WINTER ARC — Politique de confidentialité

Version 2.1 — dernière mise à jour : 17 septembre 2026 (remplace la version 2.0 du 16 septembre 2026).

Cette politique explique comment vos données personnelles sont traitées lorsque vous visitez le site challengewinterarc.com, créez un compte, achetez le programme sur mesure (et, le cas échéant, l'option Suivi) et participez à la Saison 1 du Challenge Winter Arc, l'Arc I, du lundi 2 novembre 2026 au dimanche 31 janvier 2027. « Nous » désigne le responsable du traitement ; « vous », la personne dont les données sont traitées. Les mots Serment, Gel, Chute, Abysses, Drakkar et Meute ont le sens que leur donnent les Conditions générales de vente (CGV).

L'essentiel

Les ventes ne sont pas encore ouvertes et les inscriptions sont fermées : la section « Avant l'ouverture des ventes » décrit exactement ce qui s'applique aujourd'hui.
Votre pseudonyme est la seule identité que voient les autres membres, pendant la saison et les 30 jours qui suivent ; à l'ouverture des ventes, seuls les membres ayant acheté la saison le verront. Vous pouvez le masquer à tout moment, avec effet immédiat.
Vos limitations physiques, votre taille, votre poids, vos photos de gabarit et votre journal de bord sont facultatifs. À l'ouverture des ventes, ils ne seront recueillis qu'après paiement, avec votre consentement explicite. Seul l'éducateur sportif les lit, depuis un compte personnel distinct du compte d'administration, dont chaque lecture est journalisée. Ils ne passent jamais par e-mail et sont effacés dès que vous retirez votre consentement.
Aucune donnée de santé n'entre dans le calcul des Gels et de la Chute. La pause et le retrait ne demandent aucun motif.
Aucune publicité, aucune mesure d'audience, aucun cookie, aucun captcha. Aucune donnée n'est vendue.
La base de données est hébergée dans l'Union européenne, à Paris ; les accès depuis l'extérieur de l'Union sont encadrés (§ 7).
Pour toute question et pour exercer vos droits : contact@challengewinterarc.com.

Avant l'ouverture des ventes : ce qui s'applique aujourd'hui

Cette politique s'applique dès sa publication. Les ventes de la Saison 1 ne sont pas encore ouvertes et les inscriptions sont fermées : aucune commande n'est prise, aucun paiement n'est encaissé, et seuls les comptes déjà créés accèdent à l'application. Les traitements liés à une commande (T4, T6, T7, T19, T20, T22 et T23) ne commenceront qu'à l'ouverture des ventes. D'ici là :

Traitements en cours. Traces techniques de votre visite (T25) et traceurs strictement nécessaires (§ 11). Pour les comptes existants : compte et sessions, avec l'historique horodaté de vos acceptations des CGV (T1), contrôle de majorité (T2), attestation QS-SPORT horodatée à la création du profil et avant le premier téléchargement d'un programme (T3), questionnaire, partie 1 (T5), mise à disposition d'un programme en PDF dans votre espace (T8), Serment, séances et affichage (T11), Meute et descriptions de séance (T12), contestations (T13), dossiers de Parjure et d'invalidation (T14), signalements et modération (T15) et journal des accès (T16). Si l'option Suivi a été choisie dans le questionnaire, le calendrier des séances est aussi ouvert (T9), sans paiement ; aucun bilan n'est tenu. Le journal de bord (T10) n'est pas en cours (voir ci-dessous).
Aucune donnée de santé ou de corpulence, aucune photo n'est demandée par le questionnaire : sa partie 2 (limitations, taille, poids) et le dépôt de photos ne sont pas proposés, et ne le seront qu'après paiement. Le serveur refuse déjà tout consentement aux photos, et le coffre des photos n'accepte aucun dépôt ni remplacement de fichier.
Journal de bord. Tant que son consentement dédié (T10) n'est pas en service, l'application ne permet pas d'y écrire. Une entrée écrite auparavant reste affichée dans le Suivi et peut être effacée à tout moment (« Effacer cette entrée »).
E-mails d'authentification (réinitialisation du mot de passe) : envoyés par Resend (Plus Five Five, Inc., États-Unis) jusqu'à la mise en service de Scaleway, prestataire d'e-mails établi en France, qui interviendra avant la réouverture des inscriptions (§ 6 et § 7).
Ce que voient les autres. Ce que vous publiez dans l'application (pseudonyme, figure viking, Serment, séances, Gels tant que vous êtes en lice, statut, messages de la Meute) est visible des autres titulaires d'un compte, pas des seuls acheteurs de la saison. En revanche, les limites suivantes du § 4 s'appliquent déjà : les Gels d'un membre sorti du jeu (tombé ou ayant quitté l'Arc) ne sont pas affichés aux autres membres ; ceux-ci ne voient, pour date de votre Chute, que le lundi de la semaine où elle est survenue, jamais sa date exacte ni sa cause, visibles de vous seul ; le masquage du pseudonyme prend effet immédiatement et le remplace par le libellé fixe « Anonyme » (« Tombé » aux Abysses et, pour un membre tombé, dans son équipage), sans numéro ni autre identifiant, en masquant aussi votre figure viking, votre défi libre, l'insigne de votre Drakkar et vos descriptions de séance. Un contenu retiré par la modération n'est plus affiché (§ 4). L'affichage nominatif prend déjà fin à la fin de la saison + 30 jours ; seule la réservation de l'affichage aux membres ayant acheté la saison entrera en service à l'ouverture des ventes.
Rôles distincts. Le rôle de l'éducateur (« coach ») est distinct du rôle d'administration, et un même compte ne peut détenir les deux (§ 1 et § 6). Ces comptes sont protégés par un mot de passe, vérifié contre les fuites connues, et chaque opération qui leur est réservée est journalisée. Seul le rôle « coach » consulte les réponses au questionnaire et les entrées de journal de bord écrites auparavant, et dépose les programmes ; dans l'application, le compte d'administration n'y a plus accès (l'accès technique du titulaire du projet d'hébergement, réservé à la maintenance et consigné dans un registre interne, est décrit au § 1). Les contestations (y compris celles reçues par e-mail, qui y sont enregistrées), les dossiers de Parjure et d'invalidation et les signalements sont traités par l'un ou l'autre rôle. Un même compte ne peut détenir les deux rôles, et aucune personne habilitée ne décide d'une contestation qu'elle a formée, ni d'un dossier, d'un signalement ou d'un contenu qui la vise. Chaque consultation (hors contenus visibles de tous les membres, comme le Mur et la Meute), décision et rectification faite par ces rôles sur les données d'un membre est inscrite au journal des accès par le serveur, qui refuse en outre à l'éducateur la lecture d'un fichier d'un membre (programme, photos) si elle n'a pas été inscrite à ce journal dans les 5 minutes qui précèdent (T16).
Signalements et dossiers. Le bouton « Signaler » (T15), avec sa déclaration de bonne foi obligatoire, est en service sur les messages de la Meute et les séances du Mur des autres membres ; vous pouvez aussi signaler un contenu à contact@challengewinterarc.com. Un contenu manifestement illicite ou contraire aux CGV peut aussi être retiré d'office, et un contenu retiré est rétabli si une contestation fait reconnaître une erreur (T15). La procédure contradictoire de Parjure et d'invalidation d'une séance (T14) est en service. L'archive d'identification des auteurs de contenus (T24) n'est pas encore constituée.
Vos droits. La suppression du compte, la contestation et le téléchargement de vos données au format JSON (« Télécharger mes données ») fonctionnent dès aujourd'hui depuis les Réglages ; le changement de pseudonyme et la rectification de la date de naissance se demandent par e-mail (§ 9).
Mesures qui entreront en service à l'ouverture des ventes, signalées comme telles dans la suite : engagements écrits de confidentialité ; partie 2 du questionnaire et photos après paiement seulement, avec contrôle du paiement par le serveur ; consentement du journal de bord ; consentements dont la version du texte est enregistrée ; enregistrement des avertissements de sécurité affichés et de leur version (T3) ; réservation de l'affichage aux membres ayant acheté la saison (§ 4) ; archive d'identification des auteurs ; avis par e-mail de décision et de mise à disposition du programme ; purges automatiques ; double authentification sur les comptes des prestataires ; politique de sécurité du contenu bloquante ; analyse d'impact et registre des traitements.

1. Responsable du traitement, contact et éducateur sportif

Responsable du traitement. [À FOURNIR : identité du responsable du traitement — prénom et nom suivis de « EI », ou dénomination et forme de la société ; adresse du domicile ou du siège ; numéro SIREN]. Contact, y compris pour exercer vos droits : contact@challengewinterarc.com.

Délégué à la protection des données. Nous n'en avons pas désigné. L'article 37.1 du RGPD ne l'impose qu'aux autorités publiques et aux organismes dont les activités de base consistent en un suivi régulier et systématique de personnes à grande échelle, ou en un traitement à grande échelle de catégories particulières de données (dont les données de santé) ou de données relatives aux condamnations pénales. Notre activité concerne un nombre limité de participants par saison, et les données de santé y sont facultatives et accessoires. Cette analyse est consignée par écrit et revue avant chaque saison. Vos questions sur vos données sont à adresser à l'adresse de contact ci-dessus.

