Politique de confidentialité

Sport.CTRL, société par actions simplifiée unipersonnelle (SASU) immatriculée en France, attache une importance fondamentale à la protection de vos données personnelles. Cette politique s'applique à l'ensemble des services opérés par Sport.CTRL, incluant le système d'intelligence prédictive CTRL.LAB, son site web ( ctrllab.app) et ses interfaces associées.

1. Responsable du traitement

Sport.CTRL (SASU)
Adresse : 9 rue d'Orion, 74000 Annecy, France
Email : bastien.lm@sportctrl.com
Site web : https://ctrllab.app

2. Données que nous collectons

2.1 Données d'identification

• Nom, prénom, date de naissance, nationalité
• Coordonnées : adresse, email, téléphone
• Photographie, éléments d'image
• Numéro de licence UCI

2.2 Données professionnelles et contractuelles

• Équipe, statut, historique sportif
• Rémunérations, historique de contrats
• Sponsors, partenaires commerciaux

2.3 Données de performance sportive

• Résultats de course (sources publiques : procyclingstats.com et organisateurs)
• Données d'entraînement : puissance, fréquence cardiaque, cadence, vitesse, distance, dénivelé, durée
• Métriques dérivées : FTP, CTL, ATL, TSB, courbes puissance-durée
• Données physiologiques complémentaires optionnelles : VO2max, lactate, HRV

2.4 Données issues des réseaux sociaux (Instagram)

Lorsque vous nous autorisez explicitement à accéder à votre compte Instagram professionnel via Instagram Login, nous pouvons collecter :

• Informations publiques du profil : nom d'utilisateur, biographie, photo, nombre d'abonnés
• Vos contenus publiés (posts, reels, stories) : type de média, légende, date de publication, lien, nombre de likes et de commentaires
• Statistiques de vos contenus et de votre compte : vues, portée, sauvegardes, partages, taux d'engagement
• Données démographiques agrégées de l'audience (jamais d'identifiants individuels)

Les profils Instagram publics de personnes qui n'ont pas connecté de compte à CTRL.LAB, relevés par notre veille de repérage, relèvent de la section 8 et non de cette autorisation.

Ces données sont utilisées exclusivementpour l'analyse prédictive au sein de CTRL.LAB et ne sont jamais revendues.

2.5 Données de navigation

Données techniques minimales : adresse IP (utilisée en clair pour la limitation des abus et, pour un aperçu de dossier, l'alerte interne ; voir section 7), type de navigateur, pages consultées, durée de visite.

3. Finalités du traitement

• Gestion contractuelle: mandats d'agent, contrats de sponsoring, facturation
• Analyse prédictive CTRL.LAB : scores composites, fenêtres prédictives, recommandations
• Suivi des coureurs sans compte CTRL.LAB: repérage de coureurs que l'agence pourrait représenter, avec le profilage associé (section 8)
• Prospection commerciale : mise en relation athlète/marque
• Communication : newsletter, réseaux sociaux
• Obligations légales : comptabilité, UCI, fiscalité

4. Base légale

• Exécution d'un contrat pour athlètes et marques
• Consentement explicite pour les données physiologiques et Meta
• Intérêt légitime pour la prospection B2B
• Intérêt légitime pour le suivi des coureurs sans compte CTRL.LAB et le profilage associé (section 8)
• Obligation légale pour la conservation comptable

5. Données issues des plateformes Meta

Sport.CTRL utilise les APIs officielles de Meta Platforms, Inc. (API Instagram avec Instagram Login) dans le cadre de CTRL.LAB. Nous demandons deux permissions uniquement : instagram_business_basic (profil et contenus) et instagram_business_manage_insights (statistiques et démographie d'audience). Nous ne publions jamais de contenu et n'envoyons jamais de message en votre nom.

5.1 Accès autorisé

Aucun accès aux données Meta par les APIs officielles sans autorisation explicite et préalable via OAuth 2.0. L'utilisateur peut révoquer l'accès à tout moment depuis ses paramètres Meta.

5.2 Données collectées

Uniquement les données nécessaires : métriques publiques, insights agrégés, démographie anonymisée.

