Cette politique respecte la nouvelle Loi fédérale suisse sur la protection des données (nLPD) entrée en vigueur le 1er septembre 2023, ainsi que le Règlement Général sur la Protection des Données (RGPD, UE) applicable aux résidents UE.
Les bases légales de nos traitements sont :
| Catégorie | Données | Finalité |
|---|---|---|
| Identité | Nom, prénom, date de naissance, sexe, nationalité | Inscription, licence fédérale |
| Contact | Email, téléphone, adresse postale | Communications opérationnelles |
| Représentants légaux | Nom, email des parents/tuteurs (mineurs) | Autorité parentale |
| Paiement | Montants, références bancaires, historique factures | Comptabilité, suivi cotisations |
| Santé (sensible) | Contre-indications cours privés | Sécurité moniteur — chiffré (Fernet) |
| Santé (sensible) | Allergies, besoins particuliers, situation de handicap (membres) — saisie volontaire | Sécurité et encadrement adapté — consentement explicite (Art.6 al.7 nLPD) — chiffré (Fernet) |
| AVS (régime particulier) | Numéro AVS (employés/moniteurs) | Obligations sociales — usage restreint (art. 50g LAVS) — chiffré (Fernet) |
| Technique | Logs accès, IP hachée (HMAC), user-agent | Sécurité (art. 8 nLPD) — 12 mois, adresse IP effacée après 30 jours |
| Préférences | Newsletter opt-in, tracking opt-in, cookies | Personnalisation et consentement |
| Diplômes des collaborateurs | Diplômes et qualifications des moniteurs et collaborateurs (type, dates, numéro, pièce justificative) | Vérification des qualifications exigées — pièces chiffrées (Fernet) |
| Casier judiciaire (sensible) | Extrait spécial du casier judiciaire des collaborateurs qui encadrent des mineurs | Protection des mineurs — accès réservé aux administrateurs du club — chiffré (Fernet) |
| Partenaires / Sponsors | Contact professionnel du partenaire (nom, prénom, email, téléphone), signature de contrat (nom saisi, horodatage, empreinte IP hachée) | Gestion des contrats de partenariat / sponsoring et preuve d'accord |
Le cas échéant, le club utilise ses propres outils tiers (par ex. Squarespace pour la boutique en ligne, Acuity Scheduling pour les réservations). Ces outils sont souscrits et administrés par le club ; MIZU se limite à y importer, à la demande du club, les données nécessaires à son fonctionnement et ne leur transfère aucune donnée. Les contrats et transferts éventuels liés à ces outils relèvent du club, responsable du traitement.
| Type | Durée | Justification |
|---|---|---|
| Données de membre actif | Durée du contrat | Exécution du contrat |
| Paiements, factures, écritures comptables | 10 ans | CO art. 958f (obligation comptable) |
| Pièce d'identité, passeport | Conservée jusqu'à la fin de la période d'inscription, puis supprimée. | Minimisation (art. 6 al. 3 nLPD) |
| Fiche sanitaire, donnée de santé | Donnée de santé (art. 5 nLPD) : conservée jusqu'à la fin de la période d'inscription, puis supprimée. | Minimisation (art. 6 al. 3 nLPD) |
| Photo | Conservée jusqu'à la fin de la période d'inscription. | Minimisation (art. 6 al. 3 nLPD) |
| Document déposé au dossier | Conservé jusqu'à la fin de la période d'inscription. | Minimisation (art. 6 al. 3 nLPD) |
| Diplôme | Acquis du membre : jamais purgé automatiquement. | Minimisation (art. 6 al. 3 nLPD) |
| Convention d'athlète | 10 ans (engagement contractuel, CO art. 958f). | Minimisation (art. 6 al. 3 nLPD) |
| Tout autre document déposé au dossier | Validité bornée par la période d'inscription. | Minimisation (art. 6 al. 3 nLPD) |
Logs d'accès (journal_acces) | 12 mois (adresse IP effacée après 30 jours) | Sécurité (art. 8 nLPD) ; durée alignée sur l'art. 4 al. 5 OPDo |
| Trace des fichiers déposés (antivirus) | 12 mois | Sécurité (art. 8 nLPD) |
| Tokens magic link, sessions | 24h | Sécurité authentification |
| Cookies de consentement | 6 mois | Standard PFPDT / CNIL |
| Données après résiliation | Anonymisation in-place + paiements 10 ans | nLPD art. 6 al. 4 + CO art. 958f |
| Sauvegardes (archives chiffrées, Suisse) | 7 jours, 8 semaines, 25 mois ou 10 ans selon le palier | Sécurité et continuité (art. 8 nLPD) — pas de suppression sélective : une donnée effacée subsiste dans les archives jusqu'à l'expiration de leur palier, sans être consultable ni exploitable ; toute donnée réintroduite par une restauration est effacée à nouveau sous 24 h |