L'éducateur sportif. Les programmes sont conçus et signés, et les bilans de l'option Suivi sont assurés, par [À FOURNIR : prénom et nom de l'éducateur sportif, intitulé exact de son diplôme, numéro, préfecture de délivrance et date de validité de sa carte professionnelle]. Sa qualité au regard du RGPD : [À FOURNIR : qualité de l'éducateur au regard du RGPD — personne agissant sous notre autorité, sous-traitant ou responsable conjoint ; dans ce dernier cas, l'essentiel de l'accord prévu à l'article 26 du RGPD].

L'éducateur est le seul à lire vos réponses au questionnaire, vos limitations, votre taille, votre poids, vos photos de gabarit et votre journal de bord, et le seul à déposer les programmes dans votre espace. Il y accède depuis un compte personnel doté du rôle « coach », distinct du rôle d'administration (un même compte ne peut détenir les deux rôles), et le serveur vérifie ce rôle à chaque opération, refusant tout autre compte. Avant de lire l'un de vos fichiers, il doit en enregistrer la trace : la lecture est refusée sans cette journalisation préalable de moins de cinq minutes. Cet accès n'est plus protégé par une double authentification (mot de passe et code à usage unique d'une application d'authentification). Le responsable du traitement assure la gestion technique et communautaire du service. Dans l'application, son compte d'administration, dont le rôle est vérifié par le serveur au même titre, n'a accès ni à ces données ni aux fichiers déposés. Titulaire du projet d'hébergement de la base de données et des fichiers (Supabase), il dispose toutefois techniquement, en dehors de l'application, d'un accès complet à la base et aux coffres de fichiers. Il ne l'utilise que pour des opérations de maintenance technique, sans consulter ces données au-delà de ce que l'opération exige, et chaque opération est consignée dans un registre interne (date, objet, données concernées, auteur), distinct du journal des accès (T16). Ce compte d'hébergement sera protégé par une double authentification au plus tard à l'ouverture des ventes (§ 12). À l'ouverture des ventes, un engagement écrit obligera l'éducateur à la confidentialité, lui interdira toute copie locale et toute capture de ces données, et lui imposera de les effacer à la fin de sa mission. La situation actuelle est décrite à la section « Avant l'ouverture des ventes ».

2. Les traitements, un par un

Chaque ligne décrit un traitement : sa finalité, les données, la base légale (article 6 du RGPD et, pour les données de santé, article 9), ce qui est obligatoire ou facultatif et ce qu'il se passe si vous ne fournissez pas la donnée, les destinataires, la durée de conservation et les transferts hors de l'Union européenne. Les dates sont celles de la Saison 1 : fin de la saison le 31 janvier 2027 ; « fin de la saison + 30 jours » = 2 mars 2027.

