes à la disposition de leurs clients.

Nous pouvons également communiquer des données aux autorités publiques lorsque la loi l’exige, ainsi qu’à des avocats ou des comptables dans le cadre de la défense de droits ou du respect d’obligations légales.

Si nous changeons de sous-traitant ou en ajoutons un nouveau, cette liste est mise à jour et les utilisateurs disposant d’un compte sont prévenus par e-mail 30 jours à l’avance ; ils peuvent s’y opposer, ce qui, en pratique, signifie résilier avant que le changement ne prenne effet.

Où sont les données

Le Portugal fait partie de l’Union européenne : le traitement principal se déroule donc entièrement au sein de l’Espace économique européen, sous le régime du RGPD.

Transferts hors de l’UE

Il existe des exceptions, limitées aux services d’appui indiqués dans la section précédente. Stripe et Google sont des groupes internationaux et peuvent transférer des données hors de l’Espace économique européen. Dans ce cas, le transfert repose sur les mécanismes prévus au chapitre V du RGPD : en général les clauses contractuelles types de la Commission européenne et, le cas échéant, des décisions d’adéquation.

Concrètement : Stripe contracte avec ses clients européens par l’intermédiaire de son entité irlandaise et transfère des données à sa maison mère aux États-Unis sur la base des clauses contractuelles types de la Commission européenne. Google, lorsque vous utilisez la connexion avec votre compte Google, traite les données selon les conditions qu’il publie pour les utilisateurs européens, également avec des clauses contractuelles types comme garantie.

Les données des joueurs ne sont pas transférées hors de l’UE. Elles restent dans la base de données et le stockage de fichiers hébergés au Portugal. Stripe ne reçoit aucune donnée de l’effectif : seulement les données de facturation de l’entraîneur ou du club.

Combien de temps nous les conservons

Une remarque honnête sur les sauvegardes : lorsque nous supprimons un enregistrement, il disparaît immédiatement de l’application, mais il peut subsister dans une sauvegarde jusqu’à la rotation de celle-ci. Les sauvegardes ne sont consultées à aucune autre fin que la restauration du service.

Il existe un cas particulier. Lorsqu’une équipe est supprimée, ses joueurs ne sont pas supprimés : ils restent sans équipe associée, afin de préserver l’historique. Si vous voulez vraiment supprimer les fiches des joueurs, supprimez-les explicitement : supprimer l’équipe ne suffit pas.

Sécurité

Nous décrivons ci-dessous ce que fait la plateforme. Nous ne prétendons pas être inviolables (aucun système ne l’est) et n’invoquons pas de certifications que nous n’avons pas.

• Isolement par compte au niveau de la base de données. Chaque compte ne voit que ses propres lignes, grâce au Row Level Security de PostgreSQL. Cela ne dépend pas de la mémoire du développeur : si un filtre manque dans une requête, le résultat est zéro ligne, et non les lignes d’un autre entraîneur. L’application se connecte à la base de données avec un utilisateur sans privilèges particuliers, précisément pour ne pas pouvoir contourner cette règle.
• Chiffrement en transit. Tout le trafic entre votre navigateur et nos serveurs utilise HTTPS/TLS.
• Mots de passe hachés. Nous ne conservons jamais de mots de passe en clair et ne pouvons pas les récupérer : nous pouvons seulement vous permettre d’en définir un nouveau.
• Métadonnées supprimées des photographies. Les images téléversées sont retraitées sur le serveur et perdent leurs métadonnées EXIF, y compris les coordonnées GPS.
• Droits par rôle, vérifiés sur le serveur. Chaque personne ne fait que ce que son rôle permet : un Entraîneur adjoint ne voit pas les documents des joueurs, et un Délégué n’accède pas au travail technique (modèle de jeu, tableau tactique, bibliothèque, périodisation, tests physiques) et ne fait pas de convocations.
• Journal d’audit des actions sensibles, pour pouvoir reconstituer ce qui s’est passé dans un compte.
• Hébergement sur un serveur dédié au Portugal, avec un accès administratif restreint.

Sauvegardes quotidiennes et chiffrées. La base de données est copiée chaque nuit. Une copie reste sur le serveur pendant 7 jours ; une autre est chiffrée avant de quitter la machine et stockée ailleurs, avec une rotation de 7 copies quotidiennes, 4 hebdomadaires et 6 mensuelles. Celui qui héberge les copies distantes ne voit jamais les données en clair.

Si nous détectons une violation de données à caractère personnel, nous prévenons les responsables de traitement concernés dans un délai de 24 heures après en avoir pris connaissance, afin qu’ils puissent la notifier à la CNPD dans les 72 heures que la loi leur accorde. Lorsque la violation touche des données dont nous sommes nous-mêmes responsables, nous la notifions à la CNPD et aux personnes concernées conformément aux articles 33 et 34 du RGPD.

Si vous trouvez une vulnérabilité, merci de nous écrire à geral@myteammanager.pt avant de la divulguer.

Cookies et technologies similaires

Cette section décrit ce qui existe réellement. Rien de plus.

Sur ce site

Le site https://myteammanager.pt est un ensemble de pages statiques et n’utilise pas de cookies, et c’est pourquoi vous ne verrez aucune fenêtre vous demandant de les accepter. Nous n’avons ni Google Analytics, ni pixels de réseaux sociaux, ni cookies publicitaires, et ne faisons aucun suivi entre sites. Les polices sont servies depuis notre propre domaine : ouvrir une page n’envoie donc aucune requête à des tiers.

