1. Qui sommes-nous
DivePath est une application de gestion destinée aux clubs de plongée affiliés à la FFESSM. Elle permet à chaque club de gérer ses membres, les formations, les fiches de sécurité de plongée, le matériel, les adhésions et la communication interne.
Éditeur de l'application : Sylvain Derouet.
Contact : admin.divepath@gmail.com
2. Responsable de traitement et rôle de DivePath
DivePath est un outil mis à la disposition des clubs de plongée. Dans le cadre du RGPD :
- Le club de plongée auquel un membre est rattaché est le responsable du traitement des données de ses membres : c'est lui qui décide des finalités et collecte les données dans le cadre de l'adhésion.
- L'éditeur de DivePath agit en tant que sous-traitant au sens de l'article 28 du RGPD : il fournit l'outil technique et traite les données pour le compte et selon les instructions des clubs.
- Pour certaines données strictement techniques (compte d'accès, journaux de connexion, jeton de notification), l'éditeur peut agir en tant que responsable de traitement.
3. Données que nous traitons
À l'image du dispositif de la fédération, les informations traitées se répartissent en deux grandes catégories : les données d'identification et les données sportives.
| Catégorie | Exemples |
|---|---|
| Données d'identification | Nom, prénom, date et lieu de naissance, photo de profil |
| Coordonnées | Adresse postale, e-mail, numéros de téléphone |
| Contact d'urgence | Nom et téléphone de la personne à prévenir |
| Données sportives | Niveaux, brevets, formations, compétences validées, participations aux plongées, fiches de sécurité, et existence et date de validité d'un certificat médical d'absence de contre-indication à la pratique |
| Données fédérales | Numéro et statut de licence FFESSM |
| Données d'adhésion | Saison, statut d'adhésion, historique, consentements recueillis |
| Données techniques | Identifiants de compte, journaux de connexion, jeton de notification push |
4. Pourquoi nous traitons ces données (finalités)
- Gérer l'adhésion et l'inscription des membres au club ;
- Assurer la sécurité des plongées (fiches de sécurité, aptitudes, contacts d'urgence) ;
- Suivre les formations, brevets et compétences ;
- Gérer le matériel, les événements et le calendrier du club ;
- Permettre la communication interne du club (messagerie, notifications) ;
- Assurer le fonctionnement technique et la sécurité de l'application.
5. Bases légales
- Exécution du contrat d'adhésion (art. 6.1.b) pour la gestion de l'adhésion et des activités du club ;
- Pour la vérification d'un certificat d'absence de contre-indication : nécessité liée à la sécurité de la pratique sportive et consentement du membre ;
- Consentement (art. 6.1.a) pour l'utilisation de l'image et les communications facultatives ;
- Obligation légale ou intérêt légitime pour certaines déclarations fédérales et pour la sécurité de l'application.
6. Qui a accès aux données (destinataires)
Les données sont accessibles aux personnes habilitées du club (dirigeants, encadrants, gestionnaires), strictement dans la limite de leurs fonctions. DivePath s'appuie sur des prestataires techniques agissant comme sous-traitants :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Supabase | Hébergement de la base de données et des fichiers | Union européenne (Irlande) |
| OVHcloud | Sauvegarde des fichiers (documents et pièces jointes) | Union européenne (France, Paris) |
| Brevo | Envoi des e-mails transactionnels | Union européenne (France) |
| Expo | Acheminement des notifications push (stockage du jeton de notification ; le contenu de la notification n'est pas conservé) | États-Unis, encadré par le Data Privacy Framework UE–États-Unis |
La transmission éventuelle du certificat d'aptitude à la FFESSM relève de la seule initiative du club ; lorsqu'il y procède, il recueille au préalable le consentement du membre. DivePath n'assure pas cette transmission.
Les données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires.
7. Où sont hébergées les données
Les données sont hébergées au sein de l'Union européenne : la base de données et les fichiers sont hébergés chez Supabase (Irlande), et les sauvegardes des fichiers chez OVHcloud (France, Paris).
Seule exception : l'acheminement des notifications push repose sur le service Expo, dont les serveurs sont situés aux États-Unis. Ce transfert se limite au jeton de notification et est encadré par le Data Privacy Framework UE–États-Unis. Le contenu des notifications n'est pas conservé par ce service, et DivePath veille à n'y inclure aucune information sensible.
8. Durée de conservation
Les données d'un membre sont conservées pendant toute la durée de son adhésion au club. Après son départ, elles sont supprimées deux ans après la sortie, sauf demande de suppression anticipée formulée par le membre, à laquelle il est donné suite dans les meilleurs délais.
- La copie d'un certificat médical déposée pour vérification est supprimée automatiquement sous 7 jours ; seules l'aptitude et sa date de validité sont conservées le temps de l'adhésion.
- Les fiches de sécurité de plongée sont conservées au maximum deux ans, puis purgées.
- Les données dont la conservation reste nécessaire mais qui ne peuvent être supprimées sont anonymisées, de sorte qu'elles ne permettent plus d'identifier la personne concernée.
À titre de repère, la FFESSM conserve les données sportives, dont l'enregistrement des certificats médicaux, pendant 30 ans à compter de la dernière licence. DivePath retient une approche volontairement plus limitée, conforme au principe de minimisation.
9. Mineurs
DivePath peut traiter des données de membres mineurs, dans le cadre de leur adhésion à un club de plongée. Le traitement de ces données suppose l'autorisation du ou des titulaires de l'autorité parentale. Les informations relatives à l'aptitude médicale des mineurs bénéficient de la même prudence que celles des adultes.
10. Vos droits
Conformément au RGPD, toute personne concernée dispose des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données. Ces droits s'exercent auprès du club responsable de traitement, ou en écrivant à admin.divepath@gmail.com. Ils peuvent notamment s'exercer directement depuis l'application, où chaque membre accède à ses données après authentification.
Toute personne peut également introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), www.cnil.fr.
11. Sécurité
DivePath met en œuvre des mesures techniques et organisationnelles pour protéger les données : contrôle d'accès par rôle, cloisonnement des données par club, chiffrement des échanges, et hébergement sur une infrastructure sécurisée au sein de l'Union européenne.
12. Modifications
La présente politique peut être mise à jour. La date de dernière mise à jour figure en haut de cette page. En cas de modification substantielle, les utilisateurs en seront informés par les moyens habituels de communication du club.