Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est JOH Consulting, EURL au capital de 1 000 €, SIRET 949 441 257 00019, représentée par Joevin Hermant. Contact : contact@tarmago.com.

2. Données collectées

Tarmago collecte les données suivantes, nécessaires à l'exécution du service :

• Nom et prénom — création de compte, identification sur les réservations
• Adresse email — compte, confirmations, rappels
• Téléphone — organisateurs uniquement, contact en cas de problème
• Données de réservation — historique, avoirs, factures
• Données de paiement — traitées exclusivement par Stripe (Tarmago ne stocke aucune donnée bancaire CB)
• Documents KYC organisateurs — pièce d'identité et justificatif d'activité, nécessaires à la vérification des comptes organisateurs
• IBAN organisateurs — transmis à Stripe Connect pour les versements, jamais stocké en clair de manière permanente
• Sessions de télémétrie — traces GPS, tours et temps de vos fichiers de chronomètre ou d'application, tronqués autour du circuit (le trajet pour s'y rendre est écarté) ; le tracé GPS du tour classé est visible des pilotes connectés, sauf si vous le masquez pour cette session. Exception : les traces GPS GoPro ne sont pas partagées.
• Fichiers de télémétrie envoyés à l'équipe — le fichier que vous choisissez de nous envoyer quand Tarmago ne le lit pas ou n'en lit pas tous les capteurs, avec l'appareil et le commentaire que vous indiquez
• Retours sur le bilan d'une séance ou sur l'avis de démultiplication — le sujet et le commentaire que vous envoyez à l'équipe, avec la séance concernée et, pour un avis de démultiplication, le texte de l'avis tel que vous l'avez lu (comparaisons avec vos autres circuits de la saison comprises) ; votre réponse « utile » ou « pas utile » sous un avis rédigé par IA, avec la séance, le type d'avis (séance ou démultiplication), son mode, sa version et une empreinte du texte jugé
• Classements — votre meilleur tour par tracé et, si vous partagez vos partiels, votre meilleur temps dans chaque secteur (entre deux lignes du plan), avec votre prénom suivi de l’initiale de votre nom par défaut pour les nouveaux comptes (ou votre pseudo au choix ; les choix déjà enregistrés sont conservés), votre photo, votre niveau, le type de machine et sa cylindrée, l'année et le chronomètre utilisé ; votre meilleur tour sur chaque tracé, avec sa date, le nombre de journées chronométrées sur ce tracé et votre rang dès que 10 pilotes y sont classés, figure aussi sur votre profil public si celui-ci est public ; activés par défaut, retrait immédiat depuis Compte > Profil ou session par session ; les pilotes connectés peuvent ouvrir la session du tour classé et y voir ce que vous partagez (temps au tour, partiels, vitesses, et le tracé GPS du tour classé, sauf si vous le masquez pour cette session) ; l'avis rédigé par IA n'est jamais partagé ; votre genre est demandé pour y accéder mais n'est jamais affiché, seul le classement féminin le laisse deviner ; le drapeau de votre pays de résidence n'est affiché que si vous l'activez (désactivé par défaut) ; votre nom complet et votre e-mail ne sont jamais publiés ; si vous signalez le tour d'un autre pilote, votre signalement (motif, commentaire, date) est conservé pour la vérification et n'est jamais montré à ce pilote. Exception GoPro : seuls le tour classé, sa saison, sa source et sa fréquence GPS sont publiés avec les informations habituelles du classement, sous la mention « chrono GPS non certifié ». Le tour peut être signalé, mais les autres tours, leur nombre, les partiels, les vitesses et la trace GPS ne sont pas partagés, y compris pour les séances déjà importées. Les classements par secteur, les records du profil public, les distinctions et la preuve de présence restent exclus pour cette source. La fréquence GPS ne certifie ni le chrono ni sa précision. Si votre meilleur tour classé sur un tracé provient d’une GoPro, aucun record de ce tracé n’est affiché sur votre profil public, même si vous avez un ancien chrono de chronomètre. Aucune date GoPro n’est publiée et aucun ancien record n’est substitué.
• Décharge de responsabilité signée — nom, date de naissance, texte signé, date et heure, adresse IP et navigateur, PDF de la décharge (preuve de la signature électronique)
• Carnet de pilote — journées roulées, conditions, moto utilisée, justificatifs (photo, vidéo ou PDF) et leur empreinte numérique, utilisés pour vérifier la participation
• Profil public — nom d'utilisateur, nom affiché, photo, biographie, liens Instagram et Strava, badges et journées vérifiées ; activé par défaut pour les comptes créés depuis le 27 septembre 2026 (les comptes plus anciens gardent leur réglage), désactivable à tout moment, jamais proposé aux moteurs de recherche
• Avis — note et commentaire publiés sur la fiche d'un organisateur ou d'un circuit, sous votre nom public, ou sans nom si votre profil est privé
• Garage, saison et notes — motos, composants et entretien, journées prévues, notes par circuit et alertes : privés, visibles de vous seul
• Données techniques de sécurité — adresse IP utilisée temporairement pour limiter les abus (nombre de requêtes) et journaux de sécurité
• Messages envoyés depuis le formulaire de contact : nom, adresse e-mail, sujet, message et, si vous les indiquez, votre société et son site web
• Abonnement Tarmago+ — formule, dates d'essai, de paiement et de fin, statut, version des conditions acceptées et date des consentements, pays de résidence déclaré et pays d'émission de la carte (TVA applicable) ; la carte est saisie chez Stripe (Tarmago ne voit ni son numéro ni son cryptogramme)

