Le responsable du traitement est Fitness Area, 6 rue du Passavent, Val-d’Orson, 35770 Vern-sur-Seiche, France. Pour toute question sur cette politique ou pour exercer vos droits, écrivez-nous à fitnessarea.vern@outlook.fr.

Nous ne collectons que ce dont le club a besoin pour gérer votre adhésion. Aucune donnée n’est vendue, ni louée, ni cédée à des fins publicitaires.

• •   Identité et contact : nom, adresse e-mail. Ils identifient votre compte et servent à vous écrire (activation, réinitialisation de mot de passe, factures, relances).
• •   Mot de passe : jamais conservé en clair. Seule une empreinte bcrypt est enregistrée ; elle ne permet pas de retrouver votre mot de passe.
• •   Abonnement : formule choisie, statut, dates d’échéance et d’engagement, factures émises, éventuels impayés et relances envoyées.
• •   Contrat signé : le PDF de votre contrat, sur lequel figure la signature manuscrite tracée dans l’application.
• •   Application mobile : un jeton de notification (fourni par Apple ou Google via Expo) si vous acceptez les notifications, et la dernière salle consultée.
• •   Coordonnées bancaires : votre IBAN et votre BIC sont transmis directement à notre prestataire de paiement lors de la mise en place du mandat SEPA. Ils ne sont pas enregistrés dans nos bases : nous ne conservons que la référence du mandat et des paiements.
• •   Origine de votre visite : uniquement si vous avez accepté la catégorie « Publicité » : la campagne d’où vous venez (paramètres utm du lien suivi, identifiant de clic Google ou Meta), la page d’arrivée et le site qui vous a envoyé vers nous. Enregistrée avec votre réservation de séance d’essai, votre abonnement ou votre pré-inscription (voir « Cookies et mesure d’audience »).

• •   Exécution du contrat : créer et sécuriser votre compte, gérer votre abonnement, prélever les échéances, éditer les factures, vous donner accès à la salle et à votre contrat.
• •   Obligation légale : conserver les factures et les pièces comptables, et répondre aux demandes de l’administration fiscale.
• •   Intérêt légitime : recouvrer les impayés, prévenir la fraude et la prise de contrôle de comptes, et assurer la sécurité de nos services.
• •   Consentement : notifications push, mesure d’audience du site et mesure des campagnes publicitaires. Vous pouvez les refuser, et revenir sur votre choix à tout moment.

Vos données sont accessibles aux personnes habilitées du club, et aux prestataires suivants, qui n’agissent que sur nos instructions :

• •   Mollie B.V. (Pays-Bas) : prélèvements SEPA, mandats et remboursements. Vos coordonnées bancaires sont détenues par Mollie, pas par nous.
• •   Resend (États-Unis) : envoi des e-mails transactionnels : activation du compte, mot de passe, factures, relances.
• •   Expo / Apple / Google : acheminement des notifications push vers votre téléphone, si vous les avez acceptées.
• •   Vercel Inc. (États-Unis) : hébergement du site fitness-area.fr.
• •   Sentry — Functional Software Inc. (États-Unis, données hébergées en Allemagne) : détection des erreurs du site et de l’application et, si vous avez accepté la mesure d’audience, enregistrement du déroulé des visites sur le site (voir « Cookies et mesure d’audience »).
• •   Formspark : réception des demandes de séance d’essai envoyées depuis le site.
• •   Sportigo : ancien logiciel de gestion du club. Pendant la période de migration, les abonnements repris y restent gérés en parallèle.

En cas d’impayé persistant, un dossier de recouvrement peut être confié à un prestataire spécialisé. Certains prestataires sont établis hors de l’Union européenne ; les transferts s’appuient alors sur les clauses contractuelles types de la Commission européenne.

