LA PRÉSENTE POLITIQUE DE CONFIDENTIALITÉ A POUR OBJET DE FOURNIR À L'UTILISATEUR UNE INFORMATION COMPLÈTE SUR LA COLLECTE ET LE TRAITEMENT DE SES DONNÉES À CARACTÈRE PERSONNEL PAR LA SOCIÉTÉ XP (CI-APRÈS « myXP ») DANS LE CADRE DE LA FOURNITURE DE SES SERVICES DEPUIS L'APPLICATION myXP (CI-APRÈS L'« APPLICATION »).
LES DÉFINITIONS RENSEIGNÉES AUX CONDITIONS GÉNÉRALES D'UTILISATION SONT APPLICABLES À LA PRÉSENTE POLITIQUE DE CONFIDENTIALITÉ.
Dans le cadre de ses activités, myXP propose un réseau social sportif permettant à l'Utilisateur de construire une identité sportive numérique, d'interagir avec d'autres Utilisateurs et d'organiser des événements sportifs depuis l'Application.
Afin d'assurer la réalisation de ce service, myXP est contrainte de collecter et de traiter des données à caractère personnel relatives aux Utilisateurs (ci-après les « Données Personnelles »).
Soucieuse de la protection de la vie privée de l'Utilisateur et du traitement de ses données personnelles, myXP s'engage, en tant que Responsable de traitement, à respecter les dispositions du Règlement (UE) n°2016/679 du 27 avril 2016 (RGPD) ainsi que de la loi n°78-17 du 6 janvier 1978 modifiée, en assurant le meilleur niveau de protection des données à caractère personnel de ses Utilisateurs.
La présente Politique de confidentialité permet ainsi à l'Utilisateur de bénéficier d'une parfaite transparence quant au traitement de ses données personnelles par myXP.
QUI COLLECTE LES DONNÉES À CARACTÈRE PERSONNEL DES UTILISATEURS ?
Le Responsable de traitement qui collecte les données à caractère personnel et met en œuvre les traitements de données est la société XP, société par actions simplifiée au capital de 5 000 €, dont le siège social est situé 101 route départementale 254, 64200 Arcangues, immatriculée au Registre du Commerce et des Sociétés de Bayonne sous le numéro 991 395 831, éditrice de l'Application myXP (ci-après « myXP »).
myXP est responsable de traitement pour l'ensemble des traitements qu'elle met en œuvre pour ses propres finalités dans le cadre de l'Application, notamment l'identité sportive numérique, le réseau social et l'organisation d'événements.
Lorsqu'une fédération, un club ou un partenaire confie à myXP le traitement des données de ses licenciés ou de ses membres, pour ses propres finalités et selon ses instructions, myXP agit en qualité de sous-traitant de ce tiers au sens de l'article 28 du RGPD, dans les conditions définies par un contrat de sous-traitance. myXP ne traite alors ces données que sur instruction du responsable de traitement concerné et ne les réutilise pas pour ses propres finalités.
Lorsque ce tiers détermine seul les finalités et les moyens d'un traitement portant sur les données de ses membres, il agit en qualité de responsable de traitement autonome. Lorsque myXP et ce tiers déterminent conjointement les finalités et les moyens d'un traitement, ils définissent leurs responsabilités respectives dans un accord de responsabilité conjointe conformément à l'article 26 du RGPD.
QUELLES SONT LES DONNÉES PERSONNELLES COLLECTÉES PAR myXP ?
myXP veille à ne collecter que les données personnelles strictement nécessaires au regard de la finalité pour laquelle elles sont traitées.
