Politique de Confidentialité — Lockerful

Version 0.7 — 16 mai 2026

Préambule

Lockerful attache la plus grande importance à la protection des données personnelles des personnes dont les données sont traitées dans le cadre de l'utilisation de sa plateforme.

La présente Politique de Confidentialité décrit, dans un langage clair et accessible, quelles données sont traitées, pourquoi, par qui, pendant combien de temps, et quels sont vos droits.

Elle s'adresse à toutes les personnes concernées : utilisateurs des clubs (présidents, dirigeants, coachs, bénévoles), personnes filmées (joueurs, public, arbitres), représentants légaux des mineurs, sponsors.

1. Qui est responsable du traitement de vos données ?

1.1 Lorsque vous apparaissez dans une vidéo de votre club

C'est votre club (ou la fédération, ou la ligue) qui décide de filmer ou de produire le contenu, de l'habiller avec ses sponsors et de le diffuser. Il est le responsable de traitement au sens du RGPD.

Lockerful intervient en qualité de prestataire technique (sous-traitant) : nous fournissons le logiciel qui permet au club de réaliser ces opérations, mais nous ne décidons pas de ce qui est filmé ni de ce qui est diffusé.

Pour exercer vos droits relatifs aux images vous concernant, adressez-vous en priorité à votre club.

1.2 Lorsque vous utilisez la plateforme Lockerful directement

Pour la gestion de votre compte, la facturation, la sécurité de la plateforme et les statistiques d'usage, c'est Lockerful qui est responsable de traitement.

Coordonnées :

• Lockerful — édité par FOSS4EU BV (société à responsabilité limitée de droit belge)
• Numéro d'entreprise (BCE) : BE 0774.499.666
• Siège social : Bogemansstraat, 1780 Wemmel, Belgique
• Email général : contact@lockerful.com
• Email protection des données : dpo@lockerful.com

2. Quelles données traitons-nous ?

2.1 Si vous êtes utilisateur de la plateforme

• nom, prénom, fonction au sein du club ;
• adresse email professionnelle ou personnelle ;
• numéro de téléphone (facultatif) ;
• identifiants de connexion (mot de passe stocké sous forme hachée) ;
• données techniques : adresse IP, navigateur, système, journaux de connexion ;
• préférences et paramétrages.

2.2 Si vous apparaissez dans une vidéo téléversée par un club

• votre image et votre voix, telles que captées par les caméras du club ;
• le cas échéant, votre nom ou votre numéro de joueur, s'il a été ajouté par le club dans les contenus.

2.3 Si vous êtes représentant légal d'un mineur

• nom, prénom, lien avec l'enfant ;
• adresse email pour le recueil et la révocation du consentement.

2.4 Si vous êtes sponsor ou prospect sponsor

• nom, prénom de l'interlocuteur ;
• raison sociale, secteur, taille, localisation ;
• email, téléphone professionnels ;
• historique des échanges et des partenariats.

3. Important : ce que nous ne faisons PAS

C'est un point auquel nous tenons particulièrement, et que nous voulons rendre transparent :

• Nous ne générons aucune image par intelligence artificielle. Toutes les vidéos diffusées via Lockerful sont composées exclusivement d'extraits réels captés par les caméras du club. Aucun pixel n'est créé, modifié ou synthétisé. Aucun deepfake n'est techniquement possible sur notre plateforme.

• Nous ne faisons aucune reconnaissance faciale identifiante. Lockerful n'analyse pas le contenu de vos vidéos et ne met aucun nom sur un visage ; aucune image n'est croisée avec une base externe d'identification (registre national, photos publiques, réseaux sociaux, base policière). Aucun gabarit biométrique persistant n'est constitué : il n'existe, dans nos systèmes, aucun « fichier des visages » réutilisable d'une vidéo à l'autre ou d'un club à l'autre.