5.3 Non-partage avec Meta

Nous ne partageons aucune donnée utilisateur avec Meta au-delà de ce qui transite via les APIs officielles. Nous n'entraînons aucun modèle pour le compte de Meta.

5.4 Conformité Platform Terms

Respect strict des Meta Platform Terms et Instagram Platform Policy. Soumission au processus de revue Meta.

6. Données physiologiques

Les données physiologiques constituent une catégorie sensible relevant potentiellement de l'article 9 du RGPD.

6.1 Consentement renforcé

Consentement explicite, spécifique et documenté, formalisé dans un avenant contractuel.

6.2 Granularité

Consentement granulaire : (a) collecte et stockage, (b) analyse CTRL.LAB, (c) transmission agrégée aux tiers.

6.3 Révocabilité

Révocable à tout moment. Après le retrait, la synchronisation s'arrête la nuit suivante et les données physiologiques déjà importées sont effacées sous 30 jours.

6.4 Sources

Plateformes partenaires (intervals.icu, Nolio, TrainingPeaks, Garmin, Wahoo) ou fichiers standards transmis par l'athlète (.fit, .tcx, .pwx).

6.5 Accord pour la synchronisation intervals.icu et Nolio

La synchronisation automatique depuis intervals.icu et Nolio importe des données de santé (fréquence cardiaque, variabilité de la fréquence cardiaque, sommeil, poids). Elle exige votre consentement explicite (article 9.2.a du RGPD), recueilli à l'inscription ou par un lien signé valable 30 jours, renvoyé sur demande, ou par courriel. Vous le retirez à tout moment par ce lien ou par courriel à bastien.lm@sportctrl.com : la synchronisation s'arrête dès la nuit suivante et les données déjà importées sont effacées sous 30 jours. Cet accord ne couvre pas les fichiers d'activité que vous nous remettez vous-même ni ceux que l'agence importe à partir d'un export TrainingPeaks.

