Politique de confidentialité

1. Qui nous sommes

SideKrew (« nous », « notre », « SideKrew ») est une plateforme d’opérations autonome, fondée sur des agents d’IA, pour le sport d’équipe amateur. Notre service aide les clubs de sport jeunesse et amateur dirigés par des bénévoles à gérer les inscriptions, les horaires et les voyages d’équipe au moyen d’agents d’IA.

Notre siège social est au Canada et toutes nos données principales sont conservées dans une région canadienne (Montréal, ca-central-1). Nous nous engageons à traiter les renseignements personnels, en particulier les données des enfants, avec le plus grand soin.

La présente politique s’applique à tous les renseignements personnels recueillis ou traités par SideKrew, y compris les renseignements concernant des mineurs. Elle est conçue pour respecter ou dépasser les exigences de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25) et de la LPRPDE (la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé). Nous nous conformerons à des obligations plus strictes (p. ex. la COPPA pour les utilisateurs américains) à mesure que nous prendrons de l’expansion.

Une partie du traitement se fait aux États-Unis, par les fournisseurs nommés à la section 7 : voyez la section 12.

Si vous créez vous-même un compte famille, sans club, la section 15, Comptes famille explique comment nous le traitons.

2. Notre approche à l’égard des données des enfants

Dans le sport amateur, les mineurs sont les principales personnes concernées par les données. Nous prenons cette responsabilité au sérieux. Nos principes de conception pour les données des enfants :

• Les mineurs n’ont pas de compte. Un enfant inscrit dans notre système est un dossier de participant, et non un utilisateur. Les enfants ne se connectent pas et ne sont jamais contactés directement par nos agents d’IA ni par SideKrew.
• Toutes les communications passent par les parents ou tuteurs. Tout message concernant un enfant est transmis uniquement à son parent ou tuteur lié. Il s’agit d’une contrainte architecturale; les clubs ne peuvent pas la modifier.
• Aucune publicité, aucune vente de données, aucun suivi comportemental des mineurs. Nous n’avons aucun système publicitaire. Nous ne vendons pas de données. Nous ne créons pas de profils comportementaux d’enfants. Nous ne communiquons pas les données des enfants à des réseaux tiers de publicité ou d’analyse.
• Minimisation des données. Nous recueillons seulement les renseignements dont une saison a besoin : le nom, la date de naissance, le genre (pour le classement dans une division) et les coordonnées des parents ou tuteurs. Les notes médicales et sensibles sont chiffrées au repos et visibles uniquement par les administrateurs du club.
• Aucune technologie de suivi sur les mineurs. Nous n’utilisons pas de témoins, de pixels ni de technologies de suivi semblables qui s’appliquent à l’activité des mineurs ou en établissent le profil, conformément à l’exigence de la Loi 25 d’obtenir un consentement exprès et préalable au suivi.

Un compte famille ne contient que le prénom et une couleur pour chaque enfant : voyez la section 15, Comptes famille.

3. Les renseignements que nous recueillons et pourquoi

4. Fondements juridiques et consentement

Nous traitons les renseignements personnels sur les fondements juridiques suivants (en cohérence avec la Loi 25 et la LPRPDE) :

• Consentement. Le consentement du parent ou tuteur est enregistré lorsqu’un participant est inscrit. Pour les enfants de moins de 14 ans (au Québec) ou dans les autres ressorts ayant des exigences équivalentes, le consentement parental exprès est requis avant que nous traitions des renseignements personnels.
• Nécessité contractuelle. Le traitement des données d’inscription, de paiement et d’horaire est nécessaire pour fournir les services qu’un club a retenus par contrat.
• Intérêt légitime. Journalisation de sécurité et prévention de la fraude.

Nous n’invoquons pas l’« intérêt légitime » pour passer outre aux droits des enfants. Tout traitement des données d’un mineur qui n’est pas strictement nécessaire aux services prévus au contrat exige le consentement exprès de son parent ou tuteur.

Pour un compte famille, vous consentez en le créant : voyez la section 15, Comptes famille.