Les différentes catégories de données personnelles que myXP traite habituellement dans le cadre de son service sont regroupées sous les catégories suivantes :
Données d'identification : nom, prénom, pseudo, date de naissance, nationalité, adresse email, photo de profil, identifiant utilisateur, langue, pays et, le cas échéant, ville ou zone géographique approximative, ainsi que les données transmises par les services tiers (Apple, Google ou autre service de connexion) lorsque l'Utilisateur les utilise pour créer son Compte et se connecter ;
Données de Compte : date de création du Compte, statut, préférences de confidentialité et de notification, paramètres de visibilité, historique de connexion, choix de profil public ou privé et rôle principal dans l'Application ;
Données sportives : sport principal et sports ajoutés, rôle sportif, statut de pratique, niveau déclaré, classement, catégorie, poste, format de pratique, club, fédération, licence, historique, participations, performances, Badges, XP, niveaux, équipements et matériel sportif, objectifs et préférences sportives ;
Données relatives aux contenus publiés : photos, vidéos, textes, posts, commentaires, réactions, Badges affichés, équipements et interactions publiés ou ajoutés par l'Utilisateur ;
Données d'interaction : profils consultés, abonnements, suivis, réactions, commentaires, partages, signalements, blocages, invitations et participations à des défis ou événements ;
Données relatives aux profils enfants : lorsque l'Application permet de créer ou de gérer un profil enfant, prénom ou pseudo, date de naissance ou âge, sport, club, niveau, Badges, photo (uniquement si le parent ou représentant légal la renseigne), lien avec le Compte parent et autorisations parentales ;
Et de manière générale toute donnée personnelle communiquée de manière spontanée par l'Utilisateur à l'occasion de ses interactions avec myXP.
Ces données personnelles sont collectées directement auprès de l'Utilisateur.
myXP collecte et traite également certaines données de manière indirecte, telles que l'adresse IP, les identifiants et logs de connexion, le type d'appareil, le système d'exploitation, la version de l'Application ainsi que les données techniques de sécurité et de performance.
Avec l'accord de l'Utilisateur, myXP peut également recevoir des données de tiers (clubs, fédérations, événements sportifs, coachs, objets connectés, services d'authentification ou partenaires techniques), afin de compléter un profil, valider une licence, certifier une performance ou débloquer un Badge.
Les Utilisateurs sont informés que les éventuels encaissements effectués via l'Application sont gérés par un prestataire de services de paiement, lequel effectue les traitements de données bancaires dont il est responsable. En conséquence, myXP ne traite pas les données relatives aux moyens de paiement utilisés.
myXP TRAITE-T-ELLE DES DONNÉES SENSIBLES ?
myXP est une application sportive, et non une application médicale ou de santé.
myXP ne collecte ni ne traite de données sensibles au sens de l'article 9 du RGPD, c'est-à-dire de données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ni de données génétiques, de données biométriques d'identification, de données concernant la santé ou de données concernant la vie ou l'orientation sexuelle d'une personne.
En conséquence, myXP évite par principe de collecter des données médicales, des certificats médicaux, des pathologies, des blessures détaillées, des traitements médicaux, des données biométriques d'identification ou des données relatives au dopage.
L'Utilisateur s'engage à ne saisir, publier ou transmettre, au sein de l'Application, aucune donnée sensible au sens de l'article 9 du RGPD, qu'elle le concerne ou concerne un tiers. Il lui appartient notamment de ne renseigner aucune information révélant un état de santé, une pathologie, un handicap, une blessure ou toute autre donnée sensible.
Dans l'hypothèse où une donnée sportive renseignée par l'Utilisateur viendrait néanmoins à révéler une information sensible, myXP applique des garanties renforcées : collecte limitée, accès restreint, absence d'affichage public par défaut et absence d'utilisation à des fins publicitaires. L'Utilisateur peut, à tout moment, demander la suppression d'une telle donnée.
COMMENT myXP PROTÈGE-T-ELLE LES MINEURS ET LES PROFILS ENFANTS ?
myXP accorde une attention particulière à la protection des mineurs. Conformément aux recommandations de la CNIL, les mineurs sont informés de manière adaptée à leur âge, le consentement parental est recherché pour les moins de 15 ans et des garanties spécifiques sont prévues dès la conception du service.
Création d'un profil enfant : un profil enfant peut être créé par un parent, un représentant légal, un tuteur ou, selon les paramètres de myXP, par un mineur avec validation parentale. Le parent ou représentant légal doit disposer de l'autorité nécessaire pour créer et gérer ce profil.
Visibilité des profils enfants : par défaut, les profils enfants sont configurés avec une visibilité renforcée. myXP peut notamment limiter l'affichage public de la photo, les commentaires, les messages, les contacts entrants, la recherche publique, la publication de contenus, ainsi que la visibilité des clubs, des routines sportives et des localisations.
