Version du 25 juillet 2026 — entrée en vigueur le 25 juillet 2026
La présente Politique explique comment les données personnelles sont traitées lors de l'utilisation de la plateforme Courtside accessible à https://court-side.fr (la « Plateforme »), notamment pour les comptes, annonces, négociations, commandes, paiements, livraisons, réclamations et communications.
Elle est établie au regard du Règlement (UE) 2016/679 (« RGPD ») et de la loi Informatique et Libertés. Elle complète les Conditions générales d'utilisation et les Conditions générales de vente.
Pour les traitements nécessaires à l'exploitation de la marketplace, le responsable de traitement est :
Monsieur Théo André Didier BURAY, entrepreneur individuel exerçant sous l'enseigne « Courtside »
Adresse : 33 rue Henri Dunant, 33100 Bordeaux, France
SIRET : 104 730 601 00010
Email vie privée et exercice des droits : contact@court-side.fr
Téléphone : +33 6 85 39 37 25
Courtside détermine les finalités principales des comptes, annonces, transactions, paiements, livraisons, modération, support, newsletter et obligations fiscales.
Le CMS, ses intégrations et l'exploitation technique sont fournis à Courtside par :
Monsieur Matthias BERNOUY, entrepreneur individuel exerçant sous le nom commercial « B DEV »
17 B chemin du Fond du Val, 76930 Octeville-sur-Mer, France
SIREN 894 163 187 — SIRET 894 163 187 00012
Téléphone : +33 6 08 13 84 04
Contact vie privée : matthias@bernouy.fr
Ce prestataire agit comme sous-traitant lorsqu'il héberge, maintient, sauvegarde, sécurise ou assiste Courtside sur les données en suivant les instructions de Courtside. Il n'accède aux données personnelles que dans la mesure nécessaire à ces opérations.
Il peut être responsable distinct pour des traitements strictement propres à son activité, par exemple la facturation du service SaaS, la sécurité de son infrastructure ou la défense de ses droits, lorsqu'il en détermine lui-même les finalités et moyens. Ces traitements sont limités à ce qui est nécessaire à son activité.
Nous traitons des données concernant les visiteurs, titulaires de compte, acheteurs, vendeurs, personnes qui soumettent une proposition, destinataires ou expéditeurs d'un colis, abonnés à la newsletter, personnes qui contactent le support et personnes impliquées dans une réclamation.
Les données peuvent être obtenues :
| Catégorie | Données concernées |
|---|---|
| Compte et authentification | Identifiant interne, adresse email, état du compte, informations de session, dates de création et de mise à jour, événements de connexion et de sécurité. Les mots de passe sont gérés sous forme protégée par le système d'authentification et ne sont pas accessibles en clair à Courtside. |
| Identité et profil | Nom d'affichage, prénom, nom, date de naissance, téléphone, adresses, ville, région, pays, avatar, langue, fuseau horaire. |
| Préférences sportives facultatives | Niveau de jeu, style de jeu, marques préférées et club. |
| Catalogue, annonces et médias | Produit, variante, catégorie, marque, caractéristiques techniques, état, description, métadonnées, prix, fourchette et propositions de prix, statut de validation et de publication, événements de workflow, exactement six photographies de l'exemplaire mis en vente. |
| Vendeur et vérification | Identifiant vendeur, type de vendeur, nom affiché, statut de vérification, événements de vérification, capacité à vendre, état du compte Stripe Connect et acceptation des conditions vendeur. |
| Négociations | Annonce, vendeur, acheteur, prix de référence, limites, montant proposé, statut, dates d'expiration, d'acceptation, de refus ou de retrait. |
