Politique de confidentialité

Ce document constitue le document de référence central KOBIA en matière de protection des données personnelles. Il est applicable à l'ensemble des produits et services KOBIA et est référencé par les Conditions Générales de Vente, les Conditions Générales d'Utilisation et les contrats avec nos partenaires.

PRÉAMBULE

KOBIA SAS (ci-après « KOBIA », « nous » ou « notre ») accorde une importance fondamentale à la protection des données personnelles de ses utilisateurs et de ses clients. La présente politique de confidentialité (ci-après « la Politique ») a pour objet d'informer toute personne physique dont les données sont traitées dans le cadre de l'utilisation des services KOBIA des conditions dans lesquelles ces données sont collectées, traitées et conservées.

KOBIA opère une plateforme numérique à destination des clubs sportifs, de leurs staffs et de leurs athlètes, ainsi que des athlètes individuels. Cette plateforme collecte et traite des données à caractère personnel, dont certaines relèvent de catégories particulières au sens de l'article 9 du Règlement Général sur la Protection des Données (RGPD), notamment des données de santé relatives aux blessures, à la rééducation, au bien-être physique et aux douleurs des athlètes.

La présente Politique est établie en conformité avec :

• Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) ;
• La loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi Informatique et Libertés) ;
• Les recommandations et référentiels de la Commission Nationale de l'Informatique et des Libertés (CNIL).

Référent RGPD

KOBIA a désigné un référent interne en charge des questions relatives à la protection des données personnelles. Toute demande relative à l'exercice de vos droits ou à la présente Politique peut être adressée à : privacy@kobia.club

La présente Politique est susceptible d'être mise à jour. En cas de modification substantielle, les utilisateurs en seront informés par tout moyen approprié avec un préavis de trente (30) jours avant l'entrée en vigueur de la nouvelle version. Les versions antérieures horodatées sont conservées et disponibles sur demande à privacy@kobia.club.

ARTICLE 0 — DÉFINITIONS ET GLOSSAIRE

Pour les besoins de la présente annexe, les termes ci-dessous commençant par une majuscule ont la même signification que celle qui leur est donnée dans la Législation sur la Protection des Données constituée par la Loi Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée, le RGPD, le Règlement vie privée et communications électroniques ("Règlement ePrivacy") ainsi que toutes les autres lois et réglementations applicables relatives au traitement des données à caractère personnel.

Club

Toute entité sportive (club professionnel ou amateur, association sportive, structure de formation) ayant souscrit un abonnement aux services KOBIA et dont les membres utilisent la Plateforme dans ce cadre.

Donnée à caractère personnel (RGPD Art. 4§1)

Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, par référence à un identifiant (nom, numéro d'identification, données de localisation, identifiant en ligne) ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Traitement (RGPD Art. 4§2)

Toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés, et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

Responsable de traitement (RGPD Art. 4§7)

La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données à caractère personnel. En l'espèce : KOBIA SAS.

Sous-traitant (RGPD Art. 4§8)

La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement, sur la base d'instructions documentées.

Consentement (RGPD Art. 4§11)

Toute manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. Le consentement peut être retiré à tout moment, sans que cela n'affecte la licéité du traitement fondé sur le consentement effectué avant ce retrait.

Données de santé (RGPD Art. 4§15)

Les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne. Ces données constituent une catégorie particulière de données au sens de l'article 9 du RGPD et bénéficient d'un régime de protection renforcé. Dans le cadre de KOBIA, sont concernées notamment les données relatives aux blessures, aux douleurs, aux stades de rééducation et au bien-être physique des athlètes.

Anonymisation (Avis CEPD)

Processus consistant à rendre irréversiblement impossible toute identification directe ou indirecte d'une personne physique à partir des données traitées. Une donnée réellement anonymisée sort du champ d'application du RGPD. À distinguer de la pseudonymisation, qui constitue une mesure de sécurité mais ne rend pas les données anonymes.

Violation de données (RGPD Art. 4§12)

Toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.

Utilisateur

Toute personne physique accédant à la plateforme KOBIA, qu'elle soit athlète, membre du staff d'un club (sportif, médical, opérationnel) ou administrateur d'un club partenaire.

Plateforme KOBIA

L'ensemble des services numériques édités par KOBIA SAS, accessibles via les domaines app.kobia.club, kobia.club et tout sous-domaine associé, ainsi que les applications mobiles progressives (PWA) associées.