5. Comment nous protégeons vos renseignements

• Chiffrement en transit : toutes les données sont transmises par HTTPS/TLS.
• Chiffrement au repos des champs sensibles : les notes médicales et de santé sont chiffrées au niveau du champ avec AES-256-GCM avant d’être stockées.
• Sécurité au niveau des lignes : notre base de données applique une isolation multilocataire stricte; un club ne peut jamais accéder aux données d’un autre club.
• Contrôle d’accès : seuls les membres du personnel du club qui ont le rôle d’administrateur de l’organisation (org_admin) peuvent voir les notes médicales. Les parents ou tuteurs ne peuvent voir que les dossiers liés à leurs enfants.
• Journal de vérification : chaque action sensible (y compris l’effacement) est consignée de façon permanente dans le journal de vérification, avec son auteur, l’horodatage et un instantané de l’état antérieur.
• Résidence des données : les bases de données principales se trouvent au Canada (ca-central-1).
• Agents d’IA aux privilèges minimaux : nos agents d’IA ne dépassent jamais ce qu’un administrateur de l’organisation pourrait faire manuellement, et toutes leurs actions sont journalisées. Les agents ne contactent jamais directement de mineurs.

6. Partage et communication des renseignements

Nous ne vendons pas de renseignements personnels. Nous ne communiquons pas de données à des annonceurs ni à des courtiers en données. Nous communiquons des renseignements uniquement dans les cas suivants :

• Au sein du club : le personnel du club (administrateurs, entraîneurs, gérants d’équipe) peut voir les données des participants et des inscriptions de sa propre organisation seulement.
• Fournisseurs de services : les entreprises nommées à la section 7 traitent des renseignements pour nous, uniquement pour faire fonctionner SideKrew.
• Obligation légale : nous pouvons communiquer des renseignements si la loi ou une ordonnance d’un tribunal l’exige, ou pour protéger la sécurité des enfants ou du public.
• Partenaires de recommandation : lorsqu’un club s’inscrit avec le lien ou le code d’un partenaire de SideKrew, ce partenaire voit si le club a un forfait payant et la commission qu’il touche; le nom du club seulement si le club le choisit; jamais les personnes du club.

7. Les entreprises qui traitent des renseignements pour nous

Ces entreprises traitent des renseignements pour nous, uniquement pour faire fonctionner SideKrew. Chacune reçoit seulement ce dont sa tâche a besoin, et nous demeurons responsables de vos renseignements pendant qu’elles les traitent.

• Supabase — Notre base de données, la connexion et le stockage de fichiers.
  Reçoit : Tout ce que SideKrew conserve.
  Où : Canada (Montréal, région ca-central-1).
• Vercel — Héberge notre site et fait fonctionner le serveur de l’application, y compris chaque requête de l’application mobile et le code des agents d’IA. Compte aussi les pages vues (section 3).
  Reçoit : Les requêtes qui passent par lui.
  Où : États-Unis (région de Washington, D.C.).
• Anthropic — Claude, l’IA qu’utilise notre équipe d’agents (section 8).
  Reçoit : Seulement ce dont une tâche a besoin (section 8).
  Où : Conservé aux États-Unis; peut être traité dans d’autres pays où Anthropic exploite son service.
• Inngest — Exécute les étapes en arrière-plan et les étapes planifiées de l’équipe d’agents, et garde une trace de chaque étape.
  Reçoit : Ce qui a déclenché chaque étape et son résultat, qui peuvent comprendre des noms et des détails d’inscription, et — pour un courriel ou un texto envoyé au club — l’expéditeur, l’objet et, pour un texto, le message.
  Où : États-Unis.
• Stripe — Les paiements par carte et par compte bancaire.
  Reçoit : Les renseignements de paiement que vous entrez (les numéros de carte vont à Stripe, jamais à SideKrew), les montants et les références de facture.
  Où : États-Unis.
• Resend — Envoie nos courriels.
  Reçoit : L’adresse du destinataire et le message.
  Où : États-Unis.
• Twilio — Envoie et reçoit les textos, les messages WhatsApp et les appels.
  Reçoit : Le numéro de téléphone et le message.
  Où : États-Unis.
• Expo, avec les services de notification d’Apple et de Google — Livre les notifications et les mises à jour à l’application mobile.
  Reçoit : Le jeton de notification de votre appareil et le texte de la notification (un prénom et ce qui a changé, comme l’heure d’un match).
  Où : États-Unis.
• Le service de notification de votre navigateur (Google, Mozilla, Apple ou Microsoft) — Livre les notifications au navigateur Web où vous les avez activées.
  Reçoit : L’adresse de notification de votre navigateur, le moment où une notification est envoyée et la notification elle-même, chiffrée pour que seul votre navigateur puisse la lire.
  Où : États-Unis.
• Google et Meta — Des pixels publicitaires, sur nos pages de présentation publiques seulement, et seulement si vous y consentez (section 9).
  Reçoit : Seulement ce que décrit la section 9.
  Où : États-Unis.
• Une plateforme que votre club relie, ou que vous reliez vous-même (comme TeamSnap) — Si votre club en relie une, nous échangeons avec elle l’effectif et l’horaire du club, selon la configuration établie par le club. Si vous connectez votre propre compte TeamSnap, nous lisons les équipes, les horaires, les réponses et les tâches de votre famille et, quand vous ouvrez la page d’une équipe, son alignement, ses publications, vos messages et votre solde (lus en direct, non gardés), et nous renvoyons seulement les réponses, publications et réponses à des messages que vous touchez (plus bas : « Les équipes d’autres applications que vous ajoutez »).
  Reçoit : L’effectif et l’horaire du club; de votre propre connexion, seulement les réponses que vous envoyez.
  Où : Là où cette plateforme exerce ses activités.

