Un fichier d’équipe de M12 n’est pas un tableur anodin
Noms d’enfants, dates de naissance, téléphones des parents, informations médicales : les données saisies dans Ovalamat sont sensibles. Voici précisément comment elles sont traitées.
Cloisonnement strict
Chaque équipe appartient à un club. Toute lecture ou écriture vérifie en base que l’équipe demandée appartient bien au club de l’utilisateur connecté — un identifiant d’équipe envoyé par le navigateur n’est jamais cru sur parole.
Mots de passe
Jamais stockés en clair : hachage bcrypt avec sel unique, remis à niveau automatiquement si l’algorithme recommandé évolue. Minimum 12 caractères exigé à l’inscription.
Force brute
Les tentatives échouées sont comptées en base, par adresse mail et par adresse IP. Au-delà du seuil, la connexion est temporairement bloquée. Le message d’erreur ne révèle jamais si un compte existe.
Anti-CSRF
Chaque formulaire et chaque appel d’écriture porte un jeton lié à la session, vérifié en comparaison à temps constant. Le cookie de session est HttpOnly, SameSite=Lax et Secure en HTTPS.
Injection SQL
Toutes les requêtes sont préparées, sans émulation : aucune valeur saisie n’est concaténée à une requête. Les entrées sont validées et bornées avant écriture.
XSS et en-têtes
Échappement systématique à l’affichage, politique Content-Security-Policy restrictive, X-Frame-Options: DENY, nosniff, HSTS en HTTPS.
Vos données ne disparaissent pas
Chaque modification est enregistrée automatiquement côté serveur, en base de données. Les vingt dernières versions de l’équipe sont conservées et restaurables : une suppression malheureuse de joueur, un « tout effacer » de trop, et l’on revient à l’état d’avant.
- Sauvegarde automatique, sans clic
- Historique des 20 dernières versions
- Export complet (JSON) téléchargeable à tout moment
- Contrôle de concurrence : deux onglets ouverts ne s’écrasent pas en silence
RGPD et données de mineurs
Le club reste responsable de traitement ; Ovalamat est sous-traitant technique. Concrètement, cela veut dire que le club doit informer les familles et recueillir les autorisations, et qu’Ovalamat s’engage sur la technique.
- Minimisation : ne saisissez que ce qui sert vraiment à l’équipe
- Droit d’accès et de rectification depuis la fiche joueur
- Suppression définitive du compte et de ses sauvegardes sur demande
- Journal d’audit : qui a modifié quoi, quand, depuis quelle adresse
- Hébergement en France, aucune revente ni exploitation publicitaire
Ce que nous vous demandons de faire de votre côté
La meilleure application ne compense pas un mot de passe partagé sur le groupe WhatsApp du staff.
- Un compte nominatif par membre du staff, jamais un compte « équipe » partagé.
- Le rôle « consultation » pour ceux qui n’ont pas à modifier les fiches.
- Les informations médicales limitées à ce qui est utile pour la sécurité du joueur le jour du match.
- Le retrait des accès dès qu’un éducateur quitte le club.