Données de navigation

Tarmago utilise Vercel Analytics et Speed Insights, des outils de mesure d'audience respectueux de la vie privée qui ne déposent aucun cookie, ne collectent aucune donnée personnelle et ne suivent pas les utilisateurs entre les sites. Ces outils sont exemptés de consentement conformément aux recommandations de la CNIL.

3. Bases légales des traitements

Les traitements de données sont fondés sur les bases légales suivantes :

• Exécution du contrat (art. 6.1.b RGPD) — gestion des réservations, paiements, avoirs, facturation, communication transactionnelle
• Intérêt légitime (art. 6.1.f RGPD) — prévention de la fraude, sécurité de la plateforme, vérification de l'identité des organisateurs (KYC), amélioration du service, récapitulatif et demande d'avis envoyés après une journée de roulage (arrêtables en un clic), classements par tracé et profil public (activés par défaut, désactivables à tout moment et sans justification)
• Obligation légale (art. 6.1.c RGPD) — conservation des factures et données comptables (Code de commerce), vérification de l'identité des professionnels
• Consentement (art. 6.1.a RGPD) — newsletter (opt-in à l'inscription) et publication d'avis, activées par vous et révocables à tout moment

4. Utilisation des données

Vos données sont utilisées exclusivement pour :

• La gestion de vos réservations, avoirs et factures
• L'envoi d'emails transactionnels (confirmation, rappel J-7, annulation, facture)
• Les e-mails après une journée de roulage (intérêt légitime) : un récapitulatif le lendemain (la journée rejoint votre carnet de roulage ; pour un invité, une invitation à créer un compte), puis, pour les membres, une demande d'avis sur l'organisateur et le circuit. Vous pouvez les arrêter en un clic depuis chacun de ces e-mails, sans compte, ou depuis Compte > Notifications & préférences
• L'envoi de la newsletter Tarmago (uniquement si vous avez donné votre consentement)
• La vérification de l'identité et de l'activité des organisateurs (processus KYC)
• Le traitement des paiements et des versements aux organisateurs via Stripe Connect
• L'amélioration du service Tarmago et l'analyse anonyme de l'utilisation
• L'analyse de vos sessions (tours, secteurs, bilan), les classements par tracé et l'amélioration des plans de circuit à partir des traces GPS déposées — cette dernière de façon agrégée et sans identifier le pilote (intérêt légitime)
• Les fichiers de télémétrie que vous nous envoyez servent uniquement à ajouter la lecture de leur format ou de leurs capteurs ; ils ne sont jamais publiés ni partagés (consentement, donné au moment de l'envoi)
• Vos retours sur le bilan et sur l'avis de démultiplication servent uniquement à corriger et améliorer les analyses ; ils sont lus par l'équipe Tarmago, qui peut consulter la séance concernée, et ne sont jamais publiés ni montrés aux autres pilotes (intérêt légitime). Votre réponse « utile » ou « pas utile » sous un avis rédigé par IA est gardée avec la séance et supprimée avec elle ou avec votre compte ; l'équipe n'en voit que des totaux.
• Les messages du formulaire de contact servent uniquement à vous répondre : ils sont transmis par e-mail à l'équipe Tarmago et ne sont pas enregistrés dans la base du site (intérêt légitime)
• La gestion de l'abonnement Tarmago+ (essai, paiements, factures, résiliation, rétractation) et les e-mails qui s'y rapportent : confirmation du contrat, échec de paiement, résiliation, rétractation, rappel avant reconduction (exécution du contrat ; obligation légale pour le rappel de reconduction et la confirmation de résiliation)
• Un seul essai gratuit par carte : Tarmago conserve une empreinte (hachage SHA-256) de l'identifiant de carte fourni par Stripe, qui ne permet pas de retrouver le numéro de la carte, afin de refuser un second essai avec la même carte (intérêt légitime : prévention des abus)