8. L’IA dans SideKrew (Claude, d’Anthropic)

• Ce qu’elle fait. L’équipe d’agents d’IA de SideKrew utilise Claude, d’Anthropic, PBC (États-Unis), pour planifier son travail, rédiger les messages de votre club (les rappels d’inscription et de documents, les messages de voyage, y compris les lettres de consentement, et les avis de changement d’horaire) et répondre aux questions dans l’assistant famille et l’Assistant des opérations. Le personnel d’un club peut aussi choisir d’utiliser des outils d’IA : l’Assistant des opérations, le créateur de formulaires (créer un formulaire à partir d’une description, importer un PDF, traduire) et le créateur de site Web.
• Ce qu’elle reçoit. Seulement ce dont une tâche a besoin : des noms (celui d’un parent, celui d’un enfant), ce qui reste à faire pour l’inscription et les documents et le montant dû, les horaires et les voyages, l’objet et le début des messages de votre club, ce que vous écrivez à un assistant et, pour un courriel que vous envoyez au club, l’adresse de l’expéditeur et l’objet. L’assistant d’un membre du personnel reçoit ce qu’il écrit et les dossiers du club qu’il consulte pour lui; un outil d’IA reçoit ce que le membre du personnel lui soumet (pour un PDF importé, tout le fichier).
• Ce que nous ne mettons jamais dans une requête. Les notes médicales, les dates de naissance, les numéros de carte et les mots de passe. Ce que vous écrivez ou téléversez vous-même, et ce qu’un administrateur de club choisit de soumettre à un outil d’IA (comme un formulaire rempli), est transmis tel quel.
• Entraînement et conservation. Les conditions commerciales d’Anthropic ne lui permettent pas d’entraîner ses modèles avec ce que nous lui envoyons. Anthropic l’efface dans les 30 jours, sauf s’il doit le garder plus longtemps pour respecter la loi ou faire appliquer sa politique d’utilisation (jusqu’à deux ans si ses systèmes de sécurité signalent une requête).
• Où. Anthropic conserve ces renseignements aux États-Unis. Il peut les traiter aux États-Unis ou dans d’autres pays où il exploite son service.
• Votre choix. À votre première utilisation de l’application, et avant votre première utilisation de l’assistant famille sur le Web, nous vous demandons si l’assistant et l’équipe d’agents peuvent utiliser Claude pour vous. Vous pouvez changer d’avis en tout temps : dans l’application (Paramètres › Aide de l’IA), dans les paramètres Famille sur le Web ou sur la page Assistant.
• Tant que vous n’avez pas accepté. L’assistant famille est désactivé pour vous (sur le Web, par texto, par WhatsApp et par téléphone), et les messages que l’équipe d’agents vous écrit — rappels d’inscription et de documents, messages de voyage, y compris la lettre de consentement de votre enfant, et avis de changement d’horaire — vous parviennent quand même, rédigés à partir d’un modèle standard, sans l’IA. Un rappel d’inscription ou une lettre de consentement de voyage qui nomme votre enfant suit aussi le modèle jusqu’à ce que chacun de ses parents ou tuteurs ait accepté. Un message que vous envoyez au club est confié à une personne sans que l’IA le lise.
• Si vous choisissez « Pas maintenant ». Tout ce qui précède s’applique (ou s’applique de nouveau), et l’Assistant des opérations ne vous répond pas.
• Ce que votre réponse ne couvre pas. Les outils d’IA que le personnel de votre club choisit d’utiliser avec les dossiers du club (ci-dessus), qui peuvent vous nommer ou nommer votre enfant, et l’adresse de l’expéditeur et l’objet d’un courriel que vous envoyez au club, que l’équipe d’agents lit pour planifier la suite. Si vous avez une préoccupation à ce sujet, écrivez à privacy@sidekrew.com.
• Personnel des clubs. Pour un membre du personnel qui n’a pas encore répondu, l’Assistant des opérations fonctionne et transmet à Claude ce qu’il écrit et les dossiers du club qu’il consulte; l’assistant le dit là où il écrit (la page Assistant et le panneau de l’assistant sur chaque page), avec un bouton pour le désactiver.
• Le numéro de démonstration. Le numéro de téléphone du club de démonstration de SideKrew répond avec l’assistant : ce que vous envoyez par texto à ce numéro est transmis à Claude, et la première réponse le dit.