#	Traitement et finalité	Données	Base légale	Obligatoire ou facultatif	Destinataires	Durée de conservation	Transferts hors UE
T1	Compte et authentification : créer et sécuriser votre compte, vous connecter, réinitialiser votre mot de passe.	Adresse e-mail ; mot de passe (conservé haché, jamais en clair) ; pseudonyme et ses changements ; figure viking choisie (guerrière ou guerrier) ; historique des versions des CGV que vous avez acceptées, chacune avec la date et l'heure de son acceptation (à la création du profil, puis à chaque nouvelle version ; l'acceptation d'une nouvelle version ne remplace pas la trace de la précédente) ; dates de création et de dernière connexion ; sessions ouvertes (adresse IP et navigateur de la session).	Exécution du contrat (6.1.b).	Obligatoire. Sans ces données, pas de compte.	Responsable ; Supabase ; prestataire d'e-mails (confirmation d'adresse, réinitialisation ; § 6).	Durée du compte. Compte supprimé après 2 ans sans connexion, après un préavis par e-mail. Sessions : jusqu'à la déconnexion ou leur expiration. Suppression à tout moment depuis les Réglages (§ 9).	Supabase (§ 7) ; Resend (États-Unis) pour les e-mails d'authentification, jusqu'à la mise en service de Scaleway, prestataire d'e-mails établi en France (§ 7).
T2	Contrôle de majorité : réserver le service aux personnes de 18 ans révolus et garder la preuve de ce contrôle.	Date de naissance ; date et heure du contrôle, fait à la création du compte puis refait à la commande ; rectification éventuelle, faite par l'administration à votre demande ou en cas d'erreur constatée (seul son motif est inscrit au journal des accès, jamais la date : T16).	Exécution du contrat (6.1.b) : service et contrat réservés aux majeurs.	Obligatoire. Sans date de naissance, pas de compte ni de commande.	Responsable ; Supabase. Jamais transmise à l'éducateur ni aux autres membres. Aucun autre usage : votre programme n'est pas établi d'après votre date de naissance.	Durée du compte ; ensuite, si vous avez publié des contenus, archive d'identification (T24).	Supabase (§ 7).
T3	Attestations de prévention et avertissements : vous délivrer les informations de sécurité et en garder la trace.	Date et heure de votre attestation relative au questionnaire de santé QS-SPORT, à la création du profil (le texte attesté est celui de l'annexe 2 de la version des CGV alors acceptée, T1), puis avant le premier téléchargement de votre programme (seule la première confirmation est enregistrée, et elle n'est jamais réécrite) ; à l'ouverture des ventes, avertissements de sécurité affichés (par exemple pour un Serment de plus de 5 jours actifs) et leur version. Vos réponses au QS-SPORT ne nous sont jamais transmises.	Exécution du contrat (6.1.b) : sécurité de la prestation. Conservation après la saison : intérêt légitime (T23).	Obligatoire : sans l'attestation, pas de profil, ni de téléchargement du programme depuis l'application.	Responsable ; Supabase.	Durée du compte, puis archive de défense jusqu'au 31 janvier 2037 (T23).	Supabase (§ 7).
T4	Commande, paiement et facturation : conclure le contrat, encaisser le prix du programme et, le cas échéant, celui de l'option Suivi (deux débits distincts), établir la facture, rembourser.	Nom et prénom ; adresse e-mail ; pays de résidence déclaré ; formule (3, 4 ou 5 jours d'entraînement par semaine ; option Suivi) ; prix TTC et TVA ; numéro, date et statut de la commande ; identifiant de la transaction et état des remboursements communiqués par le prestataire de paiement ; cases cochées (acceptation des CGV et leur version, demande facultative d'exécution immédiate) et leur horodatage. Vos données de carte sont saisies directement chez le prestataire de paiement : nous n'y avons jamais accès.	Exécution du contrat (6.1.b) ; obligations légales (6.1.c) : facturation et comptabilité (code général des impôts, article L123-22 du code de commerce), conservation des contrats conclus par voie électronique (articles L213-1 et D213-2 du code de la consommation).	Obligatoire, sauf la demande d'exécution immédiate, facultative : sans elle, la rédaction du programme ne commence qu'à la fin du délai de rétractation (CGV). Sans les autres données, pas de commande.	Responsable ; prestataire de paiement (§ 6) ; prestataire d'e-mails (confirmation et facture) ; Supabase ; administration fiscale sur demande prévue par la loi.	Base active : jusqu'à la fin de la saison + 30 jours. Ensuite : archive contractuelle et comptable (T22), jusqu'au 31 janvier 2037 au moins ; factures : 10 ans.	Supabase (§ 7) ; prestataire de paiement (§ 6).
T5	Questionnaire, partie 1 : décrire votre besoin, calculer le prix affiché à la fin du questionnaire, puis concevoir votre programme.	Objectif ; précision de la demande ; niveau ; jours d'entraînement par semaine ; durée maximale par séance ; matériel ; jours possibles ; expérience ; chronos récents ; préférences ; remarques ; choix de l'option Suivi.	Mesures précontractuelles prises à votre demande, puis exécution du contrat (6.1.b).	Objectif, précision de la demande, niveau, jours par semaine et durée maximale : obligatoires pour obtenir un prix et un programme. Autres champs facultatifs : le programme est alors conçu avec moins d'éléments. N'écrivez dans les textes libres ni information de santé ni nom civil.	Éducateur ; Supabase.	Sans commande : 30 jours après la clôture des ventes (1ᵉʳ décembre 2026), ou 30 jours après la dernière modification si elle est plus tardive. Commande rétractée ou annulée : 30 jours. Avec commande : fin de la saison + 30 jours, puis archive de défense (T23).	Supabase (§ 7).
T6	Santé et corpulence (questionnaire, partie 2) : adapter votre programme à vos limitations physiques et à votre corpulence.	Limitations à respecter (blessures, fragilités, contre-indications que vous choisissez de signaler) ; taille ; poids ; date, heure et version du texte de votre consentement.	Consentement explicite (6.1.a et 9.2.a).	Facultatif ; proposé uniquement après paiement confirmé. Sans ces données, le programme est conçu de façon prudente par défaut, au même prix et dans le même délai.	L'éducateur seul ; Supabase (hébergement). Jamais publiées, jamais envoyées par e-mail.	Effacées immédiatement si vous retirez votre consentement ; sinon au plus tard à la fin de la saison + 30 jours. Si un incident ou une réclamation a été signalé, conservées jusqu'à la fin du litige (9.2.f).	Supabase (§ 7).
T7	Photos de gabarit (questionnaire, partie 2) : permettre à l'éducateur d'évaluer votre composition corporelle pour concevoir votre programme.	Deux photos, de face et de dos, ré-encodées sur votre appareil avant l'envoi ; date, heure et version du texte de votre consentement.	Consentement explicite (6.1.a et 9.2.a).	Facultatif ; dépôt possible uniquement après paiement confirmé ; réservé aux majeurs. Sans photos, le programme est conçu d'après vos autres réponses, au même prix et dans le même délai.	L'éducateur seul ; Supabase (hébergement). Jamais publiées.	Supprimées dès la mise à disposition du programme si vous n'avez pas l'option Suivi, à la fin du Suivi (31 janvier 2027) sinon, et au plus tard à la fin de la saison + 30 jours. Suppression immédiate en cas de retrait du consentement, de photo non conforme aux consignes ou de minorité découverte.	Supabase (§ 7).
T8	Conception et mise à disposition du programme : concevoir votre programme de 13 semaines et le mettre à votre disposition, en PDF, dans votre espace (Réglages → « Mon programme »).	Réponses au questionnaire (partie 1 ; partie 2 si vous y avez consenti) ; programme en PDF (10 Mo au plus) conçu et signé par l'éducateur, rédigé sans nommer de pathologie, déposé par lui dans un coffre privé ; date de la première mise à disposition (jour où le PDF apparaît dans votre espace) et de chaque version corrigée ; date et heure de votre confirmation de l'attestation QS-SPORT avant le premier téléchargement (T3) ; lectures et remplacements du fichier par l'éducateur, que le serveur n'autorise qu'après leur inscription au journal des accès dans les 5 minutes qui précèdent (T16) ; à l'ouverture des ventes, e-mail vous prévenant que le programme est disponible, sans pièce jointe ni contenu.	Exécution du contrat (6.1.b).	La partie 1 est obligatoire : sans elle, le programme ne peut pas être conçu.	Éducateur ; vous ; Supabase ; prestataire d'e-mails (avis sans contenu, à l'ouverture des ventes).	Programme consultable et téléchargeable dans votre espace jusqu'à la fin de la saison + 30 jours : pensez à le télécharger. Le fichier est ensuite effacé du coffre ; à l'ouverture des ventes, le PDF livré sera conservé dans l'archive de défense jusqu'au 31 janvier 2037 (T23). Si vous supprimez votre compte, l'application efface d'abord votre programme (§ 9).	Supabase (§ 7).
T9	Option Suivi : calendrier et bilans : planifier vos séances sur 13 semaines et tenir les 13 bilans hebdomadaires avec l'éducateur.	Calendrier (dates prévues, déplacements dans la semaine, titres et contenus des séances) ; rendez-vous de bilan ; échanges tenus pendant le bilan, sans enregistrement ; jours actifs validés, consultés pour préparer le bilan.	Exécution du contrat (6.1.b).	L'option est facultative. Si vous l'avez achetée, ces données sont nécessaires à la tenue des bilans.	Éducateur ; outil des bilans (§ 6) ; Supabase.	Fin de la saison + 30 jours.	Supabase (§ 7) ; outil des bilans (§ 6).
T10	Journal de bord (option Suivi) : commenter chaque séance de votre programme pour préparer vos bilans.	Un commentaire par séance (600 caractères au plus) et sa date ; date, heure et version du texte de votre consentement.	Consentement explicite (6.1.a et 9.2.a), ces commentaires pouvant révéler votre état de santé. Case de consentement en service à l'ouverture des ventes (situation actuelle : section « Avant l'ouverture des ventes »).	Facultatif : les bilans ont lieu sans journal de bord.	Vous ; l'éducateur seul ; Supabase (hébergement).	Effacé immédiatement si vous retirez votre consentement ; sinon au plus tard à la fin de la saison + 30 jours. Si un incident ou une réclamation a été signalé, conservé jusqu'à la fin du litige (9.2.f).	Supabase (§ 7).
T11	Séances, Serment, Gels et statuts ; affichage aux membres : faire fonctionner le défi (jours actifs, Gels, Chute, § 5), vous affecter à un Drakkar et afficher votre parcours aux membres de la saison (§ 4).	Serment (jours actifs par semaine, défi libre, hausses et leur date) ; séances (heures de début et de fin données par l'horloge du serveur, jour, durée, type d'activité, description, mention « hors classement » d'une séance chronométrée après une Chute ou un retrait) ; pause de récupération et retrait : dates seulement, aucun motif ; Gels ; statut (en lice, Chute et sa cause, « a quitté l'Arc ») ; Drakkar et équipage (répartition technique, sans effet sur vos droits) ; pour une séance dont le contenu a été retiré par la modération, date et motif du retrait (T15).	Exécution du contrat (6.1.b).	Le Serment et le chronomètre sont nécessaires pour participer au défi ; sans eux, vous ne participez pas et gardez votre programme. Une description de 10 à 400 caractères est demandée pour valider une séance.	Vous ; membres ayant acheté la saison, dans les limites du § 4 ; éducateur (préparation des bilans de l'option Suivi, à l'ouverture des ventes) ; personne chargée d'un réexamen (T13, T14) ; Supabase.	Affichage nominatif : jusqu'à la fin de la saison + 30 jours. Données brutes : jusqu'au 31 janvier 2028, puis suppression ou transformation en statistiques sans lien avec votre compte.	Supabase (§ 7).
T12	La Meute et les descriptions de séance : échanger avec les membres (canal de la flotte, canal de bord) et raconter ses séances sur le Mur.	Messages (500 caractères au plus), canal et date ; descriptions de séance ; auteur affiché (pseudonyme, figure viking, insigne du Drakkar).	Exécution du contrat (6.1.b).	Messages facultatifs ; description nécessaire à la validation d'une séance (T11). N'y écrivez ni information de santé ni nom civil.	Membres de la saison (canal de la flotte, Mur) ; votre équipage (canal de bord) ; personne habilitée chargée de la modération, pour un contenu signalé ou constaté (T15) ; Supabase.	Vous pouvez supprimer vos messages à tout moment ; sinon, jusqu'à la fin de la saison + 30 jours. Contenu signalé depuis l'application : un extrait en est conservé avec le signalement, même si vous le supprimez (T15). Un message retiré par la modération n'est plus affiché et reste conservé, avec la date et le motif du retrait, jusqu'à la même échéance ; il est de nouveau affiché s'il est rétabli. Identification de l'auteur : T24.	Supabase (§ 7).
T13	Contestations et réexamen humain : contester une décision du moteur (séance refusée, Gel, Chute) ou une décision humaine (dossier de Parjure ou d'invalidation, retrait d'un contenu), dans l'application ou par e-mail, et obtenir un réexamen par une personne (§ 5).	Message (10 à 1 000 caractères) ; séance concernée ; dates ; mention d'une contestation reçue par e-mail et enregistrée par nos soins dans l'application ; décision, motivation et date (la personne ayant décidé est inscrite au journal des accès, T16) ; effets d'une erreur reconnue (séance revalidée, jours crédités, Parjure levé par une décision qui le prévoit expressément, contenu rétabli).	Obligation légale (6.1.c ; article 22.3 du RGPD) et exécution du contrat (6.1.b).	Facultatif. N'y écrivez aucune information de santé.	Personne habilitée chargée du réexamen (responsable ou éducateur) ; vous ; prestataire d'e-mails (avis « une décision est disponible », sans contenu, à l'ouverture des ventes) ; Supabase.	Contestation décidée : 12 mois après la décision, sauf litige en cours. Contestation en attente de décision : conservée jusqu'à la décision. L'e-mail de contestation lui-même relève de T21.	Supabase (§ 7).
