Politique de confidentialité

Le responsable de traitement est l'éditeur d'Equily : Thomas Gayou, identifié dans les mentions légales. Les données sont traitées conformément au RGPD (règlement UE 2016/679) et à la loi Informatique et Libertés.

Aucun délégué à la protection des données (DPO) n'est désigné. Toute question ou demande s'adresse à rgpd@my-equily.com.

Lorsqu'une écurie enregistre dans Equily des données sur ses clients, ses cavaliers ou son personnel (fiches clients, cours, évaluations, factures), l'écurie est responsable de ce traitement et Equily agit comme sous-traitant : il héberge ces données, ne les utilise que pour fournir le service à l'écurie et applique les mesures de sécurité décrites plus bas.

Selon votre profil et votre usage :

• Compte — adresse email, mot de passe (haché par Supabase Auth), prénom, nom, téléphone, photo de profil. Si vous vous connectez avec Google, Google nous transmet votre adresse email, votre nom et votre photo de profil.
• Fiche client tenue par une écurie — nom, email, téléphone, adresse, date de naissance, licence FFE, niveau de Galop, date du certificat médical, contact d'urgence, représentant légal pour un mineur, notes de l'écurie.
• Chevaux — nom, race, n° SIRE, transpondeur, passeport, événements de santé, photos, propriétaire, écurie.
• Activité équestre — cours et inscriptions, séances libres, évaluations pédagogiques, objectifs, messages échangés avec l'écurie.
• Facturation — factures émises par l'écurie à votre nom, montants, état de paiement.
• Médias — photos et vidéos d'évaluation, stockées dans un espace privé.
• Praticiens — données de la fiche annuaire, justificatifs transmis à l'inscription (pièce d'identité, diplôme, assurance, extrait d'immatriculation), consentements donnés.
• Département — uniquement si vous activez la géolocalisation des alertes incendie (voir ci-dessous).
• Notifications — uniquement si vous les activez (voir ci-dessous).
• Messages de contact — nom, email, sujet, message.
• Adresse IP et navigateur — dans les seuls cas listés ci-dessous.

Les annuaires publics d'écuries et de praticiens sont constitués à partir de la base SIRENE de l'INSEE (données ouvertes sur les entreprises). Un professionnel peut demander la correction ou le retrait de sa fiche à rgpd@my-equily.com.

La géolocalisation est facultative et ne se déclenche que lorsque vous cliquez sur « Me localiser » dans la page des alertes incendie, après l'autorisation demandée par votre navigateur. Votre position est envoyée une seule fois à notre serveur, qui interroge le service public geo.api.gouv.fr pour en déduire votre département. Les coordonnées sont arrondies à une centaine de mètres avant cet appel et transmises sans aucun identifiant.

Equily n'enregistre que le code du département et la date de mise à jour. La latitude, la longitude et la précision ne sont ni stockées ni journalisées. Le département sert uniquement à mettre en avant les alertes incendie de votre secteur et à cibler les notifications. Vous pouvez supprimer cette information à tout moment avec le bouton « Supprimer ma position » de la même page.

Si vous activez les notifications sur un appareil, nous enregistrons l'abonnement fourni par votre navigateur : l'adresse technique de réception (endpoint, gérée par l'éditeur de votre navigateur : Google, Mozilla, Apple ou Microsoft), les deux clés de chiffrement associées (p256dh et auth) et l'identification de votre navigateur (user-agent). Le contenu des notifications transite chiffré par le service de l'éditeur du navigateur. Le bouton de désactivation supprime l'abonnement de cet appareil ; un abonnement devenu invalide est supprimé automatiquement lors d'un envoi.

Equily n'enregistre pas votre adresse IP à chaque visite. L'adresse IP et le user-agent sont enregistrés uniquement :

• lors de l'envoi d'un message par le formulaire de contact ;
• lors d'une demande de suppression de compte ;
• lors de l'enregistrement d'un consentement parental, comme preuve du consentement ;
• lors de la validation des consentements d'une inscription praticien, comme preuve du consentement ;
• lors de la génération d'un export comptable par une écurie ;
• dans le journal d'audit, qui trace certaines actions sensibles : export de vos données, demande de suppression, message de contact, téléversement ou purge de médias, consentements, actions d'administration.

Nos hébergeurs (Vercel, Supabase) tiennent par ailleurs leurs propres journaux techniques, selon leurs durées de conservation.

• Exécution du contrat (CGU acceptées à l'inscription) — fournir le service : carnet de santé, planning, évaluations, facturation, messagerie, emails de service.
• Consentement — géolocalisation, notifications push, médias des cavaliers mineurs, publication d'une fiche praticien. Chaque consentement se retire aussi simplement qu'il a été donné.
• Obligation légale — conservation des factures et des pièces comptables pendant dix ans.
• Intérêt légitime — sécurité du service, traçabilité des actions sensibles, mesure d'audience sans cookie, réponse aux messages de contact.

Aucune donnée n'est vendue ni cédée à des fins publicitaires.