7. Partage des données

• Marques partenaires : données agrégées et anonymisées (sauf accord nominatif)
• Équipes sportives : transferts, avec consentement préalable
• Neon(Databricks, Inc., États-Unis) : base de données de la plateforme, donc l'ensemble des données décrites dans cette politique. Serveurs à Francfort (Allemagne). Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Vercel(Vercel Inc., États-Unis) : hébergement de l'application. Exécution à Francfort (Allemagne). Données transmises : les requêtes de l'application et ses journaux d'exécution, qui peuvent citer des noms d'athlètes. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Cloudflare(Cloudflare, Inc., États-Unis) : stockage des fichiers (fichiers d'entraînement, documents, photos, preuves de consentement), dans l'Union européenne (juridiction UE de Cloudflare). Pour les accès éventuels depuis les États-Unis, transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Trigger.dev(API Hero Ltd, Royaume-Uni, pays bénéficiant d'une décision d'adéquation ; exécution dans l'Union européenne (Francfort), charges utiles et journaux des tâches aux États-Unis) : exécution des tâches d'import et de calcul des séances d'entraînement (lecture des fichiers d'activité exportés de TrainingPeaks et déposés par l'agence, fichiers complets, trace GPS possible ; calcul des indicateurs ; écriture des fichiers extraits dans notre stockage et des résultats dans la base). Données traitées : identifiants de l'import et de l'athlète, FTP, séances (puissance, fréquence cardiaque, cadence, vitesse, distance, durée). Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Fly.io(Fly.io, Inc., États-Unis) : collecte des résultats et des programmes de course publics de procyclingstats.com. Serveurs à Paris (France). Données transmises : identifiants de coureurs et de courses, déjà publics. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Sentry(Functional Software, Inc., société américaine, données hébergées en Allemagne, région de.sentry.io) : suivi des erreurs et des performances. Données transmises : journaux d'erreurs et de performance, dont les adresses des pages visitées, le type de navigateur et des identifiants internes, et des enregistrements de session au texte masqué, après retrait des jetons de lien, du contenu des requêtes, des cookies et des en-têtes d'authentification. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Resend(Plus Five Five, Inc., États-Unis ; compte, journaux et métadonnées conservés aux États-Unis) : envoi des emails (liens de connexion de l'équipe, invitations à connecter Instagram, codes de vérification de la page de consentement et des dossiers partagés, récapitulatif de synchronisation à l'agence). Données transmises : adresse email du destinataire et contenu du message, dont le nom de l'athlète. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Upstash(Upstash, Inc., États-Unis) : limitation du nombre de requêtes contre les abus. Données transmises : adresse IP, adresse email (connexion de l'équipe) ou identifiant de demande, conservés de une minute à une heure. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Telegram(Telegram Messenger Inc. ; comptes de l'EEE hébergés aux Pays-Bas) : alertes de nuit envoyées à l'équipe de l'agence. Données transmises : noms d'athlètes, trois premiers scores TAAV, pics de forme, prévisions et résultats de la fenêtre prédictive, nombre d'articles de presse et sentiment des mentions sur X par athlète, erreurs de synchronisation classées, alertes d'onboarding avec le nom, FTP avec une référence opaque pour l'import et, à la consultation d'un aperçu par un athlète alpha, son nom et son adresse IP ; les titres d'erreurs Sentry liés à Instagram sont réduits à leur type. Aucune donnée Instagram brute ni identifiant Instagram. Aucun contrat de sous-traitance ni garantie contractuelle spécifique n'encadre ce service ni un éventuel transfert hors de l'EEE.
• GitHub(GitHub, Inc., États-Unis) : hébergement du code et des documents du projet, dont certains nomment des athlètes. Aucune base de données réelle n'y est stockée. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Anthropic, PBC(États-Unis) : assistant Cadence de l'agence, lecture des articles de presse, analyse des publications publiques sur X et lecture des documents ajoutés par l'agence, contrats compris. Données transmises : questions de l'équipe ; données de la base consultées par l'assistant pour répondre (notamment identité, résultats, entraînement et données physiologiques, contrats et rémunérations) ; texte intégral des documents analysés. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire. Cadence n'a pas accès aux données Instagram.
• Voyage AI(États-Unis) : recherche dans la base documentaire de l'agence. Données transmises : extraits de documents (articles de presse, publications publiques sur X, fiches de référence, documents ajoutés par l'agence, contrats compris) et requêtes de recherche. Transfert hors de l'EEE encadré par les garanties contractuelles proposées par ce prestataire.
• Google(Google Cloud France SARL, Paris, pour les services Google Workspace ; Google LLC, États-Unis, pour YouTube, Google Actualités et la recherche Google) : lecture seule d'un dossier Drive de l'agence partagé avec le compte de service de l'application, pour importer les contrats des athlètes (noms, rémunérations, clauses), et agenda interne des anniversaires (nom et date de naissance des athlètes), fournis par Google Cloud France SARL ; recherches YouTube, Google Actualités et Google avec le nom de l'athlète, pour la veille de presse, de popularité et de publications sur X, fournies par Google LLC. L'application ne dépose aucun contrat dans Drive. Pour les services de Google LLC, le transfert hors de l'EEE est encadré par les garanties contractuelles proposées par ce prestataire.
• Nolio(France) : plateforme d'entraînement d'où nous importons les séances (puissance, fréquence cardiaque, cadence, ressenti) lorsque l'athlète connecte son compte ; nous ne lui transmettons aucune donnée.
• Autorités : sur réquisition judiciaire

Nous ne vendons jamais vos données.

8. Personnes suivies sans compte CTRL.LAB (article 14)

Sport.CTRL suit des coureurs qui n'ont ni compte CTRL.LAB ni mandat avec nous. Ils ne nous ont pas transmis ces données : cette section vous informe conformément à l'article 14 du RGPD.

8.1 Sources et données

• ProCyclingStats et DirectVélo (classements, listes de courses) : nom, prénom, date de naissance (ou année), nationalité, équipe, catégorie, résultats, programme de course
• Articles de presse (Google Actualités) et publications publiques sur X (recherche Google)
• Popularité : recherches YouTube et Google avec le nom du coureur
• Repérage sur Instagram : profil public (nom d'utilisateur, nom, biographie, nombre d'abonnés, engagement), relevé par notre veille sur la page publique du compte, sans passer par les APIs de Meta, et un score de potentiel de 0 à 100
• Indicateurs calculés à partir de ces données, et notes internes de l'agence

Tant que vous ne nous avez pas vous-même connecté un compte (Instagram, plateforme d'entraînement), nous ne collectons aucune donnée de santé vous concernant, et aucune donnée Instagram autre que le profil public décrit ci-dessus.

