Politique de confidentialité

1. En bref

• Crazy Racing Sensations (CRS) décide de ce qu'il advient de vos données. JBit construit et gère pour nous le site et le système de réservation ; Amazon Web Services les héberge en Irlande.
• Nous demandons ce dont nous avons besoin pour vous inscrire à un événement sur circuit, vous facturer et assurer votre sécurité sur la piste. Rien de plus.
• Vos besoins alimentaires et particularités physiques sont des données de santé. Nous ne les conservons que si vous cochez une case distincte sur la fiche pilote. Vous pouvez réserver sans cela.
• Nous ne vendons pas vos données et n'envoyons aucune newsletter. Les cookies de statistiques et de publicité ne sont utilisés que si vous les autorisez.
• Pour le reste, le site ne conserve que ce dont il a besoin pour fonctionner : votre choix en matière de cookies, votre connexion à « Mes réservations » tant que l'onglet est ouvert et, pendant une réservation, une petite information pour que vous ne perdiez pas votre place si vous fermez l'onglet.
• Vous pouvez à tout moment nous demander quelles données nous détenons à votre sujet, faire corriger ou effacer vos données, ou retirer votre consentement : info@crs-racing.com.

2. Qui est responsable de vos données

Le responsable du traitement de vos données personnelles est :

Crazy Racing Sensations (CRS Racing)
Coesens Renting Services BV
Diebeke 17, 9500 Geraardsbergen (Grammont), Belgique
TVA BE0474.199.940
info@crs-racing.com · +32 475 45 21 96

CRS n'a pas désigné de délégué à la protection des données et, à notre connaissance, n'y est pas tenue.

3. Ce que nous collectons, et à quel moment

3.1 Quand vous visitez le site

Comme tout site web, le nôtre reçoit des données techniques à chaque page ouverte : votre adresse IP, la date et l'heure, la page demandée, la page d'où vous venez, ainsi que le type de navigateur et d'appareil. Notre hébergeur les enregistre dans des journaux d'accès. Nous les utilisons pour faire fonctionner le site, détecter et bloquer les attaques, et compter les visites de manière globale. Nous ne les relions pas à votre réservation.

Un pare-feu applicatif géré par notre hébergeur examine chaque requête (y compris votre adresse IP) pour arrêter les attaques automatisées, et peut bloquer une adresse qui envoie trop de requêtes.

3.2 Quand vous choisissez un événement et qu'une place vous est réservée

Vous choisissez un événement, la formule (Experience Track Riding ou Bring Your Own Bike), d'éventuelles options et votre langue. Nous retenons ensuite une place pour vous pendant 60 minutes.

Pour empêcher qu'une seule personne bloque toutes les places d'un événement, nous tenons un compteur par adresse réseau. L'adresse est enregistrée sous forme d'empreinte cryptographique (hash), mais comme le nombre d'adresses possibles est limité, nous la traitons comme une donnée personnelle. Le compteur disparaît en quelques heures ; la copie sur votre réservation est supprimée dès que vous confirmez ou que la place n'est plus retenue.

3.3 Quand vous donnez vos coordonnées

3.4 Le code par e-mail

Avant que votre réservation puisse être confirmée, nous envoyons un code à usage unique à votre adresse e-mail et vous le saisissez. Cela prouve que l'adresse est bien la vôtre, de sorte que personne ne puisse réserver à votre nom.

Pour cela, votre adresse e-mail, votre langue et le fait que l'adresse a été vérifiée ou non sont enregistrés dans un annuaire clients chez notre hébergeur (Amazon Cognito). Le code y est créé, envoyé et vérifié ; il est valable quelques minutes. Nous ne gardons que le résultat : que votre adresse a été vérifiée, et quand. Pour éviter les abus, nous comptons combien de codes sont envoyés par adresse e-mail et par adresse réseau ; ces compteurs disparaissent le lendemain.

