Politique de Confidentialité

Version 1.5 — Entrée en vigueur : 27 octobre 2026

Évolution v1.5 : ajout de l'adhésion au Dossario Running Club et de l'inscription à son assemblée générale (page /ag/running-club) : identité, e-mail, coupe et taille du t-shirt du club, durée de conservation correspondante.

Évolution v1.4 : ajout de la messagerie bénévoles du jour de l'événement (messages, photos, accusés de lecture, signalements, statut sur place), du partage de position facultatif pendant le créneau (sur consentement, révocable à tout moment), des notifications push de l'application « Dossario Orga », désormais ouverte aux bénévoles, et des durées de conservation correspondantes (article 12 réécrit).

Évolution v1.3 : ajout des SMS (messages pratiques aux bénévoles et aux coureurs, messages promotionnels avec consentement dédié, réponses par SMS), des sous-traitants SMS Partner et Octopush, des durées de conservation du journal des SMS et des numéros de proches.

Évolution v1.2 : ajout de la finalité « statistiques agrégées d'impact territorial » (mesure des retombées économiques locales d'un événement). Les réponses collectées à l'inscription (provenance, mode de venue, durée de séjour, hébergement, accompagnants) ne sont exploitées qu'agrégées — les rapports d'impact n'exposent jamais de donnée individuelle.

Évolution v1.1 : ajout de l'article 12 dédié à l'application mobile organisateur (« Dossario Orga ») et aux permissions système qu'elle utilise (caméra pour le scan des QR codes des bénévoles).

Préambule

La protection de vos données personnelles est une priorité pour DOSSARIO SAS. La présente Politique de Confidentialité vous informe, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (« Loi Informatique et Libertés »), de la manière dont nous collectons, utilisons, conservons et protégeons vos données personnelles lors de votre utilisation de la Plateforme dossar.io.

Article 1 – Identité du responsable de traitement

DOSSARIO SAS R3F, 1 rue Mademoiselle, 75015 Paris, France RCS Paris 103 192 449 — SIRET 10319244900017

Contact Données personnelles : privacy@dossar.io

DOSSARIO n'a pas l'obligation légale de désigner un Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD. Toute demande relative à vos données peut être adressée à l'adresse ci-dessus.

Article 2 – Données collectées

2.1 Données collectées directement auprès de vous

Pour les Participants (coureurs) :

• Données d'identification : nom, prénom, email, date de naissance, sexe
• Coordonnées : adresse postale, numéro de téléphone (si requis par l'Organisateur)
• Données sportives : numéro de licence fédérale, club, informations de performance (résultats, temps, classements)
• Données de santé (si collectées par l'Organisateur) : certificat médical, déclaration sur l'honneur de non-contre-indication médicale — traitées en tant que données sensibles au sens de l'article 9 du RGPD
• Données de paiement : traitées exclusivement par Stripe — DOSSARIO ne conserve jamais les numéros de carte bancaire ni les données bancaires complètes
• Photo de profil (optionnelle)
• Code postal et ville de résidence
• Réponses relatives à l'impact territorial de l'événement (mode de venue, durée de séjour, type d'hébergement, nombre d'accompagnants) — utilisées uniquement sous forme agrégée
• Code postal (pour la newsletter)

Pour les Organisateurs :

• Données d'identification du contact : nom, prénom, email, numéro de téléphone
• Données de la structure organisatrice : nom, forme juridique, adresse, numéro SIRET/SIREN, numéro de TVA intracommunautaire
• Données bancaires (pour la configuration Stripe Connect) : collectées et traitées directement par Stripe
• Données de l'Événement : informations publiées sur la Plateforme

Pour les Bénévoles :

• Données d'identification : nom, prénom, email, numéro de téléphone
• Disponibilités et préférences de postes
• Messagerie du jour de l'événement : messages et photos échangés avec l'Organisateur et les autres bénévoles de vos groupes, accusés de lecture (« Bien reçu »), signalements de message, réglages de notification par conversation
• Statut sur place (en route, à son poste, j'ai fini, absent) et dernière connexion à l'application
• Position géographique, uniquement si vous activez le partage : latitude, longitude, précision et horodatage, collectés pendant votre créneau, application ouverte
• Identifiant de notification push de votre téléphone (si vous acceptez les notifications)

Adhérents et invités du Dossario Running Club :

• Prénom, nom, e-mail
• Choix d'adhérer, de venir à l'assemblée générale, ou les deux
• Coupe (femme ou homme) et taille du t-shirt du club, pour les adhérents
• Date de paiement et date de fin de l'adhésion ; le paiement par carte est traité exclusivement par Stripe