Photos et vidéos de mineurs : le parent ou représentant légal est responsable des photos ou vidéos qu'il ajoute. myXP peut supprimer tout contenu présentant un risque pour un mineur, notamment un contenu humiliant, trop identifiable, révélant une adresse, une école ou une routine, un contenu sportif dangereux, un contenu signalé par un autre parent ou représentant légal, ou tout contenu contraire à l'intérêt de l'enfant.
Droits du mineur : un mineur peut exercer ses droits sur ses données selon son âge, sa maturité et le cadre légal applicable. Le parent ou représentant légal peut également exercer certains droits pour le compte du mineur. myXP pourra demander une vérification d'identité ou d'autorité parentale avant d'agir.
QUELLES SONT LES FINALITÉS DE LA COLLECTE DES DONNÉES PERSONNELLES DE L'UTILISATEUR ?
myXP n'est autorisée à utiliser les données personnelles de ses Utilisateurs que si elle dispose d'une base juridique valable et doit s'assurer de disposer d'une ou de plusieurs des bases juridiques suivantes :
L'exécution du contrat ;
L'exécution d'une obligation légale ;
L'intérêt légitime du Responsable de traitement ;
Lorsque l'Utilisateur a donné son consentement.
myXP est amenée à collecter et à enregistrer des données à caractère personnel des Utilisateurs pour les finalités et selon les bases juridiques suivantes :
Finalité
Base légale
Durée de conservation
Création et gestion du Compte Utilisateur
Exécution du contrat
3 ans à compter de la dernière connexion au Compte
Mise à disposition de l'Application et des Services (identité sportive, réseau social, événements)
Exécution du contrat
3 ans à compter de la dernière activité sur l'Application
Gestion de la progression, des Badges, des XP et de la certification des données sportives
Exécution du contrat
Durée d'utilisation du Compte
Gestion des interactions sociales entre Utilisateurs
Exécution du contrat et intérêt légitime
Durée d'utilisation du Compte
Gestion des profils enfants
Exécution du contrat et consentement
Durée d'utilisation du Compte, sous le contrôle du parent ou représentant légal
Service client et gestion des demandes des Utilisateurs
Exécution du contrat
3 ans à compter de chaque sollicitation
Sécurité de l'Application et lutte contre la fraude
Intérêt légitime de myXP
5 ans à compter de la clôture du dossier
Modération des contenus et traitement des signalements
Exécution du contrat et intérêt légitime
Durée nécessaire au traitement puis archivage légal
Amélioration de l'Application et statistiques (données agrégées ou anonymisées)
Intérêt légitime de myXP
Durée d'utilisation puis anonymisation
Personnalisation de la publicité
Intérêt légitime de myXP, sous réserve du droit d'opposition de l'Utilisateur
Durée d'utilisation du Compte
Envoi de communications, newsletters et messages promotionnels
Consentement
Jusqu'au retrait du consentement ou 3 ans à compter du dernier contact
La publicité affichée dans l'Application est personnalisée uniquement à partir des informations que l'Utilisateur a lui-même renseignées dans l'Application, notamment ses équipements et son matériel sportif. myXP n'a pas recours, à cette fin, à des cookies ou traceurs publicitaires, à des identifiants publicitaires ni à des données issues de tiers. L'Utilisateur peut s'opposer à tout moment à cette personnalisation, sans avoir à se justifier, depuis les paramètres de l'Application, conformément à l'article 21 du RGPD.
myXP peut également afficher des contenus sponsorisés ou des offres de partenaires. Le cas échéant, le ciblage de ces contenus est réalisé en interne par myXP, à partir des seules données déclarées par l'Utilisateur dans l'Application (par exemple le sport pratiqué, le niveau, les Badges, les équipements ou une localisation approximative), sans transmission de ces données aux annonceurs ou aux partenaires.