T14	Parjure et invalidation d'une séance : traiter, par une procédure contradictoire, une fraude au chronomètre démontrée par des éléments objectifs : dossier écrit consultable dans l'application (Réglages → « Mes dossiers »), 48 heures pour répondre, décision motivée rendue au plus tôt au terme de ce délai, puis contestation possible (T13).	Type de dossier (Parjure ou invalidation d'une séance) ; séance concernée (date, type d'activité, durée, description, statut) ; éléments reprochés ; dates d'ouverture et limite de réponse ; votre réponse et sa date ; décision (dossier retenu ou classé), motivation et date ; personnes habilitées ayant ouvert et décidé le dossier, jamais affichées dans l'application.	Intérêt légitime (6.1.f) : garantir à tous les membres un défi loyal. Aucune décision n'est prise avant l'expiration du délai de 48 heures, même si vous avez déjà répondu ; vous pouvez ensuite contester la décision.	Votre réponse est facultative ; sans réponse, la décision est prise, au plus tôt au terme des 48 heures, sur les seuls éléments du dossier. Vous pouvez répondre ou modifier votre réponse tant que la décision n'est pas prise.	Personne habilitée (responsable ou éducateur) ; vous ; Supabase.	Dossier en cours : jusqu'à sa décision. Dossier décidé : 12 mois après la décision, sauf litige en cours ; ses effets (Parjure inscrit, séance invalidée) demeurent.	Supabase (§ 7).
T15	Modération et signalements : recevoir les signalements de messages de la Meute et de séances du Mur, faits dans l'application (bouton « Signaler ») ou par e-mail, retirer, sur signalement ou d'office (contenu signalé par e-mail ou constaté par nos soins), un contenu manifestement illicite ou contraire aux CGV, motiver et notifier la décision, qui peut être contestée (T13), et rétablir le contenu si une erreur est reconnue.	Auteur du signalement (compte, ou coordonnées indiquées dans l'e-mail) ; type et identifiant du contenu visé ; pour un signalement fait dans l'application, extrait du contenu visé (1 000 caractères au plus) et compte de son auteur, enregistrés au moment du signalement pour que la suppression ultérieure du contenu n'empêche pas son examen ; raisons du signalement et date ; déclaration de bonne foi (dans l'application, le serveur refuse un signalement sans elle et enregistre sa date et son heure avec le signalement ; par e-mail, elle figure dans le message) ; décision (signalement classé ou contenu retiré, puis, le cas échéant, contenu rétabli et signalement reclassé), motivation, date et personne habilitée ayant décidé ; pour un contenu retiré, date et motif du retrait, conservés avec le contenu.	Obligation légale (6.1.c ; règlement (UE) 2022/2065 sur les services numériques, articles 16 et 17) ; exécution du contrat (6.1.b ; règles de la Meute prévues aux CGV).	Signaler est facultatif ; un signalement sans raisons ne peut pas être traité. Dans l'application : 10 à 500 caractères, un signalement par contenu, 5 au plus par période de 24 heures.	Personne habilitée chargée de la modération (responsable ou éducateur), qui voit le contenu (ou son extrait, s'il a été supprimé), le pseudonyme de son auteur (même masqué) et les raisons, l'outil de modération n'affichant pas l'auteur d'un signalement fait dans l'application ; auteur du signalement (décision et motivation : Réglages → « Mes signalements », ou par e-mail pour un signalement reçu par e-mail) ; auteur du contenu, en cas de retrait (motif, dans l'application, sans l'identité de l'auteur du signalement) ; Supabase.	Signalement en cours : jusqu'à sa décision. Signalement décidé : 12 mois après la décision, sauf litige en cours ; l'extrait du contenu, le compte de son auteur et la date de la déclaration de bonne foi sont effacés en même temps que lui.	Supabase (§ 7).
T16	Journal des accès : tracer chaque consultation, import, dépôt de programme, ouverture de dossier, décision, retrait ou rétablissement de contenu, rectification ou purge portant sur les données d'un membre, faite par l'éducateur ou par l'administration, ainsi que chaque lecture d'un fichier d'un membre (programme, photos) par l'éducateur, que le serveur refuse si elle n'a pas été inscrite à ce journal dans les 5 minutes qui précèdent. La consultation d'une liste (demandes de programme, contestations, dossiers, contenus signalés pour leurs auteurs) est inscrite une fois pour chaque membre concerné, et l'effacement des fichiers d'une saison une fois pour chaque membre dont des fichiers sont effacés.	Compte ayant agi, action, membre concerné, date et heure, détail générique : jamais le contenu d'une donnée de santé, ni les éléments d'un dossier, d'une réponse, d'un signalement ou d'un message ; pour un changement de pseudonyme, l'ancien et le nouveau pseudonyme et le motif ; pour une rectification de la date de naissance, le motif seul, jamais la date. Nettoyage des fichiers orphelins (compte supprimé, ou photos sans consentement) : une ligne de synthèse par coffre, sans membre.	Obligation légale (6.1.c ; article 32 du RGPD, sécurité du traitement).	Automatique.	Responsable ; Supabase ; vous, pour les actions qui vous concernent (action et date, sans l'identité de la personne ayant agi), dans le téléchargement de vos données (§ 9). Aucun autre accès par l'interface de programmation de l'application.	12 mois glissants, y compris après la suppression du compte du membre concerné (§ 9).	Supabase (§ 7).
T17	Preuves de vos consentements : prouver que vos consentements ont été donnés et, le cas échéant, retirés.	Date et heure (horloge du serveur) de chaque consentement (santé et corpulence, photos, journal de bord) ; à l'ouverture des ventes, version du texte accepté et date et heure du retrait.	Obligation légale (6.1.c ; article 7.1 du RGPD).	Automatique.	Responsable ; Supabase.	Tant que la donnée consentie est conservée, puis 12 mois après son effacement. L'acceptation des CGV relève de T1 et, pour une commande, de T22.	Supabase (§ 7).
T18	E-mails de service : vous envoyer les messages nécessaires au service. Aucun e-mail publicitaire.	Adresse e-mail ; messages de confirmation d'adresse, de réinitialisation du mot de passe, de confirmation de commande (avec les CGV, le formulaire de rétractation et la facture), de mise à disposition du programme, de décision disponible, de modification des CGV ou de cette politique, de préavis avant la suppression d'un compte inactif ; journaux d'envoi. Jamais de contenu de santé. Avant l'ouverture des ventes, seuls les e-mails d'authentification sont envoyés automatiquement (section « Avant l'ouverture des ventes »).	Exécution du contrat (6.1.b) ; obligation légale pour la confirmation de commande (6.1.c ; article L221-13 du code de la consommation).	Obligatoire : ces messages sont envoyés à l'adresse de votre compte.	Prestataire d'e-mails (§ 6).	Journaux d'envoi : durée indiquée au § 6. Documents contractuels : T22.	Aucun une fois Scaleway en service (§ 6). D'ici là, e-mails d'authentification envoyés par Resend (États-Unis, § 7).
T19	Rétractation et résiliation en ligne : recevoir votre rétractation (« Renoncer au contrat ici ») ou votre résiliation (« Résilier votre contrat »), fonctions accessibles sans connexion, vous en accuser réception et vous rembourser selon les CGV.	Nom, prénom ; numéro de commande ou adresse e-mail du compte ; adresse e-mail de réponse ; déclaration ; date et heure ; accusé de réception ; montant et date du remboursement. Si l'adresse de réponse diffère de celle du compte, une copie est envoyée à l'adresse du compte.	Obligation légale (6.1.c ; articles L221-18 et suivants du code de la consommation) et exécution du contrat (6.1.b).	Les champs d'identification sont nécessaires pour retrouver votre commande. Vous pouvez aussi vous rétracter par toute autre déclaration dénuée d'ambiguïté, par exemple un e-mail.	Responsable ; prestataire de paiement (remboursement) ; prestataire d'e-mails (accusé de réception) ; Supabase.	Archive contractuelle (T22), jusqu'au 31 janvier 2037 au moins.	Supabase (§ 7) ; prestataire de paiement (§ 6).
T20	Badge souvenir : expédier gratuitement, sur votre demande, le badge proposé à la fin de la saison à tous les participants dont la commande n'a pas été remboursée — identique pour tous, sans lien avec le résultat.	Nom, prénom, adresse postale ; dates de la demande et de l'expédition.	Exécution du contrat (6.1.b) : commande distincte et gratuite, passée à la fin de la saison.	Facultatif. L'adresse n'est demandée qu'à ce moment ; sans elle, pas d'envoi.	Responsable ; prestataire postal (§ 6) ; Supabase.	Supprimées 3 mois après l'expédition.	Supabase (§ 7).
T21	Messages envoyés au contact et exercice de vos droits : répondre à vos questions et réclamations, traiter vos demandes relatives à vos données.	Vos messages et pièces jointes, nos réponses ; pour une demande d'exercice des droits : la demande, les éléments strictement nécessaires à la vérification de votre identité, notre réponse.	Exécution du contrat (6.1.b) ou intérêt légitime à répondre aux personnes qui nous écrivent (6.1.f) ; obligation légale pour les demandes d'exercice des droits (6.1.c ; articles 12 à 22 du RGPD).	Facultatif ; sans ces éléments, nous ne pouvons pas vous répondre.	Responsable ; éducateur si la question le concerne ; IONOS SARL (boîte de contact).	12 mois après le dernier échange, sauf litige en cours. Demande d'exercice des droits et notre réponse : 5 ans après la réponse, à titre de preuve (article 2224 du code civil). Justificatif d'identité éventuel : supprimé dès la vérification faite. Document médical reçu : supprimé dès réception, sans être utilisé.	Aucun (§ 6).
T22	Archive contractuelle et comptable : conserver la preuve du contrat et les pièces comptables.	Commande et récapitulatif ; CGV acceptées (version) et horodatage des cases ; demande d'exécution immédiate ; déclarations de rétractation et de résiliation et leurs accusés ; remboursements ; factures.	Obligation légale (6.1.c ; articles L213-1 et D213-2 du code de la consommation ; article L123-22 du code de commerce).	Sans objet (conservation imposée par la loi).	Responsable ; vous, sur demande ; administration fiscale et juridictions sur demande prévue par la loi.	Contrat : 10 ans à compter de la fin de son exécution, soit jusqu'au 31 janvier 2037 au moins. Factures et pièces comptables : 10 ans. Archive séparée de la base du défi, à accès restreint.	Supabase (§ 7).
T23	Archive de défense : pouvoir établir, en cas de réclamation ou d'action en justice — notamment en responsabilité pour un dommage corporel, qui se prescrit par 10 ans (article 2226 du code civil) —, le contenu du programme remis, les informations d'après lesquelles il a été conçu et les informations de sécurité délivrées.	Questionnaire, partie 1 ; PDF du programme livré ; attestations QS-SPORT ; versions des avertissements de sécurité affichés. Aucune donnée de santé ou de corpulence, aucune photo, aucun journal de bord.	Intérêt légitime (6.1.f) : la défense de nos droits.	Sans objet (données déjà collectées au titre de T3, T5 et T8).	Responsable, par consultation motivée et journalisée ; juridictions et auxiliaires de justice en cas de litige.	Jusqu'au 31 janvier 2037. Archive séparée, sans accès par l'interface de programmation de l'application.	Supabase (§ 7).
T24	Archive d'identification des auteurs de contenus : permettre l'identification de l'auteur d'un message ou d'une description, sur demande d'une autorité judiciaire, conformément aux obligations des hébergeurs de contenus.	Pour chaque contenu publié : identifiant du compte, pseudonyme, identifiant et date du contenu, adresse IP de la requête lorsqu'elle est disponible côté serveur, adresse e-mail et date de naissance du compte.	Obligation légale (6.1.c ; article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ; décret n° 2021-1362 du 20 octobre 2021).	Automatique dès que vous publiez un contenu, à compter de l'ouverture des ventes.	Autorités judiciaires sur réquisition. Aucun accès par l'interface de programmation de l'application ; chaque consultation est journalisée.	Adresse e-mail et date de naissance : 5 ans après la clôture du compte. Identifiant du compte et pseudonyme : 1 an après la clôture du compte. Adresse IP, identifiant et date du contenu : 1 an après la publication. Le contenu lui-même est supprimé selon T12.	Supabase (§ 7).
T25	Sécurité et traces techniques : protéger le site, l'application et les comptes, prévenir les abus (tentatives de connexion répétées, créations de comptes ou envois d'e-mails en rafale), restaurer le service après un incident.	Adresse IP, date et heure, ressource demandée, navigateur, code de réponse, événements d'authentification ; compteurs de tentatives par adresse IP ; sauvegardes de la base de données.	Intérêt légitime (6.1.f) : la sécurité et la disponibilité du service et des comptes des membres.	Automatique : nécessaire à l'accès au site.	Cloudflare ; Supabase ; responsable.	Journaux de Supabase : 7 jours. Sauvegardes quotidiennes : 7 jours. Compteurs de tentatives : effacés à l'expiration de la période de limitation. Journaux de Cloudflare : durée indiquée au § 6.	Cloudflare et Supabase (§ 7).
T26	Traceurs strictement nécessaires : langue, session, pastilles signalant une nouvelle décision, fonctionnement hors ligne.	Voir le § 11.	Exemptés de consentement (article 82 de la loi n° 78-17 du 6 janvier 1978).	Nécessaires au fonctionnement demandé.	Aucun : ils restent dans votre navigateur.	Voir le § 11.	Aucun.