| Commandes et conditions financières | Numéro et identifiant de commande, acheteur, vendeur, produit, snapshots de l'annonce et des parties, prix direct ou négocié, frais acheteur, frais vendeur, livraison, montant total, montant vendeur, devise, dates, statuts et événements. |
| Paiement et reversement | Identifiants Stripe du compte plateforme et du compte connecté, PaymentIntent, charge, remboursement et transfert distinct différé, montants, frais acheteur de 5 % hors livraison, frais vendeur à 0 %, coûts Stripe supportés par Courtside, statuts de paiement, de règlement et de litige, contrôles de risque et événements Stripe. Courtside ne reçoit pas le numéro complet de carte ni son cryptogramme. Ces données ne correspondent pas à un portefeuille, un séquestre ou un compte de cantonnement mis à disposition de l'utilisateur. |
| Livraison | Noms, emails, téléphones et adresses de l'expéditeur et du destinataire, point relais choisi, coordonnées du relais, poids et dimensions, devis, numéro d'expédition et de suivi, étiquette, statut et événements Mondial Relay. |
| Réclamations, retours et remboursements | Motif, description, montants demandés et décidés, réponse du vendeur, décision et auteur de la décision, preuves déposées, nom de fichier, type, taille, empreinte, événements de retour et de remboursement. |
| Preuves contractuelles | Document accepté, libellé de consentement, version, contenu ou snapshot, empreinte SHA-256, horodatage serveur, utilisateur, commande, groupe de checkout, tentative de paiement et identifiant de corrélation. |
| Newsletter | Adresse email, état d'abonnement et dates d'inscription ou de modification. |
| Emails transactionnels et journaux d'envoi | Lorsqu'un service d'envoi est activé : destinataires, objet, contenu HTML ou texte, données du modèle, identifiant du prestataire, état de délivrance, erreurs et horodatages. |
| Données fiscales DAC7 | Lorsque la loi l'exige : identité, date de naissance, adresse principale, résidence fiscale, numéro d'identification fiscale, informations sur le compte de paiement, montants versés ou crédités, frais retenus et nombre d'opérations par trimestre. |
| Données techniques et de sécurité | Adresse IP susceptible d'apparaître dans les logs, date et heure, URL et action, navigateur et terminal, identifiant de session, identifiant de corrélation, erreurs, journaux d'audit, événements de sécurité et informations nécessaires à la prévention de la fraude. |
| Mesure d'audience interne | Page consultée et éventuelle page précédente sur le Site, domaine référent externe, statut et durée de réponse, catégories grossières de terminal et de navigateur, compteurs agrégés et estimation quotidienne de visiteurs. Cette estimation utilise une empreinte HMAC propre au Site et au jour, dérivée d'une adresse IP préalablement tronquée en /24 pour IPv4 ou /48 pour IPv6 avec les catégories de terminal et navigateur. L'événement brut, l'adresse IP brute, l'agent utilisateur brut et une ligne individuelle par visiteur ne sont pas conservés dans le stockage analytics. |
Courtside ne cherche pas à collecter de catégories particulières de données au sens de l'article 9 du RGPD. Les utilisateurs ne doivent pas inclure de données sensibles, de pièces d'identité ou d'informations de tiers dans les photographies et descriptions, sauf demande explicite et sécurisée de Courtside ou d'un prestataire habilité.
La date de naissance et certains justificatifs peuvent être requis pour l'identification du vendeur, Stripe ou DAC7 ; ils ne constituent pas, par nature, des données de santé ou biométriques.