SMS (Participants, Bénévoles) :

• Numéro de téléphone, contenu des SMS envoyés, statut de remise, réponses que vous envoyez par SMS
• Consentement aux SMS promotionnels : case dédiée, non pré-cochée, distincte de l'email (date, source, version du texte accepté)
• Demandes d'arrêt (STOP)

Proches d'un Participant (fonction à venir) :

• Prénom et numéro de téléphone d'un proche indiqué par le Participant pour suivre sa course, avec son consentement donné par SMS avant tout autre message

2.2 Données collectées automatiquement

Lors de votre navigation sur la Plateforme, nous collectons automatiquement :

• Données de connexion : adresse IP, type de navigateur, système d'exploitation, pages consultées, durée de visite, URL de provenance
• Données de localisation approximative (déduites de l'adresse IP)
• Données d'utilisation des Services (actions réalisées, fonctionnalités utilisées)
• Identifiants de session et cookies (voir Politique de Cookies)

2.3 Données reçues de tiers

• Stripe : confirmation de paiement, identifiant de transaction (DOSSARIO ne reçoit pas les données bancaires complètes)
• Données publiques de fédérations sportives si applicables (résultats officiels)

Article 3 – Finalités et bases légales des traitements

Article 4 – Destinataires et sous-traitants

Nous faisons appel aux sous-traitants suivants pour vous fournir nos Services. Ces sous-traitants agissent sur nos instructions et ne peuvent utiliser vos données qu'aux fins pour lesquelles ils ont été mandatés.

4.1 Sous-traitants principaux

4.2 Communication aux Organisateurs

Dans le cadre de votre inscription à un Événement, vos données personnelles nécessaires à l'organisation (nom, prénom, email, données sportives, données de santé si collectées) sont communiquées à l'Organisateur de l'Événement, qui en devient responsable de traitement pour les besoins de son Événement. Nous vous invitons à consulter la politique de confidentialité de l'Organisateur.

Messagerie bénévoles : vos messages sont lus par les membres des groupes dont vous faites partie (Organisateur, bénévoles du même poste, de la même catégorie ou du même créneau). Votre numéro de téléphone et votre position ne sont visibles que des membres de l'organisation et de votre chef de poste, jamais des autres bénévoles. Aucun historique de trajet n'est affiché : seule la dernière position est lue.

4.3 Autres destinataires

Nous pouvons être amenés à communiquer vos données à :

• des autorités administratives ou judiciaires, sur demande légalement fondée ;
• nos conseils juridiques ou d'assurance, en cas de litige ;
• un éventuel successeur, en cas de cession d'activité (avec information préalable).

Article 5 – Transferts de données hors de l'Union européenne

Certains de nos sous-traitants (Vercel, Resend, Mapbox, Expo, Anthropic) sont établis aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne et/ou par le Cadre de protection des données UE-États-Unis (Data Privacy Framework), lorsque le sous-traitant y est certifié.

Vous pouvez obtenir copie des garanties mises en place pour ces transferts en contactant privacy@dossar.io.

Article 6 – Durées de conservation

Vos données sont conservées pour la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, dans le respect des obligations légales de conservation.

Au terme de ces durées, vos données sont supprimées ou anonymisées.

Article 7 – Vos droits

Conformément au RGPD et à la Loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (Art. 15 RGPD) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie
• Droit de rectification (Art. 16 RGPD) : faire corriger des données inexactes ou incomplètes
• Droit à l'effacement (Art. 17 RGPD) : demander la suppression de vos données, sous réserve des obligations légales de conservation
• Droit à la limitation du traitement (Art. 18 RGPD) : demander la suspension de l'utilisation de vos données dans certains cas
• Droit à la portabilité (Art. 20 RGPD) : recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition (Art. 21 RGPD) : vous opposer à certains traitements, notamment à des fins de marketing direct
• Droit de retrait du consentement : à tout moment, sans que cela remette en cause la licéité des traitements antérieurs
• Directives post-mortem : donner des instructions sur le sort de vos données après votre décès

Comment exercer vos droits

Par email : privacy@dossar.io Par courrier : DOSSARIO SAS — DPO, R3F, 1 rue Mademoiselle, 75015 Paris

Nous répondrons à votre demande dans un délai d'un (1) mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires en cas de demandes complexes ou multiples.

Une pièce d'identité peut vous être demandée pour vérifier votre identité avant traitement de la demande.

