Politique de confidentialité

1. Qui sommes-nous

TheCrib est exploitée par Omed Hossaini, exerçant ses activités sous le nom de « TheCrib – plateforme sportive » (entreprise individuelle), NEQ 2281774812. Nous sommes le responsable du traitement des renseignements personnels collectés via le Service.

Adresse commerciale : Sainte-Catherine, Quebec, Canada

2. Portée

Cette Politique explique comment nous collectons, utilisons, divulguons, stockons et protégeons les renseignements personnels lorsque vous utilisez le site Web, l'application et les services connexes de TheCrib.

3. Renseignements que nous collectons

• Données de compte : nom, courriel, rôle, photo de profil, identifiants d'authentification.
• Données d'équipe : détails de l'effectif, horaires, présences, évaluations, statistiques, plans de pratique, tableaux tactiques, bibliothèques d'exercices, communications et téléversements.
• Données de facturation : statut du plan, événements d'abonnement, identifiants de transaction (traités par Stripe et Apple). Nous ne stockons pas les numéros de carte complète.
• Frais d'équipe : quand une équipe perçoit des frais par carte, le nom et le courriel de la personne qui paie, le montant et l'état du paiement. Les données de carte vont directement à Stripe, et l'argent va au compte Stripe de l'entraîneur.
• Lieux : les adresses ou noms de lieux que vous inscrivez pour les événements, pour afficher le lieu et la météo du match. Nous ne suivons pas la position de votre appareil.
• Données IA : les invites soumises au générateur de plan de pratique IA, ainsi que les recherches d'exercices, sont transmises à OpenAI pour traitement. N'y soumettez pas d'informations personnelles sensibles.
• Photos de feuilles de statistiques : si un entraîneur utilise « Remplir par photo », la photo d'une feuille à photographier de TheCrib est envoyée à OpenAI, qui en lit les chiffres. Cette feuille est conçue pour ne rien dire de l'identité des joueurs : elle n'imprime que les numéros de chandail et les statistiques, sans noms, sans nom d'équipe, sans adversaire, sans date et sans lieu. TheCrib associe ensuite les numéros aux joueurs à l'intérieur de l'application; les noms ne sont jamais envoyés. La photo est réduite sur l'appareil, n'est pas conservée par TheCrib et sert uniquement à remplir la feuille de match, que l'entraîneur vérifie avant d'enregistrer. Pour que cette protection tienne, photographiez la feuille à photographier et non la feuille de statistiques avec noms.
• Données de disponibilité et d'horaire : plages que vous choisissez de bloquer comme occupées ou comme cours, afin que vos entraîneurs puissent repérer les conflits avant les matchs et les pratiques. C'est facultatif. Vous décidez quoi bloquer, et nommer un cours ou un local est optionnel; si vous ajoutez un nom, vos entraîneurs peuvent le voir. Ces plages ne sont visibles que par les entraîneurs de votre équipe et par vous, jamais par les autres joueurs ou parents, et vous pouvez les modifier ou les supprimer en tout temps. Vous pouvez aussi ajouter ou importer des horaires et événements (par ex. un fichier .ics que vous exportez vous-même de votre portail scolaire); vous devez avoir le droit d'importer tout horaire ajouté, et il sert uniquement à afficher votre calendrier et vos disponibilités. TheCrib n'est ni affilié ni associé à Omnivox, Skytech ou à un établissement scolaire.
• Données techniques : informations sur l'appareil, adresse IP, informations sur le navigateur/l'application, journaux d'événements et diagnostics.
• Données de support : demandes et messages envoyés à nos canaux de support.

4. Comment nous utilisons les renseignements

• Fournir et exploiter le Service, y compris la gestion des comptes et des équipes.
• Traiter les abonnements, les événements de facturation et les contrôles d'accès aux plans.
• Envoyer des avis opérationnels, des rappels et des communications produits.
• Surveiller la sécurité, prévenir les abus, enquêter sur les incidents et appliquer les Conditions.
• Respecter les obligations légales et répondre aux demandes légales.