  Précision sur le filet de sécurité « protection des mineurs » : pour permettre au club d'écarter, avant publication, les visages dont il n'a pas le consentement, Lockerful peut calculer pendant le rendu une empreinte numérique éphémère par visage détecté dans la vidéo. Cette empreinte sert uniquement à regrouper les apparitions d'une même personne à l'intérieur du même rendu afin que le club coche, sur une mosaïque de vignettes, les visages autorisés ; les séquences contenant ces visages sont écartées du montage. Cette empreinte vit uniquement en mémoire vive le temps du calcul, n'est jamais persistée, jamais transmise à un tiers, jamais réutilisée d'un rendu à l'autre, et est traitée intégralement dans l'Union européenne (europe-west1). La finalité est strictement la protection contre la diffusion non consentie, en particulier pour les mineurs ; la base juridique est l'article 9.2.g du RGPD (motif d'intérêt public important — protection des personnes filmées, avec une attention renforcée aux mineurs). Le détail technique, les garanties et la justification figurent dans la DPIA consent-mosaic-2026.md disponible auprès du DPO.

• Nous ne traitons aucune donnée sensible au sens de l'article 9 du RGPD à des fins commerciales, de profilage ou de revente : pas de données de santé, pas de données révélant l'origine, les opinions, les convictions, l'orientation sexuelle. La seule exception est l'empreinte de visage éphémère décrite à la puce précédente, qui est juridiquement qualifiable de donnée biométrique au sens de l'article 9 mais dont le traitement, strictement interne, éphémère et finalisé à la protection des personnes filmées, repose sur l'article 9.2.g et fait l'objet d'une analyse d'impact dédiée.

• Nous ne vendons jamais vos données. Aucune donnée personnelle n'est cédée à des tiers à des fins commerciales.

4. Pourquoi traitons-nous vos données ?

4.1 Pour fournir le service au club (sous-traitance)

• héberger les contenus du club ;
• habiller les médias fournis par le club avec les logos et les couleurs de ses sponsors ;
• diffuser les contenus sur les supports désignés par le club et mesurer leur diffusion ;
• mettre le club et ses sponsors en visibilité via la vitrine de découverte ;
• gérer les comptes et les accès des utilisateurs du club.

Base légale : exécution du contrat conclu entre Lockerful et le club ; pour les images, consentement recueilli par le club auprès des personnes filmées.

4.2 Pour notre propre compte (responsable de traitement)

• assurer la sécurité de la plateforme, prévenir et détecter les fraudes ou les abus ;
• gérer la relation commerciale avec le club (facturation, support, suivi de compte) ;
• réaliser des statistiques d'usage agrégées et anonymisées afin d'améliorer la plateforme ;
• vous adresser des communications strictement nécessaires au service (notifications de sécurité, mises à jour majeures, factures) ;
• vous adresser des communications commerciales sur nos produits et services, dans le respect de la réglementation applicable et de vos préférences.

Bases légales : exécution du contrat ; intérêt légitime de Lockerful (sécurité, amélioration du service) ; obligations légales (facturation, comptabilité) ; consentement (prospection commerciale lorsque requis).

4 bis. Module — Modération automatisée des logos

Lorsque tu téléverses un logo sur la Plateforme (logo de Club ou logo de Sponsor), Lockerful fait passer ton fichier par un dispositif de modération automatisée par intelligence artificielle, fourni par Google Cloud Vision (SafeSearch), avant de l'accepter.

Ce qui est analysé : exclusivement le contenu visuel du fichier que tu téléverses. Le système classe l'image selon cinq catégories de risque (contenu adulte, violent, suggestif, médical, image trafiquée). Aucune donnée te concernant n'est croisée ; il n'y a pas de profilage au sens de l'article 4.4 RGPD.

Décision : si le système détecte un contenu adulte, violent ou suggestif au-delà d'un seuil défini, le logo est refusé. Pour toute autre image, le logo est accepté. La décision est prise sans intervention humaine au moment du téléversement.

Ce qui est journalisé : pour chaque évaluation (acceptation, refus ou erreur technique), Lockerful enregistre un événement contenant l'horodatage, l'URI du fichier, la décision, les scores bruts retournés par Cloud Vision, l'identifiant de l'utilisateur ayant téléversé et l'identifiant de l'organisation.

