Politique de confidentialité

1. Données collectées

Lors de l'utilisation du Service, nous collectons :

• Coachs/clubs : nom, email, téléphone, mot de passe haché, tenant (slug, type), données de facturation Stripe
• Élèves : nom, email, téléphone, niveau, tags, notes — saisis par le coach ou via formulaire d'inscription public
• Cours & stages : titres, descriptions, horaires, tarifs
• Réservations : date/heure, statut, moyen de paiement
• Wallet : solde, historique de transactions
• Google Calendar (optionnel) : tokens OAuth pour pousser les bookings dans l'agenda du coach

2. Finalités

• Fournir le Service (création de site, gestion élèves, bookings)
• Envoyer les emails transactionnels (confirmations, reminders)
• Facturer les abonnements via Stripe
• Améliorer le produit (statistiques anonymisées via Posthog)
• Monitorer les erreurs (Sentry, avec masquage des données personnelles)

3. Sous-traitants

• Supabase (Postgres, auth) — hébergement UE (Frankfurt)
• Vercel (edge hosting) — transferts techniques temporaires hors UE, encadrés par des CCT
• Stripe (paiements) — Irlande, certifié PCI-DSS
• Resend (emails transactionnels) — envoi d'emails uniquement
• Google (Calendar API, optionnel) — OAuth scope limité àcalendar.events

4. Durée de conservation

• Données actives : pendant toute la durée d'utilisation du Service + 30 jours après résiliation
• Logs techniques : 30 jours
• Factures : 10 ans (obligation légale)
• Audit logs : 2 ans

5. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Accès à vos données (export CSV dispo dans /admin/parametres)
• Rectification (modifiable directement dans votre compte)
• Effacement (suppression du compte = archivage 30j puis purge)
• Portabilité (export CSV au format standard)
• Opposition / limitation

Pour exercer ces droits, contactez privacy@mypadel-app.com. Délai de réponse : 30 jours.

6. Cookies

mypadel-app.com utilise uniquement des cookies strictement nécessaires (session auth Supabase). Aucun cookie publicitaire ni tracking tiers sans consentement.

7. Sécurité

• HTTPS forcé (HSTS)
• Mots de passe hashés (bcrypt via Supabase Auth)
• RLS (Row-Level Security) Postgres par tenant
• Headers sécurité : X-Frame-Options, nosniff, Referrer-Policy
• Divulgation responsable : security.txt

8. Réclamation

Vous pouvez adresser une réclamation à la CNIL si vous estimez vos droits non respectés.