Politique de confidentialité

Dernière mise à jour : 9 mai 2026 · Version 1.0

En bref — Binguo collecte uniquement les données nécessaires au fonctionnement du CRM et de la réservation de cours. Vos données sont hébergées en Europe (Supabase, Francfort), jamais vendues, et vous pouvez les supprimer à tout moment via votre espace.

1. Identité du responsable de traitement

La plateforme Binguo CRM (ci-après « Binguo », « nous ») est éditée par :

Devil Performance
42 avenue de la République, 75011 Paris
SIRET : 12 345 678 901
Email : contact@binguo.fr
Délégué à la protection des données (DPO) : contact@binguo.fr

2. Données collectées et finalités

2.1 Données des administrateurs (gérants de salle)

Donnée	Finalité	Base légale
Email, nom, téléphone	Gestion du compte, support	Exécution du contrat
Nom de la salle, SIRET, adresse	Facturation, comptabilité	Obligation légale
Données bancaires (Stripe)	Paiement de l'abonnement	Exécution du contrat
Logs de connexion, IP	Sécurité (anti-bruteforce)	Intérêt légitime

2.2 Données des coachs et adhérents

Saisies par les administrateurs ou par l'utilisateur lui-même (signup Resa) :

Donnée	Finalité	Base légale
Email, nom, téléphone, date de naissance	Identification, communication	Exécution du contrat
IBAN, mandats SEPA	Prélèvements automatiques	Consentement explicite
Notes médicales, contre-indications	Sécurité pendant les cours	Consentement explicite
Historique des séances, présences	Suivi sportif, statistiques	Exécution du contrat
Géolocalisation (Resa)	Trouver les salles proches	Consentement (opt-in)
Notifications push (token)	Rappels de cours	Consentement (opt-in)

3. Hébergement et sous-traitants

Binguo s'appuie sur les sous-traitants suivants, tous conformes RGPD :

Service	Finalité	Localisation
Supabase	Base de données, authentification	Francfort, Allemagne (UE)
Vercel	Hébergement web, CDN	Multi-régions (UE/US)
Stripe	Paiements	États-Unis (clauses contractuelles types)
Resend	Envoi d'emails transactionnels	États-Unis (clauses contractuelles types)
GoCardless	Mandats SEPA et prélèvements	Royaume-Uni (décision d'adéquation)
Twilio	SMS de rappel (optionnel)	États-Unis (clauses contractuelles types)
Sentry	Détection d'erreurs anonymisées	Allemagne (UE)
Vercel Web Analytics	Statistiques d'usage anonymes	UE/US (sans cookies)

4. Durée de conservation

Données du compte : pendant toute la durée de l'abonnement, puis 3 ans après résiliation pour répondre à toute demande légale (relevés comptables, contentieux).
Factures et documents comptables : 10 ans (obligation fiscale française).
Logs de connexion et IP : 12 mois maximum.
Mandats SEPA : 13 mois après la dernière utilisation, puis archivage légal pendant 10 ans.
Cookies / sessions : 30 jours maximum (session JWT signée).
Données analytics : 12 mois (Vercel Web Analytics).

5. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie de toutes les données qui vous concernent.
Droit de rectification : corriger des informations erronées.
Droit à l'effacement (« droit à l'oubli ») : supprimer toutes vos données.
Droit à la portabilité : recevoir vos données dans un format structuré (JSON, CSV).
Droit d'opposition au traitement (notamment marketing).
Droit de limitation du traitement.
Droit de retirer votre consentement à tout moment (notifications, marketing, géoloc).

Comment exercer vos droits ?

3 options :

Depuis votre espace Binguo : Paramètres → Confidentialité → "Télécharger mes données" / "Supprimer mon compte".
Par email : contact@binguo.fr (réponse sous 30 jours).
Par courrier : Devil Performance — DPO, 42 avenue de la République, 75011 Paris.

6. Cookies et traceurs

Binguo utilise uniquement des cookies de session nécessaires au fonctionnement (authentification, préférences UI). Aucun cookie publicitaire ou de tracking marketing.

Notre outil de statistiques (Vercel Web Analytics) ne dépose aucun cookie et n'utilise pas votre adresse IP — il agrège uniquement le trafic global. Aucun bandeau de consentement n'est requis.

7. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

Chiffrement des données en transit (TLS 1.3) et au repos (AES-256).
Mots de passe hachés (bcrypt + salage individuel).
Authentification multi-facteurs (TOTP) pour les administrateurs sensibles.
Whitelist IP et rate limiting sur les endpoints critiques.
Sauvegardes quotidiennes automatiques (rétention 30 jours).
Logs d'accès et alertes en cas d'activité suspecte.
Données ségréguées par tenant (Row Level Security PostgreSQL).

8. Transferts hors Union européenne

Certains de nos sous-traitants (Stripe, Resend, Twilio) sont situés aux États-Unis. Les transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne et un mécanisme de protection équivalent (DPF — Data Privacy Framework pour les fournisseurs certifiés).

9. Notification de violation

En cas de violation de données affectant vos droits, nous nous engageons à notifier la CNIL dans les 72 heures et à vous informer dans les meilleurs délais si l'incident vous concerne directement.

10. Réclamation

Si vous estimez que vos droits ne sont pas respectés malgré nos efforts, vous pouvez introduire une réclamation auprès de la CNIL :

Site web : www.cnil.fr/fr/plaintes
Adresse : 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
Téléphone : 01 53 73 22 22

11. Modifications

Cette politique peut être mise à jour à tout moment pour refléter des évolutions légales ou techniques. Toute modification substantielle vous sera notifiée par email au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.

Retour à l'accueil · CGU · Mentions légales