Politique de confidentialité

Le responsable du traitement des données décrites ci-dessous est Antuela MICELI (EI), exerçant sous l’enseigne TURMEX LABS, 47 rue Vivienne, 75002 Paris.

Pour l’essentiel des données saisies dans l’application, l’écurie cliente est responsable de traitement et HorsePlan agit comme sous-traitant au sens du RGPD. HorsePlan est responsable de traitement pour son propre compte s’agissant des comptes utilisateurs, de la facturation de l’abonnement et de la sécurité du service.

Toute question relative aux données : contact@horseplan.fr.

Chaque catégorie ci-dessous indique ce qui est collecté, la finalité pour laquelle nous le traitons, et la durée pendant laquelle nous le conservons.

Compte et identité

• Adresse e-mail, nom, prénom, nom d’affichage. Finalité : création du compte, authentification, rattachement à une écurie et à un rôle. Durée : durée de la relation contractuelle, puis 3 ans après la dernière connexion pour un compte devenu inactif.
• Mot de passe. Il n’est jamais stocké par HorsePlan. L’authentification est déléguée à notre prestataire Clerk, qui en assure seul la conservation sous forme chiffrée. Durée : fixée par Clerk, alignée sur la vie du compte.
• Téléphone. Finalité : joindre un cavalier ou un propriétaire au sujet d’un cours, d’un cheval ou d’une facture. Durée : durée de la relation contractuelle.
• Adresse postale. Finalité : mention obligatoire sur les factures émises par l’écurie. Durée : 10 ans lorsqu’elle figure sur une facture émise, durée de la relation contractuelle sinon.
• Langue d’affichage et préférences d’interface. Finalité : afficher l’application dans la langue choisie. Durée : durée de la relation contractuelle.

Sécurité des personnes

• Contact d’urgence : nom et téléphone de la personne à prévenir. Renseigné sur la fiche d’un cavalier ou sur son compte utilisateur. Finalité : joindre un proche en cas d’accident ou de malaise pendant une reprise. Durée : durée de la relation contractuelle, supprimé en même temps que la fiche du cavalier. Cette donnée concerne un tiers, qui n’utilise pas nécessairement le service : il vous appartient de l’informer que vous nous l’avez communiquée.

Pratique équestre

• Numéro de licence FFE et année de licence. Finalité : vérifier la validité de la licence exigée pour la pratique et pour les compétitions. Durée : durée de la relation contractuelle.
• Galop actuel, galop objectif, niveau. Finalité : composer les reprises par niveau et suivre la progression. Durée : durée de la relation contractuelle.
• Contenu des notes pédagogiques. Une note pédagogique est une appréciation écrite d’un moniteur sur un cavalier, éventuellement assortie d’un galop validé. Finalité : suivi pédagogique individuel. Durée : durée de la relation contractuelle. Ces notes ne sont visibles que par le cavalier concerné (ou son tuteur), leur auteur et les responsables de l’écurie.
• Inscriptions aux cours et aux événements, présences. Finalité : gestion du planning, du pointage et de la facturation. Durée : durée de la relation contractuelle.

Chevaux

• Nom, race, date de naissance, robe, numéro SIRE, propriétaire, actes de santé et soins. Finalité : tenue des fiches, rappels de vaccins et de vermifuges, registre d’élevage. Durée : durée de la relation contractuelle, hors registre d’élevage soumis à une obligation légale de conservation propre. Les données de santé d’un cheval ne sont pas des données de santé au sens du RGPD, qui ne vise que les personnes physiques.