Statistiques de visites du site

Pour savoir quelles pages sont lues et d’où viennent les visites, le site utilise Umami, un outil de statistiques qui tourne sur notre propre serveur, dans l’Union européenne (le même que celui de l’application). Aucune donnée ne part vers des tiers, et Umami n’utilise pas de cookies et n’enregistre rien dans votre navigateur.

• Ce qui est mesuré, toujours en chiffres agrégés : les pages vues, le site d’où vous venez, le pays, le type d’appareil, le navigateur et le système d’exploitation.
• Ce qui n’est pas conservé : l’adresse IP (elle sert seulement, au moment de la requête, à connaître le pays, puis elle est écartée), le nom, l’e-mail ou toute autre donnée qui vous identifie. Pour compter les visiteurs sans les connaître, Umami utilise un identifiant anonyme qui change chaque mois et qui ne permet pas de remonter jusqu’à une personne.
• Nous ne faisons aucun suivi entre sites et ne croisons pas ces statistiques avec les données de l’application. Sont mesurés le site public (https://myteammanager.pt) et les pages publiques de l’application (celle d’un match, celle d’un tournoi et la boutique d’un club), jamais les pages de l’application qui demandent une connexion. Pour la page d’un match, l’adresse complète, qui contient le code d’accès, n’est pas enregistrée.
• « Ne pas pister » est respecté : si votre navigateur envoie le signal Do Not Track, la visite n’est pas enregistrée.
• Conservation : les statistiques sont conservées pendant 24 mois, puis supprimées.

La base légale est notre intérêt légitime à comprendre comment le site est utilisé afin de l’améliorer (article 6, paragraphe 1, point f), du RGPD), au moyen d’un traitement qui n’identifie personne.

Dans l’application

L’application sur https://app.myteammanager.pt utilise un seul cookie, strictement nécessaire : il s’appelle mtm_refresh et sert à maintenir votre session ouverte. C’est un cookie d’authentification : httpOnly, pour qu’aucun script ne puisse l’atteindre ; envoyé uniquement à notre serveur et uniquement pour les requêtes d’authentification ; sans aucun suivi. Il dure jusqu’à 30 jours et est supprimé lorsque vous vous déconnectez. Lors d’une connexion avec Google, il existe en outre un second cookie technique, d’une durée de 10 minutes, qui protège cette connexion contre la falsification.

Les cookies strictement nécessaires à la fourniture d’un service demandé par l’utilisateur sont exemptés de consentement en vertu de l’article 5, paragraphe 3, de la loi portugaise n° 41/2004, et c’est pourquoi vous ne verrez aucune fenêtre vous demandant d’accepter des cookies : il n’y en a aucun de mesure d’audience, de marketing ou de tiers à accepter.

Outre le cookie, l’application enregistre dans le stockage local du navigateur (localStorage) votre nom et votre rôle dans le compte (pour que le premier affichage de la page ne clignote pas) et votre préférence d’équipe active. La déconnexion efface ces valeurs ; effacer les données du site dans le navigateur a le même effet.

Vos droits

En tant que personne concernée, vous avez le droit :

• d’accéder aux données que nous détenons sur vous ;
• de rectifier des données inexactes ou incomplètes ;
• d’effacer vos données, lorsqu’aucun motif ne justifie leur conservation ;
• de limiter le traitement dans certaines situations ;
• à la portabilité : recevoir vos données dans un format structuré et lisible par machine ;
• de vous opposer aux traitements fondés sur l’intérêt légitime, pour des raisons tenant à votre situation particulière ;
• de retirer votre consentement à tout moment, lorsque le traitement est fondé sur celui-ci. Le retrait n’affecte pas ce qui a été fait auparavant.

Comment les exercer

Écrivez à geral@myteammanager.pt. Nous répondons dans un délai d’un mois à compter de la réception de la demande, prolongeable de deux mois pour les demandes complexes : dans ce cas, nous vous prévenons au cours du premier mois. Nous pouvons vous demander des informations complémentaires pour confirmer votre identité, notamment lorsque la demande porte sur une suppression.

L’exercice de ces droits est gratuit. Nous ne facturons rien pour répondre.

Saisir la CNPD

Si vous estimez que le traitement de vos données enfreint la loi, vous avez le droit d’introduire une réclamation auprès de l’autorité de contrôle. Au Portugal, il s’agit de la Comissão Nacional de Proteção de Dados (CNPD), l’autorité portugaise de protection des données : www.cnpd.pt.

Si vous résidez dans un autre État membre de l’Union européenne, vous pouvez vous adresser à l’autorité de contrôle de ce pays.

Nous vous serions reconnaissants de nous en parler d’abord (c’est généralement résolu plus vite) mais ce n’est pas obligatoire, et le droit de réclamation n’en dépend pas.

Modifications de la présente politique

La présente politique peut changer, du fait de l’évolution du service, d’un changement de fournisseurs ou d’une modification législative. La version en vigueur figure toujours sur cette page, avec la date de la dernière mise à jour en haut.

Les modifications importantes (nouvelles finalités, nouveaux sous-traitants ayant un impact ou changements dans la répartition des responsabilités) sont communiquées par e-mail aux utilisateurs disposant d’un compte actif, avant de prendre effet.

Contact

Pour toute question sur la présente politique ou sur le traitement des données personnelles : geral@myteammanager.pt.

Pour les conditions commerciales du service, consultez les Conditions générales.