Dernière mise à jour : 15 octobre 2026
BorneToRun, société par actions simplifiée au capital variable de 400 euros, immatriculée au RCS de Lyon sous le numéro 104 037 031, dont le siège social est situé 88 Bis rue du Commandant Charcot, 69005 Lyon, représentée par son Président Clément Multon, est responsable du traitement des données de ses utilisateurs (organisateurs et membres de leurs équipes), de ses prospects et de sa facturation.
Pour les données que les organisateurs importent ou collectent au moyen de la plateforme (participants, bénévoles, prestataires, partenaires), chaque organisateur est responsable de traitement et BorneToRun agit en qualité de sous-traitant, dans les conditions de l'article 10 des CGU. Les personnes concernées exercent alors leurs droits auprès de l'organisateur de l'événement ; BorneToRun lui transmet toute demande qu'elle reçoit directement.
| Catégorie | Données | Finalité |
|---|---|---|
| Compte utilisateur | Nom, prénom, email, mot de passe (hashé) | Création et gestion du compte |
| Organisation | Nom de l'organisation, plan souscrit | Gestion de l'abonnement |
| Événements | Nom, date, lieu, règlement PDF, documents | Gestion d'événement |
| Budget | Recettes, dépenses, catégories | Module Finance |
| Bénévoles | Noms, contacts, disponibilités | Module Bénévoles |
| Communication | Séquences email, campagnes | Module Communication |
| Catégorie | Données | Finalité |
|---|---|---|
| Inscription | Nom, prénom, email, course inscrite | Gestion des inscriptions |
| Statut | Paiement, justificatif médical | Suivi administratif |
| Interactions chatbot | Questions posées, réponses fournies | Assistance IA 24/7 |
Important : Pour ces données, l'organisateur est responsable de traitement et BorneToRun son sous-traitant. Il lui appartient de disposer d'une base légale pour chacune d'elles et d'en informer les personnes concernées avant de les importer sur la Plateforme.
Quand vous demandez une démo sur runpilot.fr/demo, nous recueillons votre nom, votre email, votre téléphone si vous le donnez, le nom de votre course ou de votre structure, la date de sa prochaine édition, le nombre de participants attendus et votre message. Ces données servent uniquement à vous recontacter et à préparer la démo. Base légale : les mesures précontractuelles prises à votre demande. Seuls les deux dirigeants de BorneToRun y ont accès.
Le formulaire est protégé contre les robots par Cloudflare Turnstile, qui traite des données techniques de votre navigateur pour cette seule vérification.
| Traitement | Base légale (Art. 6 RGPD) |
|---|---|
| Gestion du compte utilisateur | Exécution du contrat (Art. 6.1.b) |
| Fourniture des services | Exécution du contrat (Art. 6.1.b) |
| Traitement des paiements via Stripe | Exécution du contrat (Art. 6.1.b) |
| Envoi d'emails transactionnels | Exécution du contrat (Art. 6.1.b) |
| Chatbot IA (RAG) | Intérêt légitime (Art. 6.1.f) |
| Amélioration de la Plateforme | Intérêt légitime (Art. 6.1.f) |
| Communications marketing | Consentement (Art. 6.1.a) |
Ce tableau porte sur les traitements dont BorneToRun est responsable. Pour les données traitées pour le compte d'un organisateur, la base légale est déterminée par celui-ci.
| Sous-traitant | Service | Localisation | Garanties |
|---|---|---|---|
| Supabase (AWS) | BDD, auth, stockage | UE (Francfort) | DPA, SOC 2 Type II |
| Vercel | Hébergement du site et de l'application, mesure d'audience de l'application (Vercel Web Analytics, sans cookie) | Global (CDN), société américaine | DPA, Data Privacy Framework |
| Hetzner | VPS : N8N, Qdrant, sauvegardes | UE (Nuremberg) | ISO 27001, serveurs UE |
| OpenAI | Embeddings des documents importés par les organisateurs | USA | DPA, SCCs |
| Anthropic | IA : chatbot coureurs, assistant d'aide aux organisateurs, lecture des tickets de caisse, assistant documents | USA | DPA, SCCs |
| Brevo | Emails transactionnels et envois aux bénévoles, partenaires et prospects | UE (France) | Conforme RGPD |
| Amazon Web Services (SES, SNS) | Campagnes email aux anciens coureurs (adresse, prénom, nom, message) et retours de distribution | UE (Paris) | DPA AWS |
| Stripe | Paiements | USA | PCI DSS, DPA, SCCs |
| Cloudflare | DNS, DDoS, vérification anti-robots (Turnstile) | Global | DPA, RGPD |
| Sentry | Suivi des erreurs techniques (adresse de la page, sans identification de l'utilisateur) | UE (Allemagne) | DPA |
| Expo (650 Industries) | Notifications push et mises à jour de l'application mobile ; reçoit le titre et le texte des notifications, dont le nom de l'expéditeur | USA | Data Privacy Framework |
| Services de notification des navigateurs (Google, Apple, Mozilla) | Acheminement des notifications web aux bénévoles | Selon le navigateur | Contenu chiffré (protocole Web Push) |
| Mapbox | Cartes, itinéraires et altitudes ; reçoit des coordonnées de parcours et de postes, et l'adresse IP | USA | DPA, Data Privacy Framework, SCCs |
Transferts hors UE : Les transferts vers des prestataires établis aux États-Unis (OpenAI, Anthropic, Stripe, Vercel, Expo, Mapbox) reposent sur la décision d'adéquation du cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les prestataires certifiés, et à défaut sur les Clauses Contractuelles Types (article 46.2 du RGPD).
