Politique de confidentialité

Dernière mise à jour : 24/10/2026. Modèle à faire valider par le club avant diffusion aux familles.

Qui fait quoi

Le club qui utilise Ovalamat est responsable de traitement : c’est lui qui décide des données saisies sur ses joueurs et qui doit informer les familles. L’éditeur d’Ovalamat est sous-traitant : il fournit l’outil, l’héberge et le sécurise, sans exploiter les données à d’autres fins.

Données traitées

  • Compte du staff : nom, prénom, adresse mail, rôle dans le club, mot de passe haché, dates et adresses IP de connexion.
  • Joueurs : identité, date de naissance, sexe, coordonnées (téléphones des représentants légaux, mail, adresse), club, numéro de licence, photo, poste, taille et poids.
  • Données de santé : informations médicales utiles à la sécurité du joueur (blessure en cours, retour prévu, allergie signalée) et historique de ses blessures (année ou date, nature, durée). Ces données sont particulièrement sensibles : n’y inscrivez que le strict nécessaire.
  • Scolarité et parcours professionnel : classe, établissements fréquentés, orientation et métier envisagé ; pour les joueurs séniors, situation et métier, formations et CV déposé par le club.
  • Suivi sportif : présences, sélections, compositions, évaluations de compétences, résultats de tests physiques.
  • Cotisations : montant dû par joueur, et chaque règlement noté par le club (montant, date, moyen de paiement, numéro de chèque ou code d’une aide). Aucun paiement ne se fait sur Ovalamat, aucune coordonnée bancaire des familles n’y est demandée : seul l’IBAN du club y figure, pour que les familles lui fassent leur virement.
  • Traces techniques : journal d’audit des actions (qui a modifié quoi et quand), journaux d’erreurs.

Finalités et base légale

  • Gestion sportive et administrative de l’équipe : intérêt légitime du club, dans le cadre de la licence sportive.
  • Sécurité des joueurs le jour du match (informations médicales) : consentement explicite des représentants légaux, à recueillir par le club.
  • Sécurité du service (limitation des tentatives de connexion, journal d’audit) : intérêt légitime.

Destinataires

Les données d’une équipe ne sont accessibles qu’aux membres du staff de ce club disposant d’un compte et d’un droit d’accès sur cette équipe. Aucune donnée n’est vendue, louée, cédée à des tiers, ni utilisée à des fins publicitaires. Aucun transfert hors Union européenne.

Une exception, décidée par le club : le lien d’entraînement. L’éducateur peut créer, pour une séance donnée, une adresse à partager aux familles afin qu’elles annoncent la présence de leur enfant. Toute personne qui reçoit cette adresse voit la date, l’heure et le lieu, mais aucune liste : pour voir la carte d’un enfant, il faut taper le numéro de téléphone d’un parent tel que le club le connaît, ou le prénom entier de l’enfant. La carte ne porte que le prénom suivi d’une initiale et les boutons de réponse, et rien d’autre : ni date de naissance, ni licence, ni coordonnées, ni photo, ni information médicale, ni composition. L’adresse cesse d’accepter les réponses à la fin du jour de la séance, n’est jamais indexée par les moteurs de recherche, et l’éducateur peut la remplacer à tout moment, ce qui rend l’ancienne inopérante. C’est le club qui décide de créer ce lien et à qui il l’envoie.

Le lien des cotisations suit les mêmes règles, en plus strict : la carte d’un enfant n’apparaît qu’à qui tape le numéro de téléphone d’un parent tel que le club le connaît, jamais le prénom, puisqu’elle dit ce que la famille a réglé. Elle montre le montant dû, ce que le club a reçu (date, moyen, montant) et le compte du club où faire le virement. La famille peut y indiquer qu’elle a fait son virement ; rien d’autre n’y est demandé.

Durées de conservation

  • Données de l’équipe : la durée d’utilisation du service par le club, puis 12 mois après la fin de la saison, sauf demande de suppression anticipée.
  • Historique des versions : les 20 dernières versions de l’équipe.
  • Tentatives de connexion : 7 jours.
  • Journal d’audit : 12 mois.
  • Messages envoyés via le formulaire de contact : 12 mois.
  • Liens d’entraînement partagés aux familles, et réponses reçues : 6 mois.
  • Cotisations et règlements : comme les données de l’équipe ; le club retire lui-même un règlement noté par erreur.

Vos droits

Toute personne concernée (joueur majeur, ou représentant légal d’un joueur mineur) dispose d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition. La demande se fait d’abord auprès du club, qui peut corriger ou supprimer une fiche directement dans l’outil, puis, si nécessaire, auprès de l’éditeur via le formulaire de contact. En cas de désaccord persistant, un recours est possible auprès de la CNIL.

Sécurité

Les mesures techniques mises en œuvre sont les suivantes :

  • Cloisonnement par club : chaque équipe appartient à un club, et toute lecture ou écriture vérifie en base que l’équipe demandée appartient bien au club de la personne connectée. Un club ne peut techniquement pas accéder à l’effectif d’un autre.
  • Mots de passe : jamais stockés en clair, hachés avec un sel unique, 12 caractères minimum exigés.
  • Tentatives de connexion : comptées et temporairement bloquées au-delà d’un seuil, sans jamais révéler si une adresse mail correspond à un compte.
  • Sessions : cookie inaccessible au JavaScript, renouvelé à chaque connexion, expirant après une période d’inactivité.
  • Base de données : requêtes préparées, données validées et bornées avant écriture.
  • Sauvegardes : enregistrement automatique à chaque modification et conservation des vingt dernières versions, restaurables.
  • Traçabilité : journal des connexions, exports, suppressions et restaurations.

Ce que nous recommandons aux clubs

  • Faire signer une autorisation parentale couvrant explicitement le traitement des données et l’usage éventuel des photos.
  • Ne pas saisir de diagnostic médical détaillé : une mention « épaule, retour prévu le 12/11 » suffit au staff.
  • Supprimer les fiches des joueurs qui ont quitté le club en fin de saison.
  • Ne partager le lien d’entraînement que dans la discussion de l’équipe, et refaire le lien si l’on soupçonne qu’il a circulé au-delà.