Boxly

Politique de confidentialité

Dernière mise à jour : 26 octobre 2026 · Italiano · English

Boxly est une appli pour réserver les cours de sa salle et un espace de gestion avec lequel les salles gèrent leurs horaires, leurs membres et leurs abonnements. Nous expliquons ici quelles données nous traitons, pourquoi, qui les voit, combien de temps et quels sont vos droits. Les conditions d'utilisation régissent quant à elles l'usage de l'appli.

Qui traite vos données

• Votre compte Boxly (email, mot de passe, nom, téléphone et photo si vous les renseignez, langue, appareils pour les notifications) : le responsable du traitement est Boxly, service de Tommaso Rosso, joignable à [email protected]. Les coordonnées complètes du responsable sont disponibles sur demande à la même adresse.
• Les données de votre inscription à une salle (abonnements, entrées, cotisations, paiements enregistrés, réservations, présences, certificat médical, messages) : le responsable du traitement est la salle à laquelle vous vous inscrivez. Boxly les traite pour son compte en tant que sous-traitant, sur la base d'un accord conforme à l'art. 28 du RGPD, uniquement pour faire fonctionner le service. Pour ces données, vous pouvez aussi vous adresser directement à la salle, qui vous fournit sa propre politique de confidentialité.

Quelles données

• Compte : prénom, nom, email, mot de passe (enregistré uniquement sous forme de hash, illisible), téléphone et photo de profil si vous les renseignez, langue préférée.
• Salle : salles auxquelles vous êtes inscrit et rôle, abonnements et entrées, cotisation annuelle, paiements enregistrés par la salle, réservations, liste d'attente, présences et absences, messages de la salle, notes rédigées par l'équipe.
• Certificat médical : dates de délivrance et d'expiration, type et, si vous l'envoyez, le fichier (PDF ou image). Il s'agit d'une donnée concernant la santé (art. 9 du RGPD).
• Événements et compétitions : si vous vous inscrivez à un événement publié par une salle (page boxly.run/events/…) : email, prénom, nom, téléphone, catégorie, nom et membres de l'équipe (prénom, nom, date de naissance, sexe, code fiscal italien, taille et email si vous les renseignez), documents demandés par l'organisateur (certificat médical ou attestation sur l'honneur, décharge, autorisation d'un parent, pièce d'identité, reçu), consentements donnés avec la date, la version du texte et l'adresse IP, scores et classement, code de check-in. Le compte de l'événement est distinct du compte Boxly, même si vous vous connectez « avec Boxly » : dans ce cas, nous copions vos prénom, nom, email et téléphone dans le formulaire et vous les confirmez.
• Abonnement de la salle à Boxly (uniquement le gérant qui paie) : raison sociale, adresse de facturation, numéro de TVA, code SDI ou PEC, email, historique des prélèvements et état de l'abonnement. Vous saisissez les données de votre carte directement sur Stripe : elles ne parviennent jamais à Boxly.
• Données techniques : identifiant de l'appareil pour les notifications push (si vous les activez), sessions actives (avec le type d'appareil ou de navigateur), adresse IP et journaux de sécurité (connexions, tentatives échouées, erreurs), actions de l'équipe dans l'espace de gestion.

Nous n'utilisons pas de publicité, nous ne suivons pas votre activité sur d'autres applis ou sites, nous n'utilisons pas d'outils d'analyse tiers, nous ne faisons pas de profilage et nous ne vendons de données à personne. Les polices de caractères du site et des applis sont intégrées au logiciel : elles ne sont pas téléchargées depuis des serveurs externes.