| Diplômes et extrait du casier judiciaire des collaborateurs | Extrait du casier judiciaire : jusqu'à la fin de la collaboration ; autres diplômes : 2 ans après — dans chaque cas, suppression automatique 30 jours après un e-mail aux administrateurs du club | Minimisation (art. 6 al. 4 nLPD) — le club peut supprimer plus tôt, l'extrait dès la vérification faite |
| Contrats de partenariat signés | 10 ans | Prescription contractuelle (art. 127 CO) + obligation comptable (art. 958f CO) |
Vos données sont accessibles uniquement aux personnes autorisées du club et à nos sous-traitants techniques, dans le cadre strict des finalités définies :
| Sous-traitant | Pays | Finalité | Mécanisme transfert |
|---|---|---|---|
| Infomaniak Network SA | Suisse (centre de données) | Hébergement du serveur de l'application, envoi des e-mails (SMTP) | Législation suisse (nLPD) |
| Maxony Suisse SA (Mailpro) | Suisse | Envoi d'e-mails transactionnels et campagnes | Législation suisse (nLPD) — contrat de sous-traitance en cours de finalisation |
| Infomaniak — Swiss Backup | Suisse | Fichiers déposés : conservés sur le serveur de l'application ; sauvegardes chiffrées hors site | Législation suisse (nLPD) |
| Exoscale (Akenes SA) | Suisse | Prévu, pas encore en service : copie de sauvegarde chiffrée et verrouillée 35 jours, en complément de Swiss Backup | Législation suisse (nLPD) |
| Stripe | États-Unis | Traitement paiements en ligne | Clauses contractuelles types (CCT) + Privacy Framework |
Partenaires et sponsors du club. Le club ne communique aucune donnée personnelle de ses membres (apprenants, familles, représentants légaux) à ses partenaires ou sponsors. Un partenaire n'a accès, via son espace personnel, qu'aux informations de son propre contrat de partenariat (contreparties, avancement, documents à signer). Le contact d'un partenaire n'accède jamais aux données des autres membres. Ce paragraphe concerne les partenaires de sponsoring. La mise à disposition de prestations chez un partenaire sportif fait l'objet du paragraphe ci-dessous.
Partenaires sportifs (accès à des prestations). Lorsque le club vous attribue une prestation chez l'un de ses partenaires — par exemple une carte d'entrée ou un abonnement de saison dans un espace de sport et de bien-être — les données strictement nécessaires à l'ouverture de votre droit d'entrée sont transmises à ce partenaire : nom, prénom, date de naissance et adresse e-mail, ainsi que la prestation attribuée et sa date de fin de validité. Le partenaire en a besoin pour vous identifier lorsque vous vous présentez et pour vérifier que votre droit est valable.
Cette transmission ne concerne que les personnes à qui une prestation est effectivement attribuée : le club ne communique jamais l'ensemble de son fichier de membres. Le partenaire devient responsable de traitement pour les données qu'il reçoit et les conserve selon sa propre politique. Vous pouvez demander à tout moment quelles données ont été transmises vous concernant, et vous opposer à une nouvelle transmission en renonçant à la prestation (voir la section « Vos droits »).
audit_acl.py) + RLS (pg_class)Vous disposez à tout moment des droits suivants :
Pour exercer ces droits :
Nous utilisons les catégories de cookies suivantes :
Durée des cookies de consentement : 6 mois. Vous pouvez modifier vos choix à tout moment via le lien 🍪 Modifier mes préférences cookies.
En cas de violation de la sécurité des données entraînant un risque élevé pour vos droits, vous serez informé(e) dans les meilleurs délais conformément à l'art. 24 nLPD (et art. 34 RGPD). Notre runbook interne détaille notre procédure de réponse.
Pour les membres mineurs, la gestion de l'adhésion repose en principe sur le contrat conclu avec leurs représentants légaux (parent ou tuteur). Lorsqu'un traitement repose sur le consentement (par exemple la newsletter), celui-ci est donné par les représentants légaux ou, si le mineur est capable de discernement, par le mineur lui-même. Les données des représentants sont conservées sous la même protection que celles des membres.
Cette politique peut évoluer. Toute modification majeure déclenchera une nouvelle demande de consentement via le bandeau cookies. Vous serez également informé(e) par notification dans votre espace membre.
Délégué à la protection des données (DPO) :
Email : mesdonnees@gn1885.ch
Adresse postale : Hans Wilsdorf 4, 1211 Genève