Votre compte. Après votre premier code, vous choisissez un mot de passe. Il vous permet de vous connecter la fois suivante, pour réserver ou pour consulter vos réservations sous « Mes réservations », sans que nous ayons d'abord à vous envoyer un code. Votre mot de passe n'est conservé que sous forme hachée (une valeur dérivée à partir de laquelle le mot de passe ne peut pas être retrouvé) dans l'annuaire clients (Amazon Cognito, dans l'UE, en Irlande). Personne chez CRS ni chez son prestataire informatique ne peut le lire, et nous ne vous le demanderons jamais. Vous pouvez toujours vous connecter avec un code par e-mail, après quoi vous choisissez un nouveau mot de passe ; c'est aussi la marche à suivre si vous l'avez oublié. Un compte sans réservation est supprimé 90 jours après sa création. Un compte avec des réservations est conservé aussi longtemps que les données personnelles de ces réservations, et il est supprimé lorsque vous faites effacer vos données.

3.5 Quand vous confirmez

Nous enregistrons votre réservation : l'événement, la formule, les options, le prix, la référence de réservation, la date limite de paiement et la remarque éventuelle que vous nous adressez (facultative, 2 000 caractères maximum — n'y indiquez pas d'informations de santé, la fiche pilote prévoit un endroit pour cela).

Nous enregistrons aussi que vous avez accepté les conditions de vente : quelle version du texte, dans quelle langue et à quel moment. C'est notre preuve de l'accord.

3.6 La fiche pilote

Après la confirmation, vous recevez un lien vers la fiche pilote. Elle reste ouverte 72 heures après la confirmation ; ensuite, vous pouvez transmettre ces informations directement à CRS.

La taille et le poids nous aident à choisir les bons réglages et le bon équipement. Ils ne servent à rien d'autre.

Les besoins alimentaires et les particularités physiques sont des données de santé (catégorie particulière de données au sens de l'article 9 du RGPD). Nous ne les acceptons que si vous cochez la case de consentement distincte, qui dit :

« J'autorise CRS à conserver mes besoins alimentaires et mes particularités physiques et à les utiliser pour ma sécurité et pour le catering le jour de l'événement. CRS les conserve jusqu'à 90 jours après l'événement et ne les partage avec personne. Je peux retirer cette autorisation plus tard ; elles sont alors supprimées. »

Si vous ne la cochez pas, votre réservation reste valable ; nous ne pourrons simplement pas tenir compte d'un régime ou de particularités physiques le jour même. Nous enregistrons quand vous avez donné votre consentement et quelle version du texte vous avez vue.

3.7 Les e-mails que nous envoyons

• l'e-mail avec le code (3.4) ;
• la confirmation de réservation, avec votre référence, le montant, la date de paiement et le lien vers la fiche pilote ;
• un avis d'annulation si CRS annule votre réservation ;
• un bref avis à CRS pour chaque nouvelle réservation, avec votre nom, votre e-mail, votre téléphone, la référence et votre remarque — jamais votre date de naissance, votre adresse ni la fiche pilote.

Nous n'envoyons ni newsletter ni e-mail publicitaire.

3.8 Quand vous nous contactez

Si vous nous écrivez ou nous appelez, nous utilisons ce que vous nous dites pour vous répondre.

Si vous utilisez un formulaire de demande sur le site (par exemple pour louer le CRS Sleepliner), ce que vous remplissez est envoyé à CRS par e-mail, à info@crs-racing.com, avec votre adresse e-mail comme adresse de réponse. Le site ne conserve pas la demande elle-même. Pour éviter les abus du formulaire, il ne garde qu'un compteur par adresse réseau hachée et par adresse e-mail hachée, qui disparaît dans les deux jours. CRS conserve l'e-mail comme correspondance générale (point 7).

3.9 Photos et vidéos pendant l'événement

Des photographes et vidéastes sont présents pendant les événements CRS. Lors d'Experience Track Riding, les instructeurs utilisent les images pour analyser votre pilotage avec vous, et vous les recevez ensuite.