5. Base légale du traitement

Selon votre lieu de résidence, nous traitons les renseignements personnels sur la base de :

• Votre consentement.
• L'exécution d'un contrat avec vous (prestation de services et abonnements).
• Nos intérêts légitimes (sécurité, fiabilité et amélioration des produits).
• Le respect des obligations légales.

6. Partage et divulgation

Nous ne vendons pas de renseignements personnels. Nous pouvons partager des renseignements avec :

• Google Firebase : authentification, base de données, stockage, hébergement et messagerie push.
• Stripe : paiement des abonnements TheCrib sur le Web, et paiement par carte des frais d'équipe qu'un joueur ou un parent verse à son entraîneur. Pour les frais d'équipe, c'est le compte Stripe de l'entraîneur qui reçoit l'argent; TheCrib ne le détient pas.
• Apple : achats intégrés et « Se connecter avec Apple » sur iOS. Les achats iOS sont régis par les Conditions d'Apple.
• Google : « Se connecter avec Google » dans l'application iPhone, et Google Places pour trouver l'adresse du lieu d'un match ou d'une pratique (le texte que vous tapez lui est envoyé).
• OpenAI : traitement des invites de plans IA, des recherches d'exercices et des photos de feuilles à photographier (numéros seulement). OpenAI est situé aux États-Unis.
• Resend : envoi des courriels transactionnels (invitations, rappels, réinitialisation du mot de passe) : votre adresse courriel et le message.
• Expo : livraison des notifications push vers l'application iPhone : le jeton push de votre appareil et le texte de la notification.
• Vercel : hébergement du site Web. Avec votre consentement seulement, Vercel Analytics compte les visites de pages.
• OpenStreetMap (Nominatim) et Open-Meteo : quand un lieu est recherché ou que la météo du match est affichée, le texte de l'adresse ou les coordonnées du lieu sont envoyés. Aucun nom.
• Giphy : quand vous cherchez un GIF dans le clavardage, les mots cherchés et votre adresse IP sont envoyés à Giphy.
• DiceBear : les avatars illustrés sont chargés depuis DiceBear. Aucun nom n'est envoyé.
• YouTube : les vidéos d'exercices sont lues depuis YouTube. Quand vous en lancez une, YouTube reçoit votre adresse IP et peut déposer ses propres témoins.
• Sentry : rapports d'erreurs techniques. Nous envoyons le message d'erreur et la page ou elle s'est produite, afin de corriger les pannes. Nous n'y envoyons pas de listes d'equipe, de coordonnees ni de dossiers de joueurs.
• Participants à l'équipe : lorsque le partage est nécessaire aux opérations de l'équipe dans l'application.
• Autorités légales : lorsque requis par la loi, une ordonnance judiciaire ou pour protéger les droits et la sécurité.

6B. Pages publiques d’équipe et de ligue

7. Transferts internationaux

Nos données sont hébergées chez Google Firebase dans la multirégion « nam5 », soit aux États-Unis. Les renseignements personnels sont donc traités hors du Québec et du Canada, et peuvent être assujettis aux lois americaines. Nous utilisons les garanties contractuelles et organisationnelles requises par la loi applicable. Si l'hébergement au Canada est une exigence pour votre organisation, dites-le nous avant de vous inscrire.

8. Conservation

Nous conservons les renseignements personnels uniquement aussi longtemps que nécessaire aux fins décrites dans cette Politique. Concrètement : quand un entraîneur retire un joueur de son équipe, la fiche du joueur et ses coordonnees sont supprimees immediatement. Quand une équipe est supprimée dans les Réglages, l'équipe et tout son contenu (effectif, présences, paiements, evaluations, messages) sont supprimes immediatement. Quand un compte est supprime, il est retire de l'authentification et ses données personnelles sont supprimees sous 30 jours, sauf ce que la loi nous oblige a conserver. Les sauvegardes sont ecrasees dans un délai de 30 jours.