• •   Compte membre : tant que le compte existe. À sa suppression, les données d’identification sont effacées immédiatement (voir « Supprimer votre compte »).
• •   Factures et écritures comptables : dix ans à compter de la clôture de l’exercice, comme l’impose l’article L123-22 du Code de commerce. Une facture devant identifier son destinataire, elle conserve le nom et l’adresse e-mail sous lesquels elle a été émise, même après la suppression du compte.
• •   Contrat signé : pendant toute la durée de l’abonnement, puis jusqu’à l’expiration des délais de prescription applicables.
• •   Liens de mot de passe : quinze minutes pour un lien d’activation, une heure pour une réinitialisation. Les liens périmés sont supprimés automatiquement.
• •   Sessions : un jeton de session dure vingt et un jours au maximum et est révoqué à la déconnexion, au changement de mot de passe et à la suppression du compte.
• •   Fréquentation des salles : les passages sont comptés à l’entrée sans être rattachés à une personne : ces mesures ne sont pas des données personnelles.
• •   Fréquentation du site : les pages vues que nous transmet Vercel Analytics, sans cookie ni donnée qui vous nomme, sont effacées au bout de treize mois.
• •   Origine de votre visite : trente jours au plus dans votre navigateur, effacée dès que vous refusez la catégorie « Publicité ». Si vous réservez ou souscrivez entre-temps, elle est conservée avec la réservation ou l’abonnement, aussi longtemps que ceux-ci.

Vous pouvez supprimer votre compte depuis l’application mobile, onglet Profil → Mon compte → Supprimer mon compte, ou en nous écrivant à fitnessarea.vern@outlook.fr.

La suppression efface de votre compte votre nom, votre adresse e-mail, votre mot de passe et votre jeton de notification : plus personne ne peut s’y connecter, et l’adresse ne permet plus de vous identifier. Vos sessions sont révoquées et les liens de mot de passe encore valides sont annulés.

Les factures déjà émises subsistent, avec le nom et l’adresse e-mail sous lesquels elles ont été établies : la loi impose de les conserver dix ans, et une facture doit désigner son destinataire. C’est la seule exception à l’effacement, et elle repose sur une obligation légale que nous ne pouvons pas écarter.

La suppression du compte ne met pas fin à un abonnement en cours : si vous êtes encore engagé, résiliez d’abord votre abonnement auprès du club. Nous vous le rappelons au moment de la suppression.

• •   Accès : obtenir une copie des données vous concernant.
• •   Rectification : faire corriger une information inexacte.
• •   Effacement : faire supprimer vos données, sous réserve de ce que la loi nous impose de conserver (les factures, notamment).
• •   Portabilité : recevoir vos données dans un format lisible par machine, ou les faire transmettre à un autre organisme.
• •   Opposition et limitation : vous opposer à un traitement fondé sur notre intérêt légitime, ou en demander le gel le temps d’une vérification.
• •   Retrait du consentement : retirer à tout moment un consentement donné, sans que cela remette en cause ce qui a été fait auparavant.

Écrivez à fitnessarea.vern@outlook.fr pour exercer l’un de ces droits ; nous répondons dans un délai d’un mois. Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).

Les échanges avec nos serveurs sont chiffrés (HTTPS). Les mots de passe sont hachés avec bcrypt et ne sont jamais lisibles, y compris par nous. Les liens envoyés par e-mail pour choisir un mot de passe sont à usage unique, expirent en quelques minutes et ne sont conservés que sous forme d’empreinte. Les données stockées sur le téléphone par l’application sont chiffrées. L’accès à l’administration du club est restreint et journalisé.

Aucun traceur de mesure d’audience ou publicitaire n’est activé avant votre accord. À votre première visite, un bandeau vous propose de tout accepter, de tout refuser — en un seul clic, au même endroit — ou de choisir catégorie par catégorie. Tant que vous n’avez pas répondu, rien n’est déposé et aucune donnée n’est transmise à ces outils.

