Politique de traitement des données personnelles

« Application » désigne l'application mobile Quick Racing, disponible sur l'App Store (iOS) et le Google Play Store (Android) ; « Partenaire » désigne tout cocontractant de la Société dans le cadre de l'organisation d'événements de roulage moto ; « Plateforme » désigne l'outil de gestion B2B (Quick Racing Front End) mis à disposition des organisateurs Partenaires ; « Donnée Personnelle » désigne toute information permettant d'identifier une personne physique, sous quelque forme que ce soit ; « Personne concernée » désigne toute personne susceptible d'être identifiée, directement ou indirectement dans le cadre des activités de la Société, et plus généralement toute personne dont les Données Personnelles sont collectées ; « Responsable de traitement » désigne l'organisme collectant, utilisant et sécurisant les Données Personnelles ; « Sous-traitant » désigne tout organisme traitant des données pour le compte et sur instruction du Responsable de traitement ; « Site Internet » désigne l'ensemble des sites web accessibles à l'adresse www.quickracing.fr ainsi que toutes les adresses URL appartenant au nom de domaine et sous-domaines www.quickracing.fr. Les termes ainsi définis sont entendus aussi bien au singulier qu'au pluriel.

La Société QUICK RACING, SAS au capital de 5.000 €, immatriculée au Registre du Commerce et des Sociétés de VERSAILLES sous le numéro 949 795 819, dont le siège social est sis 14 Rue Gambetta – 78 600 LE MESNIL-LE-ROI, est le Responsable de traitement de vos Données Personnelles au sens de l'article 4 du RGPD. À cet effet, la Société est représentée par le responsable interne des questions de protection des Données Personnelles : Vianney ALEXANDRE, contact@quickracing.fr.

Les Données Personnelles peuvent être collectées : A. Via le Site Internet : - par le biais du formulaire de contact (nom, adresse e-mail, organisation, téléphone, objet, message) ; - par le biais du formulaire de réclamation de trophée « Tour de Force » (nom, e-mail, nom de l'organisateur, date et heure de l'événement, détails, pièce justificative) ; - par le biais du formulaire de demande de suppression de compte (nom, e-mail, motif). B. Via l'Application mobile Quick Racing : - par la création de votre compte par l'organisateur lors de votre inscription à un événement (nom, prénom, adresse e-mail communiqués par l'organisateur à la Société) ; les pilotes ne peuvent pas créer eux-mêmes leur compte ; - par l'utilisation de l'Application (temps au tour, historique de sessions, données de chronométrage* RFID, progressions et trophées, classement Motors League, préférences de notification). C. Via la Plateforme B2B (organisateurs) : - par le transfert de données de chronométrage* effectué par les Partenaires de la Société ; - par l'import de données de sessions (fichiers RaceResult .ses, CSV, Excel). D. Données techniques collectées automatiquement : - adresse IP (dans le cadre de la vérification anti-spam hCaptcha) ; - données de connexion (pays, identifiant utilisateur, horodatage). L'authentification des comptes se fait exclusivement par code à usage unique (OTP) envoyé par e-mail. Aucun mot de passe n'est collecté ni stocké. Ce traitement de Données Personnelles est fondé : - sur le consentement de la personne concernée pour les données saisies via les formulaires du Site Internet (article 6, paragraphe 1, point a) du RGPD) ; - sur l'exécution du contrat de service liant la Société à l'organisateur, dont vous êtes bénéficiaire en tant que pilote inscrit à un événement, pour les données du compte mobile et de chronométrage* (article 6, paragraphe 1, point b) du RGPD).