ARTICLE 1 — IDENTITÉ DES RESPONSABLES DE TRAITEMENT

1.1 Traitements réalisés dans le cadre de la mise à disposition et la gestion de la Plateforme

Au sens du RGPD, le responsable de traitement des données personnelles collectées dans le cadre de la mise à disposition et de la gestion de la Plateforme KOBIA est :

KOBIA agit en qualité de responsable de traitement pour certaines opérations nécessaires à son activité.

Ces traitements peuvent notamment concerner la gestion des comptes utilisateurs, la sécurité de la Plateforme ou le support utilisateur.

1.2 Traitements réalisés pour le compte des Clubs

Dans le cadre de l'utilisation de la Plateforme par un Club, le Club agit en qualité de responsable de traitement des données personnelles relatives à ses Utilisateurs.

KOBIA agit dans ce cas en qualité de Sous-Traitant et traite les données uniquement sur instruction du Client et conformément aux stipulations contractuelles conclues avec celui-ci, notamment l'accord relatif au traitement des données personnelles (Data Processing Agreement ou « DPA »).

Lorsqu'un Club sportif souscrit aux Services KOBIA, celui-ci peut pré-inscrire ses athlètes sur la Plateforme. Dans ce cadre, en qualité de Responsable de Traitement le Club est tenu d'informer préalablement ses athlètes de cette inscription et d’obtenir leur consentement relatif àla communication de leurs données de santé à KOBIA.

Le Club demeure responsable:

• de la définition des finalités du traitement ;
• du choix des données collectées ;
• de l'information des utilisateurs concernés ;
• du respect des obligations applicables aux données de santé (notamment de la définition des finalités pour lesquelles les données de santé sont collectées et utilisées, de la détermination de la base juridique applicable à ces traitements, de l'information des personnes concernées et du recueil d'un consentement explicite lorsque celui-ci constitue la base juridique retenue.)

ARTICLE 2 — DONNÉES COLLECTÉES

KOBIA collecte, en sa qualité de Responsable de Traitement ou de Sous-Traitant selon les cas mentionnés ci-dessus différentes catégories de données personnelles selon le profil de l'Utilisateur et les Services utilisés. Les données collectées sont strictement limitées à celles nécessaires aux finalités pour lesquelles elles sont traitées (principe de minimisation — RGPD Art. 5.1.c).

2.1 Données d'identification et de compte

2.2 Données relatives à l'activité sportive

2.3 Données de santé (catégorie particulière — Article 9 RGPD)

ATTENTION : Les données suivantes constituent des données de santé au sens de l'article 9 du RGPD (voir définition Article 0). Leur traitement est soumis à des conditions renforcées et nécessite votre consentement explicite préalable, recueilli séparément par le Club.

2.4 Données techniques et de navigation

ARTICLE 3 — FINALITÉS ET BASES LÉGALES DES TRAITEMENTS

Chaque traitement mis en œuvre par KOBIA repose sur une base légale identifiée conformément à l'article 6 du RGPD, et pour les données de santé, sur une base légale spécifique conformément à l'article 9 du RGPD. Toute collecte de données est affectée à une finalité déterminée, explicite et légitime (RGPD Art. 5.1.b).

Important : le traitement des données de santé dans les modules Infirmerie et Wellness est conditionné à votre consentement explicite, recueilli de manière distincte par le Club et lors de la création de votre compte. Vous pouvez retirer ce consentement à tout moment, ce qui entraînera la désactivation de l'accès aux fonctionnalités concernées, sans affecter la licéité des traitements antérieurs (RGPD Art. 7§3).

ARTICLE 4 — CONDITIONS PARTICULIÈRES APPLICABLES AUX DONNÉES DE SANTÉ

4.1 Qualification juridique

Les données collectées dans le cadre des modules Infirmerie et Wellness de la plateforme KOBIA constituent des données concernant la santé au sens de l'article 4(15) du RGPD , dans la mesure où elles fournissent des informations sur l'état de santé physique des athlètes, leurs blessures, leurs douleurs et leur capacité fonctionnelle.

4.2 Consentement explicite

Dans le cadre de l'utilisation de la Plateforme, certaines fonctionnalités peuvent permettre au Club de collecter et traiter des données relatives à la santé, au bien-être ou au suivi physique des sportifs.

