Politique de confidentialité

1. Responsable du traitement

Association Sportive SCRA Saint-Omer — Salle des Sports du Brockus, Chemin du Marais de Lysel, 62500 Saint-Omer.

2. Données collectées

Inscription : nom, prénom, adresse e-mail, mot de passe haché.
Commande : nom, prénom, adresse e-mail, téléphone, adresse postale complète (n° et rue, code postal, ville, pays) nécessaire à l'établissement de la facture, détail des billets, montant payé.
Compte : lorsque vous achetez pour vous-même, l'adresse postale saisie est mémorisée sur votre compte pour pré-remplir vos commandes suivantes. Si vous commandez pour quelqu'un d'autre — en indiquant une autre adresse e-mail —, l'adresse de cette commande n'est pas reportée sur votre compte. Vous pouvez la corriger ou l'effacer à tout moment depuis Mon compte → Mon profil.
Boutique : adresse complète de livraison lorsqu'elle diffère de l'adresse de facturation, et le texte de personnalisation lorsque vous en saisissez un (flocage, numéro).
Invités partenaires : nom, prénom, email de l'invité uniquement.
Contrôle d'accès : logs de scan (billet, date/heure, identifiant du contrôleur).
Application mobile : un identifiant technique de notification propre à l'installation, rattaché à votre compte si vous êtes connecté.

3. Finalités et base légale

Gestion des commandes et émission des billets — exécution du contrat
Envoi des emails transactionnels (confirmation, QR code, facture) — exécution du contrat
Contrôle d'accès lors des événements — intérêt légitime
Établissement et conservation des factures, qui doivent porter le nom et l'adresse du client — obligation légale (art. 242 nonies A du CGI)
Comptabilité et obligations légales — obligation légale

4. Durée de conservation

Données de compte : durée de vie du compte + 3 ans après dernière connexion.
Données de commande et factures : 10 ans (obligation comptable française).
Identité de l'acheteur (nom, email, téléphone, adresse de facturation et de livraison) sur les commandes boutique et billetterie : 60 mois après la commande, puis anonymisée (les données comptables restent conservées 10 ans).
Les factures déjà émises ne sont pas réécrites : le document PDF conserve le nom et l'adresse portés au moment de la vente, pendant les 10 ans de conservation comptable.
Logs de contrôle d'accès (scans) : 6 mois après la date de l'événement.
Tokens de réinitialisation de mot de passe : 1 heure.

5. Sous-traitants

Les prestataires ci-dessous traitent des données pour notre compte, sur nos instructions et dans le seul cadre décrit ici. Cette liste est exhaustive.

Stripe Payments Europe (Irlande) — encaissement des paiements par carte. Reçoit votre adresse e-mail, le détail et le montant de la commande. Vos coordonnées bancaires sont saisies chez Stripe et ne transitent jamais par nos serveurs, qui ne les conservent donc pas. Sous-traitance ultérieure vers Stripe, Inc. (États-Unis).
Brevo (France) — envoi des courriels transactionnels : confirmation de commande, billets en pièce jointe, facture, réinitialisation de mot de passe. Reçoit votre nom, votre adresse e-mail et le contenu du message. Serveurs situés dans l'Union européenne.
OVHcloud (France) — hébergement du serveur, de la base de données et des sauvegardes. À ce titre, l'ensemble des données décrites ci-dessus. Serveurs situés en France.
Apple, Inc. (États-Unis) — acheminement des notifications vers l'application iPhone. Reçoit l'identifiant de notification de l'appareil et le texte de la notification, rien d'autre. Les billets ajoutés à Apple Wallet sont fabriqués par nos serveurs et remis directement à votre appareil : ils ne passent pas par Apple.
Google Ireland Limited (Irlande) — mesure d'audience (Google Analytics), et seulement si vous l'avez acceptée. Reçoit les pages consultées, la date, le type d'appareil et une adresse IP tronquée. Ne reçoit ni votre nom, ni votre adresse e-mail, ni le contenu de vos commandes. Sous-traitance ultérieure vers Google LLC (États-Unis), encadrée par les clauses contractuelles types et le cadre de protection des données UE–États-Unis.

Chacun est lié par les engagements de sous-traitance prévus à l'article 28 du RGPD, au titre des conditions contractuelles acceptées lors de la souscription.

5 bis. Transferts hors Union européenne

Stripe, Inc. et Apple, Inc. sont établies aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les entités certifiées, par le cadre de protection des données UE–États-Unis (Data Privacy Framework). Aucun autre transfert hors Union européenne n'a lieu.

5 ter. Connexion par un compte tiers

Si vous choisissez « Continuer avec Google » ou « Continuer avec Apple », ces sociétés agissent comme responsables de traitement indépendants pour l'authentification, et non comme nos sous-traitants : leur propre politique de confidentialité s'applique à cette étape. Nous ne recevons alors que votre nom et votre adresse e-mail — laquelle peut être une adresse relais fournie par Apple si vous avez choisi de masquer la vôtre.

6. Vos droits

Conformément au RGPD (règlement UE 2016/679), vous disposez d'un droit d'accès, de rectification, d'effacement et de portabilité de vos données. Pour exercer ces droits, contactez-nous à contact@scrasaintomer.com.

Suppression de votre compte : elle s'exerce directement depuis Mon compte → Mon profil, sans avoir à nous écrire et sans validation de notre part. Elle prend effet sept jours après votre demande — un délai qui n'existe que pour vous permettre d'y renoncer, et pendant lequel vous conservez l'accès à vos billets.

Au terme de ce délai, votre identité est anonymisée : nom, prénom, e-mail, téléphone et adresses, sur le compte comme sur vos commandes. Les pièces comptables (factures, montants) sont conservées 10 ans comme la loi l'impose, sans votre identité. L'opération est irréversible et vous perdez l'accès à vos billets, y compris pour des matchs à venir.

Si vous utilisez « Se connecter avec Apple », nous demandons à Apple de révoquer l'autorisation au moment de la suppression. Pour les comptes créés avant la mise en place de cette révocation, la demande peut ne pas aboutir : vous pouvez alors retirer l'autorisation vous-même depuis les réglages de votre compte Apple, rubrique « Connexion avec Apple ».

Si vous êtes abonné, la suppression de votre compte n'est jamais refusée ; le siège qui vous était attribué repasse en revue par le club pour être réattribué.

Vous pouvez également introduire une réclamation auprès de la CNIL.

7. Cookies

Le fonctionnement de la boutique repose sur un cookie de session technique, nécessaire pour garder votre panier et votre connexion. Il ne demande pas votre accord : sans lui, le site ne marche pas.

S'y ajoutent, uniquement si vous les acceptez, des cookies de mesure d'audience (Google Analytics), qui nous disent quelles pages sont consultées. Ils ne sont déposés qu'après votre accord explicite : tant que vous n'avez pas répondu, ou si vous refusez, aucun n'est écrit et aucune donnée n'est envoyée.

Vous pouvez revenir sur votre choix à tout moment par le lien « Mesure d'audience » en bas de page. Un refus efface les cookies déjà déposés. Sans réponse de votre part, la question vous est reposée au bout de six mois. Aucun cookie publicitaire n'est déposé, et la mesure n'est jamais croisée avec d'autres sites.