Nous ne collectons ni géolocalisation, ni données de capteur ou de fréquence cardiaque, ni photo de vos séances, ni donnée importée d'une application sportive tierce. Aucune donnée n'est vendue ou louée, ni utilisée pour de la publicité ou de la prospection.

3. Santé, corpulence, photos et journal de bord : nos garanties

Vos limitations physiques sont des données de santé. La taille associée au poids, les photos servant à évaluer la composition corporelle et les commentaires du journal de bord peuvent en révéler : nous les traitons tous comme des données de santé, avec les garanties suivantes.

Après paiement seulement. À l'ouverture des ventes, la partie 2 du questionnaire (limitations, taille, poids, photos) ne sera proposée qu'une fois votre paiement confirmé, et le serveur refusera tout envoi avant. D'ici là, elle n'est pas proposée et le serveur refuse déjà tout dépôt de photos (section « Avant l'ouverture des ventes »).
Trois consentements distincts — santé et corpulence, photos, journal de bord — donnés par vous-même, par des cases non cochées par défaut, séparées de l'acceptation des CGV. À l'ouverture des ventes, la date, l'heure et la version du texte accepté seront enregistrées (T17).
Un vrai choix. Refuser ou retirer un consentement ne change ni le prix, ni le délai, ni votre participation au défi : le programme est alors conçu de façon prudente d'après vos autres réponses.
Un seul lecteur en dehors de vous : l'éducateur sportif, depuis son compte « coach », dont le rôle est vérifié par le serveur à chaque opération (§ 1) ; dans l'application, le compte d'administration n'y a pas accès, et l'accès technique du titulaire du projet d'hébergement est réservé à la maintenance, chaque opération étant consignée dans un registre interne (§ 1). Chaque consultation faite depuis le compte « coach » est inscrite au journal des accès par le serveur, qui refuse en outre la lecture d'un fichier (photo, programme) si elle n'a pas été inscrite à ce journal dans les 5 minutes qui précèdent (T16).
Jamais par e-mail, jamais publiées, jamais utilisées par le moteur du défi. Le programme est rédigé sans nommer de pathologie et mis à disposition dans votre espace, jamais en pièce jointe.
Photos (dépôt ouvert à l'ouverture des ventes, après paiement). Consignes affichées avant le dépôt : tenue de sport couvrante, visage hors du cadre, aucune nudité. Chaque photo est ré-encodée sur votre appareil (JPEG, 1 600 pixels au plus), ce qui supprime ses métadonnées, dont la position GPS. Elle est stockée dans un coffre privé. Une photo non conforme aux consignes est supprimée dès sa réception. Les photos ne font l'objet d'aucune reconnaissance faciale ni d'aucun traitement biométrique.
Retrait à tout moment, aussi simple que le consentement : Réglages → Mes données sensibles. La donnée est effacée immédiatement (les fichiers des photos d'abord). Le retrait ne remet pas en cause le traitement déjà effectué : un programme déjà mis à votre disposition reste inchangé, et vous en êtes informé au moment du retrait.
Aucun document médical. Nous ne demandons ni certificat, ni ordonnance, ni compte rendu. Si vous nous en envoyez un, il est supprimé dès réception, sans être utilisé.
Textes libres. Sous chaque champ libre (précision de la demande, expérience, préférences, remarques, descriptions de séance, messages de la Meute, contestations), un rappel vous demande de n'écrire ni information de santé ni nom civil.

4. Ce que voient les autres membres

Le défi est collectif : l'affichage de votre parcours aux autres membres fait partie du service que vous achetez (exécution du contrat, T11 et T12). Il est limité ainsi. La réservation de l'affichage aux membres ayant acheté la saison entrera en service à l'ouverture des ventes ; les autres limites ci-dessous, dont la fin de l'affichage nominatif à la fin de la saison + 30 jours, s'appliquent déjà (situation actuelle : section « Avant l'ouverture des ventes ») :

Ce qui est affiché	Qui le voit	Jusqu'à quand
Pseudonyme, figure viking, nom et insigne de votre Drakkar	Les membres ayant acheté la même saison	Fin de la saison + 30 jours
Serment (jours actifs par semaine) et défi libre	Les membres ayant acheté la même saison	Fin de la saison + 30 jours
Séances validées sur le Mur : date, type d'activité, durée, description et, pour une séance chronométrée après une Chute ou un retrait, la mention « hors classement »	Les membres ayant acheté la même saison	Fin de la saison + 30 jours
Nombre de Gels	Les membres ayant acheté la même saison	Tant que vous êtes en lice
Statut : en lice (liste des Vivants, classée par nombre de séances), « tombé » aux Abysses — avec, pour date, le lundi de la semaine de la Chute, sans sa date exacte ni sa cause —, ou « a quitté l'Arc »	Les membres ayant acheté la même saison	Fin de la saison + 30 jours
Messages de la Meute	Canal de la flotte : les membres de la saison. Canal de bord : votre équipage.	Fin de la saison + 30 jours, ou suppression par vous

Jamais affichés aux autres membres : votre adresse e-mail, votre date de naissance, votre commande, vos réponses au questionnaire, vos données de santé et de corpulence, vos photos, votre journal de bord, votre pause de récupération, vos contestations, vos dossiers de Parjure ou d'invalidation, vos signalements, vos Gels une fois sorti du jeu (Chute ou retrait), ainsi que la date exacte et la cause de votre Chute, visibles de vous seul.

Contenus retirés et fin de l'affichage. Un message retiré par la modération n'est plus affiché dans la Meute ; pour une séance dont le contenu a été retiré, le type d'activité et la description ne sont plus affichés aux autres membres, sans effet sur sa validité (T15) ; un contenu rétabli après une contestation est de nouveau affiché. Après la fin de la saison + 30 jours, soit à partir du 3 mars 2027, les autres membres ne voient plus aucune ligne à votre nom (pseudonyme, séances, Gels, statut, équipage, messages) ; vous continuez de voir vos propres séances et votre statut.

Masquage du pseudonyme. Depuis les Réglages, à tout moment et avec effet immédiat, vous pouvez masquer votre pseudonyme partout où votre parcours est affiché (Mur, Vivants, Abysses, Drakkar, Meute). Il est alors remplacé par un libellé fixe, le même pour tous les membres masqués, sans numéro ni autre identifiant : « Anonyme », ou « Tombé » aux Abysses et, pour un membre tombé, dans la liste de son équipage. Votre figure viking, votre défi libre, l'insigne de votre Drakkar dans la Meute, le type d'activité et les descriptions de vos séances sont aussi masqués aux autres membres. Le masquage est sans effet sur votre statut dans l'Arc et vous pouvez le lever. Il ne s'agit pas d'une anonymisation : vos données restent des données personnelles, conservées selon le § 2.