9. Témoins publicitaires sur notre site de présentation public (sur consentement uniquement)

Notre site de présentation public (les pages marketing comme la page d’accueil, les pages comparatives et les guides) peut utiliser des témoins et pixels publicitaires de Google et de Meta (Facebook/Instagram), mais seulement après votre consentement exprès. Lorsque ces identifiants sont configurés, un bandeau vous demande votre accord avant le chargement de tout pixel — conformément à l’exigence de consentement préalable de la Loi 25.

• Finalité : la mesure publicitaire pour rejoindre de nouveaux clubs. Ces pixels nous aident à comprendre quelles campagnes amènent des clubs à découvrir et à essayer SideKrew. C’est leur seul usage.
• Jamais dans l’application, jamais sur les comptes de mineurs. Aucun pixel publicitaire n’est utilisé dans l’application après connexion, ni sur les comptes associés à des mineurs. Le suivi publicitaire se limite au site de présentation public et ne s’active qu’avec votre consentement. (La seule mesure dans l’application après connexion est le décompte de pages vues sans témoin décrit à la section 3, qui ne fonctionne jamais dans l’espace famille.)
• Aucune vente de données, aucun profilage des enfants. Nous ne vendons aucune donnée personnelle et ne construisons aucun profil comportemental d’enfants. Les enfants sont des dossiers de participant, jamais des utilisateurs, et ne sont jamais suivis.
• Aucun chargement par défaut. Si vous refusez ou ne faites aucun choix, aucun pixel publicitaire n’est chargé. Tant que SideKrew n’a configuré aucun identifiant publicitaire, le bandeau ne s’affiche pas et aucun pixel n’existe.
• Comment retirer votre consentement. Vous pouvez retirer votre consentement à tout moment en effaçant les témoins et les données de site de votre navigateur pour ce site (ce qui réaffiche le bandeau, vous permettant de choisir « Refuser »), ou en nous écrivant à privacy@sidekrew.com. Le retrait n’affecte pas votre utilisation de SideKrew.