| Finalité | Base juridique principale |
|---|---|
| Créer et gérer le compte, authentifier l'utilisateur et fournir son espace membre | Exécution des CGU ou mesures précontractuelles demandées par l'utilisateur |
| Gérer le profil, les préférences facultatives et l'avatar | Exécution du service demandé ; intérêt légitime à personnaliser le compte pour les champs facultatifs, avec possibilité de les supprimer |
| Soumettre, évaluer, valider, publier, classer et modérer les annonces | Exécution des CGU/CGV ; intérêt légitime à assurer la qualité, la loyauté et la sécurité de la marketplace ; obligations légales de plateforme |
| Gérer les propositions négociées et les accords de prix | Mesures précontractuelles et exécution du service demandé |
| Créer et exécuter les commandes, verrouiller le prix et conserver la preuve | Exécution des contrats et obligations légales de conservation ; intérêt légitime à établir, exercer ou défendre des droits |
| Traiter le paiement, prévenir la fraude, rembourser et reverser le vendeur | Exécution des contrats ; obligations légales ; intérêt légitime à sécuriser les paiements et lutter contre la fraude |
| Créer le devis, l'étiquette, suivre l'expédition et gérer le retour | Exécution des contrats |
| Traiter les annulations, réclamations, preuves, retours et litiges | Exécution des contrats ; intérêt légitime à résoudre les incidents et défendre des droits ; obligations légales |
| Identifier les vendeurs et effectuer les diligences et déclarations DAC7 | Obligation légale, lorsque Courtside relève du dispositif |
| Envoyer les messages indispensables au compte, à l'annonce, à la commande, au paiement ou à la livraison | Exécution des contrats et intérêt légitime à assurer le suivi du Service |
| Gérer l'abonnement et envoyer la newsletter | Consentement, retirable à tout moment |
| Répondre aux demandes de support et aux droits RGPD | Exécution du contrat, obligation légale ou intérêt légitime selon la demande |
| Assurer la sécurité, la disponibilité, le diagnostic et la traçabilité | Intérêt légitime à protéger la Plateforme et ses utilisateurs ; obligations légales de sécurité |
| Mesurer l'audience, la navigation entre pages et les performances techniques afin d'améliorer le Site | Intérêt légitime de Courtside pour le profil strict, sans suivi intersites, avec information et possibilité d'opposition ; un consentement préalable sera recueilli si le dispositif évolue vers un traceur ou un usage qui ne bénéficie pas d'une exemption applicable |
Au 25 juillet 2026, la mesure d'audience interne « privacy-strict » du CMS est active. Elle est réalisée côté serveur, sans déposer de cookie de mesure par défaut, sans événement analytics brut persistant et sans identifiant intersite ou publicitaire. Aucun outil d'analytics tiers, pixel publicitaire ou suivi marketing tiers n'est activé. Le dispositif permet une opposition publique et honore le signal Global Privacy Control.
Les champs marqués comme obligatoires sont nécessaires pour créer le compte, exécuter la transaction, respecter la sécurité ou satisfaire une obligation légale. Sans eux, Courtside peut ne pas être en mesure d'ouvrir le compte, de publier l'annonce, de traiter le paiement ou d'organiser la livraison.
Le niveau, le style de jeu, les marques préférées, le club, l'avatar et l'abonnement à la newsletter sont facultatifs, sauf évolution clairement indiquée. Le refus de la newsletter n'empêche pas d'utiliser la marketplace.
Dans la limite de leurs attributions et du besoin d'en connaître, les données sont accessibles à Courtside, aux personnes habilitées à traiter le support, la validation, les opérations financières et les réclamations, ainsi qu'aux prestataires suivants :
| Destinataire / prestataire | Rôle et données concernées | Rôle |
|---|---|---|
| Matthias BERNOUY — B DEV | Hébergement applicatif, authentification, maintenance, sécurité, support et accès technique encadré | Sous-traitant de Courtside pour les instructions reçues ; responsable distinct pour d'éventuelles finalités propres clairement séparées |
| OVH SAS | Infrastructure du serveur web, de l'application, des fichiers applicatifs et de la base MongoDB auto-hébergée utilisée par le CMS et l'analytics interne | Sous-traitant ultérieur selon la chaîne contractuelle |
| Supabase | Données de profil de compte et de l'intégration Commerce, stockage des images et fichiers, fonctions serveur et journaux associés au projet | Sous-traitant ou sous-traitant ultérieur selon le titulaire du compte et le DPA |
| Stripe Connect | Onboarding et vérification vendeur, moyens de paiement, prévention de la fraude, remboursements et reversements | Sous-traitant pour certaines opérations et responsable de traitement distinct pour ses obligations et finalités propres |
| Mondial Relay | Recherche du point relais, devis, étiquette, acheminement, suivi, incidents et retours | Prestataire et responsable distinct pour certaines opérations de transport |
| Service d'envoi d'emails, lorsqu'il est activé | Emails transactionnels et newsletter | Sous-traitant ou sous-traitant ultérieur |
| Administration fiscale | Données DAC7 et informations légalement exigées | Destinataire légal ; échanges possibles avec d'autres administrations fiscales selon DAC7 |
| Autorités, conseils, assureurs et juridictions | Données strictement nécessaires à une obligation, une enquête, une réclamation ou la défense de droits | Destinataires autorisés par la loi ou l'intérêt légitime |
Courtside ne vend pas et ne loue pas les données personnelles à des tiers à des fins de publicité.
