Politique de confidentialité

Le responsable du traitement de vos données personnelles est Beyond, dont les coordonnées figurent dans les mentions légales. Pour toute question relative à vos données, écrivez à contact@beyond-crew.fr.

1. Données collectées

Beyond collecte les données strictement nécessaires à la création de compte, la gestion des réservations, l'abonnement, la communication de service et le support utilisateur.

À l'inscription : votre prénom, votre nom, votre adresse e-mail, votre date de naissance et votre code postal. Nous vous demandons aussi votre genre et comment vous nous avez connus ; pour chacune de ces deux questions, la réponse « Je préfère ne pas préciser » est toujours proposée.

2. Finalités

• création et gestion du compte utilisateur ;
• réservation et suivi des séances ;
• facturation et gestion des paiements ;
• envoi d'emails transactionnels ;
• vous proposer le lieu d'entraînement le plus proche de chez vous, et décider où ouvrir les prochains (code postal) ;
• équilibrer la composition de la communauté et adapter les programmes (genre, « Je préfère ne pas préciser » possible) ;
• vérifier que l'inscription est réservée aux personnes majeures (18 ans et plus), connaître l'âge des membres pour adapter les séances, et leur souhaiter leur anniversaire (date de naissance) ;
• savoir par quels canaux Beyond se fait connaître (« Comment nous as-tu connus ? », « Je préfère ne pas préciser » possible) ;
• amélioration du service (uniquement selon les consentements cookies).

Le code postal, le genre et la date de naissance servent uniquement à ces usages internes : ils ne sont pas transmis à des fins publicitaires, et ne sont visibles ni des coachs, ni des autres membres. La date de naissance est conservée chiffrée.

Coachs. La photo de profil d'un coach est publique : elle apparaît sur le site, notamment dans la présentation de l'équipe sur la page d'accueil, avec son prénom. Pour les coachs présentés sur la page d'accueil, le genre sert aussi à alterner les photos de façon équilibrée ; cette information de regroupement est alors lisible par les membres connectés.

3. Base légale

Les traitements reposent sur l'exécution du contrat, le respect des obligations légales, l'intérêt légitime et, lorsque requis, le consentement explicite (notamment pour les cookies non essentiels).

4. Durées de conservation

• Compte membre et données de profil : Toute la durée de votre inscription, puis 3 ans à compter de votre dernier contact avec Beyond
• Réservations, crédits, historique de présence : 3 ans après la fin de votre abonnement ou de votre dernier achat
• Factures et pièces comptables : 10 ans — obligation légale (article L123-22 du code de commerce)
• Messages échangés avec les coachs et le support : 3 ans après le dernier échange
• Identifiants publicitaires (voir section 9) : 90 jours, recalculés à chaque visite, puis suppression automatique
• Journaux techniques et protection contre les abus : 12 mois au maximum
• Demande de suppression de compte : Traitée dans un délai maximal de 30 jours
• Preuves d'acceptation des conditions générales (version, date, adresse IP chiffrée) : pendant la relation, puis 5 ans après sa fin, y compris après la suppression du compte (voir section 6).

Au terme de ces durées, les données sont supprimées ou anonymisées de façon irréversible.

5. Destinataires de vos données

Beyond ne vend ni ne loue vos données personnelles. Elles sont accessibles à l'équipe Beyond dans la limite de ce que chacun a besoin de consulter, et confiées aux prestataires ci-dessous, uniquement pour les finalités décrites plus haut.

• Supabase : Rôle : Base de données, authentification, traitements serveur : compte, réservations, crédits, messagerie. Hébergement : Allemagne (Francfort), Union européenne
• Vercel : Rôle : Hébergement du site : journaux techniques, adresse IP. Hébergement : Union européenne et États-Unis
• Stripe : Rôle : Paiements et facturation : identité, e-mail, historique de facturation. Hébergement : Irlande et États-Unis
• Resend : Rôle : E-mails de service (confirmations, rappels) : e-mail, prénom, contenu du message. Hébergement : États-Unis
• Upstash : Rôle : Protection contre les abus (limitation du nombre de requêtes) : adresse IP ou identifiant de compte, quelques minutes. Hébergement : Union européenne (Francfort, Allemagne)
• Google Maps, OpenStreetMap : Rôle : Affichage des cartes des lieux d'entraînement : adresse IP au chargement. Hébergement : États-Unis, Europe
• Meta Platforms Ireland : Rôle : Mesure publicitaire — voir section 9. Hébergement : Irlande et États-Unis
• Google : Rôle : Mesure d'audience du site — voir section 9. Hébergement : États-Unis

Chacun de ces prestataires est lié à Beyond par un accord de sous-traitance au sens de l'article 28 du RGPD, à l'exception de Meta, qui agit comme responsable conjoint du traitement : voir la section 9.

Les transferts vers les États-Unis reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou, à défaut, sur les clauses contractuelles types de la Commission européenne.

Vos coordonnées bancaires ne transitent jamais par les serveurs de Beyond : le paiement est saisi directement sur les pages sécurisées de Stripe. Beyond ne conserve ni numéro de carte, ni cryptogramme.