10. Vos droits : accès, rectification et effacement

En vertu de la Loi 25 et de la LPRPDE, les personnes (et les parents ou tuteurs qui agissent au nom de mineurs) ont le droit de :

• Accès. Demander une copie des renseignements personnels que nous détenons à votre sujet ou au sujet de votre enfant.
• Rectification. Demander la rectification de renseignements inexacts ou incomplets.
• Effacement (suppression). Demander la suppression définitive d’un dossier de participant et de toutes les données qui y sont associées. Il s’agit d’une suppression réelle et irréversible (et non d’un archivage). Toutes les inscriptions, tous les dossiers de conformité, toutes les factures et tous les liens avec les parents ou tuteurs sont supprimés définitivement. L’action est consignée dans le journal de vérification, par souci de responsabilité.
• Retrait du consentement. Retirer votre consentement à un traitement qui n’est pas requis pour les services prévus au contrat. Le retrait peut avoir une incidence sur la possibilité de participer aux programmes qui exigent les données en question.
• Plainte. Porter plainte auprès du Commissariat à la protection de la vie privée du Canada (CPVP) ou de la Commission d’accès à l’information (CAI) si vous croyez que vos droits n’ont pas été respectés.

Comment exercer ces droits : les parents ou tuteurs peuvent effacer eux-mêmes le dossier d’un enfant, en tout temps, à partir des Paramètres de l’espace famille de la plateforme (Famille › Paramètres › Vos droits sur les données). Pour une demande d’accès, de rectification ou toute autre demande, communiquez avec notre responsable de la protection des renseignements personnels à l’adresse privacy@sidekrew.com.

Supprimer votre compte : vous pouvez supprimer votre propre compte SideKrew en tout temps, dans l’application ou sur le Web. Consultez la page Supprimer votre compte SideKrew pour savoir exactement ce qui se passe et comment procéder.

Nous répondrons aux demandes d’accès et de rectification dans un délai de 30 jours. Les demandes complexes peuvent exiger jusqu’à 90 jours; nous vous aviserons si une prolongation est nécessaire.

Comptes famille : retirer un enfant ou supprimer votre compte supprime ces renseignements tout de suite; voyez la section 15, Comptes famille.

11. Conservation des données

Nous conservons les renseignements personnels aussi longtemps que nécessaire pour fournir les services prévus au contrat, respecter nos obligations légales ou régler des différends. Durées de conservation habituelles :

• Dossiers des participants : conservés pendant toute la durée de la participation active au club. Sur demande d’effacement, supprimés immédiatement et définitivement.
• Dossiers d’inscription et de paiement : conservés 7 ans pour la conformité financière et fiscale, sauf si un parent ou tuteur exerce son droit à l’effacement et que le fondement juridique de la conservation ne s’applique plus.
• Journaux de vérification : conservés 3 ans à des fins de sécurité et de responsabilité.
• Dossiers fiscaux des partenaires : les dossiers de commissions, de versements et d’impôt des partenaires de SideKrew sont conservés 6 ans après la fin de l’année du dernier versement au partenaire, comme l’exige la loi fiscale canadienne. Les autres renseignements d’un partenaire sont anonymisés lorsqu’il quitte le programme.
• Équipes externes : les événements d’une semaine en arrière à six mois à l’avance, tant que l’équipe est affichée; l’historique des réponses TeamSnap (et de vos publications et réponses), 90 jours; l’alignement, les publications et les messages de la page d’une équipe ne sont jamais gardés. Tout est supprimé aussitôt que vous retirez l’équipe ou déconnectez TeamSnap (section 7). Après une déconnexion, SideKrew garde la connexion TeamSnap chiffrée seulement jusqu’à ce que TeamSnap confirme le retrait de l’accès, au plus 2 jours.

Les comptes famille suivent les règles de conservation de la section 15, Comptes famille.

13. Responsable de la protection des renseignements personnels

SideKrew a désigné un responsable de la protection des renseignements personnels, chargé de veiller au respect de la Loi 25, de la LPRPDE et de la présente politique.

Vous pouvez aussi communiquer avec le Commissariat à la protection de la vie privée du Canada sur le site priv.gc.ca ou avec la Commission d’accès à l’information du Québec sur le site cai.gouv.qc.ca.

14. Modifications de la présente politique

Nous mettrons à jour la présente politique à mesure que nos pratiques évoluent ou que la législation change. Les modifications importantes seront communiquées aux clubs actifs au moins 30 jours avant leur entrée en vigueur. L’utilisation continue de la plateforme après cette date vaut acceptation de la politique mise à jour.

Toutes les versions antérieures de la présente politique peuvent être obtenues sur demande auprès de notre responsable de la protection des renseignements personnels.