◈ Sasno — Documents légaux

Politique de confidentialité

Dernière mise à jour : mai 2026

⚠ Ce document est un modèle de départ. Il doit être relu et validé par un juriste avant toute mise en production.

Sasno respecte votre vie privée et s'engage à protéger vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD — UE 2016/679) et à la loi nationale applicable.

1. Responsable du traitement

[Raison sociale], [adresse], [numéro d'entreprise]
Contact DPO / Responsable données : privacy@sasno.app

2. Données collectées

2.1 Données des gérants / administrateurs de box

Identité : prénom, nom, adresse email
Informations sur la box : nom, adresse, logo
Données de connexion : identifiants, historique d'authentification
Données de facturation : coordonnées de paiement gérées par Stripe (non stockées directement par Sasno)

2.2 Données des membres des box

Identité : prénom, nom, adresse email, téléphone, date de naissance, genre
Adresse postale
Contact d'urgence : nom et téléphone
Données de pratique sportive : présences, réservations, performances (PRs, benchmarks)
Données d'abonnement : plan souscrit, date de début, statut de paiement
Données médicales éventuelles : uniquement si la box les saisit dans les notes administrateur
Photo de profil (stockée via Cloudinary)

2.3 Données techniques

Adresse IP, logs de connexion
Cookies de session et CSRF (strictement nécessaires)

3. Finalités et bases légales

Finalité	Base légale
Gestion du compte et authentification	Exécution du contrat (art. 6.1.b)
Gestion des abonnements et paiements	Exécution du contrat (art. 6.1.b)
Réservation de séances et gestion des présences	Exécution du contrat (art. 6.1.b)
Envoi de notifications et emails de service	Intérêt légitime (art. 6.1.f)
Sécurité et prévention des fraudes	Intérêt légitime (art. 6.1.f)
Obligations légales (facturation, comptabilité)	Obligation légale (art. 6.1.c)
Communications marketing (si opt-in)	Consentement (art. 6.1.a)

4. Durée de conservation

Données de compte actif : pendant toute la durée de la relation contractuelle
Données après résiliation : 3 ans à compter de la fin du contrat (prescription civile)
Données de facturation : 7 ans (obligation comptable légale)
Logs de sécurité : 12 mois
Données des membres d'une box : sous le contrôle du gérant de la box (responsable de traitement indépendant pour ses membres)

5. Destinataires et sous-traitants

Sous-traitant	Rôle	Localisation	Garanties
Railway Corporation	Hébergement infrastructure	USA / EU (Frankfurt)	Clauses contractuelles types UE
Stripe Inc.	Traitement des paiements	USA	Clauses contractuelles types UE, certification PCI DSS
Cloudinary Ltd.	Stockage et optimisation des images	USA / EU	Clauses contractuelles types UE
Google LLC (Fonts)	Polices web (CDN)	USA	Adéquation / CCT — données minimales (IP temporaire)
Prestataire SMTP de la box	Envoi d'emails (configuré par la box)	Variable	Responsabilité de la box

6. Transferts hors Union européenne

Certains de nos sous-traitants (Stripe, Railway, Cloudinary) sont établis aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types approuvées par la Commission européenne (décision 2021/914), garantissant un niveau de protection adéquat.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie des données vous concernant
Droit de rectification : corriger des données inexactes ou incomplètes
Droit à l'effacement : demander la suppression de vos données (dans les limites légales)
Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
Droit d'opposition : s'opposer à un traitement fondé sur l'intérêt légitime
Droit à la limitation : demander la suspension temporaire d'un traitement

Pour exercer ces droits : privacy@sasno.app
Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : APD (Belgique) ou CNIL (France).

8. Cookies

Sasno utilise uniquement des cookies strictement nécessaires au fonctionnement du service :

token : cookie d'authentification JWT (httpOnly, SameSite=Lax, 7 jours)
cfm_csrf : protection contre les attaques CSRF (httpOnly, SameSite=Strict, 8 heures)

Ces cookies ne nécessitent pas de consentement préalable car ils sont essentiels au fonctionnement du service. Aucun cookie publicitaire ou de traçage tiers n'est utilisé.

9. Sécurité

Sasno met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement des communications (TLS), hachage des mots de passe (bcrypt), protection CSRF, limitation du débit sur les routes sensibles, isolation des données par box (architecture multi-tenant).

10. Modifications

Nous nous réservons le droit de modifier cette politique. En cas de modification substantielle, vous serez informé par email au moins 30 jours avant l'entrée en vigueur.