Politique de confidentialité

Dernière mise à jour : 10 octobre 2026

1. Qui est responsable du traitement ?

Le responsable de traitement est NEXTKP SOLUTIONS (SIREN 940 191 000), éditrice de la marque RacePlan, dont le siège social est situé au B5 Salines les Bains, 40 rue des Engagés, 97434 Saint-Paul, La Réunion, France.

Pour toute question relative à tes données personnelles ou pour exercer tes droits, contacte-nous à kpelat.pro@gmail.com.

2. Quelles données collectons-nous sur ce site ?

a) Inscription à la waiting list

Si tu renseignes ton adresse email dans le formulaire de la waiting list (page /blog), nous collectons :

• Ton adresse email.
• La source de l'inscription (page d'origine du formulaire) pour mesurer l'efficacité des canaux.
• La date et l'heure d'inscription (preuve du consentement requise par le RGPD) — horodatage automatique côté prestataire.
• Ton adresse IP au moment de l'envoi (à des fins de sécurité et de lutte contre les inscriptions automatisées).

b) Navigation sur le site

L'hébergeur de ce site (Vercel Inc.) conserve des logs serveur techniques pendant une durée limitée (typiquement 30 jours), incluant l'adresse IP, l'agent utilisateur (navigateur) et l'URL consultée. Ces logs sont utilisés uniquement pour le diagnostic technique et la sécurité de la plateforme — ils ne sont pas exploités à des fins marketing.

Le site utilise également Vercel Analytics, une mesure d'audience agrégée sans cookie ni identifiant individuel (exemptée de consentement au sens des lignes directrices CNIL).

c) Mesure d'audience — Amplitude (avec ton consentement)

Si tu acceptes via la bannière, nous utilisons Amplitudepour comprendre comment le site est utilisé : pages vues, sessions, clics sur les boutons de téléchargement, profondeur de scroll, source d'acquisition (UTM). Amplitude enregistre aussi des replays de session(reconstruction anonymisée de la navigation — les champs de saisie sont masqués par défaut). Ces données sont associées à un identifiant aléatoire, pas à ton identité. Rien n'est chargé tant que tu n'as pas accepté.

d) Publicité — pixel Meta (avec ton consentement)

Si tu acceptes via la bannière, nous chargeons le pixel Meta(Meta Platforms — Facebook/Instagram) à des fins publicitaires : mesurer l'efficacité de nos campagnes et constituer des audiences de reciblage (par exemple, montrer une publicité RacePlan sur Instagram aux personnes ayant consulté une page course). Le pixel dépose des cookies (notamment _fbp) et transmet à Meta des événements de navigation (page vue, page course consultée, clic vers l'App Store). Meta agit alors en responsable conjoint pour ses propres finalités, selon sa politique de confidentialité. Rien n'est chargé tant que tu n'as pas accepté.

e) Vidéos intégrées

Certains articles de blog peuvent intégrer des vidéos YouTube. Nous utilisons le mode YouTube no-cookie (youtube-nocookie.com) qui n'installe aucun cookie tant que tu ne lances pas la lecture. Si tu cliques sur lecture, YouTube (Google LLC) peut alors déposer des cookies — soumis à sa propre politique.

f) Ce que nous ne faisons PAS

• Aucun tracker publicitaire ou d'analytics chargé sans ton consentement explicite— refuser est aussi simple qu'accepter, et ne dégrade rien.
• Aucune vente ni location de données à des tiers.
• Aucune empreinte numérique (fingerprinting) de notre fait, ni recoupement inter-sites autre que celui opéré par Meta si tu as consenti au pixel.

g) Proposition de course (organisateurs)

Si vous remplissez le formulaire de la page Organisateurs, nous collectons :

• vos nom et prénom, votre rôle ou votre structure (association, club, société), votre adresse email et, si vous le donnez, votre numéro de téléphone ;
• les informations sur la course que vous saisissez : nom, date, édition, lieu, formats, liens vers le site officiel et la trace, message ;
• la page d'où vous avez ouvert le formulaire (par exemple la fiche d'une course) ;
• la date et l'heure de l'envoi et la version de cette politique à ce moment-là, comme preuve de votre consentement, ainsi que votre choix pour la seconde case (information sur nos outils pour les organisateurs).

