Qui est responsable de vos données

Spody est édité et exploité par Forge & Co SAS, société par actions simplifiée au capital de 1 200 €, immatriculée au registre du commerce et des sociétés de Brive-la-Gaillarde sous le numéro 993 661 453, dont le siège social est situé 503 route de Ménoire, 19490 Sainte-Fortunade, France (numéro de TVA intracommunautaire FR 62 993 661 453). Forge & Co SAS est le responsable du traitement des données personnelles décrites ici. Pour toute question ou demande relative à vos données, écrivez à contact@spodyapp.com ou à l’adresse postale ci-dessus. Nous n’avons pas désigné de délégué à la protection des données, n’y étant pas tenus.

Spody est réservé aux majeurs

Spody est réservé aux personnes âgées de 18 ans ou plus. Votre date de naissance vous est demandée à l’inscription uniquement pour faire respecter cette règle : la vérification est effectuée sur nos serveurs et un compte qui ne la satisfait pas ne peut pas être finalisé. Votre date de naissance n’apparaît jamais sur votre profil et n’est jamais montrée aux autres utilisateurs. Nous ne traitons pas sciemment les données de personnes de moins de 18 ans — si vous pensez qu’un mineur a créé un compte, signalez-le-nous et nous le supprimerons.

Les données que nous collectons

Nous ne collectons que ce dont Spody a besoin pour fonctionner. Concrètement :

Compte — votre adresse e-mail et votre mot de passe, ou l’identifiant, l’adresse e-mail, le nom et la photo transmis par Apple ou Google si vous utilisez leur connexion ; votre nom affiché ; votre date de naissance (vérification d’âge uniquement) ; une photo de profil facultative.
Sports — les sports que vous pratiquez et, si vous le souhaitez, votre niveau pour chacun.
Activités et participation — les activités que vous proposez ou rejoignez, avec leur titre, description, sport, point de rendez-vous (nom du lieu, adresse et coordonnées que vous choisissez), horaires de début et de fin, niveau, capacité et mode d’inscription ; les demandes, acceptations, refus, départs et confirmations de présence.
Messages — les messages que vous envoyez dans la discussion de groupe d’une activité.
Coordination du rendez-vous — une courte note facultative expliquant comment vous reconnaître et, si vous en renseignez un, un numéro de téléphone. Le partage du numéro est désactivé par défaut : il n’est révélé que si vous l’activez, uniquement aux personnes ayant rejoint la même activité, et seulement autour de l’heure du rendez-vous.
Objectifs — les objectifs d’entraînement que vous rejoignez, avec la zone, le niveau, les disponibilités et la date cible que vous indiquez, ainsi que vos notes éventuelles.
Séances de sport et données de santé — les séances que vous enregistrez vous-même et, uniquement si vous activez explicitement l’import, les séances lues depuis Apple Santé ou Android Health Connect (type d’activité, date, durée, distance). Voir la section dédiée ci-dessous.
Localisation — la position de votre appareil, si vous l’autorisez. Voir la section dédiée ci-dessous.
Sécurité et modération — les utilisateurs que vous bloquez, les signalements que vous envoyez ou qui vous concernent (y compris le texte libre), et les décisions prises par nos modérateurs.
Appareils et notifications — pour les notifications push : un jeton d’appareil, la plateforme (iOS, Android, web), un nom d’appareil pour que vous le reconnaissiez dans la liste de vos sessions, et la date de dernière utilisation ; ainsi que les notifications générées pour vous dans l’application.
Données techniques — les données d’authentification, de sécurité et de prévention des abus nécessaires au fonctionnement du service (par exemple les événements de connexion et les compteurs anti-abus). Pour la réinitialisation de mot de passe, nous ne conservons qu’une empreinte de l’adresse e-mail, jamais l’adresse elle-même.

Localisation : ce qui est utilisé, ce qui est conservé

Spody utilise la localisation de la façon la plus limitée possible. La position de votre appareil n’est demandée que lorsque l’application est ouverte et que vous l’autorisez — il n’y a aucun suivi en arrière-plan, et un refus n’empêche jamais de s’inscrire ni d’utiliser l’application.

