Politique de confidentialité

Auprès des gérants de salle (vous) :

• Adresse e-mail et mot de passe haché (nous ne voyons jamais votre mot de passe en clair).
• Nom de la salle, identifiant d'URL, fuseau horaire, capacité par défaut — les données que vous saisissez lors de la configuration initiale.
• Les éléments que vous créez : séances, formules, packs, coachs, comptes membres.
• Les clés d'API que vous créez : leur nom, les établissements qu'elles lisent, qui les a créées et quand, leur dernière utilisation et le nombre d'appels de chaque jour. La clé elle-même n'est conservée que sous forme d'empreinte (SHA-256) : nous ne pouvons plus l'afficher.

Auprès de vos membres, pour votre compte :

• Adresse e-mail et mot de passe haché.
• Historique des réservations, annulations tardives et absences, consommation des formules et des packs.
• Avertissements enregistrés lorsque les règles d'annulation tardive ou de pénalité se déclenchent.
• Si vous choisissez de payer votre salle par prélèvement SEPA et qu'elle prélève par sa propre banque : le nom et l'adresse postale du titulaire du compte, l'IBAN et le BIC, le lieu de signature, et les preuves du mandat — sa référence, sa date de signature, l'adresse IP et l'identifiant de l'app (user agent) depuis lesquels il a été signé, l'adresse e-mail à laquelle le code de signature à usage unique a été envoyé et l'heure de sa confirmation, la version du texte du mandat que vous avez acceptée, et une copie du mandat signé tel qu'il vous a été présenté, avec l'empreinte (SHA-256) de cette copie et celle de l'IBAN (ou, pour un mandat papier signé à l'accueil, ce que votre salle en saisit). Nous vous envoyons cette copie en PDF par e-mail à la signature. L'IBAN est chiffré dans notre base de données ; seuls ses quatre derniers caractères sont affichés.
• Si votre salle prélève via son compte Stripe : vous saisissez votre IBAN sur la page sécurisée de Stripe, ouverte depuis l'app dans votre navigateur, et Stripe le collecte et le conserve, pour le compte de votre salle. Nous ne recevons jamais l'IBAN. Nous ne conservons que des références : les identifiants Stripe de votre fiche client, de votre moyen de paiement et de votre mandat sur le compte Stripe de votre salle, la référence du mandat, la date et l'heure de votre acceptation ainsi que l'adresse IP et l'identifiant de navigateur enregistrés par Stripe, les quatre derniers caractères de l'IBAN, le pays et le code de la banque, et le nom du titulaire du compte. La preuve de votre signature est l'enregistrement du mandat par Stripe.

Des personnes qui réservent une séance d'essai ou un drop-in depuis le lien d'une salle, pour le compte de cette salle :

• Nom, adresse e-mail, numéro de téléphone, et ce qu'elles indiquent de leur pratique (jamais pratiqué, un peu, dans une autre salle).
• Le cours réservé, leur présence (telle que la salle l'indique), la note qu'elles donnent ensuite, et le suivi de la salle : un appel noté, une inscription.
• Leurs choix sur les offres de la salle, pour l'e-mail et pour le téléphone séparément : la date de l'accord, la formulation exacte affichée, le formulaire d'origine, la date de confirmation depuis notre e-mail, et la date de retrait.
• L'adresse IP du formulaire sert uniquement à limiter les tentatives répétées, en mémoire, et n'est pas conservée.

Ce que nous ne collectons pas :

• Les numéros de carte — les cartes sont saisies sur les pages hébergées par Stripe et traitées par Stripe (PCI DSS niveau 1). Ce qui entre dans notre base par paiement en ligne : les références de transaction Stripe, le montant, l'état du paiement, et la marque et les quatre derniers chiffres de la carte, pour que votre salle reconnaisse le paiement.
• Les données de santé, les données biométriques, ni quoi que ce soit en dehors du parcours de réservation.
• Les traceurs tiers — pas de pixel Facebook, pas de Google Analytics, pas de cookies publicitaires.

