Politique de confidentialité

Le responsable du traitement est Timeo Ragazzini, éditeur individuel du service Timline sous le régime de l'auto-entreprise en France, immatriculé sous le SIRET 103 815 551 00017. Les coordonnées complètes de l'éditeur figurent sur la page des mentions légales.

Pour toute question relative à la protection des données personnelles ou pour exercer vos droits, l'adresse de contact est support@timline.fr. Compte tenu de la nature et du volume des traitements, Timline n'est pas tenue de désigner un délégué à la protection des données au sens de l'article 37 du RGPD : les demandes sont traitées directement par l'éditeur.

Timline traite les données nécessaires à la création et à la gestion de votre compte : email, nom, mot de passe chiffré, image de profil, statut d'abonnement et données de session.

Lorsque vous utilisez l'application, des données de travail peuvent aussi être enregistrées : projets, visuels, templates, médias importés, base de données sportive, messages de contact et journaux de sécurité.

Ces données sont utilisées pour authentifier les utilisateurs, fournir les fonctionnalités de création graphique, gérer les abonnements, assurer le support, protéger la plateforme contre les abus et respecter les obligations légales.

Les données de sécurité peuvent inclure des informations techniques limitées comme l'adresse IP, la route ciblée et l'agent utilisateur lorsqu'un événement de sécurité ou une action admin sensible est détecté.

Exécution du contrat (art. 6.1.b du RGPD) : création et gestion du compte, fourniture des fonctionnalités de création graphique, hébergement de vos projets et médias, gestion des abonnements et de la facturation, assistance liée à l'utilisation du service.

Intérêt légitime (art. 6.1.f) : protection de la plateforme contre les abus et la fraude, journaux de sécurité et d'audit administrateur, traitement des demandes de contact, amélioration du service, ainsi que le traitement des données de joueurs et de membres de club enregistrées par un utilisateur pour produire ses propres supports de communication (voir la section « Données concernant des tiers »).

Obligation légale (art. 6.1.c) : conservation des pièces comptables et fiscales, réponse aux demandes des autorités habilitées.

Consentement (art. 6.1.a) : connexion via Google et publication automatique vers un réseau social. Ces traitements ne sont activés que si vous les demandez explicitement, et votre consentement peut être retiré à tout moment depuis les paramètres de votre compte.

Les paiements et la gestion d'abonnement reposent sur Stripe (États-Unis). Timline ne stocke pas les numéros complets de carte bancaire. Stripe agit en qualité de sous-traitant et dispose d'un accord de traitement des données (DPA) conforme au RGPD.

L'application est hébergée et exécutée par Vercel (États-Unis), avec des fonctions serveur configurées en région européenne. La base de données est hébergée via Supabase (PostgreSQL managé, région EU-Francfort). L'envoi d'emails transactionnels est assuré via IONOS (Allemagne, Union Européenne). Les médias uploadés (photos, logos, images) sont stockés sur Cloudflare R2 (région EU-Ouest).

Si vous choisissez de vous connecter avec Google, l'authentification est effectuée par Google, qui nous transmet votre adresse email, votre nom et votre image de profil. Google agit dans ce cadre comme responsable de traitement indépendant pour ses propres finalités : sa politique de confidentialité s'applique à ce traitement. Cette transmission n'a lieu que si vous utilisez ce mode de connexion ; l'inscription par email et mot de passe ne fait intervenir aucun tiers.

Les formulaires publics (inscription, contact) sont protégés contre les robots par Cloudflare Turnstile, qui reçoit des données techniques limitées (adresse IP, agent utilisateur, signaux du navigateur) aux seules fins de distinguer un utilisateur humain d'un automate. Aucun profilage publicitaire n'est effectué.

La limitation de débit et la protection contre les abus reposent sur Upstash (base Redis managée, région européenne). Upstash traite uniquement des données techniques limitées — identifiant de compte ou adresse IP, compteurs d'appels et horodatages — pour une durée de quelques minutes à quelques heures. Aucun contenu de projet, aucune donnée sportive et aucun média ne lui sont transmis.

Si vous connectez un compte Facebook ou Instagram pour publier vos visuels, Timline transmet à Meta, via les API officielles Meta, les visuels que vous choisissez de publier et les textes associés, ainsi que les jetons d'accès délivrés par Meta (conservés chiffrés). Cette transmission n'a lieu qu'à votre demande et pour la publication que vous déclenchez. Vous pouvez déconnecter le compte à tout moment depuis les paramètres. Meta traite ensuite ces contenus selon ses propres conditions et sa propre politique de confidentialité.

Le détourage automatique des photos s'exécute intégralement dans votre navigateur : vos images ne sont transmises à aucun serveur, ni à Timline ni à un tiers, pour cette opération. Le modèle de segmentation utilisé est un composant logiciel statique : lorsqu'il n'est pas servi depuis l'infrastructure de Timline, il est téléchargé depuis un espace de stockage Google, qui reçoit alors uniquement l'adresse IP et les en-têtes techniques de votre navigateur — jamais vos images.

Les transferts de données vers des sous-traitants ou destinataires établis hors de l'Union Européenne (Stripe, Vercel, Supabase, Cloudflare, ainsi que Google en cas de connexion via ce service et Meta en cas de publication vers Facebook ou Instagram) sont encadrés par des clauses contractuelles types (CCT) ou les garanties appropriées prévues par le RGPD. Les données sont hébergées dans des régions européennes pour chaque service concerné.

Les médias importés par les utilisateurs sont conservés pour permettre l'édition, l'automatisation et l'export de visuels. Des contrôles de taille, de type et de sécurité sont appliqués côté serveur.

Les imports externes sont limités à des usages techniques légitimes et peuvent être bloqués lorsqu'une cible réseau est considérée comme sensible ou dangereuse.