9. Sécurité

Nous utilisons des mesures techniques et organisationnelles raisonnables, notamment :

• Contrôles d'accès et autorisations basées sur les rôles.
• Chiffrement en transit et contrôles de sécurité des hébergeurs.
• Journalisation et surveillance des activités suspectes.

Aucun service en ligne n'est totalement sécurisé, mais nous améliorons continuellement les contrôles pour réduire les risques.

En cas d'atteinte à la sécurité touchant des renseignements personnels et présentant un risque réel de préjudice grave, nous en informerons les personnes concernees et les autorites competentes (dont le Commissariat à la protection de la vie privee du Canada et, au Québec, la Commission d'acces à l'information) dans les meilleurs delais, et nous dirons ce qui s'est passe, quelles données sont touchees et ce que nous faisons. Nous informerons egalement l'entraîneur responsable de toute équipe concernee.

10. Enfants et mineurs

11. Vos droits

Sous réserve de la loi applicable, vous pouvez demander à :

• Accéder aux renseignements personnels que nous détenons à votre sujet.
• Corriger des renseignements inexacts.
• Demander la suppression des renseignements, là où cela est permis.
• Retirer votre consentement lorsque le traitement en dépend.
• Recevoir vos renseignements personnels dans un format technologique structuré et couramment utilisé (portabilité). Vous pouvez les télécharger vous-même depuis Réglages → Télécharger mes données.
• Déposer une plainte auprès d'une autorité de protection de la vie privée.

Pour exercer vos droits, contactez : contact@thecrib.ca (indiquez « Confidentialité » dans l’objet). Nous répondons dans les 30 jours.

12. Loi 25 du Québec

Pour les questions de confidentialité au Québec, la personne responsable des renseignements personnels est Omed Hossaini. Nous maintenons un processus pour les incidents de confidentialité et fournirons les avis requis par la loi applicable.

12B. Comment nous gérons la confidentialité

• Responsable : la personne nommée à la section 12 répond de la protection des renseignements personnels et approuve ces règles.
• Accès : seul le responsable a accès aux systèmes de production, avec une authentification à deux facteurs. Nous ne consultons les données d’une équipe que pour le support que vous demandez.
• Conservation et destruction : les données d’un compte sont supprimées dans les 30 jours suivant sa suppression; celles d’une équipe, dès que l’équipe est supprimée; la fiche d’un joueur retiré, immédiatement. Les sauvegardes sont écrasées en 30 jours. Les dossiers de facturation des abonnements sont conservés par Stripe ou Apple aussi longtemps que la loi fiscale l’exige.
• Avant d’envoyer des données hors du Québec : nous évaluons chaque fournisseur (ce qu’il reçoit, pourquoi, et comment c’est protégé) et nous acceptons son entente de traitement des données.
• Incidents : chaque incident de confidentialité, même mineur, est inscrit dans un registre, et nous avisons les personnes touchées et la Commission d’accès à l’information lorsqu’il présente un risque de préjudice sérieux.
• Plaintes : écrivez à contact@thecrib.ca avec « Plainte » dans l’objet. Nous confirmons la réception, examinons la demande et répondons par écrit dans les 30 jours. Si notre réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d’accès à l’information du Québec ou au Commissariat à la protection de la vie privée du Canada.

13. Témoins et technologies similaires

Sur le site Web, nous utilisons des témoins (cookies) et le stockage du navigateur pour garder votre session ouverte et retenir vos préférences (thème, équipe, langue). Les outils de mesure d'audience (Firebase Analytics et Vercel Analytics) ne se chargent que si vous les acceptez. L'application iPhone ne contient aucun outil de mesure d'audience. Le détail est dans notre Politique sur les témoins.

14. Modifications de cette Politique

Nous pouvons mettre à jour cette Politique de temps à autre. Si nous apportons des modifications importantes, nous mettrons à jour la date de dernière mise à jour et publierons la version révisée.

15. Contact

Si vous avez des questions ou des demandes concernant la confidentialité, contactez-nous à :