Ces données étant susceptibles de constituer des données de santé au sens du RGPD, leur traitement fait l'objet de mesures de protection renforcées.

Le Club choisit de recueillir le consentement des Utilisateurs via la Plateforme KOBIA, cette dernière agissant exclusivement en qualité de Sous-Traitant technique.

Le consentement recueilli via la Plateforme est donné au bénéfice du Club, qui demeure le responsable du traitement concerné.

Toute demande relative au traitement des données de santé, à la modification des préférences de consentement ou au retrait du consentement doit être adressée en priorité au Club responsable de traitement.

4.3 Droit de retrait du consentement

Vous pouvez retirer votre consentement au traitement de vos données de santé à tout moment, sans avoir à vous justifier, en adressant votre demande au Club ou à privacy@kobia.club ou via les paramètres de votre compte. Ce retrait n'affecte pas la licéité des traitements effectués avant le retrait. Il entraîne la désactivation des fonctionnalités Infirmerie et Wellness pour votre compte.

4.4 Accès restreint aux données de santé

L'accès aux données de santé est strictement limité selon les règles suivantes :

4.5 Notes médicales confidentielles

Certaines notes saisies dans le module Infirmerie peuvent être qualifiées de « notes à visibilité restreinte » (staff_only). Ces notes sont exclusivement accessibles au staff médical autorisé. Elles ne sont en aucun cas communiquées à l'athlète concerné ni au staff sportif, sauf décision contraire du staff médical auteur de la note.

KOBIA rappelle que si le rôle de staff médical est occupé par un professionnel de santé réglementé (médecin, masseur-kinésithérapeute), ce professionnel est soumis au secret médical et aux obligations déontologiques propres à sa profession, indépendamment des présentes dispositions.

ARTICLE 5 — UTILISATION DES DONNÉES À DES FINS D'AMÉLIORATION DU PRODUIT

5.1 Principe et base légale

KOBIA utilise des données issues de l'utilisation de la plateforme afin d'améliorer ses services, développer de nouvelles fonctionnalités et optimiser l'expérience utilisateur. Ce traitement repose sur l'intérêt légitime de KOBIA , sous réserve que les données utilisées soient préalablement et irréversiblement Anonymisées.

5.2 Processus d'anonymisation

KOBIA applique les principes suivants pour garantir une anonymisation effective :

• Agrégation des données : les analyses portent sur des jeux de données agrégés, jamais sur des données individuelles identifiables ;
• Suppression des identifiants directs et indirects : noms, identifiants de compte, numéros de licence et tout autre attribut permettant une ré-identification sont supprimés ou généralisés ;
• Généralisation : les valeurs précises (âge exact, dates précises) sont remplacées par des intervalles ou catégories ;
• Perturbation : des techniques de bruit statistique peuvent être appliquées pour prévenir toute ré-identification.

5.3 Données exclues du processus d'amélioration produit

Les catégories de données suivantes ne sont jamais utilisées à des fins d'amélioration produit :

• Les notes médicales confidentielles (staff_only) ;
• Les données de facturation et informations commerciales ;
• Les données permettant d'identifier un athlète individuel au sein d'un club.

5.4 Droit d'opposition

Vous disposez d'un droit d'opposition au traitement de vos données à des fins d'amélioration produit . Pour exercer ce droit, adressez votre demande à privacy@kobia.club. KOBIA s'engage à traiter votre demande dans un délai de trente (30) jours.

ARTICLE 6 — DESTINATAIRES ET SOUS-TRAITANTS

KOBIA ne commercialise jamais vos données personnelles identifiables à des tiers.

Les données personnelles peuvent être communiquées uniquement aux destinataires mentionnés à l'article 3, dans la stricte limite des finalités qui y sont définies.

KOBIA se réserve la possibilité de produire et de valoriser des données agrégées et irréversiblement anonymisées, ne permettant en aucun cas d'identifier directement ou indirectement une personne physique. Ces données peuvent notamment être utilisées à des fins d'études statistiques, de recherche, d'innovation ou d'amélioration des connaissances dans le domaine de la santé et de la performance sportive.