5. Durées de conservation

Les données sont conservées pour les durées suivantes :

• Données de compte (nom, email) — durée de vie du compte + 30 jours après suppression
• Données de réservation et factures — 10 ans (obligation comptable, Code de commerce art. L123-22)
• Documents KYC organisateurs — durée de la relation contractuelle + 5 ans (obligation de vigilance)
• IBAN organisateurs — supprimé de nos serveurs dès transmission à Stripe Connect
• Avoirs — 12 mois après création, puis archivés
• Consentement newsletter — jusqu'au retrait du consentement
• Désinscription des e-mails après une journée — une empreinte de votre adresse (et non l'adresse elle-même), conservée tant que votre choix vaut, y compris après la suppression de votre compte, pour qu'il reste respecté ; effacée si vous réactivez ces e-mails depuis vos préférences
• Décharges signées — 5 ans (preuve en cas de litige lié à la journée)
• Justificatifs du carnet — le fichier est supprimé 90 jours après la décision de validation ou de refus ; seule son empreinte numérique est conservée, pour empêcher la réutilisation d'un même justificatif
• Sessions de télémétrie — conservées tant que vous ne les supprimez pas ; supprimer une session ou votre compte efface aussi ses traces GPS. Un fichier déposé mais jamais importé est effacé sous 48 heures
• Fichiers de télémétrie envoyés à l'équipe — supprimés au plus tard 12 mois après l'envoi, ou plus tôt sur simple demande ; supprimer votre compte les efface aussi
• Retours sur le bilan d'une séance ou sur l'avis de démultiplication — supprimés 12 mois après l'envoi ; supprimer la séance ou votre compte les efface aussi
• Réponses « utile » ou « pas utile » sous un avis rédigé par IA — gardées avec la séance ; supprimer la séance ou votre compte les efface
• Messages du formulaire de contact : conservés dans notre messagerie le temps de l'échange, puis au plus 3 ans après le dernier contact
• Abonnement Tarmago+ — pendant la durée du compte ; les factures sont conservées 10 ans (obligation comptable)
• Empreinte de carte de l'essai gratuit — conservée 3 ans après l'essai, sans lien avec le compte une fois celui-ci supprimé, puis supprimée automatiquement
• Rétractations Tarmago+ (déclaration, date et heure de réception, adresse de confirmation, montants remboursés) — 5 ans après réception (preuve en cas de litige), puis suppression automatique
• Données de limitation des requêtes — supprimées environ une heure après la fin de la période de contrôle

En cas de suppression de compte, les données de réservation sont anonymisées (nom remplacé par « Utilisateur supprimé ») mais conservées à des fins comptables.