Nous réalisons nos propres statistiques d'usage, stockées sur nos serveurs et partagées avec personne : pages visitées et actions effectuées, avec adresse IP et identifiant de navigateur, rattachées à une session et, si vous êtes connecté, à votre compte. Elles servent à faire fonctionner et améliorer le service ; le contenu des formulaires est filtré et les mots de passe ne sont jamais enregistrés.

• Contrat — comptes, réservations, abonnements et paiements : traitements nécessaires au service que vous ou votre salle avez souscrit.
• Contrat — coordonnées bancaires et mandat de prélèvement SEPA : nécessaires pour prélever les paiements d'abonnement de votre salle, mode de paiement que vous avez choisi. Ils ne servent à rien d'autre.
• Contrat — une réservation de séance d'essai ou de drop-in, et les e-mails qui la confirment, la rappellent ou signalent un cours manqué.
• Consentement — les offres d'une salle par e-mail, et les appels à leur sujet : chacun accepté séparément, enregistré avec sa preuve, et révocable à tout moment. L'accord pour les appels vaut douze mois.
• Intérêt légitime de la salle — l'e-mail qui suit une séance d'essai ou un drop-in pour demander comment s'est passé le cours.
• Obligation légale — factures et pièces comptables (code de commerce).
• Intérêt légitime — sécurité, diagnostic d'erreurs, statistiques d'usage internes.

Six sous-traitants, chacun pour une tâche :

• Stripe (paiements, y compris les prélèvements SEPA des salles qui prélèvent via Stripe) — Stripe Payments Europe, Limited (Irlande), avec des traitements aux États-Unis. Pour un paiement à votre salle, Stripe agit pour le compte de la salle, titulaire du compte Stripe ; Stripe est aussi responsable de traitement indépendant pour ses propres finalités, comme la prévention de la fraude, les contrôles de lutte contre le blanchiment et ses autres obligations légales. Les transferts s'appuient sur le Data Privacy Framework UE-US et les clauses contractuelles types.
• OVH (hébergement) — OVH SAS, France. Les données restent dans l'UE.
• Scaleway (stockage de fichiers — le logo de ta salle, et l'export que nous conservons avant de supprimer les données d'une salle résiliée) — Scaleway SAS, France. Les données restent dans l'UE et ne sont jamais lues autrement que par nos propres serveurs.
• SMTP2GO (e-mails transactionnels) — Sand Dune Mail Ltd, Nouvelle-Zélande. La Nouvelle-Zélande bénéficie d'une décision d'adéquation de l'UE.
• Google (Firebase Cloud Messaging — notifications sur Android) — Google Ireland Limited (Irlande), avec un traitement par Google LLC aux États-Unis. Reçoit le jeton de notification de l'appareil ainsi que le titre et le texte de chaque notification. Les transferts s'appuient sur le Data Privacy Framework UE-US et les clauses contractuelles types.
• Apple (Apple Push Notification service — notifications sur iOS) — Apple Inc., États-Unis. Reçoit le jeton de notification de l'appareil ainsi que le titre et le texte de chaque notification. Les transferts s'appuient sur le Data Privacy Framework UE-US.

C'est la liste complète. Le suivi d'erreurs est auto-hébergé sur notre propre infrastructure — aucun service tiers ne voit les données de plantage.

Lorsque votre salle prélève par sa propre banque, les coordonnées bancaires ne sont transmises à aucun de ces sous-traitants. Votre salle voit le nom et l'adresse du titulaire et les quatre derniers caractères du compte dans son back-office, et les coordonnées complètes uniquement dans le fichier de prélèvement qu'elle télécharge et remet à sa propre banque, qui encaisse le paiement. Lorsqu'elle prélève via Stripe, vous communiquez vos coordonnées bancaires directement à Stripe, sur sa page, et votre salle ne voit dans wodloop que le nom du titulaire, le pays de la banque et les quatre derniers caractères du compte. Les e-mails et notifications liés à un prélèvement n'affichent que les quatre derniers caractères.

