Protection des données
Politique de confidentialité
Dernière mise à jour : 11 juin 2026
ESS Fan Zone attache une importance particulière à la protection des données personnelles de ses utilisateurs. La présente politique décrit, en toute transparence, les données réellement collectées par la plateforme, les finalités de leur traitement, les prestataires qui y accèdent, vos droits et la manière de les exercer. Elle est rédigée au regard de la loi organique tunisienne n° 2004-63 du 27 juillet 2004 et, pour les utilisateurs résidant dans l’Union européenne, du RGPD (UE) 2016/679.
Article 1.Responsable de traitement
- Identité :
- Haythem Tahar — ESS Fan Zone, projet indépendant dédié aux supporters de l’Étoile Sportive du Sahel
- Localisation :
- Sousse, Tunisie
- Contact données personnelles :
- [email protected]
Article 2.Données personnelles collectées
Nous ne collectons que les données nécessaires au fonctionnement du service. Aucune donnée n’est achetée à des tiers ni collectée à votre insu.
| Catégorie | Données | Origine |
|---|---|---|
| Identification | Nom, prénom, adresse email, téléphone (optionnel), date d’inscription | Saisies à l’inscription |
| Authentification | Mot de passe (haché bcrypt, jamais lisible), jetons de session, codes OTP temporaires ; en cas de connexion Google : identifiant technique Google uniquement | Générées par le système |
| Profil | Avatar, sections sportives suivies, préférences d’affichage et de notification | Saisies par vous |
| Transactions | Commandes, billets, transferts de billets entre comptes, abonnements, mouvements du wallet, points Stars | Générées par vos achats et votre activité |
| Livraison et cadeau | Adresse de livraison (pays, ville, adresse, code postal, téléphone) ; coordonnées du destinataire pour une commande cadeau | Saisies au moment de la commande |
| Support | Messages envoyés via le formulaire de contact ou par email, et nos réponses ; justificatifs joints à une demande de remboursement | Saisies par vous |
| Journaux de sécurité | Adresse IP, navigateur (user-agent), horodatage des actions sensibles (journal d’audit) ; pour le recueil des consentements, l’adresse IP est enregistrée sous forme hachée (irréversible) | Collectées automatiquement |
| Activité du compte | Horodatages de dernière connexion et de dernière activité (granularité 5 minutes) — exploitation et sécurité du service, jamais de contenu de navigation | Collectées automatiquement |
Article 3.Finalités du traitement
- Gestion du compte : création, authentification, vérification d’email, support.
- Exécution du contrat : commandes, livraison, billetterie, abonnements, remboursements.
- Programme de fidélité Fan Card : calcul des Stars, suivi de niveau.
- Wallet : gestion du solde, traçabilité comptable (registre append-only), prévention de la fraude.
- Communication : emails transactionnels (confirmation, sécurité du compte) et, uniquement avec votre consentement, communications marketing.
- Sécurité : détection d’activités suspectes, protection anti-bot, journal d’audit des actions d’administration.
- Statistiques agrégées et anonymes d’utilisation. Aucune décision individuelle automatisée n’est prise sur la base de vos données.
Article 4.Bases légales
- Exécution du contrat :
- Compte, commandes, billets, abonnements, wallet, support.
- Obligation légale :
- Conservation des pièces comptables, prévention de la fraude.
- Intérêt légitime :
- Sécurité du service, prévention des abus, amélioration du produit via des statistiques agrégées.
- Consentement :
- Communications marketing, cookies non essentiels. Retirable à tout moment (bannière cookies ou Mon compte).