Pourquoi et sur quelle base

• Créer et gérer votre compte et vous permettre de réserver : exécution du service que vous avez demandé (art. 6.1.b).
• Gérer l'inscription, les abonnements, les cotisations et les présences pour le compte de la salle : exécution du contrat entre vous et la salle (art. 6.1.b), selon ses instructions.
• Certificat médical : la salle le demande pour ses propres obligations en matière d'activité sportive ou pour son règlement intérieur. Boxly le conserve et le montre à l'équipe autorisée pour le compte de la salle sur la base de votre consentement explicite (art. 9.2.a), que l'appli vous demande lors de l'envoi et enregistre avec la date et la version du texte. Vous pouvez le retirer à tout moment en supprimant depuis l'appli le certificat pas encore vérifié, en demandant à la salle de le supprimer ou en supprimant votre compte ; sans certificat valide, la salle pourrait ne pas vous laisser réserver.
• Événements et compétitions : le responsable du traitement des données d'inscription est la salle organisatrice ; Boxly les traite pour son compte (art. 28 du RGPD) pour gérer l'inscription, les documents, le check-in et le classement : exécution du contrat entre vous et l'organisateur (art. 6.1.b). Le certificat médical ou l'attestation d'aptitude sont des données de santé : nous les traitons sur la base de votre consentement explicite (art. 9.2.a), demandé lors de l'inscription et enregistré ; la personne qui inscrit une équipe déclare disposer du consentement de ses membres et, si elle saisit leur email, ceux-ci reçoivent un avertissement. Photos et vidéos de l'événement : consentement facultatif. Les classements et la liste des inscrits ne sont visibles que si l'organisateur les active, dans le format qu'il choisit (nom complet, équipe ou initiales) ; les mineurs apparaissent toujours de façon anonyme sur les pages publiques et toute personne qui le demande peut ne pas y figurer.
• Notifications (rappels, place libérée sur la liste d'attente, cours annulés, messages de la salle) : fonctionnement du service ; vous pouvez les désactiver dans les réglages de l'appli ou du téléphone.
• Sécurité du service et prévention des abus (limitation des tentatives de connexion, journaux, contrôle des actions de l'équipe) : intérêt légitime (art. 6.1.f).

Qui voit vos données

• L'équipe de votre salle, selon son rôle : le gérant, les admins et l'accueil voient vos données d'inscription, les notes et le certificat médical (fichier compris) et le vérifient ; le coach voit votre nom, votre email, vos réservations et vos présences et, pour le certificat, uniquement s'il est valide.
• Les autres membres de la même salle voient votre prénom, l'initiale de votre nom et votre photo de profil parmi les participants aux cours, mais uniquement si vous activez « Me montrer aux autres membres » dans votre profil ; pour les nouveaux comptes, l'option est désactivée et vous apparaissez comme « Athlète ». Le nom des coachs est affiché aux membres dans les cours.
• Boxly : les personnes qui gèrent la plateforme ne peuvent accéder aux données d'une salle que pour l'assistance, la maintenance ou la sécurité, de manière tracée et dans les limites de l'accord avec la salle.
• Prestataires techniques, uniquement dans la mesure nécessaire (voir ci-dessous).

Prestataires et transferts hors de l'Union européenne

Les serveurs et les sauvegardes se trouvent dans l'Union européenne (Hetzner Online GmbH, Allemagne). Nous utilisons également : Cloudflare, Inc. pour le réseau, la protection et les certificats du site et de l'API ; Firebase Cloud Messaging de Google et l'Apple Push Notification service pour acheminer les notifications push ; Resend, Inc. pour envoyer les emails de service ; Stripe Payments Europe, Ltd. (Irlande) pour encaisser l'abonnement des salles, qui reçoit les données de facturation du gérant et les données de la carte selon sa propre politique de confidentialité. Cloudflare, Google, Apple et Resend ont leur siège ou des serveurs aux États-Unis : le transfert s'effectue vers des prestataires adhérant à l'EU-US Data Privacy Framework ou sur la base des clauses contractuelles types de la Commission européenne, et ne concerne que les données techniques nécessaires (adresse IP et trafic chiffré pour Cloudflare, jeton de l'appareil et texte des notifications pour Google et Apple, adresse email et texte de l'email pour Resend). Le certificat médical ne quitte pas les serveurs situés dans l'Union européenne.

Notifications push

Lorsque vous activez les notifications, le téléphone génère un identifiant de l'appareil (jeton) que nous enregistrons sur nos serveurs ; Google et Apple l'utilisent uniquement pour acheminer les notifications. Le jeton est une donnée pseudonyme : seul, il n'identifie pas une personne, mais il est lié à votre compte sur nos serveurs. Le texte des notifications (par exemple le nom et l'horaire du cours) transite par les serveurs de Google et d'Apple ; pour le certificat médical, la notification d'expiration indique seulement qu'un document va expirer, sans le nommer ni indiquer la salle. Nous n'utilisons pas Firebase pour l'analyse, le profilage ou la publicité. Le jeton est supprimé lorsque vous vous déconnectez, utilisez « Se déconnecter de tous les appareils » ou désinstallez l'appli.