Votre pseudonyme ne doit pas être votre nom civil.

5. Décisions automatisées : la logique du moteur (article 22 du RGPD)

Les jours actifs, les Gels, la Chute et les statuts sont calculés automatiquement par le serveur, sans intervention humaine, parce que ce calcul est nécessaire à l'exécution du contrat (article 22.2.a du RGPD). Ces décisions produisent des effets importants pour vous. Voici leur logique.

Semaine : du lundi 0 h au dimanche 23 h 59, heure de Paris. La saison compte 13 semaines ; seules comptent les séances démarrées pendant la saison.
Jour actif : une activité physique d'au moins 20 minutes chronométrée dans l'application, rattachée au jour (heure de Paris) de son démarrage. Un seul jour actif est compté par jour. La durée retenue est plafonnée à 240 minutes ; un chronomètre resté ouvert plus de 8 heures est invalidé.
Quota : chaque semaine exige le nombre de jours actifs de votre Serment en vigueur au lundi de cette semaine. Un Serment ne peut qu'augmenter ; une hausse s'applique à partir du lundi suivant.
Pause de récupération : 7 jours, une fois par Serment, sans motif. Ses jours sont retirés du quota de leur semaine, au prorata, arrondi en votre faveur.
Gel : une semaine terminée avec moins de jours actifs que le quota exigé.
Chute : au 3ᵉ Gel, à l'issue de la semaine concernée, vous tombez aux Abysses.
Retrait : la semaine du retrait reste due au prorata des jours écoulés avant le jour du retrait ; y comptent les séances lancées avant le retrait, y compris le jour même, et aucune séance lancée après ; les semaines suivantes ne comptent plus. Si vous comptez au moins un Gel — y compris un Gel constaté à la fin de la semaine du retrait —, le retrait vaut Chute « retrait », à la date du retrait ; sinon, vous avez « quitté l'Arc ». Le motif du retrait n'est jamais demandé et ne change rien.
Séances hors classement : après une Chute ou un retrait, le chronomètre reste ouvert pendant la saison ; ces séances portent la mention « hors classement » et ne changent jamais une Chute. Après un retrait, elles ne comptent jamais ; si une contestation lève une Chute, les séances chronométrées depuis comptent normalement.

Données utilisées : votre Serment et son historique, les dates et durées de vos séances, les dates de votre pause et de votre retrait, et les décisions humaines prises après une contestation ou au terme d'un dossier de Parjure ou d'invalidation d'une séance. Aucune donnée de santé ou de corpulence, aucune réponse au questionnaire, aucune photo et aucun élément du journal de bord n'entrent dans ces calculs. Tout est recalculé automatiquement si une séance est rétablie.

Conséquences : la Chute vous fait figurer aux Abysses (les autres membres voient « tombé » et le lundi de la semaine de la Chute, sans sa date exacte ni sa cause) et peut faire sombrer votre Drakkar s'il ne reste plus personne à bord. Elle ne vous retire ni votre programme, ni les bilans de l'option Suivi, ni l'accès à l'application jusqu'au 31 janvier 2027, et n'a aucun effet sur le prix.

Vos droits : obtenir une intervention humaine, exprimer votre point de vue et contester la décision. Dans l'application, utilisez « Contester une décision » dans les Réglages jusqu'à la fin de la saison + 30 jours, soit jusqu'au 2 mars 2027 inclus, et, pour une décision de dossier ou un retrait de contenu intervenus plus tard, pendant les 30 jours qui suivent cette décision ; l'application accepte jusqu'à trois contestations par période de 24 heures. Au-delà de cette limite, ou après ces délais, écrivez à contact@challengewinterarc.com jusqu'à la fin de la saison + 365 jours, soit jusqu'au 31 janvier 2028 inclus, tant que les données de vos séances sont conservées : nous enregistrons alors votre contestation dans l'application. Une personne habilitée réexamine la décision et vous répond de façon motivée sous 72 heures ; la décision est consultable dans les Réglages, rubrique « Mes contestations », que la contestation ait été faite dans l'application ou par e-mail, et, à l'ouverture des ventes, un e-mail sans contenu vous préviendra qu'elle est disponible. Une contestation décidée est conservée 12 mois après la décision (T13). Une contestation ne peut que maintenir la décision ou la corriger en votre faveur (séance rétablie, jours crédités, Parjure levé, contenu rétabli). Le Parjure et l'invalidation d'une séance pour fraude ne sont jamais décidés automatiquement : ils relèvent d'une procédure contradictoire, avec un dossier écrit consultable dans Réglages → « Mes dossiers », 48 heures pour répondre et une décision motivée, rendue au plus tôt au terme de ce délai, que vous pouvez ensuite contester (T14).

6. Destinataires et prestataires

Outre l'éducateur sportif (§ 1) et les membres de la saison dans les limites du § 4, vos données sont confiées aux prestataires suivants, qui agissent sur nos instructions dans le cadre d'un contrat conforme à l'article 28 du RGPD, sauf mention contraire.

Prestataire	Rôle	Données concernées	Stockage et accès	Garanties en cas de transfert
Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513	Base de données, authentification, stockage des fichiers (photos, programmes), fonctions serveur, journaux techniques et sauvegardes	Toutes les données de l'application (T1 à T25)	Données hébergées dans l'Union européenne, région de Paris. Accès possibles depuis des pays situés hors de l'Union par Supabase et ses propres sous-traitants, pour l'exploitation et le support.	Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) intégrées à son accord de traitement des données. Singapour ne bénéficie pas d'une décision d'adéquation.
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis	Hébergement et distribution du site et de l'application, résolution des noms de domaine, protection du réseau	Adresse IP et données techniques des requêtes (T25)	Réseau mondial ; société établie aux États-Unis. Durée de conservation de ses journaux : [À FOURNIR : durée de conservation des journaux techniques de Cloudflare, confirmée par écrit].	Clauses contractuelles types (décision d'exécution (UE) 2021/914) de son accord de traitement des données ; certification de Cloudflare, Inc. au cadre de protection des données UE–États-Unis en complément (§ 7).
[À FOURNIR : dénomination et siège du prestataire d'envoi d'e-mails établi dans l'Union européenne, lieu de stockage des contenus et des journaux, et durée de conservation des journaux d'envoi]	Envoi des e-mails de service (T18), dès sa mise en service, avant la réouverture des inscriptions	Adresse e-mail, contenu des messages de service (jamais de donnée de santé), journaux d'envoi	Contenus et journaux stockés dans l'Union européenne	Aucun transfert hors de l'Union.
Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, États-Unis	Envoi des e-mails d'authentification (confirmation d'adresse, réinitialisation du mot de passe), jusqu'à la mise en service de Scaleway, prestataire d'e-mails établi en France	Adresse e-mail, contenu de ces messages (lien de connexion ou de réinitialisation), journaux d'envoi (T1, T18)	Contenus et journaux d'envoi stockés aux États-Unis et conservés 30 jours	Clauses contractuelles types (décision d'exécution (UE) 2021/914, module 2) intégrées à son accord de traitement des données ; certification au cadre de protection des données UE–États-Unis en complément (§ 7).
IONOS SARL, 7 place de la Gare, 57200 Sarreguemines, France	Hébergement de la boîte contact@challengewinterarc.com	Messages reçus et envoyés (T21)	Union européenne	Aucun transfert hors de l'Union.
[À FOURNIR : dénomination et siège du prestataire de paiement, lieu de stockage et d'accès aux données, garanties en cas de transfert hors de l'Union européenne]	Encaissement et remboursements, en tant que sous-traitant ; responsable de traitement distinct pour ses propres obligations légales (prévention de la fraude, lutte contre le blanchiment de capitaux)	Données de paiement ; identité et montant de la commande (T4, T19)	Précisés avec sa désignation	Précisées avec sa désignation
[À FOURNIR : éditeur et siège de l'outil utilisé pour les bilans de l'option Suivi, pays d'hébergement et d'accès, garanties en cas de transfert]	Tenue des bilans à distance, sans enregistrement (T9)	Données de rendez-vous et échanges pendant les bilans	Précisés avec sa désignation	Précisées avec sa désignation
[À FOURNIR : dénomination et siège du prestataire postal chargé d'expédier le badge souvenir]	Expédition du badge souvenir (T20)	Nom, prénom, adresse postale	Précisés avec sa désignation	Précisées avec sa désignation

Les polices de caractères et les bibliothèques du site sont servies depuis notre propre domaine : votre navigateur ne contacte ni service de polices, ni réseau de distribution de bibliothèques tiers. Pour vérifier que votre mot de passe ne figure pas dans une liste de mots de passe compromis, Supabase interroge le service Pwned Passwords avec un court fragment de l'empreinte du mot de passe ; ni le mot de passe ni votre adresse e-mail ne sont transmis.