Deux catégories sont soumises à votre choix :

• •   Mesure d’audience : Google Analytics, pour savoir combien de personnes visitent le site et quelles pages elles consultent ; et l’enregistrement de session de Sentry, qui retrace le déroulé d’une partie des visites — pages vues, clics, défilement — pour repérer ce qui gêne la navigation. Ce que vous saisissez dans un formulaire n’est jamais enregistré, les pages d’inscription, de séance d’essai et de votre espace membre sont entièrement masquées, et la signature du mandat n’est jamais filmée.
• •   Publicité : Google Ads, qui mesure lesquelles de nos campagnes amènent réellement des adhérents ; et, chez nous, l’enregistrement de la campagne d’où vous venez avec votre réservation ou votre inscription.

Ces outils sont chargés via Google Tag Manager, qui ne dépose lui-même aucun cookie et à qui nous transmettons votre choix (mécanisme « Consent Mode »), de sorte qu’un refus s’applique aussi aux balises qu’il gère.

Si — et seulement si — vous avez accepté la catégorie « Publicité » et que vous réservez une séance d’essai ou souscrivez un abonnement, nous transmettons à Google Ads, avec la conversion, une empreinte de votre e-mail, de votre téléphone, de votre nom et de votre adresse postale. Cela permet à Google de rattacher votre inscription à la publicité que vous aviez vue, et donc de savoir quelles campagnes servent réellement à quelque chose.

Ces données sont hachées (SHA-256) dans votre navigateur, avant tout envoi : nous transmettons une suite de caractères irréversible, jamais votre e-mail ou votre numéro en clair. Google ne peut s’en servir que pour comparer cette empreinte à celles de ses propres utilisateurs connectés. Si vous refusez la catégorie « Publicité », rien de tout cela n’est envoyé. Nous ne transmettons ni votre date de naissance, ni votre civilité.

Toujours avec la catégorie « Publicité » seulement, nous retenons d’où vient votre visite : les paramètres de campagne du lien que vous avez suivi (utm_source, utm_campaign…), l’identifiant de clic ajouté par Google Ads ou Meta, la première page consultée et le nom du site qui vous a envoyé vers nous — jamais l’adresse complète de la page d’où vous venez. C’est conservé trente jours dans votre navigateur, puis enregistré chez nous avec votre réservation, votre abonnement ou votre pré-inscription, pour que le club sache quelles campagnes lui amènent ses adhérents. Ces informations ne sont transmises à personne : elles servent à des comptages par campagne, sans nom. Tant que vous n’avez pas répondu au bandeau, rien n’est conservé ; si vous refusez ou retirez votre accord, ce qui était retenu dans votre navigateur est effacé.

Restent actifs sans votre accord, parce qu’ils ne servent à aucun suivi et que la CNIL les en dispense : les cookies strictement nécessaires au fonctionnement du site (dont celui qui retient votre choix, conservé six mois) et Vercel Analytics, une mesure de fréquentation sans cookie ni identifiant durable.

Vercel Analytics ne reçoit de chaque page que son adresse expurgée : les codes d’accès qu’une adresse peut contenir (lien d’inscription, invitation, réinitialisation de mot de passe) sont masqués, et des paramètres de l’adresse ne sont gardés que ceux d’une campagne (utm), plus le simple fait qu’un clic publicitaire Google ou Meta vous a amené — jamais son identifiant. Le club en reçoit ensuite des comptages, qu’il conserve treize mois : page vue, site d’origine, campagne, pays, type d’appareil, et un identifiant d’appareil que Vercel renouvelle chaque jour, qui ne permet de suivre personne d’un jour à l’autre. Ni votre adresse IP, ni votre ville, ni rien qui vous nomme.

Vous pouvez revenir sur votre décision à tout moment grâce au lien « Gérer mes cookies » présent en pied de chaque page : il rouvre le bandeau et retire immédiatement les consentements déjà donnés. Passé six mois, la question vous est reposée. L’application mobile, elle, n’utilise aucun traceur publicitaire.

Cette politique peut évoluer avec les services du club. La date de dernière mise à jour figure en haut de page ; en cas de changement important, nous vous en informerons par e-mail ou dans l’application. Elle complète nos mentions légales.