Les données relatives aux profils enfants et aux mineurs ne sont en aucun cas utilisées à des fins de ciblage publicitaire, conformément à l'article 28 du Règlement (UE) 2022/2065 (DSA).
myXP ne vend pas les Données Personnelles de ses Utilisateurs et ne les transmet pas, sous forme nominative, à des annonceurs ou partenaires commerciaux à des fins de prospection pour leur propre compte, sauf consentement préalable et exprès de l'Utilisateur.
myXP peut agréger ou anonymiser les Données Personnelles afin qu'elles ne puissent plus identifier l'Utilisateur, et utiliser ces données pour analyser l'efficacité des Services, améliorer les fonctionnalités, établir des statistiques générales ou les publier. Lorsqu'elles sont réellement anonymisées, ces données ne permettent plus d'identifier, directement ou indirectement, un Utilisateur et peuvent, à ce titre, être partagées avec des clubs, des fédérations ou des partenaires commerciaux.
LES DONNÉES DES UTILISATEURS SONT-ELLES TRANSFÉRÉES À DES TIERS ?
Les données personnelles collectées sont uniquement traitées par myXP, sauf dans les cas suivants :
Prestataires et sous-traitants : pour satisfaire ses besoins opérationnels et fournir certains Services, myXP peut partager les Données Personnelles de l'Utilisateur avec divers prestataires (hébergeurs, fournisseurs de services cloud, outils d'emailing, services d'analyse d'audience, prestataires de sécurité et autres prestataires techniques). myXP garantit que ces prestataires ne collectent, traitent, accèdent ou stockent les Données Personnelles que pour remplir leurs obligations envers myXP, conformément à ses directives, et qu'ils sont tenus à une obligation de confidentialité et de sécurité.
Clubs, fédérations et partenaires : lorsque l'Utilisateur est affilié à un club ou une fédération, ou interagit avec un partenaire disposant d'un espace dédié, certaines données (participation, licence, performance, Badges) peuvent leur être communiquées, dans le strict respect des finalités définies ci-dessus.
Partenaires commerciaux et annonceurs : par défaut, les partenaires commerciaux et annonceurs ne reçoivent pas de données personnelles nominatives. Ils peuvent uniquement recevoir des statistiques agrégées ou anonymisées, les données strictement nécessaires à l'exécution d'une offre à laquelle l'Utilisateur a souscrit, ou les données pour lesquelles l'Utilisateur a donné son consentement exprès.
Prestataire de services de paiement : myXP peut communiquer des données au prestataire en charge de la gestion des transactions financières effectuées par l'intermédiaire de l'Application. Les données bancaires sont alors traitées par ce prestataire en sa qualité de responsable de traitement, selon sa propre politique de confidentialité.
Autorités : myXP peut être amenée, dans le respect de la réglementation applicable, à communiquer des données personnelles aux autorités compétentes lorsque la loi l'exige, pour prévenir ou détecter une fraude ou une activité illégale, garantir la sécurité de ses Services ou des personnes, ou faire valoir un droit en justice.
myXP peut également partager les données à caractère personnel, avec l'autorisation préalable et expresse de l'Utilisateur, en cas de vente, transfert ou fusion de la société ou d'une partie de celle-ci. Si une telle transaction a lieu, myXP s'assurera que l'autre partie respecte la législation applicable en matière de protection des données.
QUELS SONT LES DROITS DES UTILISATEURS SUR LEURS DONNÉES À CARACTÈRE PERSONNEL ?
En application des articles 15 à 22 du Règlement (UE) 2016/679 du 27 avril 2016, et sous réserve des exceptions applicables, tout Utilisateur a la faculté d'exercer les droits suivants :
Un droit d'accès ;
Un droit de rectification ;
Un droit à l'effacement ;
Un droit d'opposition au traitement de ses données ;
Un droit d'opposition au profilage ;
Un droit à la limitation du traitement ;
Un droit à la portabilité de ses données ;
Un droit de retirer son consentement à tout moment.
Lorsque myXP détecte une violation de données à caractère personnel susceptible d'engendrer un risque élevé pour les droits et libertés de l'Utilisateur, celui-ci sera informé de cette violation dans les meilleurs délais.
Ces droits peuvent être exercés auprès de myXP par email à l'adresse suivante : contact@my-xp.fr. myXP pourra demander une preuve d'identité si nécessaire.