6.1 Sous-traitants techniques

Chaque sous-traitant technique a fait l'objet d'un accord de traitement des données (DPA) conforme à l'article 28 du RGPD. KOBIA s'assure que ces sous-traitants présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

6.2 Partenaires sous-traitants d'exécution

Dans le cadre de prestations de services d'accompagnement, KOBIA peut faire appel à des partenaires externes (préparateurs physiques, coachs). Ces partenaires ont accès aux données des athlètes dans la stricte limite nécessaire à l'exécution de leur mission. Cet accès est encadré par un contrat de sous-traitance conforme à l'article 28 du RGPD comprenant notamment :

• L'interdiction de traiter les données pour leur propre compte ;
• L'obligation de confidentialité ;
• L'obligation de restitution ou destruction des données en fin de mission ;
• Des mesures de sécurité minimales requises.

6.3 Autres destinataires

ARTICLE 7 — DURÉES DE CONSERVATION

KOBIA applique des durées de conservation différenciées selon la nature des données et la finalité du traitement, conformément au principe de limitation de la conservation (RGPD Art. 5.1.e). Les durées retenues sont strictement proportionnées aux finalités poursuivies.

À l'expiration de la durée d'archivage intermédiaire, les données sont définitivement supprimées ou irréversiblement anonymisées. Vous pouvez demander la suppression anticipée de vos données en exerçant votre droit à l'effacement (article 10.3).

ARTICLE 8 — TRANSFERTS DE DONNÉES HORS DE L'UNION EUROPÉENNE

KOBIA privilégie l'hébergement et le traitement de vos données au sein de l'Union européenne. L'ensemble des sous-traitants principaux (Supabase, Sentry, Netlify) opèrent leurs infrastructures sur des serveurs localisés en Europe.

Dans l'hypothèse où un transfert de données vers un pays tiers s'avérerait nécessaire, KOBIA s'engage à s'assurer que ce transfert est encadré par des garanties appropriées, notamment :

• Les clauses contractuelles types adoptées par la Commission européenne (RGPD Art. 46.2.c) ;
• Le recours à des sous-traitants bénéficiant d'une décision d'adéquation de la Commission européenne (RGPD Art. 45) ;
• Ou toute autre garantie reconnue par le RGPD (Art. 46).

En cas d'évolution de l'infrastructure entraînant un nouveau transfert hors UE, la présente Politique sera mise à jour dans les conditions définies au préambule.

ARTICLE 9 — SÉCURITÉ DES DONNÉES

KOBIA met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.

9.1 Mesures techniques

• Chiffrement des données en transit (HTTPS/TLS) et au repos ;
• Contrôle d'accès strict aux données selon le principe du moindre privilège (architecture RLS — Row Level Security) ;
• Authentification sécurisée avec gestion des sessions ;
• Cloisonnement multi-tenant des données : les données d'un club ne sont jamais accessibles par un autre club ;
• Supervision et monitoring des accès et des erreurs (Sentry) ;
• Sauvegardes régulières des données.

9.2 Mesures organisationnelles

• Accès aux données de production limité aux personnels habilités de KOBIA ;
• Engagement de confidentialité des collaborateurs et partenaires ;
• Processus de gestion des habilitations et des accès ;
• Procédure de gestion des violations de données personnelles.

9.3 Violation de données personnelles

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, KOBIA s'engage à :

• Notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance (RGPD Art. 33) ;
• Vous informer dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés (RGPD Art. 34).

ARTICLE 10 — VOS DROITS

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants concernant vos données personnelles. Certains de ces droits ne sont pas absolus et peuvent être limités par des obligations légales ou des intérêts légitimes de KOBIA dûment justifiés.

10.1 Modalités d'exercice de vos droits

Pour exercer vos droits, vous pouvez :

• Adresser votre demande par e-mail à : privacy@kobia.club ;
• Accéder directement aux fonctionnalités de gestion de vos données disponibles dans les paramètres de votre compte.

KOBIA s'engage à répondre à votre demande dans un délai d'un (1) mois à compter de sa réception. Ce délai peut être prolongé de deux (2) mois supplémentaires en cas de demandes complexes ou nombreuses, après information de votre part. Une pièce justificative d'identité pourra vous être demandée afin de prévenir toute utilisation frauduleuse.

Concernant les données de santé, vous pouvez adresser votre demande d’exercice de droit au Club directement.