Strictement pour faire fonctionner le service :

• Vous authentifier, vous et vos membres.
• Afficher les plannings, gérer les réservations et appliquer les règles d'annulation tardive et d'absence que vous configurez.
• Envoyer les e-mails transactionnels — confirmations, réinitialisations de mot de passe, notifications de réservation.
• Facturer à votre salle l'abonnement wodloop (lorsque cette fonctionnalité sera activée).
• Préparer les prélèvements SEPA de votre salle pour les membres qui choisissent ce mode de paiement — le mandat, l'avis avant chaque prélèvement, et soit le fichier de remise que votre salle transmet à sa banque, soit les prélèvements transmis via son compte Stripe.
• Envoyer, pour le compte d'une salle et en son nom, les e-mails qui entourent une séance d'essai ou un drop-in : la demande de confirmation, la confirmation et le rappel, le retour sur le cours, et l'invitation de la salle à la rejoindre, uniquement aux personnes qui l'ont acceptée. Chacun contient un lien qui les arrête. Wodloop n'y ajoute aucun suivi d'ouverture ni de clic.
• Diagnostiquer les anomalies à partir des journaux d'erreurs côté serveur.

Nous ne vendons, ne louons et ne partageons pas vos données à des annonceurs. Nous n'entraînons aucun modèle d'IA sur vos données.

PostgreSQL hébergé chez OVH en France — vos données restent dans l'UE, sauf mention contraire pour un sous-traitant ci-dessus. Chiffrées en transit. Le suivi d'erreurs est auto-hébergé : ses rapports excluent le contenu des formulaires et les champs identifiants, mais un rapport d'erreur côté serveur peut contenir le message technique de l'erreur, qui peut citer les données traitées à ce moment. Ces rapports restent sur nos serveurs et sont supprimés 90 jours après la dernière occurrence de l'erreur.

Les IBAN des membres sont en outre chiffrés dans la base elle-même (AES-256-GCM), chacun lié à son mandat, avec une clé conservée en dehors de celle-ci : une copie de la base seule ne révèle le numéro de compte d'aucun membre. L'IBAN de la salle, le compte crédité des prélèvements de ses membres, figure dans chaque fichier qu'elle envoie à sa banque et est conservé en clair.

Deux cookies, tous deux strictement nécessaires — aucun n'est destiné au suivi :

• _wodloop_session — votre session de connexion. Supprimé à la déconnexion.
• cldr_locale — mémorise si vous avez choisi le français ou l'anglais.

Wodloop ne s'adresse pas aux enfants. Les salles ne peuvent pas inscrire de membres de moins de 16 ans sans le consentement légal d'un représentant — cette responsabilité incombe à la salle en tant que responsable de traitement, et nous supprimons le compte d'un mineur à la demande d'un représentant.

Si vous résidez dans l'Union européenne ou l'EEE, vous disposez des droits suivants :

• Accès — obtenir une copie de vos données.
• Rectification — faire corriger toute donnée inexacte.
• Effacement — fermer votre compte, dans l'app ou sur wodloop.com/account-deletion. Vos nom, e-mail, téléphone et date de naissance sont effacés immédiatement ; ce que la loi ou les registres de votre salle imposent de conserver (factures : 10 ans) reste rattaché à un identifiant anonyme uniquement. Fermer votre compte révoque aussi vos mandats de prélèvement et met fin immédiatement à vos abonnements : plus rien n'est prélevé ni renouvelé ; les coordonnées bancaires et les preuves de signature d'un mandat sont ensuite conservées pendant la durée indiquée à la rubrique Durées de conservation.
• Portabilité — récupérer vos données dans un format lisible par machine.
• Opposition et limitation — restreindre certains usages.
• Retirer son consentement — à tout moment : le lien présent dans chaque e-mail d'une salle retire tous les accords donnés à cette salle et arrête ses e-mails ; vous pouvez aussi le demander à la salle.

Pour exercer l'un de ces droits, écrivez à privacy@wodloop.com. Nous répondons sous 30 jours.

Pour les données que les membres de votre salle nous confient, votre salle est responsable du traitement et wodloop en est le sous-traitant — de la même manière que Salesforce traite les données pour le compte de ses clients. Vous décidez de ce qui est collecté, à quelle fin et pour quelle durée. Nous les traitons sur vos instructions et conformément à la présente politique.