Les données sont accessibles à l'équipe Equily, dans la limite de ses missions, et aux prestataires suivants :

Webhook interne. À la réception d'un message de contact, votre nom, votre email, le sujet et les 280 premiers caractères du message sont transmis au canal de messagerie interne de l'équipe. Lors d'une demande de suppression de compte, votre email et le motif indiqué sont transmis de la même façon.

Mesure d'audience. Vercel Web Analytics compte les pages vues sans déposer de cookie et sans identifiant persistant : il ne permet pas de vous suivre d'un jour à l'autre ni d'un site à l'autre.

Connexion avec Google. Si vous choisissez ce mode de connexion, Google intervient comme fournisseur d'identité et applique sa propre politique de confidentialité.

Au sein du service, vos données sont visibles des personnes qui en ont besoin : l'écurie dont vous êtes client voit votre fiche, vos cours et vos factures ; le propriétaire d'un cheval ne voit les évaluations et les médias d'un cavalier que si ce dernier y a consenti.

La base de données, l'authentification et les fichiers sont hébergés par Supabase à Paris (France, région eu-west-3). Les médias d'évaluation et les justificatifs des praticiens sont stockés dans des espaces privés, accessibles uniquement par des liens signés temporaires. Les photos de chevaux et les photos de couverture des écuries sont, elles, publiques.

L'application est servie par Vercel, les emails sont envoyés par Resend et les notifications internes passent par Slack ou Discord : ces prestataires peuvent traiter des données hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne.

• Compte et données associées — tant que votre compte existe.
• Compte supprimé — la demande est traitée par l'équipe Equily sous 30 jours maximum : compte, profil, séances libres, médias personnels et consentements sont supprimés.
• Factures — dix ans (obligation légale), y compris après la suppression du compte.
• Fiche client tenue par une écurie — elle appartient au fichier de l'écurie et subsiste, détachée de votre compte, après la suppression de celui-ci. Pour la faire supprimer, adressez-vous à l'écurie ou à rgpd@my-equily.com.
• Médias d'un cavalier mineur — supprimés immédiatement lorsque le consentement parental est révoqué.
• Département (géolocalisation) — jusqu'à ce que vous le supprimiez ou que votre compte soit supprimé.
• Abonnement aux notifications — jusqu'à sa désactivation, son invalidation ou la suppression du compte.
• Journal d'audit — 12 mois, puis suppression automatique chaque nuit.
• Adresse IP et navigateur des messages de contact, des demandes de suppression et des exports comptables — effacés automatiquement après 12 mois ; le message, la demande ou la trace de l'export sont conservés sans ces informations.

La suppression et l'effacement automatiques à 12 mois s'appliquent à compter de la mise en service de ce mécanisme. L'adresse IP et le navigateur enregistrés comme preuve d'un consentement (parental, praticien) sont conservés avec ce consentement.

Conformément au RGPD, vous disposez des droits suivants :

• Accès et portabilité — la page « Mon compte » permet de télécharger vos données au format JSON : compte, profil, chevaux et événements de santé, fiches client, inscriptions aux cours, factures reçues, messages envoyés, séances, objectifs, évaluations et métadonnées de leurs médias, consentements, département, abonnements aux notifications (sans les clés de chiffrement), dossier et profil praticien, demandes de suppression, journal d'audit vous concernant.
• Rectification — depuis votre espace, ou sur demande.
• Effacement — demande de suppression depuis la page « Mon compte », annulable tant qu'elle n'est pas traitée.
• Limitation et opposition — sur demande.
• Retrait du consentement — géolocalisation et notifications depuis la page des alertes incendie ; autres consentements depuis votre espace ou sur demande.
• Directives — vous pouvez définir le sort de vos données après votre décès.

Pour exercer un droit : rgpd@my-equily.com. Nous répondons dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr, 3 place de Fontenoy, 75007 Paris).

Le compte Equily est réservé aux personnes de 16 ans et plus (condition déclarative, voir les CGU). Les cavaliers plus jeunes peuvent être enregistrés par leur écurie sous forme de fiche, sans compte.

Aucune photo ni vidéo ne peut être attachée à l'évaluation d'un cavalier mineur sans un consentement enregistré par son parent depuis son propre compte. Une écurie ne peut pas enregistrer ce consentement à la place du parent. Le parcours qui permet au parent de donner ce consentement est en cours d'ouverture : tant qu'il n'est pas disponible, aucun média de mineur ne peut être publié. Le consentement est révocable à tout moment et sa révocation entraîne la suppression immédiate des médias concernés.

• Connexions chiffrées (HTTPS imposé par HSTS).
• Mots de passe hachés par Supabase Auth ; Equily n'y a jamais accès en clair.
• Contrôle d'accès ligne par ligne (Row-Level Security) activé sur toutes les tables de l'application.
• Médias d'évaluation et justificatifs dans des espaces privés, servis par des liens signés valables une heure.
• Journal d'audit des actions sensibles, consultable par l'équipe Equily.
• Factures protégées contre la modification par une chaîne d'empreintes.

Equily n'utilise aucun cookie publicitaire ni de mesure d'audience. Seuls des cookies strictement nécessaires sont déposés (session d'authentification). Le détail figure sur la page Cookies.

Toute nouvelle version est publiée sur cette page avec sa date de mise à jour.