La position de votre appareil est utilisée en direct, sur votre appareil, pour centrer la carte, classer les activités par distance et orienter la recherche d’adresses. Nous ne la stockons jamais sur nos serveurs.
Les lieux qui sont enregistrés sont les points de rendez-vous que vous saisissez volontairement en créant une activité, ainsi que la zone d’un objectif. Choisissez un point de rendez-vous public plutôt que votre domicile.
Sur les pages publiques — les pages d’activité de ce site, visibles sans compte — le point de rendez-vous est volontairement flouté : il est décalé de 100 à 400 mètres et affiché comme une zone approximative. Le point exact n’est révélé qu’aux utilisateurs connectés.

Données de santé

Si — et seulement si — vous activez l’import, Spody lit vos séances dans Apple Santé ou Android Health Connect pour alimenter votre historique sportif. Nous lisons le type d’activité, la date, la durée et la distance. Nous ne lisons ni ne conservons aucun tracé GPS, et nous n’écrivons jamais rien dans ces applications. Ces informations constituent des données de santé au sens de l’article 9 du RGPD : nous les traitons donc sur le seul fondement de votre consentement explicite, que vous pouvez retirer à tout moment dans les réglages de votre appareil ou en supprimant les séances importées. Ne pas activer l’import, ou le désactiver, laisse toutes les autres fonctions de Spody parfaitement utilisables.

Pourquoi nous utilisons vos données, et sur quelle base

Conformément au RGPD, chaque usage repose sur une base légale :

L’exécution de notre contrat avec vous — créer et gérer votre compte, afficher les activités proches, vous permettre de les proposer, de les rejoindre et de les organiser, faire fonctionner les discussions et envoyer les notifications liées à ces actions.
Votre consentement — la localisation, les notifications push, l’import des séances depuis Santé, la révélation de votre numéro de téléphone aux participants, et toute future lettre d’information. Vous pouvez retirer chacun de ces consentements à tout moment, sans remettre en cause la licéité des traitements déjà effectués.
Notre intérêt légitime — garder Spody sûr et utilisable : prévenir les abus et le spam, traiter les blocages et les signalements, modérer les contenus, sécuriser les comptes et corriger les anomalies. Cet intérêt a été mis en balance avec vos droits et les données limitées en conséquence.
Le respect de nos obligations légales — répondre aux demandes légitimes des autorités et conserver les éléments que la loi impose de conserver.

Ce que les autres utilisateurs voient

Spody est une application sociale : une partie de vos données est donc visible par d’autres — mais le périmètre est volontairement restreint.

Votre nom affiché, vos sports et votre historique sportif public sont visibles par les utilisateurs connectés.
Votre photo de profil n’est visible que par les personnes ayant rejoint la même activité que vous.
Votre date de naissance et votre adresse e-mail ne sont jamais affichées aux autres utilisateurs.
Votre numéro de téléphone n’est jamais affiché sauf si vous activez explicitement le partage, et dans ce cas uniquement aux participants de l’activité concernée, autour de l’heure du rendez-vous.
Ce que vous écrivez — descriptions d’activité, messages, notes de rendez-vous — est visible par les personnes concernées par l’activité. Considérez ces espaces comme publics.

Avec qui nous partageons vos données

Nous ne vendons jamais vos données personnelles et ne les partageons jamais avec des annonceurs. Nous faisons appel à un petit nombre de prestataires, qui agissent en qualité de sous-traitants dans le cadre de contrats conformes à l’article 28 du RGPD :

Supabase — base de données, authentification, stockage de fichiers et backend, hébergés dans l’Union européenne (région Europe de l’Ouest). C’est là que résident vos données Spody.
Mapbox — cartes, recherche d’adresses et géocodage inverse. Mapbox reçoit les requêtes de carte et de recherche émises par votre appareil, ainsi que les données techniques qui leur sont inhérentes.
Google (Firebase Cloud Messaging) — acheminement des notifications push sur mobile. Reçoit le jeton de votre appareil et le contenu de la notification. Les notifications push ne contiennent jamais le corps d’un message de discussion.
Apple et Google — uniquement si vous utilisez « Se connecter avec Apple » ou « Se connecter avec Google ».
Resend — envoi de nos e-mails transactionnels (code de vérification, réinitialisation de mot de passe, décisions de modération).
OVH SAS — hébergement de ce site web en France.

