LexoArena
Politique de confidentialité
Information sur les données personnelles traitées par LexoArena, les finalités, les destinataires et les droits des joueurs.
Ces pages constituent un socle opérationnel à faire valider par le club et son conseil juridique avant ouverture à des utilisateurs réels. Les champs indiqués comme à compléter doivent être remplacés par les informations officielles du club.
Responsable du traitement
Le responsable du traitement est TCAL, association loi 1901 exploitant LexoArena : TCAL, association loi 1901, SIRET 339 171 464 00011, dont le siège est situé 7 bis rue Paul Cornu. Représentant légal : François GOSSET, Président. Contact : contact@tcal-lisieux.com — 06 71 50 38 20. Contact confidentialité :François GOSSET, Président — francois.gosset.tcal@gmail.com.
Données traitées
LexoArena peut traiter les données de compte, identité, email, téléphone, profil joueur, niveau, date de naissance, genre, main dominante, avatar, bio, préférences, réservations, participants, invités déclaratifs, paiements, statuts, emails transactionnels, journaux d'audit, traces techniques, exports RGPD et données LexoPoints.
Finalités et bases légales
Les traitements sont réalisés pour créer et sécuriser les comptes, vérifier les emails, gérer les profils, afficher les créneaux, créer et suivre les réservations, gérer les paiements et remboursements, envoyer les notifications transactionnelles, administrer le calendrier, prévenir les abus, tenir les journaux d'audit, produire les exports RGPD et gérer les préférences.
Les bases légales principales sont l'exécution du contrat, l'obligation légale, l'intérêt légitime du club pour la sécurité et l'exploitation, et le consentement pour les communications ou traitements optionnels.
Destinataires et sous-traitants
Les données sont accessibles aux personnels habilités du club et aux sous-traitants nécessaires au service : Supabase pour l'authentification, la base technique et les sauvegardes en Europe, Vercel pour l'hébergement applicatif, Brevo pour les emails transactionnels et HelloAsso pour les paiements en ligne. Les notifications push ne sont pas activées au lancement. Les données de carte bancaire ne transitent pas par LexoArena.
Durées de conservation
Les comptes actifs sont conservés pendant l'utilisation du service, puis supprimés ou anonymisés après plus de trois ans d'inactivité. Après suppression, les données personnelles sont marquées comme supprimées puis anonymisées après trente jours. Les données de paiement nécessaires aux obligations comptables sont conservées dix ans. Les logs techniques sont conservés quatre-vingt-dix jours, les journaux d'audit trois ans et les traces de vérification email sept jours.
Droits des personnes
Chaque joueur peut demander l'accès, la rectification, l'effacement, la limitation, l'opposition lorsque la base légale le permet et la portabilité de ses données. LexoArena propose un export JSON depuis l'espace confidentialité et une suppression logique du compte. Une réclamation peut également être introduite auprès de la CNIL.
Sécurité
LexoArena applique des contrôles d'accès serveur, une séparation des comptes joueurs et administrateurs, des protections CSRF sur les mutations sensibles, des journaux d'audit, la minimisation des logs contenant des données personnelles et l'absence de stockage de secrets ou de données de carte dans l'application.
Transferts hors Union européenne
Supabase et les sauvegardes de production sont configurés en Europe. Vercel traite des données aux États-Unis et peut recourir à des sous-traitants mondiaux. Brevo annonce un stockage principal dans l'Union européenne, mais mentionne des transferts possibles vers les États-Unis et l'Inde avec des garanties appropriées. Ces transferts et les accords de sous-traitance sont documentés dans le registre des traitements du club.