Comme le prévoient nos conditions générales, CRS peut aussi utiliser les photos et vidéos réalisées lors de ses événements à des fins commerciales, informatives et promotionnelles, par exemple sur le site, sur les réseaux sociaux ou dans des imprimés. Les images sur lesquelles vous êtes clairement reconnaissable à votre visage ne sont utilisées que si cela correspond à ce que les participants peuvent normalement attendre d'un événement public de sport moteur. Si vous vous opposez à une image sur laquelle vous êtes reconnaissable, écrivez à info@crs-racing.com ; CRS examine votre demande et, si elle est fondée, adapte ou retire l'image.

3.10 Notre back-office

Le personnel de CRS gère les réservations dans un back-office protégé par un mot de passe et un deuxième facteur. Chaque modification, et chaque consultation des données de santé d'un pilote, est inscrite dans un journal d'audit avec l'auteur et le moment (pas les données elles-mêmes).

4. Pourquoi nous utilisons vos données, et sur quelle base légale

Vous n'êtes pas obligé de nous donner vos données, mais sans les informations marquées comme obligatoires, nous ne pouvons pas accepter de réservation.

5. Qui traite vos données pour nous

Nous ne vendons pas vos données et ne les transmettons pas à d'autres à des fins de marketing. Les parties suivantes les traitent pour notre compte et sur nos instructions :

Notre comptable reçoit les données de facturation nécessaires à notre comptabilité et à nos déclarations fiscales.

Uniquement si vous autorisez les cookies de statistiques ou de marketing (point 9), Google et Meta (Facebook, Instagram) reçoivent par ces cookies des informations sur votre visite. Pour la publicité, ils les utilisent aussi à leurs propres fins, comme le décrivent leurs propres politiques de confidentialité.

Nous pouvons aussi communiquer des données lorsque la loi l'exige, par exemple à l'administration fiscale ou à un tribunal.

6. Transferts hors de l'Union européenne

Vos données de réservation, l'annuaire clients et nos e-mails sont stockés et traités dans l'UE (Irlande).

Le site est diffusé via Amazon CloudFront, un réseau mondial : lorsque vous ouvrez une page depuis l'extérieur de l'Europe, ou lorsque le réseau achemine votre requête de cette façon, votre adresse IP et la requête peuvent être traitées sur un serveur situé hors de l'UE. Les règles du pare-feu sont gérées depuis la région américaine d'AWS. Amazon Web Services fait partie d'un groupe américain. Dans son avenant relatif au traitement des données, AWS s'engage à respecter les clauses contractuelles types de la Commission européenne et est certifiée au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework).

Si vous autorisez les cookies de statistiques ou de marketing, Google et Meta peuvent traiter des informations sur votre visite aux États-Unis. Google LLC et Meta Platforms, Inc. sont certifiées au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework).

7. Combien de temps nous gardons vos données

8. Comment nous protégeons vos données

• Toutes les communications avec le site et le système de réservation sont chiffrées (HTTPS). La base de données est chiffrée au repos.
• Chaque partie du système de réservation n'accède qu'aux données dont elle a besoin. Les données de santé se trouvent dans une partie distincte de la base de données, que les pages de réservation ne peuvent pas relire ; seul le personnel autorisé de CRS peut les ouvrir dans le back-office, et chaque consultation est enregistrée.
• Le back-office exige un mot de passe et un deuxième facteur.
• Nos journaux ne contiennent ni votre nom, ni votre adresse, ni votre numéro de téléphone, ni les données de la fiche pilote. Lorsqu'une adresse e-mail doit pouvoir être retrouvée dans un journal, elle est remplacée par une courte empreinte.
• Un pare-feu et des limites par adresse protègent le système de réservation contre les abus automatisés.
• Des sauvegardes nous permettent de nous remettre d'un incident.

