1. Qui est responsable
En bref Leg Up est responsable de vos données, et vous pouvez nous écrire à tout moment.
Le responsable du traitement est Leg Up, [FORME JURIDIQUE, CAPITAL, RCS, SIREN], dont le siège est situé [ADRESSE].
Pour toute question sur vos données : bonjour@legup.run, ou la rubrique « Leg Up » de votre espace.
Cette politique concerne legup.run et toutes les personnes qui l'utilisent : coureurs, marques et visiteurs.
2. Les données que nous collectons
En bref Ce dont le service a besoin, plus ce que vous choisissez d'ajouter.
- Compte : adresse e-mail, empreinte du mot de passe (jamais le mot de passe lui-même), langue, date d'inscription, date et version des conditions acceptées.
- Profil du coureur : prénom et nom (publics sous la forme prénom + initiale), date de naissance (pour vérifier que vous êtes majeur, jamais publique), ville, club, présentation, photo.
- Profil de la marque : nom, secteur, logo, présentation, liens vers son site et ses réseaux.
- Profil sportif, facultatif : sexe, taille, corpulence, niveau. Vous les déclarez si vous le voulez ; ils ne sont jamais publics et servent seulement aux filtres des marques.
- Adresse postale : privée (voir qui voit vos données).
- Courses et zones : courses où vous êtes inscrit, distance, dossard, temps visé, zones louées et leur prix, secteurs de marques refusés.
- Campagnes : offres reçues, engagements, candidatures, listes d'attente, désistements, contrats de campagne acceptés (texte exact, date, langue et empreinte).
- Preuves : photos (sans les métadonnées de l'appareil, position GPS comprise, sauf la date de prise de vue), numéro de dossard, lien de publication.
- Paiements : montants payés, versés et remboursés, factures et avoirs. Vos coordonnées bancaires restent chez Stripe.
- Messages et demandes : messages de campagne, échanges avec Leg Up, notifications, pièces jointes (par exemple un certificat médical pour un désistement de dernière minute).
- Réseaux sociaux : pseudos, nombre d'abonnés déclaré, acceptation de publier et supplément demandé.
- Entraînements : sorties de course à pied venues de Strava ou de fichiers importés (date, distance, durée, nom de la sortie). Les fichiers importés eux-mêmes ne sont pas conservés.
- Galerie : photos, légendes, courses associées.
- Modération : signalements faits ou reçus, avertissements et décisions, avec leur motif. Un visiteur sans compte peut signaler un profil : nous ne gardons que le motif et son commentaire.
- Données techniques : journaux du serveur (adresse IP, date et heure, pages demandées).
Liste d'ouverture et contact : avant l'ouverture du site, vous pouvez rejoindre la liste d'ouverture. Nous gardons alors votre prénom (pour une marque : votre nom, la société, son site et votre projet), votre adresse e-mail, votre ville, les courses que vous visez, votre langue et le nom du lien qui vous a amené (par exemple « instagram »), sans cookie. Le formulaire de contact garde votre nom, votre adresse e-mail, le sujet et votre message.
3. Pourquoi et sur quelle base
En bref Surtout pour faire fonctionner le service ; votre consentement pour ce qui est facultatif.
- Exécution du contrat (CGU, CGV marques) : créer et gérer votre compte, vérifier que vous êtes majeur, afficher les profils, proposer les campagnes aux coureurs qui correspondent aux filtres, remettre les tatouages, recevoir et valider les preuves, payer et rembourser, faire fonctionner la messagerie et les demandes, vous envoyer les e-mails du service.
- Obligation légale : établir et conserver les factures, déclarer chaque année à l'administration fiscale les sommes perçues par les coureurs, répondre aux demandes des autorités.
- Intérêt légitime : sécuriser le site, prévenir la fraude (notamment sur les preuves), modérer la plateforme, traiter les signalements et répondre aux messages du formulaire de contact.
- Consentement, que vous pouvez retirer à tout moment : profil sportif facultatif (videz les champs dans « Mes infos »), entraînements montrés sur votre profil (masquez la rubrique), connexion à Strava et import de sorties (déconnectez Strava ou effacez vos sorties), liste d'ouverture (quittez-la avec le lien de chaque e-mail). Le retrait ne remet pas en cause ce qui a été fait avant.
Un certificat médical joint à une demande est une donnée de santé. Vous ne le transmettez que si vous le voulez (consentement explicite) ; seule l'équipe Leg Up le voit, pour traiter votre demande.
4. Qui voit vos données
En bref Le public voit les profils publics, les marques ce dont elles ont besoin, nos prestataires ce qu'il faut pour le service.
- Tout le monde : le profil public d'un coureur (prénom et initiale, ville, club, présentation, photo, réseaux et abonnés, supplément de publication, zones disponibles, galerie, historique des courses avec leur sponsor, et ses entraînements s'il les montre), et le profil public des marques. Les profils des coureurs ne sont pas indexés par les moteurs de recherche.
- Les marques : pour leurs campagnes, les coureurs engagés, leurs preuves et leurs messages ; le nom complet et l'adresse postale des coureurs retenus, une fois la campagne validée et seulement pour un envoi à domicile. Jamais le profil sportif, la date de naissance ni les sorties : leurs filtres s'en servent sans les montrer.
- Les participants d'une campagne : vos messages dans sa messagerie, si la marque laisse les coureurs écrire.
- L'équipe Leg Up : ce qui est nécessaire pour faire fonctionner le service, traiter vos demandes et modérer.
- Nos prestataires, qui agissent sur nos instructions :
- hébergement du site, stockage des fichiers et sauvegardes : OVH SAS ;
- envoi des e-mails : Resend ;
- paiements : Stripe (Stripe Payments Europe, Limited). Pour les comptes de versement, Stripe vérifie aussi l'identité des coureurs et traite certaines données pour son propre compte, selon sa propre politique de confidentialité.