Le serveur web, l'application, les fichiers applicatifs et une base MongoDB utilisée par le CMS et la mesure d'audience interne sont auto-hébergés sur une infrastructure OVHcloud. Le projet Supabase principal est configuré dans la région eu-central-1 (Francfort, Allemagne) pour la base PostgreSQL et le stockage. Certains services complémentaires, notamment le support, les journaux techniques ou les sauvegardes, peuvent être traités dans d'autres régions selon les conditions du prestataire concerné.
Cette localisation du projet ne signifie pas que tous les traitements de tous les prestataires restent exclusivement dans l'Espace économique européen. Stripe, Supabase et leurs fournisseurs peuvent traiter certaines données ou données de support dans d'autres pays selon leurs architectures, leurs obligations réglementaires et leurs listes de sous-traitants.
Lorsqu'un transfert hors de l'Espace économique européen n'est pas couvert par une décision d'adéquation, Courtside veille à ce qu'il repose sur une garantie appropriée, telle que les clauses contractuelles types, complétée lorsque cela est nécessaire par des mesures supplémentaires. Les garanties applicables dépendent du prestataire et du traitement concernés.
Les données ne doivent pas être conservées indéfiniment. Courtside distingue la base active, nécessaire au fonctionnement courant, et l'archivage intermédiaire à accès restreint, nécessaire à une obligation ou à la défense de droits.
| Catégorie | Durée ou critère de conservation |
|---|---|
| Compte, profil et préférences | Pendant la vie du compte. À sa fermeture, suppression ou anonymisation des données non nécessaires ; archivage limité des éléments indispensables aux contrats, litiges, à la sécurité et aux obligations légales. |
| Annonce sans transaction et photographies associées | Pendant la publication et la revue, puis uniquement pendant la durée nécessaire à la modération, à la prévention de la fraude ou au traitement d'une contestation. Les données sont ensuite supprimées ou anonymisées, sauf obligation légale ou litige en cours. |
| Annonce, photographies et snapshots liés à une transaction | Pendant la transaction et la réclamation, puis en archivage pour la durée nécessaire à la preuve et aux délais de prescription applicables, en principe jusqu'à 5 ans, ou 10 ans lorsque l'écrit électronique ou une obligation comptable l'impose. |
| Propositions négociées et accords de prix | Pendant leur validité puis jusqu'à 5 ans lorsqu'ils sont nécessaires à la preuve d'une relation précontractuelle ou contractuelle. Les propositions expirées sans suite sont conservées uniquement pendant la durée nécessaire à la sécurité, à la prévention de la fraude ou à une contestation. |
| Commandes, conditions financières, preuves d'acceptation et documents contractuels | Pendant l'exécution, puis 5 ans à des fins probatoires ; 10 ans pour un contrat électronique avec un consommateur d'au moins 120 € lorsque cette obligation s'applique, et 10 ans pour les pièces comptables concernées. |
| Paiements, remboursements, reversements et événements financiers | Pendant le traitement puis en archivage pendant les durées légales, comptables, fiscales, réglementaires et de contestation applicables, généralement 5 à 10 ans selon la donnée. |
| Livraison et suivi | Pendant l'acheminement, le retrait, la réclamation et le retour, puis jusqu'à 5 ans pour la preuve d'exécution ou de litige, sous réserve des durées propres du transporteur. |
| Réclamations, preuves et décisions | Pendant le dossier puis jusqu'à 5 ans à compter de sa clôture, sauf procédure ou obligation imposant une durée différente. |
| Données et registre DAC7 | Dix ans conformément aux règles applicables au registre des diligences et informations utilisées, lorsque le dispositif s'applique. |
| Newsletter | Jusqu'au retrait du consentement ou à la désinscription. Une preuve minimale du retrait peut être conservée le temps nécessaire pour respecter l'opposition. |
| Support et exercice des droits | Le temps de traiter la demande puis jusqu'à 3 ans à compter du dernier échange, ou plus longtemps si nécessaire à un litige ; les justificatifs d'identité éventuels sont supprimés dès qu'ils ne sont plus nécessaires. |
| Logs techniques et de sécurité | Pendant la durée strictement nécessaire au diagnostic, à la sécurité et à la prévention de la fraude. Un journal peut être isolé et conservé plus longtemps lorsqu'il est nécessaire à l'analyse d'un incident, au respect d'une obligation légale ou à la défense de droits. |
| Mesure d'audience interne | Aucun événement analytics brut ni ligne individuelle par visiteur n'est conservé. Les sketches d'estimation sont conservés jusqu'à 48 heures et les agrégats jusqu'à 395 jours. |
Lorsqu'une conservation intermédiaire est nécessaire, l'accès aux données concernées est limité aux personnes habilitées. Au terme de la durée applicable, la conservation n'est poursuivie que si une obligation légale ou un litige en cours le justifie ; dans les autres cas, les données sont supprimées ou anonymisées.