10.2 Droit de réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données personnelles n'est pas conforme à la réglementation applicable, vous disposez du droit d'introduire une réclamation auprès de la CNIL :

• En ligne : www.cnil.fr ;
• Par courrier : CNIL — 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07.

ARTICLE 11 — DISPOSITIONS RELATIVES AUX MINEURS

La plateforme KOBIA est accessible aux utilisateurs âgés d'au moins seize (16) ans. Les athlètes âgés de 16 à 17 ans peuvent accéder à la plateforme et consentir au traitement de leurs données personnelles, conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés fixant à 15 ans l'âge du consentement numérique en France.

Compte tenu de la nature sensible des données de santé traitées sur la plateforme, KOBIA recommande vivement aux clubs d'informer les représentants légaux des athlètes mineurs préalablement à leur inscription. Aucune donnée ne sera collectée sciemment auprès de personnes âgées de moins de 16 ans. Si KOBIA est informé qu'une telle personne a créé un compte, les données correspondantes seront supprimées dans les meilleurs délais.

ARTICLE 12 — COOKIES ET TRACEURS

12.1 Définition et types de cookies utilisés

12.2 Gestion de vos préférences cookies

Lors de votre première connexion, un bandeau d'information vous permet de paramétrer vos préférences en matière de cookies non essentiels. Vous pouvez modifier vos préférences à tout moment via les paramètres de votre navigateur ou les paramètres de votre compte KOBIA.

ARTICLE 13 — REGISTRE DES ACTIVITÉS DE TRAITEMENT

Conformément à l'article 30 du RGPD, KOBIA tient un registre interne des activités de traitement de données personnelles. Ce registre documente l'ensemble des traitements mis en œuvre, leurs finalités, leurs bases légales, les catégories de données concernées, les destinataires et les durées de conservation.

Ce registre est un document interne à KOBIA, non publié, mais tenu à disposition des autorités de contrôle sur demande. Il constitue le document de référence permettant à KOBIA de démontrer sa conformité au RGPD (principe d'accountability — RGPD Art. 5.2).

ARTICLE 14 — MISE À JOUR DE LA POLITIQUE

La présente Politique peut être modifiée à tout moment par KOBIA, notamment pour tenir compte de l'évolution de la réglementation applicable, des décisions de la CNIL ou de la Cour de Justice de l'Union européenne, ou de l'évolution des services proposés.

En cas de modification substantielle affectant vos droits ou les conditions de traitement de vos données, KOBIA vous en informera par e-mail ou par notification sur la plateforme, avec un préavis minimum de trente (30) jours avant l'entrée en vigueur de la nouvelle version. La poursuite de l'utilisation de la plateforme après l'entrée en vigueur vaudra acceptation.

Les versions antérieures horodatées sont conservées et disponibles sur demande à privacy@kobia.club. La version actuellement en vigueur est accessible en permanence sur la plateforme et sur le site kobia.club.

ARTICLE 15 — LOI APPLICABLE ET JURIDICTION

La présente Politique est régie par le droit français. En cas de litige relatif à son interprétation ou à son exécution, les parties s'efforceront de résoudre leur différend à l'amiable.

À défaut de résolution amiable, tout litige sera soumis à la compétence exclusive des tribunaux compétents du ressort de la Cour d'appel de Rennes, sauf disposition légale impérative contraire applicable notamment aux consommateurs.

Cette clause de compétence ne fait pas obstacle au droit des personnes concernées d'introduire une réclamation auprès de la CNIL ou de tout autre autorité de contrôle compétente au sein de l'Union européenne.

ARTICLE 16 — DIVISIBILITÉ

Si l'une quelconque des dispositions de la présente Politique est déclarée nulle, invalide, illicite ou inapplicable par une autorité compétente — notamment par une juridiction ou par la CNIL — cette nullité ou inapplicabilité n'affectera que la disposition concernée.

Les autres dispositions de la Politique conserveront leur plein effet et continueront à s'appliquer entre les parties. KOBIA s'engage à remplacer dans les meilleurs délais la disposition invalidée par une disposition licite produisant des effets économiques et juridiques aussi proches que possible de ceux de la disposition initiale.

KOBIA SAS — 10 Rue de la Croix Carrée, 35700 Rennes

RCS Rennes 103 825 857 | privacy@kobia.club | www.kobia.club

Version 1.0 — Juin 2026