Il en va de même pour les personnes qui réservent une séance d'essai ou un drop-in depuis le lien d'une salle : la salle est responsable du traitement, wodloop sous-traitant. Le contrat qui les lie figure dans nos conditions d'utilisation.

Le propriétaire d'une salle peut lire ses chiffres depuis ses propres outils avec une clé d'API : des nombres, des taux et des montants, et le planning des cours avec le nom de leurs coachs, jamais le nom, les coordonnées ou les paiements d'un membre. Ce que la salle copie dans ses outils relève ensuite de sa propre responsabilité.

Si vous souhaitez un accord de sous-traitance (DPA), écrivez à legal@wodloop.com.

• Comptes actifs : conservées tant que le compte est actif.
• Comptes membres fermés : anonymisés immédiatement — nom, e-mail, téléphone et date de naissance effacés, toutes les sessions et inscriptions aux notifications révoquées. Les réservations, abonnements, paiements et factures sont conservés sous un identifiant anonyme pendant la durée légale (factures et pièces comptables : 10 ans, code de commerce). Les résultats d'entraînement sont conservés anonymisés, sans leurs notes libres.
• Salles qui ne renouvellent pas leur abonnement : leurs données sont conservées 90 jours après la fin de l'abonnement, puis supprimées, à l'exception des factures et pièces légales (10 ans) et des mandats de prélèvement SEPA, qui suivent leur propre règle ci-dessous. Une copie exportée lors de la suppression est conservée 30 jours, puis supprimée.
• Mandats de prélèvement SEPA : les coordonnées bancaires et les preuves de signature sont conservées tant que le mandat est en vigueur, puis supprimées 16 mois après sa fin ou après la date d'échéance de son dernier prélèvement, selon la date la plus tardive — le délai pendant lequel un prélèvement peut encore être contesté et pendant lequel la banque de votre salle peut lui demander de prouver le mandat. Un mandat prend fin lorsque vous ou votre salle le révoquez (dans l'app : Abonnement → Prélèvement SEPA), lorsque vous en signez un nouveau, lorsque votre banque refuse un prélèvement parce que le compte ne peut pas être débité, lorsque vous fermez votre compte, lorsque votre salle quitte Wodloop, ou après 36 mois sans prélèvement. Avant de quitter Wodloop, votre salle peut télécharger ses mandats, pour les conserver elle-même pendant la même durée.
• Mandats de prélèvement SEPA via Stripe : les références que nous conservons suivent la même règle ; chaque prélèvement est aussi enregistré comme un paiement, conservé comme vos autres paiements. Stripe conserve vos coordonnées bancaires selon sa propre politique de confidentialité.
• Personnes ayant réservé une séance d'essai ou un drop-in sans devenir adhérents : anonymisées trois ans après leur dernier contact avec la salle (une réservation, une note, un accord donné, une connexion). La preuve de leurs accords reste attachée à l'enregistrement anonymisé. L'accord pour les appels cesse de valoir après douze mois. Une réservation non confirmée depuis notre e-mail est libérée au bout d'une heure au plus.
• Votre acceptation des conditions de vente de votre salle (quelle version, quand, par quel moyen) : conservée comme preuve pour votre salle tant que votre contrat avec elle court. Elle est supprimée cinq ans après votre dernier achat chez elle, ou après l'acceptation si vous n'avez rien acheté. La fermeture de votre compte la conserve, rattachée à un identifiant anonyme.
• Les clés d'API d'une salle, révoquées comprises, et leur nombre d'appels par jour : conservés tant que la salle est sur wodloop, supprimés avec ses données.
• Rapports d'erreur : 90 jours après la dernière occurrence de l'erreur.
• Journaux serveur : 30 jours.

En cas de modification substantielle de la présente politique, les gérants titulaires d'un compte reçoivent un e-mail ainsi qu'un avis sur le tableau de bord à leur connexion suivante. La date de « dernière mise à jour » en haut de cette page correspond toujours à la version en vigueur.

Questions relatives à la confidentialité : privacy@wodloop.com. Assistance générale : support@wodloop.com.