8.2 Finalités et base légale

Repérer des coureurs que l'agence pourrait représenter et préparer un premier contact : veille de presse et de publications sur X, score TAAV (de 1 à 1000), fenêtres prédictives, indices de contrat. Le score TAAV et les fenêtres prédictives sont du profilage(article 4.4 du RGPD). Base légale : intérêt légitime (article 6.1.f), détaillé dans une analyse de mise en balance tenue par l'agence. Ces indicateurs sont des outils de lecture pour l'équipe : aucune décision produisant un effet juridique ou vous affectant de manière significative n'est prise automatiquement. Les anciens athlètes sont exclus de ces traitements.

8.3 Destinataires

Administrateurs de l'agence. Sous-traitants décrits à la section 7 : Anthropic, PBC (lecture des articles et des publications publiques sur X) et Voyage AI (recherche dans les extraits d'articles) ; Google LLC (votre nom est envoyé dans les recherches) ; Fly.io (collecte des données publiques de ProCyclingStats) ; Telegram (alertes de nuit à l'équipe : nom, score TAAV, sentiment des mentions sur X). Les transferts hors de l'EEE sont décrits à la section 7.

8.4 Durée de conservation

Une fiche est gardée tant que le coureur est actif, et au plus 3 ans après sa dernière mise à jour sans contact. L'agence les revoit chaque année et efface celles qui ne servent plus.

8.5 Droit d'opposition

Vous pouvez vous opposer à tout moment à ce suivi, sans justification, par courriel à bastien.lm@sportctrl.com (objet « RGPD — opposition »). Nous effaçons alors vos données et enregistrons vos identifiants (ProCyclingStats, DirectVélo) et une empreinte de votre nom avec votre date ou année de naissance sur une liste d'exclusion, afin que nos imports ne vous recréent pas. Sans identifiant ni date de naissance, rien ne peut être enregistré. Vous pouvez aussi saisir la CNIL.

9. Durée de conservation

• Données contractuelles : durée + 5 ans
• Données physiologiques : durée mandat + 24 mois
• Données Meta : consentement actif + 30 jours
• Prospection commerciale des marques : 3 ans après dernier contact
• Navigation : 13 mois maximum

10. Sécurité

• Chiffrement en transit (TLS) et au repos ; chiffrement supplémentaire des jetons d'accès aux services connectés (Instagram, intervals.icu, Nolio) et du numéro de téléphone des athlètes
• Interface d'administration réservée aux administrateurs de Sport.CTRL (liste d'adresses autorisées) ; cloisonnement des accès en base par rôles applicatifs et Row-Level Security PostgreSQL
• Connexion des administrateurs par lien à usage unique envoyé par e-mail
• Historique immuable des modifications de données ; journal des consultations de dossiers par des tiers et des communications de données
• Sauvegardes assurées par l'hébergeur de la base de données
• Base de données (Neon) et application web (Vercel) hébergées dans l'Union européenne (Francfort)
• Certains prestataires listés à la section 7 sont situés hors de l'EEE ; l'encadrement de ces transferts est indiqué pour chacun

11. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés :

• Droit d'accès: obtenir la confirmation d'un traitement et une copie de vos données
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la limitation du traitement
• Droit à la portabilité dans un format standard
• Droit d'oppositionaux traitements fondés sur l'intérêt légitime, notamment le suivi décrit à la section 8 et la prospection : il s'exerce à tout moment et sans justification, pour le suivi de la section 8 comme pour la prospection
• Droit de retirer votre consentement à tout moment
• Droit de saisir la CNIL (cnil.fr)

Exercez vos droits à bastien.lm@sportctrl.com. Réponse sous un mois maximum.

Suppression des données collectées via Instagram : voir la page Suppression des données.

12. Cookies

Cookies strictement nécessaires uniquement. Pas de cookie tiers publicitaire sans consentement explicite.

13. Modifications

Cette politique peut évoluer. Les modifications substantielles font l'objet d'une notification.

14. Contact

Sport.CTRL
Email : bastien.lm@sportctrl.com
Objet : « RGPD — [votre demande] »