Durée de conservation :

• événement de refus : 24 mois ;
• événement d'acceptation ou d'erreur technique : 12 mois.

Tes droits : même si Lockerful considère que cette décision n'entre pas strictement dans le champ de l'article 22 RGPD (le refus d'un fichier précis ne produit pas d'effet juridique et n'affecte pas significativement ta situation, tu peux soumettre un autre fichier sans délai), Lockerful applique volontairement les garanties suivantes :

• tu es informé qu'une IA a pris la décision (mention dans le message de refus) ;
• tu peux demander une revue humaine en écrivant à support@lockerful.com ; Lockerful te répond dans un délai de 5 jours ouvrés ;
• tu peux demander une explication sur la catégorie ayant déclenché le refus ;
• tu peux t'opposer au traitement, étant entendu que cela revient à renoncer au téléversement de logo.

Bases légales : exécution du contrat (article 6.1.b RGPD) — la modération est nécessaire pour que la Plateforme puisse diffuser des logos compatibles avec son public (incluant des mineurs) — et intérêt légitime de Lockerful (article 6.1.f RGPD) à protéger l'intégrité de la Plateforme.

Qualification AI Act : système d'IA à risque limité au sens du Règlement (UE) 2024/1689, soumis aux obligations de transparence de l'article 50, non soumis à enregistrement dans la base européenne (Annexe III non applicable).

Le détail complet du dispositif (matrice de seuils, journalisation, voies de recours) figure dans la Politique de Modération Automatisée des Images (07_Politique_Moderation_BE_FR.md).

4 ter. Module — Attestation préalable à la publication

Lorsqu'un Utilisateur d'un Club déclenche la publication d'un Contenu (publication immédiate, programmation, partage public, export), la Plateforme affiche une modale qui rappelle au Club ses obligations relatives au droit à l'image et lui demande de confirmer explicitement que les consentements applicables couvrent la diffusion projetée.

Pourquoi : le consentement à l'image est recueilli par le Club au moment de la captation, mais chaque diffusion est une opération distincte. Le rappel récurrent matérialise la diligence du Club et constitue, en cas de réclamation ultérieure d'une personne filmée, une preuve que la Plateforme a alerté le Club et a recueilli son instruction documentée.

Variantes : la modale demande une, deux ou trois confirmations selon le contexte :

• Standard : confirmation que les consentements à l'image ont été recueillis pour cette publication.
• Sponsorisé : confirmation supplémentaire que ces consentements couvrent l'usage commercial associé à un sponsor (cf. formulaire de consentement, section « Usage commercial / sponsoring »).
• Mineurs : confirmation supplémentaire que les représentants légaux ont signé (les deux en cas d'autorité parentale conjointe).

Ce qui est journalisé : pour chaque attestation valide, Lockerful enregistre un événement contenant l'horodatage, l'identifiant Utilisateur, l'identifiant du Club, l'identifiant du Contenu, l'identifiant du partenariat sponsoring le cas échéant, la liste des réseaux ciblés, les cases cochées, la version du libellé affiché et la version des CGU acceptée.

Qualification juridique : l'attestation vaut instruction documentée au sens de l'article 28.3.a du RGPD, donnée par le Club (responsable de traitement) à Lockerful (sous-traitant) pour procéder à la publication. Elle ne remplace pas le consentement des personnes filmées — elle constate la déclaration du Club selon laquelle ce consentement existe.

Durée de conservation :

• attestation d'une publication standard : 5 ans ;
• attestation d'une publication sponsorisée : 10 ans (alignée sur la durée de conservation des pièces comptables) ;
• attestation d'une publication impliquant des mineurs : 5 ans à compter de la majorité du mineur le plus jeune identifié, à défaut 5 ans à compter de la publication.

Le détail complet du dispositif (variantes, libellés, schéma du journal, voies de recours) figure dans la Politique d'attestation à la publication (08_Attestation_Publication.md).