Structure cliente et facturation

• Raison sociale de la structure. Sa dénomination légale, qui peut différer du nom d’usage de l’écurie. Finalité : identifier la partie au contrat et la faire figurer sur les factures d’abonnement. Durée : 10 ans, la durée de conservation des pièces comptables.
• Numéro SIREN ou SIRET de l’écurie, ou son numéro RNA — Répertoire National des Associations — pour une association. Finalité : établir que le souscripteur est une structure agissant dans le cadre de son activité, condition de la souscription, et faire figurer ce numéro sur les factures d’abonnement. Durée : 10 ans, la durée de conservation des pièces comptables.
• Résultat de la vérification de ce numéro auprès des répertoires publics — état (vérifié, cessé, introuvable, non vérifié), date, dénomination et code d’activité retournés. Finalité : s’assurer que la structure déclarée existe réellement, ce qui est la condition du périmètre annoncé dans les conditions générales de vente. Durée : durée de la relation contractuelle.
• Numéro de TVA intracommunautaire de l’écurie. Finalité : mention obligatoire sur les factures que l’écurie émet, lorsqu’elle y est assujettie. Durée : 10 ans.
• Déclaration d’activité professionnelle : date, auteur et version des conditions générales acceptées. Finalité : preuve que le contrat a été conclu entre professionnels. Durée : durée de la relation contractuelle puis 5 ans, délai de prescription de droit commun.
• Factures, devis, avoirs et paiements : identité du destinataire, lignes, montants, statut. Finalité : obligation comptable et fiscale. Durée : 10 ans. Une facture émise n’est jamais modifiée ni supprimée : la réglementation anti-fraude l’interdit.
• Identifiants de paiement Stripe. Finalité : rattacher un encaissement à un abonnement ou à une facture. Les numéros de carte bancaire ne transitent jamais par nos serveurs et ne sont jamais stockés par HorsePlan. Durée : durée de la relation contractuelle.

Échanges au sein de l’écurie

• Conversations et messages de la messagerie interne : contenu, auteur, destinataires, date de lecture. Finalité : permettre aux membres d’une écurie de communiquer dans l’application. Durée : durée de la relation contractuelle.
• Notes d’écurie. Notes internes rédigées par l’équipe, pouvant être rattachées à un cheval, à un cavalier ou à un propriétaire. Finalité : organisation interne de l’écurie. Durée : durée de la relation contractuelle.
• Campagnes e-mail et statistiques d’ouverture. Finalité : informer les membres, mesurer si le message a été reçu et lu. Durée : durée de la relation contractuelle. Un lien de désinscription figure dans chaque envoi non transactionnel.

Sécurité et traçabilité

• Journal d’audit. Trace nominative des actions sensibles : connexion, création, modification ou suppression d’une facture, changement de rôle, invitation, export de données. Il enregistre l’action, sa cible, l’utilisateur, l’écurie et l’horodatage — jamais le contenu métier complet. Finalité : sécurité et preuve en cas de litige. Durée : 1 an glissant.
• Journaux techniques du serveur et rapports d’erreur. Finalité : détecter et corriger les pannes, détecter les abus. Durée : 90 jours.

Fichiers déposés

• Logos, registres, justificatifs et autres documents téléversés. Finalité : les rattacher au dossier qu’ils accompagnent. Durée : alignée sur celle de la donnée qu’ils documentent. Leur contenu relève de l’écurie qui les dépose : ils peuvent contenir des données personnelles dont elle est responsable.

Une part importante des cavaliers d’un centre équestre sont mineurs. HorsePlan traite les données suivantes les concernant :

• Date de naissance et indicateur de minorité. Finalité : déterminer si le cavalier est mineur, constituer les groupes par âge, et appliquer les règles ci-dessous. Durée : durée de la relation contractuelle.
• Nom et adresse e-mail du tuteur légal. Finalité : adresser au représentant légal les communications, les factures et les demandes d’autorisation qui le concernent. Durée : durée de la relation contractuelle.
• Genre. Finalité : constituer les groupes et les hébergements lors des stages et des concours. Champ facultatif. Durée : durée de la relation contractuelle.

Consultation de répertoires publics. À la souscription, puis périodiquement, le numéro SIREN ou RNA déclaré par l’écurie est confronté aux répertoires officiels — Sirene, tenu par l’INSEE, et le Répertoire National des Associations. Seul ce numéro leur est transmis : aucune donnée de cavalier, de cheval ni de facturation. Ces organismes ne sont pas des sous-traitants — ce sont des registres publics que nous interrogeons, et non des prestataires agissant pour notre compte. Lorsque la consultation est impossible, elle est simplement différée : elle n’empêche jamais une inscription.