Ce que nous ne faisons pas

Pas de publicité, pas de vente ni de location de vos données, pas de revente à des courtiers en données. Spody ne contient aucun SDK publicitaire ni aucun SDK d’analyse ou de pistage et ne construit aucun profil publicitaire. Ce site web ne dépose aucun cookie et n’exécute aucun script de mesure d’audience ou de gestion de balises — c’est pourquoi vous ne voyez pas de bandeau cookies. Aucune décision produisant des effets juridiques à votre égard n’est prise de manière exclusivement automatisée.

Transferts hors de l’Union européenne

Les données de votre compte Spody et ce site web sont hébergés dans l’Union européenne. Certains des prestataires listés ci-dessus (Mapbox, Google, Apple et Resend) sont établis aux États-Unis ou peuvent y traiter des données. Ces transferts sont encadrés par les garanties appropriées exigées par le chapitre V du RGPD — les clauses contractuelles types de la Commission européenne et/ou une certification au titre du cadre de protection des données UE–États-Unis.

Combien de temps nous conservons vos données

Nous conservons vos données tant que votre compte est ouvert, puis :

Lorsque vous supprimez votre compte, votre profil, vos activités, vos participations, vos messages, vos sports, vos objectifs, vos blocages et vos signalements sont définitivement supprimés, de même que votre photo de profil. Il s’agit d’une véritable suppression, pas d’une désactivation.
Un contenu que vous supprimez dans l’application (une activité, un message) est d’abord masqué pour tout le monde, puis effacé lors de nos purges régulières. Un message supprimé s’affiche « Message supprimé » et son contenu n’est plus montré.
Les éléments de modération et de sécurité peuvent être conservés après la suppression de votre compte, dépersonnalisés lorsque c’est possible, le temps nécessaire à la protection des autres utilisateurs et à la défense de nos droits.
Les journaux techniques et de sécurité sont conservés pour une durée limitée, n’excédant pas douze mois.

Vos droits

Le RGPD vous donne le droit d’accéder à vos données, de les faire rectifier, de les faire effacer, d’en limiter le traitement ou de vous y opposer, de les recevoir dans un format portable et de retirer votre consentement à tout moment. Plusieurs de ces droits s’exercent directement dans l’application : modifier votre profil, supprimer vos contenus, gérer vos appareils connectés et supprimer définitivement votre compte depuis les réglages. Pour le reste, écrivez à contact@spodyapp.com — nous répondons sous un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de votre autorité de contrôle ; en France, la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).

Sécurité

Les données sont chiffrées en transit (HTTPS/TLS) et au repos chez notre hébergeur. Les accès sont contrôlés ligne à ligne dans la base de données, de sorte qu’un utilisateur ne peut lire que ce à quoi il a droit. Les mots de passe ne sont jamais stockés en clair, les codes de vérification e-mail sont stockés sous forme d’empreinte, et vous pouvez à tout moment consulter vos appareils connectés et les déconnecter à distance. Aucun système n’est parfaitement sûr ; en cas de violation susceptible d’engendrer un risque élevé pour vos droits, nous vous en informerons ainsi que la CNIL, comme la loi l’exige.

Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter les évolutions de l’application ou de la réglementation. La nouvelle version est publiée sur cette page avec une date actualisée, et toute modification significative est annoncée dans l’application avant son entrée en vigueur.

Une question sur cette politique ? Écrivez-nous à contact@spodyapp.com.

Politique de confidentialité