Politique de Confidentialité

Westiti accorde une importance essentielle à la protection des données personnelles et au respect de la vie privée de ses utilisateurs. La présente Politique de Confidentialité a pour objet de vous informer, de manière claire et transparente, sur les données que nous collectons, les finalités et les bases légales de leurs traitements, leurs durées de conservation, leurs destinataires, ainsi que sur les droits dont vous disposez. Elle s'applique au site www.westiti.app et à l'application mobile Westiti (ci-après, ensemble, l'« Application » ou le « Service ») et s'inscrit dans le respect du Règlement (UE) 2016/679 (le « RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée (la « Loi Informatique et Libertés »).

1. Responsable du traitement

L'Application Westiti est éditée par Westiti SAS, société par actions simplifiée au capital de 15 000 €, immatriculée au RCS de Nanterre sous le numéro 989 879 739, dont le siège social est situé 32 rue de Paris, 92100 Boulogne-Billancourt (ci-après « Westiti »).

Lorsqu’elle traite des données personnelles dans le cadre du Service, Westiti agit en qualité de responsable du traitement.

2 .Données que nous collectons

Selon votre profil et votre utilisation du Service, les catégories de données suivantes sont susceptibles d'être collectées :

2.1 Sportifs et visiteurs

• Données d'identification : nom, prénom, adresse e-mail ;

• Données liées à l'événement : nom de l'événement, numéro de dossard le cas échéant, date de naissance lorsqu'elle est demandée pour affiner la recherche ;

• Historique d'achats et de téléchargements de photographies ;

• Le cas échéant, selfie et gabarit biométrique, lorsque le sportif ou participant active la fonctionnalité de reconnaissance faciale (voir article 4).

2.2 Photographes

• Données d'identification et de compte (identifiants et données de connexion) ;

• Coordonnées de contact ;

• Coordonnées bancaires (RIB/IBAN).

2.3 Données techniques et de navigation

• Adresse IP, type de navigateur, système d'exploitation, données de connexion et journaux techniques ;

• Données de mesure d'audience et statistiques d'utilisation, collectées via cookies et traceurs.

2.4 Origine des données

A l’exception des données techniques et de navigation, les données sont principalement collectées directement auprès de vous. 

Les photographies mises à disposition sur l'Application sont transmises à Westiti par les photographes et les organisateurs d'événements qui garantissent disposer des autorisations nécessaires à leur captation.

3. Finalités et bases légales des traitements

Conformément à l'article 6 du RGPD, chaque traitement mis en œuvre par Westiti repose sur une base légale déterminée :

4. Identification des sportifs ou participants sur les photographies

Westiti met à disposition plusieurs méthodes permettant à un sportif ou participant de retrouver les photographies sur lesquelles il figure. Lorsqu’il utilise le Service, le sportif ou participant choisit librement la méthode qu'il souhaite utiliser.

4.1 Recherche par numéro de dossard (méthode par défaut)

Par défaut, l'identification des photographies repose exclusivement sur la lecture automatisée du numéro de dossard porté par le sportif. Cette méthode ne met en œuvre aucun traitement de données biométriques et reste pleinement accessible et fonctionnelle, sans recours à la reconnaissance faciale.

4.2 Reconnaissance faciale et recherche par selfie (fonctionnalité optionnelle)

Westiti propose, à titre strictement optionnel, une fonctionnalité de reconnaissance faciale permettant au sportif de retrouver plus facilement ses clichés, notamment en complément de la recherche par dossard et au moyen de l'envoi d'un selfie.

Données biométriques et base légale. La reconnaissance faciale repose sur le traitement de données biométriques, qualifiées de données sensibles au titre de l'article 9 du RGPD. Ce traitement est mis en œuvre sur le seul fondement du consentement explicite du sportif, recueilli exclusivement sur l’Application Westiti, au moment précis où le sportif déclenche la recherche par reconnaissance faciale — et non lors de son inscription à l’évènement —, par une action positive, distincte de toute autre acceptation, de manière libre, éclairée et univoque. Ce consentement peut être retiré à tout moment, sans que ce retrait ne remette en cause la licéité du traitement effectué avant celui-ci.

Caractère libre du consentement. L'activation de la reconnaissance faciale n'est jamais une condition d'accès au Service et la recherche par numéro de dossard demeure entièrement disponible par défaut. Le sportif peut donc utiliser le Service sans recourir à la reconnaissance faciale ni transmettre de selfie.

Périmètre du traitement. Le gabarit biométrique du sportif demandeur n'est généré qu'à sa propre initiative, après communication, par lui, d’une photographie de type « selfie » et de son consentement exprès. Conformément au principe de minimisation, la recherche s'effectue uniquement sur les photographies de l'évènement pour lesquelles aucun numéro de dossard n'a pu être lu automatiquement. Avant toute comparaison biométrique, sont exclus de la recherche : les visages déjà identifiés sur une photographie par un numéro de dossard différent de celui du demandeur, les visages dont la taille ou la netteté sont insuffisantes (ce qui exclut notamment, de manière incidente, les personnes présentes en arrière-plan) et les personnes mineures apparentes (voir ci-dessous). La reconnaissance faciale est utilisée uniquement en interne, dans le cadre de l'événement concerné, afin de regrouper les clichés d'un même sportif et de faciliter la recherche.