- Strava, seulement si vous connectez votre compte : Strava nous transmet vos sorties.
- L'administration fiscale, pour la déclaration annuelle des sommes perçues par les coureurs.
Nous ne vendons pas vos données et n'utilisons aucun traceur publicitaire (voir la page cookies).
5. Transferts hors de l'Union européenne
En bref Certaines données de paiement et les e-mails envoyés peuvent quitter l'Union européenne, avec des garanties.
Stripe peut transférer certaines données hors de l'Union européenne. Ces transferts sont encadrés par les garanties prévues par Stripe ([À VÉRIFIER]). Le site, ses fichiers et ses sauvegardes restent en France, chez OVH SAS. Les e-mails du site passent par Resend, une société américaine qui garde aux États-Unis l'adresse du destinataire, le contenu des e-mails et leur suivi d'envoi. Ce transfert est encadré par sa certification au cadre de protection des données UE–États-Unis (Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne.
6. Combien de temps nous les gardons
En bref Le temps de votre compte, puis nous effaçons, sauf ce que la loi nous oblige à garder.
- Données du compte : tant que le compte existe.
- Compte jamais confirmé : supprimé 7 jours après l'inscription.
- Compte sans connexion depuis 3 ans : un e-mail vous prévient, puis le compte est supprimé 30 jours plus tard, sauf si vous êtes engagé dans une campagne ou qu'une somme reste due.
- Photos de preuve : supprimées 12 mois après la course.
- Pièces jointes des demandes à Leg Up : supprimées 30 jours après la clôture de la demande.
- Notifications : supprimées au bout de 12 mois.
- Factures et avoirs : conservés 10 ans (obligation comptable), même après la suppression du compte de la marque.
- Sorties Strava : supprimées quand vous déconnectez Strava.
- Liste d'ouverture : inscription non confirmée supprimée au bout de 7 jours ; inscription confirmée supprimée 90 jours après l'e-mail d'invitation envoyé à l'ouverture, et au plus tard 2 ans après la confirmation.
- Messages du formulaire de contact : supprimés au bout de 12 mois.
- Sauvegardes : conservées 30 jours. Une donnée supprimée disparaît donc des sauvegardes sous 30 jours.
- Journaux techniques : [DURÉE] chez notre hébergeur.
7. Vos droits
En bref Vous pouvez consulter, corriger, télécharger et effacer vos données, et vous opposer à certains usages.
- Accès et portabilité : « Télécharger mes données », dans « Mon compte », vous donne un fichier ZIP avec vos données et vos fichiers.
- Rectification : modifiez vos informations dans « Mes infos » (coureurs) ou dans votre profil de marque.
- Effacement : supprimez votre compte dans « Mon compte ». Ce n'est pas possible tant que vous êtes engagé dans une campagne non terminée ou qu'une somme reste due.
- Limitation et opposition : vous pouvez demander que nous suspendions un traitement, ou vous opposer à un traitement fondé sur notre intérêt légitime.
- Retrait du consentement, à tout moment, pour ce qui en dépend (voir pourquoi et sur quelle base).
- Directives après votre décès : vous pouvez nous dire ce que nous devons faire de vos données.
- Liste d'ouverture : le lien « Quitter la liste d'ouverture » de chaque e-mail vous en retire aussitôt.
Pour exercer ces droits, écrivez à bonjour@legup.run. Nous répondons dans un délai d'un mois, et pouvons vous demander de prouver votre identité en cas de doute.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (www.cnil.fr).
8. Sécurité
En bref Connexion chiffrée, mots de passe jamais stockés en clair, fichiers privés bien gardés.
- Tout le site passe en HTTPS.
- Les mots de passe sont enregistrés sous forme d'empreinte, jamais en clair. Un compte est bloqué 15 minutes après 5 échecs de connexion.
- Les jetons d'accès à Strava sont chiffrés.
- Les fichiers privés sont stockés à l'abri et servis par le site aux seules personnes autorisées : une preuve à son coureur, à la marque de la campagne et à l'équipe Leg Up ; une pièce jointe à son auteur et à l'équipe.
- Les métadonnées des photos, dont la position GPS, sont retirées dès l'envoi.
9. Mineurs
En bref Leg Up est réservé aux majeurs.
Il faut avoir 18 ans pour créer un compte. Si nous apprenons qu'un compte appartient à un mineur, nous pouvons le suspendre ou le supprimer.
10. Décisions automatisées
En bref Quelques règles automatiques font tourner les campagnes, mais aucune sanction n'est décidée par une machine.
Certaines étapes sont automatiques :
- une campagne n'est proposée qu'aux coureurs qui correspondent aux filtres choisis par la marque (course, zone, prix, profil sportif, réseaux, activité d'entraînement) ;
- une candidature ou une preuve restée sans réponse de la marque dans le délai prévu est validée automatiquement ;
- une campagne est validée ou annulée selon le nombre d'inscrits à sa date limite.
Ces règles appliquent le fonctionnement du service décrit dans les CGU. En dehors d'elles, Leg Up ne prend aucune décision produisant des effets juridiques à votre égard sur le seul fondement d'un traitement automatisé. Les mesures de modération sont décidées par une personne de l'équipe Leg Up, et vous pouvez les contester.
11. Modifications
En bref Si cette politique change, la date en haut de la page change aussi.
Nous pouvons modifier cette politique pour suivre l'évolution du service ou de la loi. La date de mise à jour figure en haut de la page. En cas de changement important : [MODALITÉS D'INFORMATION À DÉFINIR].