Votre adresse IP est utilisée au moment de l'envoi pour limiter les envois automatisés. Elle n'est pas enregistrée avec votre proposition. Vos coordonnées ne sont jamais publiées. Le nom de la course et ses liens sont des informations publiques : si la course entre au catalogue, ils peuvent apparaître sur sa fiche.

3. À quoi servent ces données ?

Waiting list

Te tenir informé·e de l'ouverture de l'application RacePlan, t'envoyer l'invitation d'accès anticipé et les communications associées (prix de lancement, Race Pack offert). Base légale : ton consentement explicite (article 6.1.a du RGPD), donné en renseignant ton email.

Mesure d'audience (Amplitude)

Comprendre l'usage du site pour l'améliorer : quelles pages convertissent, où les visiteurs décrochent. Base légale : ton consentement via la bannière (article 6.1.a du RGPD et article 82 de la loi Informatique et Libertés).

Publicité (pixel Meta)

Mesurer nos campagnes Facebook/Instagram et recibler les visiteurs intéressés. Base légale : ton consentement via la bannière.

Proposition de course (organisateurs)

Étudier la course proposée en vue de l'ajouter ou de la mettre à jour dans le catalogue, et recontacter la personne qui l'a proposée à ce sujet. Si la seconde case est cochée : présenter les outils que nous préparons pour les organisateurs de course. Base légale : consentement (article 6.1.a du RGPD), donné en cochant la case correspondante. Chaque consentement peut être retiré à tout moment.

Caractère obligatoire

Aucun. Sans email et en refusant la bannière, l'intégralité du contenu du site reste accessible, à l'identique. Pour une proposition de course, le nom de la course, le nom et l'email du contact sont nécessaires pour pouvoir répondre.

4. Combien de temps gardons-nous tes données ?

• Inscription waiting list :jusqu'à l'ouverture de l'application et l'envoi de ton invitation, ou jusqu'à ton retrait. Tu peux demander la suppression à tout instant (voir section 7). Sans action de ta part, ton email est conservé 24 mois maximum après la dernière interaction puis supprimé.
• Proposition de course (organisateurs) : 3 ans à compter du dernier échange avec l'organisateur, puis suppression des coordonnées. Les informations publiques sur la course peuvent rester dans le catalogue. Suppression possible à tout moment sur demande (section 7).
• Logs serveur : 30 jours maximum.
• Choix de consentement (bannière) : stocké en local sur ton navigateur (localStorage), 13 mois maximum avant re-sollicitation. Modifiable à tout moment via « Gérer les cookies ».
• Données Amplitude : conservées selon la politique de rétention configurée sur notre compte, 13 mois maximum.
• Cookies Meta (_fbp) : 90 jours (durée fixée par Meta).

5. À qui sont transmises tes données ?

Nous ne vendons et ne louons aucune donnée à des tiers. Les seuls destinataires sont des prestataires techniques agissant en tant que sous-traitants au sens de l'article 28 du RGPD :

• Hébergeur du site : Vercel Inc.(États-Unis). La région edge est configurée sur Paris (cdg1) — le contenu du site est servi depuis l'Union européenne. Vercel est certifié au cadre Data Privacy Framework UE-États-Unis et signe les clauses contractuelles types de la Commission européenne.
• Gestion de la waiting list :Airtable Inc. (États-Unis). Tes informations d'inscription (email, source, horodatage) sont stockées dans une base Airtable. Airtable est également certifiée au Data Privacy Framework UE-États-Unis.
• Hébergement de l'application et des propositions de course : Railway Corp. (États-Unis). Le serveur applicatif tourne en Europe (Pays-Bas) ; la base de données est hébergée aux États-Unis (Virginie).
• Notifications internes : à chaque proposition, nous recevons une alerte (Telegram, WhatsApp). Elle ne contient ni nom, ni email, ni téléphone, ni le texte du message : seulement les informations sur la course (nom, date, lieu, formats, liens).
• Plateforme d'envoi des emails : prestataire européen (à documenter lors de la mise en service).
• Mesure d'audience : Amplitude, Inc. (États-Unis) — uniquement si tu as consenti. Amplitude est certifiée au cadre Data Privacy Framework UE-États-Unis.
• Publicité : Meta Platforms Ireland Ltd (Irlande) — uniquement si tu as consenti au pixel. Pour les données collectées via le pixel, Meta agit en responsable conjoint puis en responsable de traitement pour ses propres finalités publicitaires ; des transferts vers Meta Platforms, Inc. (États-Unis) sont encadrés par le Data Privacy Framework.