Les Données Personnelles collectées répondent aux objectifs suivants : Site Internet : - Traitement des demandes de contact et de démonstration - Traitement des réclamations de trophées « Tour de Force » - Traitement des demandes de suppression de compte - Prévention du spam (vérification hCaptcha) Application mobile : - Création et gestion du compte utilisateur - Enregistrement et consultation des temps au tour et historiques de sessions - Attribution automatique des trophées et mise à jour des progressions - Classement Motors League et tableaux de bord - Envoi de notifications relatives aux sessions et trophées - Personnalisation de l'expérience utilisateur Plateforme B2B (organisateurs) : - Gestion du chronométrage* RFID des sessions de roulage - Import et traitement des données de sessions - Génération de déclarations météorologiques (intégration Assuracing) Objectifs transversaux : - Développement et amélioration des solutions techniques - Continuité des services et maintien d'un environnement sécurisé - Prévention et détection des fraudes et gestion des incidents de sécurité - Gestion des éventuels litiges avec les utilisateurs

L'accès aux Données Personnelles est strictement encadré. La Société s'assure que ces données ne soient accessibles qu'à des destinataires internes ou externes autorisés. Destinataires internes : Au sein de la Société, les Données Personnelles ne sont accessibles qu'à des intervenants soumis à une obligation de confidentialité spécifique. Tous les accès font l'objet d'une mesure de traçabilité. Sous-traitants : La Société fait appel aux sous-traitants suivants dans le cadre de ses activités : - Brevo (Sendinblue SAS) — envoi d'e-mails transactionnels (notifications, codes OTP, confirmations). Siège : 17 rue Salneuve, 75017 Paris, France. Données hébergées en France. - OVH SAS — envoi de SMS transactionnels et codes OTP ; hébergement du Site Internet et traitement des formulaires. Siège : 2 Rue Kellermann, 59100 Roubaix, France. Données hébergées en France. - Microsoft France SAS — hébergement de la base de données applicative (Azure SQL Database, région France Central) et des fonctions de calcul (Azure Functions). Données hébergées en France. - Scaleway SAS — stockage objet (logos d'organisateurs) et hébergement des manifestes de mise à jour over-the-air de l'application mobile. Siège : Paris, France (région fr-par). Données hébergées en France. - hCaptcha (Intuition Machines, Inc.) — vérification anti-spam sur les formulaires du Site Internet (formulaire de contact, demande de suppression de compte, etc.). Siège : États-Unis. L'adresse IP et des données de navigation sont transmises lors de la vérification. Pour plus d'informations : https://www.hcaptcha.com/privacy. Les Données Personnelles ne font l'objet d'aucun transfert en dehors de l'Union européenne, à l'exception des données transmises à hCaptcha (États-Unis) dans le cadre de la protection anti-spam, sur la base de votre consentement (article 49, paragraphe 1, point a) du RGPD). L'envoi de notifications push sur l'application mobile, lorsque vous l'avez autorisé au niveau du système d'exploitation de votre appareil, transite par les services natifs d'Apple (APNs) et de Google (FCM) ; les données échangées sur ce canal se limitent au jeton d'appareil et au contenu opaque du message et ne sont pas rapprochées de votre compte par Apple ou Google. La Société n'utilise aucun cookie publicitaire, aucun outil d'analyse de trafic (type Google Analytics), aucun pixel de suivi, et ne procède à aucun partage de données à des fins publicitaires.

Le Responsable de traitement prend des mesures de protection techniques, physiques et organisationnelles pour protéger les Données Personnelles contre tout accès, utilisation ou divulgation non autorisé, et pour empêcher leur perte ou leur altération. Les mesures mises en œuvre comprennent notamment : - Chiffrement des communications par HTTPS sur l'ensemble des services - Authentification par code à usage unique (OTP) — aucun mot de passe stocké - Protection anti-spam par hCaptcha sur tous les formulaires - Champ honeypot pour la détection de robots automatisés - Validation et assainissement des données côté serveur - En-têtes de sécurité HTTP (X-Frame-Options, X-Content-Type-Options, Referrer-Policy) - Hébergement des données applicatives sur Microsoft Azure (région France Central)

Le Responsable de traitement conserve les Données Personnelles pour la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, ou tel que requis par la loi. Données du Site Internet : - Formulaire de contact : durée de traitement de la demande, puis 2 ans maximum - Réclamation de trophée (dont pièces justificatives) : durée de traitement de la demande, puis 1 an maximum - Demande de suppression de compte : durée de traitement de la demande, puis supprimée Données de l'Application mobile (politique de conservation unifiée — au plus 2 ans après inactivité) : - Données d'identification (nom, prénom, e-mail) : durée de vie du compte, puis effacées au plus tard 2 ans après dernière activité - Données de chronométrage* (temps au tour, sessions), trophées et progressions, classement Motors League : durée de vie du compte, puis alignées sur la conservation des données d'identification ci-dessus, sauf demande de suppression formulée plus tôt Données techniques : - Adresse IP (vérification hCaptcha) : non conservée par la Société (traitée uniquement par hCaptcha) - Données de connexion : 1 an glissant - Cookies strictement nécessaires : 13 mois à compter de la dernière manifestation du consentement Passé les délais fixés, les données sont soit supprimées, soit conservées après avoir été anonymisées.