4 quater. Module — Contribution à l'amélioration de la bibliothèque de templates

Lockerful conserve, pour chaque publication habillée d'un sponsor, les choix d'habillage — l'identifiant du template Lottie retenu, la position du sponsor (intro, watermark, outro, badge), le nombre de sponsors présents, le sport et la catégorie d'événement, la couleur d'accent du sponsor ramenée à l'une des seize couleurs d'une palette standard, et la performance agrégée par template (vues, likes, commentaires) une fois la publication mise en ligne.

Ces informations ne contiennent ni image, ni voix, ni nom, ni numéro de téléphone, ni adresse, ni aucune autre donnée permettant d'identifier directement une personne. Le nom du club est remplacé par une empreinte cryptographique salée renouvelée chaque année. Aucun texte libre (titre d'événement, slogan personnalisé) n'est conservé ; seules les catégories structurées en sont extraites.

Information à la première utilisation : un message court te rappelle, au premier lancement de l'application, ce qui est collecté et comment t'y opposer (cf. écran de notice première utilisation) :

Pour améliorer la qualité de notre bibliothèque de templates et mesurer l'efficacité de tes sponsors, nous conservons les choix d'habillage que ton club fait (sans aucune image, ni voix, ni texte libre), pendant 5 ans, sous forme anonymisée. Tu peux t'y opposer à tout moment depuis les paramètres ou en écrivant à privacy@lockerful.com. Nous ne revendons jamais ces données.

Garanties

• Traitement strictement dans l'Union européenne. Tout le pipeline (collecte, anonymisation, agrégation) tourne en région europe-west1 (Belgique). Aucun secours hors UE n'est admis, même sous DPF.
• Aucune revente des données collectées, sous aucune forme.
• Aucun partage avec un sous-traitant pour son propre compte.
• Aucun usage pour des modèles fondationnels généralistes ou pour des finalités hors sport amateur ; pas d'entraînement de modèle d'analyse vidéo, pas de génération automatique de séquences narratives.

Le test de mise en balance de l'intérêt légitime applicable à ce traitement est tenu à ta disposition par le DPO (dpo@lockerful.com).

4 quinquies. Module — Intégration TikTok Display API

Lorsqu'un club connecte son compte TikTok à Lockerful via OAuth, nous utilisons exclusivement le Display API de TikTok pour identifier les publications du club qui correspondent à des vidéos produites avec Lockerful, et mesurer leurs statistiques publiques d'engagement (vues, likes, commentaires, partages).

TikTok n'autorise pas la publication automatisée depuis un service tiers : le club télécharge la vidéo habillée et la publie lui-même depuis l'application TikTok officielle. Lockerful détecte ensuite la publication a posteriori en comparant la vignette publique (champ cover_image_url retourné par le Display API) avec les vignettes de nos propres productions, via une empreinte perceptuelle d'image (pHash + dHash) calculée sans audio, sans téléchargement de la vidéo TikTok.

Garanties spécifiques au module TikTok

• Conformité TikTok Developer Terms of Service §3.3 : aucun téléchargement, scraping ou extraction du contenu vidéo servi par TikTok. Le module lit uniquement les champs publics documentés du Display API.
• Jetons OAuth chiffrés au repos dans Google Secret Manager (un secret par compte connecté), jamais en base Firestore.
• Aucune redistribution des données TikTok à des tiers ; l'agrégation par sponsor reste interne au tableau de bord du club et du sponsor concernés.

4 sexies. Module — Intégration YouTube Data API (Google)

Lorsqu'un club connecte sa chaîne YouTube à Lockerful via l'authentification Google OAuth, nous utilisons l'API YouTube Data API v3 pour deux opérations, toutes deux déclenchées par une action explicite de l'administrateur du club : (i) publier sur la propre chaîne YouTube du club les vidéos courtes qu'il a produites et habillées avec Lockerful ; (ii) lister les chaînes que le compte Google connecté peut gérer et lire les statistiques publiques des vidéos publiées (vues, likes, commentaires) pour les rapports sponsor.

Lockerful n'agit que sur la chaîne que le club possède et a connectée lui-même ; nous ne touchons à aucune chaîne tierce, et aucune publication n'est effectuée sans action explicite de l'administrateur.