Une réponse sera adressée à l'Utilisateur dans les délais prévus par le RGPD. L'Utilisateur dispose également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).
QUE DEVIENNENT LES DONNÉES DE L'UTILISATEUR APRÈS SON DÉCÈS ?
L'Utilisateur peut adresser à myXP des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès, conformément à l'article 85 de la loi n°78-17 du 6 janvier 1978 modifiée. L'Utilisateur peut formuler ces directives à l'adresse suivante : contact@my-xp.fr.
LES DONNÉES DES UTILISATEURS SONT-ELLES ENVOYÉES HORS DE L'UNION EUROPÉENNE ?
Pour les besoins des finalités définies ci-dessus, myXP s'efforce de minimiser la transmission des Données Personnelles de l'Utilisateur vers des sociétés situées dans des pays hors de l'Union européenne.
Toutefois, myXP peut être amenée à recourir à certains prestataires de services, sous-traitants de myXP, établis hors de l'Union européenne, vers lesquels les Données Personnelles des Utilisateurs sont susceptibles d'être transmises pour la bonne fourniture des Services. Dans ce cadre, myXP garantit qu'elle ne recourt qu'à des sociétés présentant un niveau de protection des données suffisant et approprié, notamment par la conclusion de clauses contractuelles types (CCT) ou l'existence de règles d'entreprise contraignantes (BCR).
QUELLES SONT LES MESURES DE SÉCURITÉ PRISES PAR myXP POUR PROTÉGER LES DONNÉES DES UTILISATEURS ?
Mesures internes à myXP : en tant que responsable de traitement, myXP prend toutes les précautions utiles pour préserver la sécurité et la confidentialité des données et notamment empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès, au moyen notamment du chiffrement des échanges, d'une authentification sécurisée, d'une gestion des habilitations, de la journalisation des accès sensibles, de sauvegardes et d'une surveillance des incidents.
Relations avec les sous-traitants : lorsqu'elle a recours à des sous-traitants susceptibles d'opérer un traitement des données personnelles de l'Utilisateur, myXP s'assure que ceux-ci présentent des garanties suffisantes quant au respect des règles liées à la protection des données, a minima les mêmes garanties que celles de myXP, en concluant avec lesdits sous-traitants un contrat à cet effet.
Aucune application ne peut toutefois garantir une sécurité absolue. En cas de violation de données présentant un risque pour les personnes, myXP appliquera les obligations de notification prévues par le RGPD.
QUELS PARAMÈTRES DE CONFIDENTIALITÉ SONT DISPONIBLES DANS L'APPLICATION ?
myXP met à la disposition de l'Utilisateur des paramètres permettant de contrôler notamment la visibilité de son profil, de ses profils sport, de ses Badges, de ses équipements, de ses clubs, de ses performances, de ses publications et des profils enfants, ainsi que l'autorisation des interactions, les notifications, les cookies et traceurs et les communications marketing.
Certains paramètres peuvent être définis par défaut afin de protéger les Utilisateurs, notamment les mineurs.
QUELLES DONNÉES SONT VISIBLES PAR LES AUTRES UTILISATEURS ?
Selon les réglages choisis, certains éléments peuvent être visibles par d'autres Utilisateurs : photo de profil, prénom ou pseudo, sport principal, sports ajoutés, rôle, Badges, XP, niveau, club, publications, équipements, fans ou relations sportives, profil sport et contenus publics.
L'Utilisateur peut modifier certains paramètres de visibilité dans l'Application. Toutefois, certaines informations minimales peuvent rester visibles pour permettre le fonctionnement normal de myXP, par exemple l'identification du profil, le sport principal ou certains Badges publics.
QUELLES DONNÉES SONT VISIBLES PAR LES CLUBS, COACHS OU FÉDÉRATIONS ?
Lorsqu'un Utilisateur rejoint un club, demande une validation, se rattache à une fédération ou participe à un événement, certaines données peuvent être visibles par les administrateurs autorisés : identité sportive, sport, rôle, catégorie, licence, niveau, statut, présence, Badge, participation, demande de validation et données nécessaires à la gestion sportive.
myXP limite ces accès aux données nécessaires au rôle de l'administrateur concerné.