6. Sous-traitants et destinataires

Vos données peuvent être transmises aux sous-traitants suivants, dans le cadre strict des finalités décrites :

• Stripe Payments Europe, Ltd. (Dublin, Irlande) — traitement des paiements et versements
• Supabase Inc. (Singapour, hébergement dans l'UE — Irlande) — hébergement de la base de données, des fichiers et authentification
• Vercel Inc. (USA) — hébergement du site web et des API
• Resend Inc. (USA) — envoi des e-mails
• Anthropic PBC (USA) — rédaction des avis IA de télémétrie (séance et démultiplication), à partir des seules métriques de la séance (ni point GPS, ni nom, ni date). Ces avis restent rattachés à votre compte Tarmago.
• Vercel Inc. (USA) — mesure d'audience anonyme (Vercel Analytics + Speed Insights), sans cookies
• Google Ireland Ltd (Dublin, Irlande) — connexion avec un compte Google, uniquement si vous choisissez ce mode de connexion
• Esri (Environmental Systems Research Institute, Inc., États-Unis) — fourniture des fonds cartographiques ArcGIS, notamment de la vue satellite des circuits. Au chargement de la carte, votre navigateur transmet votre adresse IP et la zone affichée (coordonnées des tuiles demandées) à Esri pour afficher ces fonds.

7. Transferts hors UE

Certains sous-traitants (Vercel, Resend, Anthropic) sont situés aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et/ou le Data Privacy Framework EU-US, conformément aux articles 44 à 49 du RGPD.

Le chargement des fonds cartographiques Esri/ArcGIS implique également un transfert hors UE, vers Esri aux États-Unis.

8. Sécurité des données

Vos données sont protégées par les mesures suivantes : chiffrement en transit (TLS/SSL) et au repos, authentification sécurisée (hachage des mots de passe, 3D Secure pour les paiements), accès restreint aux données (Row Level Security sur toutes les tables), documents KYC stockés dans un bucket privé avec accès par URL signées temporaires (1h). Tarmago ne stocke aucune donnée de carte bancaire — tous les paiements sont gérés par Stripe (certifié PCI DSS niveau 1).

9. Cookies

Tarmago utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du site (session d'authentification Supabase et préférence de langue). Ces cookies sont exemptés de consentement conformément à l'article 82 de la loi Informatique et Libertés. Tarmago n'utilise aucun cookie de tracking, publicitaire ou de profilage.

Le cookie i18n_redirected est strictement nécessaire pour mémoriser votre langue de navigation. Sa durée de conservation est de 1 an.

Nous utilisons Vercel Analytics et Speed Insights pour mesurer la fréquentation, les performances et l’ergonomie de Tarmago. Nous comptons notamment l’utilisation des filtres, le début du formulaire d’inscription et l’ajout au panier, sous forme de statistiques agrégées. Ces événements ne contiennent aucun nom, email, identifiant de compte ou de réservation, ni contenu de formulaire. Les paramètres et fragments d’URL sont supprimés, les adresses des fiches sont regroupées et les espaces personnels sont exclus de la collecte. Ces mesures ne servent ni à la publicité ciblée ni au rapprochement avec votre compte. Nous respectons les signaux Do Not Track et Global Privacy Control de votre navigateur.

10. Vos droits (RGPD)

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie de vos données personnelles
• Droit de rectification — corriger vos données depuis votre profil ou en nous contactant
• Droit à l'effacement — supprimer votre compte depuis Compte > Profil (les données comptables sont anonymisées mais conservées)
• Droit à la portabilité — recevoir vos données dans un format structuré (JSON)
• Droit d'opposition — vous opposer au traitement de vos données pour motif légitime ; pour les classements, le partage des sessions et le profil public, sans justification et avec effet immédiat, depuis Compte > Profil et depuis chaque session ; pour les e-mails après une journée de roulage (récapitulatif et demande d'avis), en un clic depuis chacun d'eux, même sans compte
• Droit à la limitation — demander la suspension temporaire du traitement
• Droit de retrait du consentement — retirer votre consentement à la newsletter à tout moment depuis Compte > Préférences

Pour exercer ces droits, contactez-nous à contact@tarmago.com. Nous répondons dans un délai de 30 jours conformément au RGPD.

11. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : cnil.fr ou par courrier à CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

12. Mineurs

Tarmago ne collecte pas sciemment les données de personnes de moins de 18 ans. L'inscription et la réservation sont réservées aux personnes majeures. Si un mineur a fourni des données personnelles sans consentement parental, le responsable légal peut demander leur suppression à contact@tarmago.com.

13. Contact

Pour toute question relative à vos données personnelles ou à cette politique de confidentialité : contact@tarmago.com