Base légale. Ces traitements reposent sur l’exécution du contrat conclu entre l’écurie et le représentant légal du mineur, et sur les obligations légales de l’écurie. Ils ne reposent pas sur le consentement du mineur.

Rôle du tuteur. Le compte d’un cavalier mineur est ouvert par l’écurie à la demande de son représentant légal. Celui-ci exerce, au nom du mineur, l’ensemble des droits décrits plus bas : accès, rectification, effacement, portabilité, opposition et limitation. Il peut demander à consulter les notes pédagogiques concernant le mineur.

Consentement et âge. En droit français, un mineur de moins de quinze ans ne peut pas consentir seul au traitement de ses données : le consentement du titulaire de l’autorité parentale est requis (article 45 de la loi du 6 janvier 1978, article 8 du RGPD). Les traitements décrits ci-dessus ne reposant pas sur le consentement mais sur le contrat et les obligations légales de l’écurie, ce seuil concerne les traitements qui, eux, reposent sur le consentement — au premier rang desquels l’usage de photographies.

Photographies. HorsePlan ne demande ni ne publie de photographie de personne. Les fichiers déposés par une écurie — documents, pièces jointes d’un message — peuvent techniquement contenir l’image d’une personne ; leur contenu relève de l’écurie, responsable de traitement. La diffusion de l’image d’un enfant suppose l’autorisation des DEUX titulaires de l’autorité parentale (articles 9 et 372-2 du code civil) : c’est à l’écurie de la recueillir et de la conserver. HorsePlan ne fournit pas, à ce jour, de fonctionnalité de recueil ni de traçabilité de cette autorisation.

Ouverture d’un compte. Un compte de cavalier mineur est créé par l’écurie, à la demande de son représentant légal. Le service n’est pas proposé directement aux enfants et aucune inscription publique ne leur est destinée.

Aucun profilage, aucune publicité et aucune décision automatisée ne sont appliqués aux mineurs — ni, du reste, aux autres utilisateurs.

• Fourniture du service HorsePlan et de ses fonctionnalités.
• Gestion de votre compte et de votre abonnement.
• Vérification de la qualité professionnelle du souscripteur.
• Envoi de notifications liées au service (rappels de soins, alertes planning).
• Facturation, encaissement et respect des obligations comptables.
• Support client et réponse à vos demandes.
• Sécurité du service, prévention et preuve des abus.
• Amélioration du produit (analyse d’usage agrégée et anonymisée).

Les traitements reposent sur les bases légales suivantes (RGPD, art. 6) :

• Exécution du contrat — fourniture du service, gestion des comptes, planning, messagerie, suivi des cavaliers et des chevaux.
• Obligation légale — conservation des pièces comptables, numérotation et immuabilité des factures, registre d’élevage.
• Intérêt légitime — sécurité du service, journal d’audit, prévention des fraudes, amélioration du produit, statistiques d’ouverture des campagnes e-mail.
• Consentement — pour les seuls traitements qui l’exigeraient. À ce jour, aucun cookie non essentiel n’est déposé.

Les durées propres à chaque donnée figurent au regard de celle-ci dans la section Données collectées. Les règles générales sont les suivantes :

• Compte et données d’écurie actifs : conservés pendant toute la durée de l’abonnement.
• Après résiliation : 30 jours pour permettre l’export, puis suppression ou anonymisation — à l’exception de ce qu’une obligation légale impose de conserver plus longtemps.
• Comptabilité et facturation : 10 ans, conformément aux obligations comptables françaises.
• Journal d’audit : 1 an glissant.
• Journaux techniques et rapports d’erreur : 90 jours.
• Compte inactif : 3 ans après la dernière connexion.