La Société met en œuvre un traitement automatisé dans le cadre de l'attribution des trophées : un système de détection analyse en continu les données de chronométrage* des utilisateurs de l'Application (temps au tour, nombre de sessions, circuits visités, conditions météorologiques) afin de déterminer l'obtention de trophées selon des critères prédéfinis. Ce traitement n'a aucune conséquence juridique pour la personne concernée et n'affecte pas de manière significative ses droits. Il vise uniquement à enrichir l'expérience utilisateur par un système de récompenses ludiques. L'utilisateur peut consulter les critères d'attribution des trophées depuis l'Application et le Site Internet.

En application de la réglementation applicable aux Données Personnelles, les Utilisateurs disposent des droits suivants : - Le droit d'accès : connaître les Données Personnelles les concernant. - Le droit de rectification : demander la mise à jour des informations inexactes. - Le droit de suppression : demander la suppression de leurs Données Personnelles. Deux canaux exclusifs sont ouverts : (1) le formulaire sur www.quickracing.fr/suppression-compte (identité confirmée par un code OTP envoyé par e-mail) ou (2) directement depuis l'application mobile QuickRacing dans Réglages → Compte → Supprimer mon compte (réservé aux pilotes connectés). Le courriel n'est pas accepté comme canal de suppression de compte (audit-trail et vérification d'identité requis par l'article 12 du RGPD assurés uniquement par les deux mécanismes ci-dessus). - Le droit de s'opposer au traitement des données personnelles. - Le droit à la portabilité : réclamer la remise des Données Personnelles fournies dans un format structuré et lisible par machine. Le droit à la limitation du traitement (article 18 du RGPD) ne peut être exercé de manière isolée sur les traitements liés à l'attribution des trophées et au classement Motors League : ces fonctionnalités sont consubstantielles au service Quick Racing et leur désactivation reviendrait à priver le service de sa raison d'être. La personne concernée qui ne souhaite pas que ses Données Personnelles soient traitées dans ce cadre est invitée à exercer son droit de suppression du compte (cf. ci-dessus). Le droit de retirer son consentement (article 7, paragraphe 3 du RGPD) ne s'applique qu'aux traitements fondés sur le consentement, à savoir les données saisies via les formulaires du Site Internet (cf. article 3). Les traitements relatifs à l'Application mobile et aux données de chronométrage* reposent sur l'exécution du contrat de service liant la Société à l'organisateur (article 6, paragraphe 1, point b) du RGPD) et ne peuvent dès lors faire l'objet d'un retrait de consentement ; la personne concernée qui souhaite y mettre fin est invitée à exercer son droit de suppression du compte. La suppression d'un compte entraîne l'effacement des données suivantes dans un **délai maximum d'un mois** (article 12, paragraphe 3 du RGPD) : profil et informations personnelles, temps au tour et historique de sessions, trophées et progressions, classement Motors League, notifications et préférences.

Les Personnes concernées peuvent exercer leurs droits — à l'exception de la suppression de compte qui passe exclusivement par les canaux décrits à l'article 9 — en contactant par e-mail le Responsable de traitement, à l'adresse : contact@quickracing.fr. La réponse sera adressée dans le mois suivant la réception de la demande. Ce délai peut être prolongé de deux mois si la complexité ou le nombre de demandes l'exigent. Les Utilisateurs peuvent aussi introduire une réclamation auprès de la CNIL sur le site : https://www.cnil.fr/. Avant toute saisine de la CNIL, les Utilisateurs sont invités à contacter la Société, qui s'engage à examiner et à répondre à leur demande dans les meilleurs délais.