Selon le traitement et sous réserve des conditions légales, vous disposez des droits suivants :
Vous pouvez exercer vos droits à contact@court-side.fr ou par courrier à l'adresse de Courtside. Indiquez le droit exercé et les informations permettant de retrouver votre compte. Une preuve d'identité n'est demandée qu'en cas de doute raisonnable et seulement dans la mesure nécessaire.
Courtside répond en principe dans un délai d'un mois, prolongeable dans les conditions prévues par le RGPD. Certains droits peuvent être limités par une obligation de conservation, les droits d'autrui, une transaction en cours, la prévention de la fraude ou la défense de droits ; la raison est alors expliquée.
CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — https://www.cnil.fr/.
La fermeture du compte peut être demandée par email à contact@court-side.fr. Courtside désactive alors l'accès et supprime ou anonymise les données qui ne sont plus nécessaires, sous réserve des informations qui doivent être conservées.
L'email constitue le point d'entrée de la demande, mais ne réalise pas à lui seul la purge. Courtside doit enregistrer la demande et son échéance, vérifier raisonnablement l'identité, suspendre le compte, inventorier les données détenues par le CMS et chaque intégration, supprimer ou anonymiser ce qui peut l'être, placer les seules données à conserver dans un archivage restreint, puis confirmer au demandeur les opérations réalisées et les durées restantes.
Les commandes, paiements, preuves d'acceptation, livraisons, réclamations, obligations DAC7 et journaux indispensables peuvent être conservés en archivage restreint jusqu'à l'expiration de leur durée propre. La fermeture du compte ne permet pas d'effacer une dette, une transaction en cours, une preuve légale ou une donnée dont la conservation est imposée.
Courtside et ses prestataires mettent en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment le chiffrement TLS des échanges, des contrôles d'accès, la séparation des rôles, des secrets serveur, des politiques de sécurité, des journaux d'audit, la limitation des accès aux médias privés et les mécanismes de sécurité de Stripe.
Les règles de mot de passe sont celles effectivement affichées et imposées par le système ; la Politique ne prétend pas imposer une combinaison précise qui ne serait pas vérifiée côté serveur.
Aucun système n'est totalement exempt de risque. En cas de violation de données susceptible d'engendrer un risque, Courtside et ses prestataires appliquent les procédures de notification et d'information prévues par le RGPD.
La navigation publique ordinaire ne requiert actuellement aucun cookie. Une mesure d'audience interne côté serveur est néanmoins active ; elle n'écrit ni ne lit de cookie de mesure par défaut. Aucun outil publicitaire n'est activé. Aucun bandeau de consentement n'est affiché en l'absence de traceur non strictement nécessaire. Une opposition à la mesure d'audience interne reste disponible.