COMMENT FONCTIONNENT LES RECOMMANDATIONS, LA PERSONNALISATION ET LES ALGORITHMES ?
myXP peut recourir à certains traitements automatisés pour recommander des sports, suggérer des clubs, proposer des Badges, afficher des contenus pertinents, détecter une progression, identifier des anomalies, lutter contre la fraude et améliorer l'expérience de l'Utilisateur.
myXP ne prend pas de décision produisant des effets juridiques significatifs à l'égard de l'Utilisateur, ou l'affectant de manière similaire de façon significative, sur le seul fondement d'un traitement automatisé, sauf information spécifique et garanties prévues par la loi.
COMMENT SONT TRAITÉES LA MODÉRATION ET LES SIGNALEMENTS ?
Lorsque des contenus ou des profils sont signalés, myXP peut traiter le contenu signalé, l'auteur du contenu, la personne à l'origine du signalement, le motif du signalement, l'historique de modération, la décision prise et les preuves nécessaires.
Ces données servent à protéger la communauté, à faire respecter les CGU et à répondre aux obligations légales de myXP.
COMMENT SONT TRAITÉES LES DONNÉES DE PAIEMENT ET D'ABONNEMENT ?
Si myXP propose des abonnements ou des services payants, certaines données peuvent être traitées pour le paiement, la facturation, le renouvellement, la gestion de l'abonnement, la lutte contre la fraude, l'assistance client et le respect des obligations comptables.
Les paiements peuvent être gérés par Apple, Google, Stripe ou tout autre prestataire sécurisé. myXP ne stocke pas directement les données complètes de carte bancaire lorsque le paiement est traité par un prestataire spécialisé.
EST-CE QUE myXP UTILISE DES COOKIES, TAGS ET TRACEURS ?
Lorsque l'Utilisateur utilise l'Application, myXP reçoit et enregistre automatiquement certaines informations, telles que les identifiants de connexion et les paramètres techniques nécessaires au fonctionnement du service.
Les cookies et traceurs strictement nécessaires à la fourniture d'un service expressément demandé par l'Utilisateur ne nécessitent pas son consentement préalable. Ainsi, par exemple, les traceurs suivants ne requièrent pas de consentement :
les cookies « identifiants de session » ;
les cookies d'authentification et de consentement ;
les cookies de personnalisation de l'interface (choix de langue ou de présentation).
Tout autre cookie ou traceur nécessite une information préalable et le consentement exprès et préalable de l'Utilisateur, par exemple :
les traceurs de mesure d'audience ;
les traceurs liés aux opérations relatives à la publicité ;
les cookies des réseaux sociaux générés par les boutons de partage.
À la première utilisation de l'Application, un message d'information s'affiche pour avertir l'Utilisateur de l'utilisation de traceurs. Le recueil du consentement se fait par l'apparition d'un bandeau permettant à l'Utilisateur de choisir les traceurs déposés sur son terminal, à l'exception des traceurs strictement nécessaires à la fourniture des Services.
L'Utilisateur peut à tout moment exprimer et modifier ses choix en matière de traceurs, depuis les paramètres de l'Application ou de son terminal. Tout paramétrage est susceptible de modifier ses conditions d'accès à certains services nécessitant l'utilisation de traceurs.
LE POINT DE CONTACT ET LE DÉLÉGUÉ À LA PROTECTION DES DONNÉES
Pour toute question relative au traitement de ses données personnelles, l'Utilisateur peut contacter myXP par email à l'adresse suivante : contact@my-xp.fr. Le cas échéant, lorsque myXP désigne un délégué à la protection des données, ses coordonnées sont mises à disposition de l'Utilisateur à cette même adresse.
MISE À JOUR DE LA POLITIQUE DE CONFIDENTIALITÉ
myXP est susceptible de mettre à jour la présente Politique de confidentialité de manière occasionnelle, afin de tenir compte notamment de l'évolution de l'Application, de nouvelles fonctionnalités, de nouveaux partenaires, d'évolutions légales ou de recommandations des autorités.
En cas d'évolution importante, myXP en avertira l'Utilisateur par email, notification ou tout autre moyen au sein de l'Application.