• Base de données et stockage de fichiers : Supabase, sur infrastructure AWS en Union européenne (région Paris). La société est établie aux États-Unis et signe un accord de traitement des données.
• Hébergement applicatif : Vercel, États-Unis. Les données en transit sont chiffrées (TLS).

Certains de nos sous-traitants sont établis aux États-Unis. Les transferts correspondants sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par l’adhésion du prestataire au Data Privacy Framework.

Aucune donnée n’est vendue, louée ni cédée à des tiers.

Nous faisons appel aux sous-traitants suivants, tous liés par un accord de traitement des données :

• Clerk (États-Unis) — authentification. Traite l’adresse e-mail, le nom et le mot de passe de chaque utilisateur, ainsi que les sessions de connexion. C’est Clerk, et non HorsePlan, qui conserve les mots de passe.
• Supabase (États-Unis, infrastructure en Union européenne) — base de données et stockage des fichiers déposés.
• Vercel (États-Unis) — hébergement de l’application.
• Stripe (États-Unis et Irlande) — paiement en ligne. Traite les montants, les identifiants de transaction, l’adresse de facturation et l’identifiant fiscal du client. Les données de carte bancaire sont traitées exclusivement par Stripe.
• Resend (États-Unis) — envoi des e-mails transactionnels et des campagnes. Traite l’adresse du destinataire, le contenu du message et les statistiques d’ouverture.
• Sentry (collecte en Union européenne) — supervision des erreurs applicatives. Reçoit le contexte technique d’un incident, qui peut contenir l’identifiant d’un utilisateur ou d’une écurie. L’enregistrement de session est désactivé ; la capture déclenchée par une erreur masque intégralement les textes, les saisies et les images.
• Cloudflare (États-Unis) — protection anti-robot des formulaires de connexion et d’inscription (Turnstile), montée par notre prestataire d’authentification. Traite l’adresse IP et des signaux techniques du navigateur, le temps de la vérification.
• Upstash (Union européenne) — compteurs de limitation de débit, qui empêchent l’abus des points d’entrée publics. Traite l’adresse IP du visiteur ou, s’il est connecté, l’identifiant de son compte, pendant quelques minutes au plus.
• Anthropic (États-Unis) — assistance facultative au rapprochement des colonnes lorsqu’une écurie importe un fichier de cavaliers ou de chevaux. Ne reçoit que les intitulés des colonnes que le rapprochement automatique n’a pas su reconnaître seul — « Portable », « Coordonnée principale ». Le contenu des lignes ne lui est jamais transmis : aucun nom, aucune adresse, aucun numéro de téléphone, aucune date de naissance ne quitte nos serveurs. Ce traitement n’a lieu que si la fonctionnalité est configurée ; à défaut, le rapprochement se fait localement, sans aucun envoi.

Cette liste peut évoluer. En cas de changement significatif, vous en serez informé par e-mail.

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• Droit d’accès — obtenir une copie de vos données.
• Droit de rectification — corriger des données inexactes.
• Droit à l’effacement — demander la suppression de vos données, sous réserve des obligations légales de conservation, notamment comptables.
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine.
• Droit d’opposition — vous opposer à un traitement fondé sur l’intérêt légitime.
• Droit à la limitation — demander le gel temporaire d’un traitement.

Pour les données saisies par une écurie dans le cadre de son activité, adressez-vous d’abord à cette écurie, qui en est responsable de traitement. Nous vous accompagnons si elle ne peut pas répondre seule.

Pour exercer ces droits, écrivez à contact@horseplan.fr. Nous répondons sous 30 jours. Vous pouvez également introduire une réclamation auprès de la CNIL.

HorsePlan utilise des cookies strictement nécessaires au fonctionnement du service (session d’authentification, préférence de thème). Ces cookies ne nécessitent pas votre consentement.

Aucun cookie publicitaire ou de pistage tiers n’est déposé à ce jour. Si cela venait à changer, un bandeau de consentement conforme au RGPD vous serait présenté.