Article 5.Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles sont traitées par les prestataires techniques suivants, chacun pour une finalité précise :
| Prestataire | Finalité | Localisation |
|---|---|---|
| Hetzner Online GmbH | Hébergement de l’application, de l’API et de la base de données | Allemagne (UE) |
| Cloudflare, Inc. | CDN, DNS, protection anti-bot (Turnstile), acheminement des emails entrants | USA |
| Cloudinary Ltd. | Hébergement des médias (avatars, photos produits) | USA |
| Resend, Inc. | Envoi des emails transactionnels — dans nos journaux internes, votre adresse est pseudonymisée (empreinte HMAC) | USA |
| Sentry (Functional Software, Inc.) | Suivi des erreurs techniques — les mots de passe, jetons et données sensibles sont expurgés avant tout envoi | USA |
| Google LLC | Connexion « Continuer avec Google » (optionnelle) — seul un identifiant technique est conservé, jamais votre mot de passe Google | USA |
| Konnect Networks / Stripe | Traitement des paiements par carte — applicable à l’activation des achats en ligne ; aucune donnée de carte ne transite par nos serveurs | Tunisie / USA |
Article 6.Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et profil | Tant que le compte existe (voir article 7 pour la suppression) |
| Jetons de session | 15 minutes (accès) / 7 jours (rafraîchissement) |
| Codes OTP | 10 minutes |
| Journaux d’envoi d’emails (adresse pseudonymisée) | 30 jours |
| Sessions des comptes d’administration | 7 jours |
| Pièces comptables (commandes, paiements) | 10 ans (obligation légale) |
| Historique des consentements | Conservé de manière horodatée tant que le compte existe (preuve du recueil) |
| Journaux de sécurité et d’audit | 12 mois au plus |
| Cookies non essentiels | 13 mois au plus |
Article 7.Vos droits
- Accès et portabilité :
- Téléchargez l’intégralité de vos données au format JSON, en self-service, depuis Mon compte → Confidentialité → Exporter mes données.
- Rectification :
- Modifiez vos informations directement depuis Mon compte.
- Effacement :
- Depuis Mon compte, la suppression désactive immédiatement votre compte (plus aucune connexion possible). Pour une suppression définitive de vos données, écrivez à [email protected] : elle est exécutée sous 30 jours, à l’exception des pièces que la loi nous oblige à conserver (comptabilité).
- Opposition et retrait du consentement :
- Désactivez les communications marketing et les cookies non essentiels à tout moment (bannière cookies, Mon compte). L’historique de vos choix est consultable depuis votre compte.
- Limitation :
- Demandez la suspension temporaire d’un traitement à [email protected].
Délai de réponse
Article 8.Cookies et stockages locaux
L’inventaire complet (noms, finalités, durées) est tenu à jour sur la page dédiée Politique cookies. Vous pouvez modifier vos choix à tout moment via la bannière ou le lien « Gérer mes cookies » du pied de page.
Article 9.Sécurité
- Mots de passe hachés (bcrypt) — jamais stockés ni transmis en clair.
- Toutes les communications chiffrées (HTTPS/TLS).
- Jetons de session à courte durée de vie, avec rotation et liste de révocation.
- Limitation du débit des requêtes (anti-abus) et protection anti-bot sur les opérations sensibles.
- Contrôle d’accès par rôles et journal d’audit de toutes les actions d’administration.
- Aucune donnée de carte bancaire stockée sur nos serveurs.
- Données sensibles expurgées des rapports d’erreurs avant tout envoi au prestataire de monitoring.
Article 10.Transferts hors de Tunisie
Les données sont hébergées dans l’Union européenne (Hetzner, Allemagne). Certains prestataires listés à l’article 5 sont établis aux États-Unis (Cloudflare, Cloudinary, Resend, Sentry, Google) : ces transferts sont encadrés par les garanties contractuelles de ces prestataires (clauses contractuelles types et mécanismes de certification en vigueur), et limités au strict nécessaire à leur finalité.
Article 11.Réclamation auprès d’une autorité
- Tunisie : INPDP — Instance Nationale de Protection des Données Personnelles (www.inpdp.nat.tn)
- Union européenne : l’autorité de protection des données de votre pays de résidence (par exemple la CNIL en France).
Article 12.Mise à jour de la politique
La présente politique peut être mise à jour pour refléter une évolution légale ou technique. En cas de changement substantiel, vous en serez informé(e) via l’application (la bannière de consentement vous sera représentée) et la date de mise à jour en haut de page sera modifiée.