| Données | Durée |
|---|---|
| Compte utilisateur | Jusqu'à sa suppression par l'utilisateur. Le compte d'un membre de l'équipe d'une organisation est aussi supprimé avec elle lorsqu'il n'appartient à aucune autre organisation ; le compte d'un bénévole qui n'est pas membre de cette équipe n'est pas concerné |
| Données d'une organisation (événements, participants, bénévoles, documents) | 30 jours après la fin de la période payée, après un email d'avertissement envoyé au moins 7 jours avant |
| Organisation sur la formule gratuite (sans abonnement payé) | 12 mois après la dernière connexion de l'un de ses membres, avec le même avertissement |
| Archive de facturation (identité légale de l'organisation, crédits et sièges vendus, identifiants Stripe) | 10 ans (obligation comptable) |
| Sauvegardes de la base | 7 jours glissants : une donnée supprimée en disparaît au plus tard 7 jours après |
| Logs chatbot | 12 mois glissants |
| Données facturation | 10 ans (obligation comptable FR) |
| Cookies de session | Durée de la session |
Demandes de démo : 3 ans après notre dernier échange, conformément à la recommandation de la CNIL pour les prospects.
Conformément au RGPD (articles 15 à 22) et à la loi Informatique et Libertés, vous disposez des droits suivants :
| Droit | Description |
|---|---|
| Accès (Art. 15) | Obtenir une copie de vos données personnelles |
| Rectification (Art. 16) | Corriger des données inexactes |
| Effacement (Art. 17) | Demander la suppression de vos données |
| Limitation (Art. 18) | Limiter le traitement dans certains cas |
| Portabilité (Art. 20) | Recevoir vos données en format structuré (JSON/CSV) |
| Opposition (Art. 21) | Vous opposer au traitement (intérêt légitime) |
| Retrait du consentement | Retirer votre consentement à tout moment |
Pour exercer vos droits : contact@runpilot.fr (objet « RGPD : [Votre droit] »). Délai de réponse : 30 jours.
Réclamation : CNIL, www.cnil.fr
| Mesure | Détail |
|---|---|
| Chiffrement en transit | HTTPS/TLS (Caddy reverse proxy) |
| Chiffrement au repos | Supabase AES-256, Hetzner chiffrement disque |
| Authentification | Supabase Auth, bcrypt |
| Contrôle d'accès | Row Level Security (RLS) sur toutes les tables |
| Firewall | UFW : ports 22, 80, 443 uniquement |
| Protection webhook | Chaque événement de paiement est relu auprès de l'API Stripe avant d'être traité |
| Headers sécurité | X-Content-Type-Options, Referrer-Policy, Permissions-Policy |
| Isolation données | Chaque organisation accède uniquement à ses données (RLS) |
RunPilot utilise uniquement des cookies et un stockage local strictement nécessaires au fonctionnement du service. Aucun cookie publicitaire ni traceur tiers. L'application app.runpilot.fr mesure sa fréquentation avec Vercel Web Analytics, qui n'utilise pas de cookie ; les jetons présents dans les adresses des pages sont masqués avant l'envoi.
Conformément à l'article 82 de la loi Informatique et Libertés et à la délibération CNIL n°2020-091, ces cookies essentiels sont exemptés du consentement préalable.
| Stockage | Finalité | Durée |
|---|---|---|
cookie_consent (localStorage, runpilot.fr) | Mémoriser la fermeture du bandeau d'information | 6 mois |
| Session Supabase Auth (app.runpilot.fr) | Maintenir la connexion authentifiée à l'application | Durée de la session, max 30 jours |
runpilot_selected_org (localStorage, app.runpilot.fr) | Mémoriser l'organisation sélectionnée (multi-org) | Persistant tant que l'utilisateur est connecté |
theme (localStorage, app.runpilot.fr) | Préférence d'affichage clair/sombre | Persistant |
| Préférences et saisies en cours (localStorage, app.runpilot.fr) | Garder l'affichage choisi (menu, carte, vues), les notifications déjà lues, les messages d'aide déjà vus, le code de la console secours et les brouillons non enregistrés | Persistant, jusqu'au vidage du stockage du navigateur |
| Historique de l'assistant d'aide (localStorage, app.runpilot.fr) | Retrouver les 30 derniers messages échangés avec l'assistant | Effacé à la déconnexion |
| Mode hors ligne du jour J (IndexedDB, app.runpilot.fr) | Copie des données de l'événement préparé pour le jour J (bénévoles, participants, postes, parcours) et des actions en attente d'envoi, pour travailler sans réseau | 72 h après la fin de l'événement ; effacée à la déconnexion |
Pour effacer ou réinitialiser ces données : utilisez le lien « Gérer les cookies » en pied de page de runpilot.fr, ou videz le stockage de votre navigateur. La déconnexion via l'application supprime également la session Supabase Auth.
RunPilot peut modifier cette politique. Notification par email 15 jours avant l'entrée en vigueur des changements.
Les modifications du 8 octobre 2026 (rôles de responsable de traitement et de sous-traitant) s'appliquent aux comptes existants à compter du 8 novembre 2026.