6. Preuve de l'acceptation des conditions générales

Quand vous acceptez les CGVU (inscription, achat, nouvelle version), les refusez ou prenez connaissance de la présente politique, nous enregistrons la version concernée, la date et l'heure. Votre adresse IP est aussi enregistrée à l'inscription, à la prise de connaissance de la présente politique, à l'acceptation d'une nouvelle version et au refus ; elle ne l'est pas lors de la confirmation de votre email ni lors d'un achat (le prestataire de paiement conserve ses propres traces). L'adresse IP est conservée chiffrée et ne sert qu'à prouver votre acceptation en cas de litige (intérêt légitime de Beyond). Ces enregistrements sont horodatés auprès de services tiers (DigiCert, OpenTimestamps) qui ne reçoivent qu'une empreinte cryptographique, jamais vos données. Ils sont conservés pendant la relation puis cinq ans après sa fin (délai de prescription), y compris après la suppression de votre compte, sous une forme qui ne contient plus ni votre nom ni votre email.

7. Vos droits RGPD

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Vous pouvez également retirer votre consentement à tout moment.

Depuis l'espace membre, vous pouvez soumettre une demande pour récupérer vos données personnelles (JSON/CSV) et soumettre une demande de suppression de compte. Les demandes de suppression sont validées manuellement par l'équipe support/admin dans un délai maximal de 30 jours.

Contact : contact@beyond-crew.fr

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — cnil.fr.

8. Cookies et traceurs

Les cookies non essentiels (fonctionnels optionnels, analytiques, marketing) ne sont déposés qu'après votre consentement explicite. Vous pouvez accepter, refuser ou personnaliser vos choix à tout moment via la bannière cookies.

Le panier de la boutique est enregistré sur votre appareil (stockage local du navigateur). Il ne contient que les références des articles choisis — aucune donnée personnelle — et sert uniquement à préparer votre commande. Ce stockage est strictement nécessaire au service que vous demandez et ne requiert donc pas de consentement. Il est vidé après un paiement réussi ; vous pouvez aussi le vider à tout moment depuis le panier ou en effaçant les données du site.

9. Mesure d'audience et publicité

Beyond diffuse des publicités sur Facebook et Instagram. Pour savoir lesquelles amènent réellement des inscriptions et des abonnements — et cesser de payer pour celles qui n'amènent rien — nous signalons à Meta les inscriptions et les paiements réalisés sur le site.

Uniquement avec votre accord. Ces mesures reposent sur votre consentement (article 6.1.a du RGPD), recueilli via la bannière cookies. Si vous refusez la finalité marketing, aucune donnée n'est transmise à Meta — ni depuis votre navigateur, ni depuis nos serveurs. Le refus n'est pas une simple absence de cookie : rien n'est envoyé.

Ce qui est transmis à Meta

• votre adresse e-mail, transformée par une empreinte cryptographique irréversible (SHA-256) — Meta ne reçoit jamais votre adresse en clair ;
• votre numéro de téléphone, lui aussi transformé en empreinte irréversible (SHA-256) — Meta ne le reçoit jamais en clair, et Beyond ne le conserve jamais sous cette forme. Il n'est transmis qu'avec un abonnement ou un achat réglé ;
• les identifiants publicitaires déposés par Meta dans votre navigateur (_fbp, _fbc) ;
• votre adresse IP et les caractéristiques de votre navigateur ;
• un identifiant interne de votre compte Beyond, lui aussi haché — il ne permet à personne d'autre que Beyond de vous identifier, et sert uniquement à relier entre elles vos propres conversions ;
• la nature de l'action réalisée (inscription, abonnement, achat), son montant et le nom de l'offre concernée.

Une empreinte cryptographique n'est pas un anonymat : elle reste une donnée personnelle, protégée à ce titre.

Meta est responsable conjoint du traitement

Meta ne se contente pas d'exécuter nos instructions : la société réutilise ces informations pour ses propres finalités, notamment le ciblage publicitaire. Beyond et Meta sont donc responsables conjoints au sens de l'article 26 du RGPD, dans le cadre de l'accord de responsabilité conjointe applicable aux outils publicitaires Meta. Vous pouvez exercer vos droits auprès de l'un comme de l'autre.

Durée et retrait

Les identifiants publicitaires associés à votre compte sont conservés 90 jours, recalculés à chaque visite, puis supprimés automatiquement. Ils disparaissent immédiatement si vous retirez votre consentement, et en cas de suppression de votre compte. Les durées appliquées par Meta relèvent de sa propre politique de confidentialité.

Vous pouvez revenir sur votre choix à tout moment via la bannière cookies. Le retrait supprime les cookies publicitaires de votre navigateur ainsi que les identifiants conservés par Beyond, et interrompt tout envoi ultérieur. Les mesures déjà transmises à Meta relèvent des droits que vous pouvez exercer auprès de Meta.

Google Analytics

Sur le même principe et sous un consentement distinct de celui accordé à Meta, Beyond mesure la fréquentation du site (pages consultées, provenance, type d'appareil) via Google Analytics 4. Aucune donnée d'identification directe n'y est transmise, et ces mesures ne servent pas au ciblage publicitaire.