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• En ligne : www.cnil.fr
• Par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

Article 8 – Sécurité

DOSSARIO met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre l'accès non autorisé, la perte, la destruction accidentelle ou illicite, notamment :

• Chiffrement des données en transit (HTTPS/TLS) et au repos
• Authentification sécurisée par lien magique (sans mot de passe stocké)
• Politique de contrôle d'accès stricte (moindre privilège)
• Hébergement sur des infrastructures certifiées (Supabase / Vercel)
• Journalisation des accès et détection des anomalies

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons l'incident à la CNIL dans les 72 heures conformément à l'article 33 du RGPD, et vous en informerons si le risque est élevé.

Article 9 – Cookies et traceurs

9.1 Types de cookies utilisés

La Plateforme utilise les cookies et traceurs suivants :

Cookies strictement nécessaires (pas de consentement requis) :

• Cookies de session et d'authentification
• Cookies de sécurité (CSRF)
• Préférences d'interface (thème clair/sombre)

Cookies analytics (consentement requis) :

• PostHog : mesure d'audience, analyse du parcours utilisateur (instance eu.posthog.com, données hébergées en UE)

Cookies de paiement (nécessaires à la transaction) :

• Stripe : cookies nécessaires au traitement sécurisé des paiements (3D Secure, détection de fraude)

9.2 Gestion du consentement

Lors de votre première visite, un bandeau de consentement aux cookies vous permet d'accepter ou de refuser les cookies non essentiels. Vous pouvez modifier votre choix à tout moment depuis les paramètres de la Plateforme (icône « Cookies » en bas de page).

La durée de validité des cookies de consentement est de 13 mois maximum (recommandation CNIL).

Article 10 – Mineurs

La Plateforme est destinée aux personnes majeures (18 ans ou plus). Les mineurs peuvent s'inscrire à des Événements uniquement avec le consentement de leur représentant légal, en vertu des règles fixées par l'Organisateur.

DOSSARIO ne collecte pas sciemment de données personnelles de personnes âgées de moins de 15 ans sans le consentement de leurs parents ou tuteurs légaux. Si nous prenons connaissance d'une collecte de données d'un mineur de moins de 15 ans sans consentement parental, nous supprimons ces données sans délai.

Article 11 – Modification de la Politique de Confidentialité

DOSSARIO se réserve le droit de modifier la présente Politique à tout moment pour l'adapter aux évolutions des Services, de la réglementation ou des recommandations de la CNIL.

Toute modification substantielle sera notifiée aux utilisateurs par email et/ou par affichage d'une notification sur la Plateforme, avec un préavis raisonnable.

La version en vigueur est celle publiée sur la Plateforme, avec la date de dernière mise à jour indiquée en en-tête.

Article 12 – Application mobile « Dossario Orga »

12.1 Périmètre

L'application mobile « Dossario Orga » (disponible sur iOS et Android) est destinée aux Organisateurs, à leurs équipes et à leurs bénévoles pour le jour de l'événement : pointage des arrivées, messagerie, suivi des postes. Les données traitées sont celles décrites aux articles 2 à 6, notamment la messagerie bénévoles et le partage de position.

12.2 Permissions système

Chaque permission est demandée explicitement, au moment où la fonctionnalité concernée est utilisée pour la première fois, jamais au lancement de l'application. La refuser n'empêche pas d'utiliser le reste de l'application.

L'application ne demande pas : localisation en arrière-plan, accès aux contacts, au microphone, au calendrier, au Bluetooth, ni à aucune autre permission sensible.

12.3 Authentification

L'application utilise un lien magique ou un code par email (sans mot de passe), identique à la Plateforme web ; un bénévole peut aussi entrer le code de l'événement, qui ne donne accès qu'aux annonces générales. La session est stockée localement et de façon sécurisée (Expo SecureStore / Keychain iOS / Keystore Android).

12.4 Suppression des données locales

Les données stockées localement par l'application (session, préférences, messages en attente d'envoi hors connexion) peuvent être supprimées à tout moment en désinstallant l'application ou en utilisant la fonction « Se déconnecter », qui supprime aussi l'identifiant de notification enregistré sur votre compte.

Article 13 – Droit applicable

La présente Politique de Confidentialité est régie par le droit français et le Règlement (UE) 2016/679 (RGPD).

DOSSARIO SAS — R3F, 1 rue Mademoiselle, 75015 Paris — RCS Paris 103 192 449 — SIRET 10319244900017 Contact données personnelles : privacy@dossar.io