Selfie. Le selfie transmis par le sportif est utilisé pour générer le gabarit et rechercher ses photographies prises durant un évènement sportif déterminé. Il est supprimé en principe immédiatement après confirmation des résultats de la recherche par l’utilisateur et, au plus tard, dans un délai de trente (30) jours à compter de sa transmission, ou dès le retrait du consentement du sportif si celui-ci intervient avant. À l'issue de cette durée, il est supprimé automatiquement et définitivement.

Conservation du gabarit biométrique. Le gabarit biométrique est conservé pendant une durée de quarante-huit (48) heures à compter de la confirmation des résultats de la recherche par l’utilisateur, ou jusqu'au retrait du consentement du sportif si celui-ci intervient avant. À l'issue de cette durée, il est supprimé automatiquement et définitivement, sans réutilisation possible d'un évènement à l'autre.

Analyse d'impact et sous-traitance. Préalablement à la mise en œuvre de cette fonctionnalité, Westiti a réalisé une analyse d'impact relative à la protection des données (AIPD, art. 35 RGPD). 

La brique technique de reconnaissance faciale est fournie par Microsoft (service Azure AI), agissant en qualité de sous-traitant encadré par un contrat conforme à l'article 28 du RGPD. Les données sont hébergées sur des serveurs situés en France.

4.3 Sportifs mineurs

La fonctionnalité de reconnaissance faciale est réservée aux sportifs majeurs. Son activation n'est pas ouverte aux personnes âgées de moins de dix-huit (18) ans. Les sportifs mineurs conservent un accès plein et entier au Service (sous réserve d’une autorisation parentale) via la recherche par numéro de dossard, qui ne met en œuvre aucun traitement de données biométriques. Par ailleurs, afin de limiter l’exposition des personnes mineures au traitement algorithmique, les visages dont l’âge apparent est estimé comme mineur sont, avant toute création de gabarit, exclus de la comparaison biométrique, qu’ils figurent sur la photographie du sportif demandeur ou sur les autres photographies soumises à comparaison.

5. Durées de conservation

Les données ne sont conservées que pendant la durée strictement nécessaire aux finalités décrites ci-dessus :

6. Destinataires et sous-traitants

Les données ne sont jamais vendues à des tiers. Elles peuvent uniquement être communiquées à :

• Des prestataires techniques agissant pour le compte de Westiti (hébergement, prestataire de paiement, prestataire de reconnaissance faciale, outil de mesure d'audience), encadrés par des engagements contractuels de confidentialité et de sécurité conformes au RGPD ;

• aux autorités compétentes, en cas d'obligation légale ou de demande régulière.

7. Transferts de données hors de l'Union européenne

Certains des sous-traitants auxquels Westiti a recours sont établis en dehors de l'Union européenne. Dans cette hypothèse, les transferts de données correspondants sont encadrés par les garanties appropriées prévues aux articles 44 à 49 du RGPD, à savoir, selon le sous-traitant concerné, une décision d'adéquation de la Commission européenne, la certification du destinataire au titre du EU-US Data Privacy Framework, ou la conclusion des clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant de mesures supplémentaires.

Vous pouvez obtenir une copie des garanties mises en œuvre ou des informations sur leur disponibilité en écrivant à privacy@westiti.app.

8. Sécurité des données

Westiti met en œuvre les mesures techniques et organisationnelles conformes à l'état de l'art afin de protéger les données contre la perte, l'altération, la divulgation ou l'accès non autorisé, notamment :

• le chiffrement des transmissions de données (protocole TLS/SSL) ;

• l'hébergement sur des serveurs sécurisés situés au sein de l'Union européenne ;

• la restriction de l'accès aux données personnelles aux seules personnes habilitées.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, Westiti procédera à la notification à la CNIL et, le cas échéant, à l'information des personnes concernées.

9. Cookies et traceurs

L'Application utilise des cookies et traceurs afin d'assurer son bon fonctionnement, de mesurer son audience et d'améliorer l'expérience utilisateur. Les traceurs non strictement nécessaires au fonctionnement du Service ne sont déposés qu'après recueil de votre consentement, conformément aux lignes directrices et à la recommandation de la CNIL.

Vous pouvez à tout moment accepter, refuser ou retirer votre consentement, et gérer vos préférences via le bandeau de consentement ou le module de gestion des cookies. Les cookies et données analytiques sont conservés au maximum 13 mois.

10. Vos droits

Conformément au RGPD et à la Loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• droit d'accès, de rectification et d'effacement ;

• droit à la limitation et droit d'opposition au traitement ;

• droit à la portabilité de vos données ;

• droit de retirer votre consentement à tout moment, pour les traitements qui en relèvent (notamment la reconnaissance faciale et les communications marketing) ;

• droit de définir des directives relatives au sort de vos données après votre décès ;

• droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Ces droits peuvent être exercés par email à l'adresse privacy@westiti.app ou par courrier adressé au siège social de Westiti. Westiti pourra vous demander de justifier de votre identité et s'efforcera de répondre dans un délai d'un (1) mois à compter de la réception de votre demande.

11. Modifications de la présente politique

Westiti se réserve le droit de modifier la présente Politique de Confidentialité afin de refléter les évolutions légales, réglementaires ou techniques du Service. La version à jour est publiée sur l'Application ; en cas de modification substantielle, les utilisateurs en seront informés par les moyens appropriés.

12. Contact

Pour toute question relative à la protection de vos données personnelles, vous pouvez écrire à :

• Email : privacy@westiti.app

• Adresse : Westiti SAS, 32 rue de Paris, 92100 Boulogne-Billancourt