Après authentification ou pendant un paiement, des cookies ou stockages strictement nécessaires peuvent être utilisés pour la session, la sécurité, l'idempotence du checkout et le fonctionnement de Stripe.
| Outil / catégorie | Finalité | Durée / contrôle | Consentement |
|---|---|---|---|
Cookie de session du CMScms-session |
Authentifier l'utilisateur, maintenir la session et protéger le compte | Durée maximale : 1 heure ; Path=/, HttpOnly, SameSite=Lax et Secure lorsque le Site est servi en HTTPS | Non, s'il est strictement nécessaire au service demandé |
| Stockage de session du navigateur | Conserver temporairement l'idempotence du checkout ou un brouillon de parcours pendant l'onglet ou la session | Jusqu'à la fermeture de l'onglet/session ou suppression par l'utilisateur | Non, s'il est strictement nécessaire |
| Stripe.js et composants de paiement | Afficher le formulaire sécurisé, authentifier le paiement, prévenir la fraude et fournir les moyens de paiement | Selon le traceur et la politique Stripe ; inventaire à relever sur le parcours de paiement réel | Les stockages strictement nécessaires au paiement demandé ne requièrent pas de consentement préalable. Tout usage non nécessaire est soumis au consentement lorsqu'il est requis. |
| Analytics Courtside | Mesure d'audience et de performance interne côté serveur, sans événement brut persistant ni cookie de mesure par défaut | Sketches d'estimation : 48 heures ; agrégats : 395 jours. En cas d'opposition, cookie propre au Site p9r_analytics_opt_out_<empreinte>, HttpOnly, SameSite=Lax, Secure en HTTPS, conservé 396 jours |
Opposition disponible ; signal Global Privacy Control honoré. Tout changement de finalité ou de fonctionnement fera l'objet d'une nouvelle information et, si nécessaire, d'un consentement préalable. |
| Publicité / ciblage | Aucun outil activé au 25 juillet 2026 | Sans objet | Sans objet |
Si Courtside ajoute un traceur non strictement nécessaire, celui-ci ne doit pas être déposé avant le consentement lorsque la loi l'exige. L'utilisateur doit pouvoir accepter ou refuser avec la même facilité, choisir par finalité et retirer son consentement. La liste, la finalité, le fournisseur et la durée devront être publiés avant activation.
Les paramètres du navigateur permettent aussi de voir ou supprimer les cookies, mais ne remplacent pas le mécanisme de consentement lorsque celui-ci est obligatoire.
L'inscription à la newsletter est facultative et repose sur le consentement. Courtside n'envoie actuellement pas de newsletter automatisée. Si ce service est activé, chaque message comportera un moyen direct de se désinscrire. Le retrait n'affectera pas les messages strictement nécessaires à une commande ou au compte.
Le système enregistre l'adresse email, l'état d'abonnement et les horodatages associés afin de gérer ce choix.
Si Courtside relève du dispositif DAC7, elle devra collecter ou recevoir les données nécessaires à ses diligences et à sa déclaration avant l'échéance applicable. Pour la vente de biens, un vendeur est en principe exclu de la déclaration uniquement s'il réalise moins de trente opérations et ne dépasse pas 2 000 € de contrepartie sur l'année. Le franchissement de l'un des deux seuils peut donc rendre les données déclarables, sous réserve des autres conditions légales.
Lorsque ce dispositif s'applique, Courtside devra informer le vendeur des données transmises le concernant. Ces données pourront être communiquées par l'administration fiscale française à l'administration d'un autre État membre ou d'un État couvert par un accord d'échange automatique. Le registre des diligences et informations utilisées devra être conservé dix ans.
La transmission ne signifie pas nécessairement que les sommes sont imposables ; le vendeur reste responsable de ses propres déclarations et peut consulter les informations officielles de l'administration fiscale.
Pour toute question ou demande relative aux données personnelles, contactez Courtside à contact@court-side.fr.
Courtside n'a pas désigné de délégué à la protection des données. Les demandes sont adressées au contact indiqué ci-dessus. Si un délégué est désigné ultérieurement, ses coordonnées seront publiées ici.
La Politique peut être mise à jour pour refléter une évolution du Service, des prestataires, des traitements ou de la loi. La date d'effet et la version sont indiquées en tête du document. Une modification substantielle est portée à la connaissance des utilisateurs par un moyen approprié.
Date d'entrée en vigueur : 25 juillet 2026.