Garanties spécifiques au module YouTube / Google

• Conformité « Limited Use » (Google API Services User Data Policy) : l'usage par Lockerful des informations reçues des API Google — y compris l'API YouTube — est conforme à la Google API Services User Data Policy, dont les exigences Limited Use. Les données reçues ne servent qu'à fournir et améliorer les fonctionnalités visibles par l'utilisateur (publication sur la chaîne du club et mesure d'impact), ne sont pas transférées à des tiers sauf nécessité de fourniture du service, obligation légale ou consentement explicite, ne sont pas utilisées à des fins publicitaires, et ne sont pas lues par des humains sauf consentement explicite, finalités de sécurité, ou obligation légale.
• Conformité YouTube API Services : en utilisant ce module, le club est lié par les YouTube Terms of Service. La présente Politique doit être lue conjointement avec la Politique de confidentialité de Google.
• Jetons OAuth chiffrés au repos dans Google Secret Manager (un secret par chaîne connectée), jamais en base Firestore.
• Aucune redistribution des données YouTube à des tiers ; l'agrégation par sponsor reste interne aux tableaux de bord du club et du sponsor concernés.

5. Combien de temps conservons-nous vos données ?

À l'expiration de ces durées, les données sont supprimées ou anonymisées.

6. À qui vos données sont-elles transmises ?

6.1 Au sein de Lockerful

Les données sont accessibles uniquement aux collaborateurs habilités, dans la limite stricte de leurs missions, et soumis à une obligation de confidentialité.

6.2 À nos sous-traitants techniques

Pour fournir le service, nous faisons appel à des prestataires techniques (hébergeur, prestataire de paiement, outil de support, etc.). La liste à jour figure dans l'Annexe 2 du DPA disponible auprès de votre club ou sur demande.

Tous nos sous-traitants sont situés dans l'Union européenne ou bénéficient de garanties appropriées au sens du RGPD (clauses contractuelles types, décision d'adéquation).

6.3 Aux plateformes de diffusion

Lorsque votre club décide de publier un contenu sur Instagram, TikTok, YouTube, Facebook, etc., le contenu est transmis à la plateforme concernée, qui devient à son tour responsable du traitement selon ses propres conditions.

6.4 Aux autorités compétentes

Sur réquisition légale d'une autorité administrative ou judiciaire compétente.

6.5 Cession ou restructuration

En cas d'opération de cession, fusion ou restructuration, vos données peuvent être transférées à l'entité acquéreuse, sous réserve qu'elle s'engage au même niveau de protection.

Vos données ne sont jamais vendues à des tiers à des fins commerciales.

7. Où sont stockées vos données ?

Vos données sont hébergées dans des centres de données situés au sein de l'Union européenne.

En cas de transfert exceptionnel hors UE (par exemple via certains outils tiers), des garanties appropriées sont mises en place : décision d'adéquation, clauses contractuelles types adoptées par la Commission européenne, ou autre mécanisme prévu par le RGPD.

8. Quels sont vos droits ?

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (article 15) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie.
• Droit de rectification (article 16) : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (article 17, « droit à l'oubli ») : faire supprimer vos données, dans les cas prévus par le RGPD.
• Droit à la limitation du traitement (article 18).
• Droit à la portabilité (article 20) : recevoir vos données dans un format structuré et les transmettre à un autre responsable.
• Droit d'opposition (article 21) : vous opposer, pour des motifs tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime ; opposition absolue à la prospection commerciale.
• Droit de retrait du consentement : à tout moment, sans avoir à motiver, sans que ce retrait remette en cause la licéité du traitement antérieur.
• Droit de définir des directives sur le sort de vos données après votre décès.

8.1 Comment exercer vos droits ?

Pour les images vous concernant dans les vidéos d'un club : adressez votre demande directement au club, qui est responsable du traitement.

Pour les données traitées par Lockerful en tant que responsable (compte, facturation, prospection) : écrivez-nous à dpo@lockerful.com ou par courrier à FOSS4EU BV — Bogemansstraat, 1780 Wemmel, Belgique.