Accès au sein de notre organisation. Deux rôles distincts donnent accès aux données des membres. Ils sont attribués nommément, à deux comptes différents (un même compte ne peut détenir les deux rôles), et le serveur vérifie le rôle à chaque opération qui leur est réservée :

rôle « coach », réservé à l'éducateur sportif : réponses au questionnaire, limitations, taille, poids, photos consenties, journal de bord et calendrier du Suivi ; dépôt des programmes ; contestations, dossiers de Parjure et d'invalidation, signalements et modération ;
rôle d'administration : contestations, dossiers de Parjure et d'invalidation, signalements et modération ; changement de pseudonyme et rectification de la date de naissance ; purges des données et des fichiers (photos et programmes). Dans l'application, ce rôle n'a accès ni au questionnaire, ni aux photos, ni au journal de bord, ni aux programmes déposés ; l'accès technique du titulaire du projet d'hébergement, en dehors de l'application, est limité à la maintenance et consigné dans un registre interne (§ 1).

Chaque action de ces rôles portant sur les données d'un membre est inscrite au journal des accès par le serveur (T16), qui refuse à l'éducateur la lecture d'un fichier d'un membre si elle n'a pas été inscrite à ce journal dans les 5 minutes qui précèdent. Aucune personne habilitée ne décide d'une contestation qu'elle a formée, ni d'un dossier, d'un signalement ou d'un contenu qui la vise : une autre personne habilitée s'en charge.

Vos données peuvent enfin être communiquées aux autorités habilitées (autorité judiciaire, CNIL, administration fiscale) lorsque la loi l'impose.

7. Transferts hors de l'Union européenne

La base de données est hébergée dans l'Union européenne (région de Paris). Les prestataires suivants peuvent néanmoins accéder à des données depuis des pays situés hors de l'Union, ou les y stocker :

Supabase Pte. Ltd. (Singapour), pour l'exploitation et le support de la base de données, ainsi que ses propres sous-traitants. Singapour ne bénéficie pas d'une décision d'adéquation : ces accès sont encadrés par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) incluses dans son accord de traitement des données.
Cloudflare, Inc. (États-Unis), pour l'hébergement et la distribution du site. Ce transfert repose d'abord sur les clauses contractuelles types (décision d'exécution (UE) 2021/914) de son accord de traitement des données. La certification de Cloudflare, Inc. au cadre de protection des données UE–États-Unis (« Data Privacy Framework », décision d'adéquation (UE) 2023/1795 de la Commission du 10 juillet 2023) s'y ajoute.
Plus Five Five, Inc. (Resend, États-Unis), pour l'envoi des e-mails d'authentification, jusqu'à la mise en service de Scaleway, prestataire d'e-mails établi en France, qui interviendra avant la réouverture des inscriptions. Resend stocke le contenu et les journaux d'envoi de ces e-mails aux États-Unis et les conserve 30 jours. Ce transfert repose d'abord sur les clauses contractuelles types (décision d'exécution (UE) 2021/914, module 2) de son accord de traitement des données ; sa certification au cadre de protection des données UE–États-Unis s'y ajoute.

À la date de cette politique, la décision d'adéquation (UE) 2023/1795 est en vigueur. Un pourvoi tendant à son annulation est pendant devant la Cour de justice de l'Union européenne (affaire C-703/25 P). Le 29 juin 2026, la Cour suprême des États-Unis a rendu l'arrêt Trump v. Slaughter, qui admet la révocation par le président des membres de la Federal Trade Commission, autorité américaine chargée de faire respecter ce cadre ; le 31 juillet 2026, le Comité européen de la protection des données a demandé à la Commission européenne d'examiner le cadre au regard de cet arrêt. Nous réexaminons ces transferts à chaque décision nouvelle et, si le cadre était suspendu ou invalidé, nous en tirerions les conséquences, jusqu'à remplacer le prestataire concerné par un prestataire établi dans l'Union européenne.

Les garanties applicables au prestataire de paiement et à l'outil des bilans sont indiquées au § 6.

Vous pouvez obtenir une copie des garanties mises en place en écrivant à contact@challengewinterarc.com.

8. Calendrier de conservation de la Saison 1

À tout moment, dès votre demande : retrait d'un consentement (santé et corpulence, photos, journal de bord) = effacement immédiat ; vos messages de la Meute, supprimés par vous.
Dès la mise à disposition du programme (sans option Suivi) : photos de gabarit.
1ᵉʳ décembre 2026 : questionnaires sans commande (ou 30 jours après leur dernière modification si elle est plus tardive).
31 janvier 2027 (fin de la saison et du Suivi) : photos de gabarit des membres ayant l'option Suivi.
2 mars 2027 (fin de la saison + 30 jours) : fin de l'affichage nominatif ; suppression des données de santé et de corpulence, des photos restantes, des journaux de bord, des questionnaires et programmes en base active, des calendriers du Suivi, des messages de la Meute et des descriptions ; fin de la contestation dans l'application (sauf décision de dossier ou retrait de contenu intervenus plus tard : 30 jours après cette décision).
31 janvier 2028 (fin de la saison + 12 mois) : dernier jour pour contester par e-mail ; données brutes des séances ensuite supprimées ou transformées en statistiques sans lien avec les comptes.
12 mois après la décision : contestations, dossiers de Parjure et d'invalidation et signalements décidés (avec, pour un signalement, l'extrait du contenu, le compte de son auteur et la date de la déclaration de bonne foi) (ceux qui sont en attente sont conservés jusqu'à leur décision). 12 mois glissants : journal des accès.
2 ans sans connexion : suppression du compte, après préavis.
3 mois après l'expédition : adresse postale du badge.
31 janvier 2037 : fin de l'archive contractuelle (contrat, CGV acceptées, rétractations) et de l'archive de défense ; factures et pièces comptables : 10 ans.
Archive d'identification des auteurs de contenus : 1 an ou 5 ans selon la donnée (T24).

Ces suppressions seront exécutées automatiquement par des tâches planifiées, en service à l'ouverture des ventes et donc avant la première échéance de ce calendrier ; chaque exécution sera journalisée. D'ici là, la purge de fin de saison et l'effacement des fichiers sont lancés depuis l'outil d'administration et journalisés : les fichiers sont effacés par une fonction serveur qui traite les deux coffres (photos et programmes) et inscrit au journal des accès les effacements de fin de saison membre par membre (T16). Le retrait d'un consentement et la suppression de vos messages prennent déjà effet immédiatement. En cas de litige en cours, les données nécessaires sont conservées jusqu'à son issue, avec un accès restreint. Les sauvegardes de la base de données sont écrasées au bout de 7 jours : une donnée supprimée disparaît donc aussi des sauvegardes dans ce délai.

9. Vos droits et comment les exercer

Vous disposez des droits suivants sur vos données :

Accès (article 15) : savoir quelles données nous traitons et en obtenir une copie, notamment en téléchargeant vos données depuis les Réglages (voir « Portabilité » ci-dessous).
Rectification (article 16). Votre pseudonyme et votre date de naissance ne se modifient pas dans l'application : écrivez-nous depuis l'adresse de votre compte. La rectification est faite par l'administration : le nouveau pseudonyme doit respecter les mêmes règles qu'à la création du profil (3 à 24 caractères, alphabet latin, préfixes réservés exclus) et ne pas être déjà pris ; une date de naissance rectifiée qui ferait apparaître une personne mineure n'est pas enregistrée, et le § 10 s'applique. Chaque rectification est motivée et inscrite au journal des accès (T16) : pour un pseudonyme, l'ancien et le nouveau pseudonyme avec le motif ; pour une date de naissance, le motif seul, jamais la date. Nous pouvons aussi remplacer de notre propre initiative un pseudonyme qui reproduit un nom civil, qui est injurieux ou qui usurpe une identité : il est alors remplacé sans délai par un pseudonyme neutre, nous vous en informons par écrit avec le motif, et vous pouvez nous en proposer un autre. Un justificatif de date de naissance ne peut être demandé qu'en cas de doute objectif ; il est détruit dès le contrôle fait.
Effacement (article 17). « Supprimer mon compte » dans les Réglages. Sans commande, tout est supprimé : profil, historique de vos acceptations des CGV, adresse e-mail, séances, messages, questionnaire, programme et photos (fichiers compris : l'application les efface avant de supprimer le compte, et ne le supprime pas s'il en reste) et journal de bord. Seuls subsistent, sans compte associé : les inscriptions du journal des accès vous concernant (T16), jusqu'au terme de leurs 12 mois (celles d'un changement de pseudonyme contiennent l'ancien et le nouveau pseudonyme), et l'extrait joint au signalement de l'un de vos messages, jusqu'à 12 mois après la décision sur ce signalement (T15). Avec une commande, les mêmes données sont supprimées ; seuls restent conservés, dans des archives séparées à accès restreint : le contrat, les CGV acceptées, les horodatages et les rétractations (T22, jusqu'au 31 janvier 2037), les factures (10 ans), l'archive de défense (T23) et l'archive d'identification des auteurs de contenus (T24). La fenêtre de suppression listera alors précisément ce qui est effacé et ce qui est conservé.
Limitation (article 18) : geler l'utilisation d'une donnée, par exemple le temps de vérifier son exactitude.
Portabilité (article 20) : recevoir les données que vous nous avez fournies (compte, questionnaire, séances, messages, journal de bord, photos) dans un format structuré et lisible par machine. Réglages → « Télécharger mes données » produit un fichier JSON (winter-arc-mes-donnees-AAAA-MM-JJ.json) qui réunit les données de votre compte conservées dans l'application : compte et profil, historique de vos acceptations des CGV, Serments, statuts et Gels, Drakkar, séances, pauses, commandes, demandes de programme (dont la date de votre attestation QS-SPORT), calendrier et journal du Suivi, messages (y compris ceux retirés par la modération), contestations, dossiers, signalements que vous avez faits (dont la date de votre déclaration de bonne foi), contenus retirés, et actions de l'éducateur ou de l'administration vous concernant (action et date). Il ne contient ni l'identité des autres membres, ni celle des personnes habilitées, ni le contenu visé par vos signalements. Vos photos et votre programme n'y figurent que par le nom de leur fichier : votre programme se télécharge depuis « Mon programme », et nous vous remettons vos photos sur demande. Nous vous remettons aussi, sur demande, une copie au format JSON ou PDF.
Retrait du consentement (article 7.3) : Réglages → Mes données sensibles, à tout moment, avec effacement immédiat (§ 3).
Directives sur le sort de vos données après votre décès (article 85 de la loi n° 78-17 du 6 janvier 1978) : directives générales auprès d'un tiers de confiance certifié par la CNIL, ou directives particulières auprès de nous.
Intervention humaine et contestation des décisions automatisées (article 22) : voir le § 5.