Aucun système n'est parfaitement sûr. Si une violation de données présente un risque pour vos droits, CRS en informe l'Autorité de protection des données dans les 72 heures, et vous-même dans les meilleurs délais, comme la loi l'exige.

9. Cookies et stockage dans votre navigateur

Avec votre consentement, nous utilisons Google Analytics, chargé via Google Tag Manager, pour mesurer comment les visiteurs utilisent le site, ainsi que Meta (Facebook, Instagram) et Google pour mesurer nos publicités et vous montrer des publicités pertinentes. Ils déposent pour cela des cookies et reçoivent votre adresse IP ainsi que des informations sur votre visite. Rien de tout cela n'est chargé tant que vous n'avez pas choisi « Tout accepter », ou autorisé les statistiques ou le marketing sous « Paramètres », dans le panneau qui s'affiche lors de votre première visite ; refuser est tout aussi simple. Vous pouvez modifier votre choix à tout moment via « Paramètres des cookies » en bas de chaque page. Base légale : votre consentement (art. 6.1.a RGPD).

Le site conserve aussi quelques éléments dont il a besoin pour fonctionner et qui ne requièrent aucun consentement : votre choix en matière de cookies (crs_consent, 180 jours) et, pendant une réservation, une seule information (crs.booking.hold) dans le stockage local de votre navigateur : le numéro de réservation, une clé donnant accès à cette seule réservation, et l'heure à laquelle la place n'est plus retenue. Elle vous permet de reprendre si vous fermez l'onglet et revenez. Elle est supprimée lorsque vous confirmez, lorsque vous commencez une nouvelle réservation, ou lorsque vous revenez après l'expiration du délai. Lorsque vous vous connectez à « Mes réservations », votre connexion est conservée dans le stockage de session du navigateur (crs.account.session) jusqu'à ce que vous vous déconnectiez ou fermiez l'onglet. Rien de tout cela n'est envoyé à des tiers.

Chaque cookie et chaque élément stocké, avec sa finalité et sa durée, figure dans notre déclaration relative aux cookies.

10. Vos droits

Vous avez le droit :

• d'accéder aux données que nous détenons sur vous et d'en recevoir une copie ;
• de faire rectifier des données inexactes ;
• de faire effacer vos données, sauf si nous devons les conserver (par exemple les factures pour l'administration fiscale) ;
• de faire limiter l'utilisation de vos données le temps qu'une question à leur sujet soit réglée ;
• de vous opposer à une utilisation fondée sur notre intérêt légitime ;
• de recevoir les données que vous nous avez fournies dans un format lisible par machine (portabilité) ;
• de retirer à tout moment votre consentement pour les données de santé ou pour les cookies. Nous effaçons alors les données de santé ; les cookies que vous refusez sont supprimés de votre navigateur. Le retrait n'affecte pas la licéité du traitement effectué auparavant.

Comment : envoyez un e-mail à info@crs-racing.com depuis l'adresse utilisée pour réserver, ou indiquez votre référence de réservation. Si nous ne pouvons pas être sûrs que la demande vient de vous, nous pouvons vous demander une information supplémentaire, jamais plus que nécessaire. Nous répondons dans un délai d'un mois ; pour une demande complexe, ce délai peut être prolongé de deux mois, et nous vous en expliquons la raison.

11. Plaintes

Si vous n'êtes pas satisfait de la manière dont nous traitons vos données, dites-le-nous d'abord. Vous pouvez aussi introduire une plainte auprès de l'Autorité de protection des données, Rue de la Presse 35, 1000 Bruxelles, contact@apd-gba.be, www.autoriteprotectiondonnees.be, ou auprès de l'autorité de contrôle du pays de l'UE où vous vivez ou travaillez.

12. Modifications

Nous mettons cette politique à jour lorsque le site ou le système de réservation change la façon dont il utilise des données personnelles. La date en haut de la page indique la version en vigueur. Si une modification concerne une réservation que vous avez déjà faite, nous vous en informons par e-mail.