6. Transferts hors Union européenne

Certains de nos sous-traitants et partenaires techniques (Vercel Inc., Airtable, Amplitude, Meta, Railway) sont situés aux États-Unis ou y transfèrent des données. Ces transferts sont encadrés par :

• La certification au cadre Data Privacy Framework UE-États-Unis, pour les sous-traitants qui y adhèrent, reconnu par la Commission européenne comme offrant un niveau de protection adéquat (décision du 10 juillet 2023).
• Les clauses contractuelles types de la Commission européenne signées avec ces sous-traitants en complément.

Aucune donnée personnelle n'est transférée à des sous-traitants situés en dehors de l'Union européenne ou des États-Unis. Si cela devait évoluer, nous t'en informerions et appliquerions les garanties équivalentes prévues par le RGPD.

7. Tes droits

Conformément au RGPD et à la loi française Informatique et Libertés, tu disposes des droits suivants sur tes données personnelles :

• Droit d'accès — obtenir copie des données te concernant.
• Droit de rectification — corriger des données inexactes.
• Droit à l'effacement — demander la suppression de tes données.
• Droit à la limitation — limiter le traitement dans certains cas.
• Droit d'opposition— t'opposer au traitement pour motif légitime.
• Droit à la portabilité — récupérer tes données dans un format structuré (JSON / CSV).
• Droit de retirer ton consentement à tout moment, sans affecter la licéité des traitements antérieurs.
• Droit de définir des directives relatives au sort de tes données après ton décès.

Pour exercer ces droits, écris à kpelat.pro@gmail.com. Nous répondons sous un mois maximum (article 12.3 du RGPD). En cas de doute raisonnable sur ton identité, nous pourrons demander un justificatif.

Si vous nous avez proposé une course, écrivez à la même adresse pour consulter, corriger ou supprimer vos coordonnées. Nous les effaçons sous un mois maximum.

8. Réclamation

Si tu estimes, après nous avoir contactés, que tes droits Informatique et Libertés ne sont pas respectés, tu peux adresser une réclamation à la CNIL :

Commission Nationale de l'Informatique et des Libertés
3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
cnil.fr/fr/plaintes

9. Sécurité

Les communications avec notre site sont chiffrées en transit (HTTPS / TLS 1.2+). Les emails newsletter sont stockés chez un prestataire UE avec chiffrement au repos. L'accès interne aux données est restreint aux personnes habilitées et tracé.

10. Cookies et traceurs

À ta première visite, une bannière te propose d'accepter ou de refuser les traceurs non essentiels. Aucun de ces traceurs n'est chargé avant ton accord, et refuser est aussi simple qu'accepter. Tu peux changer d'avis à tout moment via le lien « Gérer les cookies »en bas de chaque page — la bannière se ré-affiche et ton nouveau choix s'applique immédiatement.

Traceurs soumis à consentement

• Amplitude(mesure d'audience, replays de session) — cookies et stockage local préfixés AMP /amplitude.
• Pixel Meta (publicité, reciblage Facebook/Instagram) — cookie _fbp (90 jours) et appels vers facebook.com.