Votre droit d'opposition (article 21 du RGPD). Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime : Parjure et invalidation d'une séance (T14), réponses aux messages hors demandes d'exercice des droits (T21), conservation dans l'archive de défense (T3 et T23), sécurité et traces techniques (T25). Nous cessons alors le traitement, sauf si nous démontrons des motifs légitimes et impérieux qui prévalent sur vos intérêts, droits et libertés, ou si le traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice. Nous ne faisons aucune prospection commerciale. Pour vous opposer : contact@challengewinterarc.com.

Comment exercer vos droits. Utilisez les fonctions de l'application indiquées ci-dessus ou écrivez à contact@challengewinterarc.com. L'exercice de vos droits est gratuit. Nous répondons dans un délai d'un mois à compter de la réception de la demande ; ce délai peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses, auquel cas nous vous en informons, avec les motifs, dans le premier mois.

Vérification de votre identité. Elle est proportionnée : une demande faite depuis l'application, connecté à votre compte, ou envoyée depuis l'adresse e-mail de votre compte suffit en principe. En cas de doute raisonnable, nous pouvons vous demander une information complémentaire strictement nécessaire, par exemple un élément de votre commande. Une copie de pièce d'identité n'est demandée qu'en dernier recours, si le doute persiste ; elle est supprimée dès la vérification faite.

Réclamation. Vous pouvez à tout moment introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : www.cnil.fr/fr/plaintes, ou CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

10. Mineurs

Le service est réservé aux personnes de 18 ans révolus. La majorité est contrôlée d'après la date de naissance déclarée, à la création du compte puis à la commande. Nous ne demandons pas de pièce d'identité ; un justificatif n'est demandé qu'en cas de doute objectif et il est détruit dès le contrôle fait. Un rappel « réservé aux majeurs » accompagne tout dépôt de fichier. Si nous découvrons qu'un compte appartient à un mineur, le compte est suspendu, sans aucun affichage aux Abysses ; les photos, les données de santé et de corpulence et les messages sont supprimés immédiatement ; la commande est remboursée intégralement, programme compris ; la personne en est informée par écrit.

11. Traceurs strictement nécessaires

Winter Arc ne dépose aucun cookie et n'utilise ni mesure d'audience, ni publicité, ni captcha, ni bouton de réseau social. Les seuls éléments stockés dans votre navigateur sont strictement nécessaires au service que vous demandez ; ils sont exemptés de consentement (article 82 de la loi n° 78-17 du 6 janvier 1978), c'est pourquoi aucun bandeau ne vous est présenté.

Nom	Type	Finalité	Durée
`wa_lang`	Stockage local du navigateur	Mémoriser la langue choisie (français ou anglais)	Jusqu'à ce que vous effaciez les données du site dans votre navigateur
`sb-ktagmptbvxjselabzbvg-auth-token`	Stockage local du navigateur	Maintenir votre session connectée (jetons d'authentification, renouvelés tant que la session est active)	Supprimé à la déconnexion
`wa_reviews_seen`	Stockage local du navigateur	Afficher la pastille signalant une nouvelle décision sur vos contestations (date de la dernière décision consultée)	Jusqu'à ce que vous effaciez les données du site dans votre navigateur
`wa_cases_seen`	Stockage local du navigateur	Afficher la pastille signalant une nouvelle décision sur vos dossiers de Parjure ou d'invalidation (date de la dernière décision consultée)	Jusqu'à ce que vous effaciez les données du site dans votre navigateur
`wa_moderation_seen`	Stockage local du navigateur	Afficher la pastille signalant une décision de modération : décision sur l'un de vos signalements ou retrait de l'un de vos contenus (date de la dernière décision consultée)	Jusqu'à ce que vous effaciez les données du site dans votre navigateur
`winterarc-v…`	Cache du service worker	Charger l'application plus vite et hors connexion ; ne contient que les fichiers de l'interface, aucune donnée personnelle	Remplacé à chaque nouvelle version de l'application

Tout ajout d'un traceur non strictement nécessaire serait soumis à votre consentement préalable, par une case distincte non cochée.

12. Sécurité, analyse d'impact et violations de données

Chiffrement des échanges (HTTPS imposé) et chiffrement des données au repos chez Supabase.
Contrôle d'accès ligne par ligne dans la base : l'application n'écrit jamais directement dans les tables ; toute écriture passe par des fonctions vérifiées côté serveur. Horodatages donnés par l'horloge du serveur.
Rôles distincts pour l'éducateur et pour l'administration, attribués à deux comptes différents (§ 6), vérifiés par le serveur pour chaque opération réservée à ces rôles, avec mot de passe d'au moins huit caractères contrôlé contre les fuites connues. La double authentification, un temps exigée, a été retirée le 23 septembre 2026. Accès technique complet du titulaire du projet d'hébergement, en dehors de l'application, réservé à la maintenance, chaque opération étant consignée dans un registre interne (§ 1). À l'ouverture des ventes : double authentification sur les comptes des prestataires, dont ce compte d'hébergement.
Coffres de fichiers privés : l'application et l'outil de l'éducateur n'émettent aucun lien public ni temporaire, et les fichiers ne sont lus que depuis une session authentifiée. Photos de gabarit : lisibles par vous et, si vous y avez consenti, par l'éducateur. Programmes (PDF de 10 Mo au plus) : lisibles par vous et par l'éducateur ; seul l'éducateur peut les déposer ou les remplacer ; il peut les effacer, et vous pouvez effacer le vôtre, ce que fait l'application avant la suppression de votre compte. Le serveur refuse à l'éducateur la lecture d'un fichier d'un membre, y compris lors du remplacement d'un programme, si elle n'a pas été inscrite au journal des accès (T16) dans les 5 minutes qui précèdent. Les fichiers sont effacés par une fonction serveur réservée à l'administration, qui traite les deux coffres.
Mots de passe de 8 caractères au moins, conservés hachés, vérifiés contre les listes de mots de passe compromis.
Aucune ressource chargée depuis un tiers. Politique de sécurité du contenu du site, aujourd'hui en mode observation, rendue bloquante à l'ouverture des ventes.
Journal des accès (T16) ; sauvegardes limitées à 7 jours ; purges journalisées, lancées depuis l'outil d'administration, puis automatiques à l'ouverture des ventes.
À l'ouverture des ventes : engagement écrit de confidentialité de toute personne ayant accès aux données des membres.

Analyse d'impact. Une analyse d'impact relative à la protection des données (article 35 du RGPD) sera conduite avant l'ouverture des ventes, qui ouvre la collecte des données de santé et des photos ; elle sera revue avant chaque saison et à chaque nouvelle fonction. Si un risque élevé subsistait malgré les mesures prévues, nous consulterions la CNIL avant tout traitement (article 36). Un registre interne des activités de traitement (article 30) sera établi avant l'ouverture des ventes et communiqué à la CNIL sur sa demande.

Violation de données. Toute violation est consignée dans un registre interne. Si elle présente un risque pour vos droits et libertés, nous la notifions à la CNIL dans les 72 heures après en avoir pris connaissance ; si le risque est élevé, nous vous en informons directement, dans les meilleurs délais, avec les mesures prises et les précautions à prendre (articles 33 et 34).

13. Modification de cette politique

Toute modification importante de cette politique vous est notifiée par e-mail, et signalée en tête de cette politique, au moins 15 jours avant son entrée en vigueur, sauf modification imposée par la loi ou nécessaire à la sécurité du service, notifiée sans délai de la même manière. Nous n'utilisons pas vos données pour une finalité nouvelle sans vous en avoir informé au préalable. Pour vos données de santé et de corpulence, vos photos et votre journal de bord, toute nouvelle finalité et tout nouveau destinataire exigent un nouveau consentement de votre part : à défaut, ces données continuent d'être traitées uniquement dans les conditions auxquelles vous avez consenti. Les versions antérieures de cette politique sont disponibles sur demande.