Nous traiterons votre demande dans un délai maximum d'un mois, prolongeable de deux mois en cas de complexité (vous en serez informé).

Pour vérifier votre identité, nous pouvons vous demander une preuve d'identité, dans la stricte mesure nécessaire.

8.2 Délai de dépublication

En cas de demande de retrait d'une vidéo vous concernant, transmise via votre club, nous nous engageons à dépublier le contenu de nos canaux dans un délai maximum de 72 heures ouvrées.

Pour les contenus déjà republiés par des tiers (par exemple sur les comptes personnels de supporters), la suppression échappe à notre contrôle technique. Nous vous fournirons toute information utile pour effectuer vos propres demandes auprès des plateformes concernées.

8.3 Réclamation auprès d'une autorité de contrôle

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente :

• France : Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr
• Belgique : Autorité de Protection des Données (APD-GBA) — www.autoriteprotectiondonnees.be
• Luxembourg : Commission nationale pour la protection des données (CNPD) — www.cnpd.lu
• Suisse : Préposé fédéral à la protection des données (PFPDT) — www.edoeb.admin.ch
• ou auprès de l'autorité de votre pays de résidence.

9. Cookies et traceurs

Le site et la plateforme Lockerful utilisent des cookies et traceurs. Une bannière s'affiche à votre première visite et vous permet d'accepter, refuser ou personnaliser vos choix de manière granulaire. Vous pouvez modifier ou retirer votre consentement à tout moment via le lien « Gérer les cookies » présent en pied de page.

Tant qu'un choix n'a pas été exprimé, aucun traceur non strictement nécessaire n'est activé.

9.1 Cookies strictement nécessaires (toujours actifs)

• Authentification : cookie de session HttpOnly (lockerful_session), durée 5 jours, requis pour vous reconnaître après votre connexion.
• Sécurité et équilibrage de charge : cookies techniques posés par Google Cloud Run.
• Mémorisation de vos choix de consentement : enregistrés dans le localStorage de votre navigateur (durée 6 mois, conformément à la doctrine CNIL).

Ces traceurs reposent sur l'intérêt légitime de Lockerful à fournir le service ; ils ne nécessitent pas de consentement préalable (article 82 LIL / e-Privacy).

9.2 Mesure d'audience produit (avec consentement)

Pour comprendre comment notre application est utilisée et améliorer le parcours utilisateur, nous utilisons PostHog (PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA) en formule PostHog Cloud EU, dont les données sont hébergées exclusivement à Francfort, Allemagne (centre de données AWS eu-central-1).

Vous pouvez à tout moment retirer votre consentement via le lien « Gérer les cookies » en pied de page. Le retrait prend effet immédiatement : le SDK PostHog cesse d'envoyer des événements et l'identifiant local est réinitialisé.

9.3 Personnalisation et prospection

Aucun traceur de cette catégorie n'est actuellement déposé. Si nous en activions un à l'avenir, il ne le serait qu'avec votre consentement explicite et préalable, et la présente politique serait mise à jour en conséquence.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement en transit et au repos, authentification forte des administrateurs, journalisation, sauvegardes, segmentation réseau, sensibilisation des équipes, tests de sécurité réguliers.

Aucun système n'étant infaillible, nous nous engageons à vous notifier toute violation de données dans les délais prévus par le RGPD.

11. Modifications de la présente Politique

La présente Politique peut être modifiée pour tenir compte des évolutions réglementaires, jurisprudentielles, ou de notre offre. Les modifications substantielles vous sont notifiées par email ou via la plateforme. La date de dernière mise à jour figure ci-dessous.

12. Contact

Pour toute question relative à la présente Politique ou à vos données :

• Email : dpo@lockerful.com
• Adresse postale : FOSS4EU BV — Bogemansstraat, 1780 Wemmel, Belgique

Politique de Confidentialité — version 0.7 — 16 mai 2026 Dernière mise à jour : 2026-05-16 Document de travail — à soumettre pour relecture à un avocat spécialisé avant mise en production.