Exempts de consentement

• rp-analytics-consent (localStorage) — mémorise ton choix de la bannière. Strictement nécessaire, ne trace rien.
• Vercel Analytics— statistiques agrégées sans cookie ni identifiant individuel (exemption CNIL mesure d'audience).
• YouTube no-cookie— aucun cookie tant que tu ne lances pas la lecture d'une vidéo embarquée (cf. section 2.e).

11. Mineurs

Le contenu du site s'adresse à un public adulte. Nous ne collectons pas sciemment de données de personnes de moins de 15 ans sans le consentement des titulaires de l'autorité parentale.

12. Intégration Strava

L'application RacePlan (distincte de ce site marketing) propose une connexion optionnelle au compte Strava de l'utilisateur. Cette section détaille le traitement des données issues de cette intégration. Les données sont affichées Powered by Strava conformément aux directives de la Strava API Agreement.

a) Données collectées via Strava

• Activités sportives— activités récentes (type, date, distance, dénivelé, durée, allure moyenne, fréquence cardiaque), récupérées à la connexion puis re-synchronisées sur une fenêtre glissante de 12 semaines. Utilisées pour calibrer les splits du Race Pack à l'allure personnelle du coureur et détecter automatiquement les courses passées. Conformément à la Strava API Policy, la copie de ces activités est conservée au maximum 7 jours(purge automatique quotidienne) — seules les métriques agrégées qui en sont dérivées (volume hebdomadaire, allures par pente…) persistent tant que l'intégration est active.
• Détail par kilomètre(splits) — pour les 10 activités trail les plus récentes et les plus dénivelées. Utilisés pour construire un modèle de pacing par type de terrain (montée / descente / plat), sans jamais être exposés à d'autres utilisateurs.
• Profil athlète — identifiant numérique Strava uniquement (aucun nom, aucune photo), utilisé pour relier le compte et router les notifications webhook.

b) Finalité et base légale

Les données Strava sont traitées exclusivement pour : (1) personnaliser les allures cibles du Race Pack ; (2) détecter automatiquement les courses passées dans l'historique ; (3) matcher l'activité Strava du jour de course au Race Pack afin d'améliorer les prédictions futures. Les données Strava (y compris leurs dérivés) ne sont jamaistransmises à des modèles d'IA ni utilisées pour en entraîner, conformément à la Strava API Policy, et ne sont jamais visibles par d'autres utilisateurs. Base légale : consentement explicite donné lors de la connexion OAuth Strava, révocable à tout moment.

c) Durée de conservation

• Tokens OAuth Strava— conservés tant que l'intégration est active, chiffrés au repos (AES-256-GCM). Révoqués côté Strava puis supprimésdès la déconnexion via l'app ou via Strava directement.
• Activités importées— cache de 7 jours maximum (purge automatique quotidienne), re-synchronisées depuis l'API tant que l'intégration est active.
• Métriques dérivées(volume, allures par pente, FC observées, courses détectées) — conservées tant que l'intégration est active ; supprimées immédiatement à la déconnexion Strava, à la révocation depuis strava.com ou à la suppression du compte RacePlan.
• Suppression du compte RacePlan— l'accès Strava est révoqué et les données Strava purgées immédiatement ; les données de compte restantes sont définitivement effacées par une purge automatisée quotidienne dans un délai de 30 jours (article 17 du RGPD).

d) Déconnexion et révocation

Tu peux déconnecter Strava à tout moment depuis l'onglet Moi → Intégrationsde l'application. Cette action entraîne la révocation immédiate de l'accès OAuth côté Strava (POST /oauth/deauthorize) et la suppression des tokens, activités importées et métriques dérivées. Tu peux également révoquer l'accès directement depuis les paramètres Strava (strava.com/settings/apps) — l'application détecte cette révocation via webhook et supprime automatiquement l'intégration et l'ensemble des données Strava associées.

Pour toute question sur le traitement de tes données Strava, consulte également la politique de confidentialité de Strava.

13. Modifications de la présente politique

Cette politique peut évoluer pour refléter des changements légaux, techniques ou produit. La date de dernière mise à jour est indiquée en haut de la page. En cas de modification substantielle, nous prévenons les abonné·es de la newsletter par email.