Cookies et stockage local

Le site n'utilise pas de cookies de suivi ni d'analyse ; Cloudflare peut déposer des cookies techniques nécessaires à la sécurité. L'appli et l'espace de gestion enregistrent sur l'appareil ou dans le navigateur les jetons de session, la salle sélectionnée et la langue, dans la mémoire protégée du système (Keychain, Keystore ou stockage chiffré du navigateur) ; ils sont supprimés à la déconnexion. Rien de tout cela ne sert à vous suivre.

Combien de temps

• Compte : tant qu'il est actif. Lorsque vous le supprimez depuis l'appli, les données personnelles sont effacées immédiatement et les copies de sauvegarde sous 30 jours ; la salle conserve, sans votre nom, les paiements et les présences qu'elle doit garder en vertu de la loi.
• Certificat médical : l'enregistrement et le fichier sont supprimés automatiquement 12 mois après l'expiration du certificat, ou plus tôt si vous le supprimez, si la salle le supprime ou si vous supprimez votre compte.
• Événements et compétitions : les documents envoyés (certificat médical compris) sont supprimés automatiquement après la fin de l'événement, dans le délai choisi par l'organisateur, en général 30 jours et au maximum 90 (il peut aussi les supprimer plus tôt) ; le compte, les données d'inscription et les scores sont supprimés automatiquement 180 jours après la fin de l'événement (l'organisateur peut choisir entre 30 jours et 2 ans ; la suppression automatique ne peut pas être désactivée), avec un avertissement par email 7 jours avant. Les copies de sauvegarde sont écrasées sous 7 jours. Vous pouvez supprimer votre compte d'événement, ou en télécharger les données, à tout moment depuis la page de l'événement.
• Données d'inscription : elles suivent les instructions de la salle et sont dans tous les cas effacées dans les 30 jours suivant la fin du service Boxly pour cette salle.
• Journaux techniques (notifications, événements, actions de l'équipe, sécurité) : 12 mois au maximum. Les sessions expirent après 30 jours d'inactivité.

Comment nous protégeons les données

Connexions chiffrées (TLS), mots de passe enregistrés avec un hash argon2id, accès à l'espace de gestion selon le rôle avec le certificat réservé au gérant, aux admins et à l'accueil, limitation des tentatives de connexion, enregistrement des actions de l'équipe, fichiers envoyés contrôlés et servis uniquement aux personnes autorisées, sauvegardes quotidiennes chiffrées, serveurs dans l'Union européenne.

Vos droits

Vous pouvez demander l'accès, la rectification, l'effacement, la limitation et la portabilité de vos données, et vous opposer au traitement. Vous pouvez faire beaucoup de choses vous-même dans l'appli : depuis votre profil, vous pouvez modifier vos données, télécharger toutes vos données au format JSON (« Télécharger mes données »), retirer votre consentement sur le certificat, changer de mot de passe, vous déconnecter de tous les appareils et supprimer votre compte. Pour le reste, écrivez à [email protected] : nous répondons sous 30 jours. Pour les données de votre inscription, vous pouvez aussi vous adresser à la salle. Si vous estimez que vos données sont traitées de manière incorrecte, vous pouvez introduire une réclamation auprès de votre autorité de contrôle (en France, la CNIL, cnil.fr ; en Italie, le Garante per la protezione dei dati personali, garanteprivacy.it).

Mineurs

Il faut avoir au moins 14 ans pour créer un compte ; en dessous de 14 ans, le compte doit être créé et géré par un parent ou, avec son consentement, par la salle. Pour les événements, l'inscription d'un mineur est faite par un parent ou la personne qui en a la responsabilité (ou par le capitaine de l'équipe avec leur consentement) et l'organisateur peut demander l'autorisation écrite d'un parent ; sur les pages publiques de l'événement, les mineurs apparaissent sans leur nom.

Modifications

Si nous modifions cette politique, nous mettons à jour la date en haut de page et, pour les changements importants, nous vous le signalons dans l'appli.