Timline permet à un club d'enregistrer ou d'importer des données concernant ses joueurs et ses membres : nom, prénom, numéro, photo, date de naissance, nationalité et statistiques sportives. Ces personnes ne sont pas les utilisateurs du service : c'est l'utilisateur — le club, l'école ou l'agence — qui décide de les enregistrer et qui en détermine le contenu.

Ce traitement repose sur l'intérêt légitime de Timline et de son utilisateur à produire les supports de communication du club, et se limite strictement aux données nécessaires à la fabrication d'un visuel sportif. Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, origine) n'est demandée ni exploitée.

Une partie de ces personnes peut être mineure. Il appartient à l'utilisateur qui enregistre ces données de disposer du droit de le faire, et notamment de recueillir l'autorisation du représentant légal pour la photographie, l'enregistrement et la diffusion de l'image d'un mineur, conformément aux Conditions Générales d'Utilisation. Timline n'a pas de relation directe avec ces personnes et ne peut pas recueillir ce consentement à la place de l'utilisateur.

Toute personne concernée, ou son représentant légal, peut demander l'accès, la rectification ou la suppression de ses données en écrivant à support@timline.fr. Timline transmet la demande au club concerné et peut, en cas de nécessité ou d'absence de réponse, procéder directement à la suppression des données visées.

Les données sont conservées aussi longtemps que le compte reste actif ou que cela est nécessaire pour fournir le service, traiter une demande d'assistance, établir une preuve ou satisfaire une obligation légale.

Les journaux techniques et de sécurité sont conservés pendant une durée limitée et proportionnée à leur finalité de protection, d'investigation et d'audit.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, de suppression, de limitation du traitement et d'opposition. Vous pouvez également exercer votre droit à la portabilité et recevoir une copie de vos données dans un format structuré et lisible par machine.

Une fonctionnalité de suppression de compte est disponible dans les paramètres de l'application. Un export complet de vos données personnelles est accessible via les paramètres de votre compte. Certaines données de facturation ou obligations légales peuvent toutefois imposer une rétention résiduelle limitée.

Pour toute demande relative à vos droits, utilisez la messagerie intégrée ou contactez l'équipe via les canaux de support communiqués par Timline. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

Si vous avez accès à votre compte, vous pouvez demander un export de vos données depuis les paramètres de l'application. Cet export est fourni dans un format structuré et lisible par machine.

Si vous n'avez plus accès à votre compte, vous pouvez contacter Timline via les canaux de support. Une vérification d'identité ou de contrôle de l'adresse email concernée pourra être demandée avant toute transmission de données.

Les demandes sont traitées sans retard excessif et, en principe, dans un délai maximal d'un mois à compter de leur réception, sauf cas complexe ou demande manifestement excessive au sens du RGPD.

Timline applique des mesures techniques et organisationnelles raisonnables : chiffrement des secrets et des champs sensibles via AES-256-GCM, hachage bcrypt des mots de passe, authentification à deux facteurs (2FA) disponible, contrôle d'accès, validation des entrées, journalisation admin chiffrée, limitation de débit (Upstash Redis), protections HTTP (HSTS, CSP, X-Frame-Options) et surveillance des opérations sensibles.

Aucune solution n'offre un risque zéro. En cas d'incident majeur, une procédure de réponse et de rotation des secrets est appliquée. Une notification est faite aux personnes concernées et à la CNIL lorsque les conditions réglementaires l'exigent.

Timline utilise uniquement des cookies strictement nécessaires au fonctionnement du service : cookie de session NextAuth pour maintenir l'authentification, cookie de préférence de thème (clair / sombre), cookie de consentement aux cookies (durée 13 mois). Ces cookies sont exemptés de consentement préalable au sens de l'article 82 de la loi Informatique et Libertés.

Aucun cookie publicitaire, aucun cookie de mesure d'audience tiers (Google Analytics, Meta Pixel, etc.) et aucun cookie de réseau social n'est déposé par défaut. Lors d'un paiement, Stripe peut déposer ses propres cookies sur le domaine de checkout pour la prévention de la fraude — ces dépôts sont sous la responsabilité de Stripe et soumis à sa propre politique.

Ces cookies étant tous strictement nécessaires, aucun consentement préalable n'est requis et aucun choix ne vous est imposé à l'entrée. Une information est simplement affichée lors de votre première visite, puis mémorisée 13 mois pour ne pas se répéter ; vous pouvez la faire réapparaître en effaçant les données du site dans votre navigateur.

Si Timline introduisait un jour un outil de mesure d'audience ou un traceur non strictement nécessaire, celui-ci ne serait déposé qu'après recueil de votre consentement explicite, et la présente politique serait mise à jour au préalable.

Compte utilisateur actif : conservé tant que l'abonnement est actif ou que vous utilisez le service. Compte suspendu : 30 jours avant suppression définitive. Compte payant expiré non renouvelé : 36 mois, avec un préavis envoyé par email au moins 30 jours avant la suppression — une simple connexion suffit à conserver le compte.

Visuels en corbeille : 30 jours. Visuels non ouverts depuis longtemps : 24 mois (alerte préalable à 22 mois). Notifications lues ou envoyées : 30 jours. Demandes de contact : 24 mois. Journaux d'audit administrateur : 12 mois. Codes 2FA à usage unique : 10 minutes.

Données de facturation conservées au titre des obligations comptables et fiscales : durée minimale prévue par la loi française (en règle générale 10 ans pour les pièces comptables).

Pour toute question relative à la confidentialité, au support ou à l'exercice de vos droits, utilisez la messagerie intégrée si vous avez un compte, ou contactez l'équipe à support@timline.fr.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : 3 place de Fontenoy, 75007 Paris, ou en ligne sur cnil.fr.