Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme CoachedBy est la société Sport'N Data, SARL au capital social de 15 000 €, immatriculée au RCS de Nice sous le numéro SIREN 938 617 974 (TVA intracommunautaire : FR00938617974), dont le siège social est situé au 96 Corniche Fleurie, 06000 Nice, France.

Contact : contact@coachedby.io

2. Données collectées

Dans le cadre de l'utilisation de la Plateforme, nous collectons les données suivantes :

• Données d'identification : identifiant utilisateur, adresse email.
• Profil athlète : seuils d'intensité (puissance, allure, FC), poids, fréquence cardiaque maximale, niveau, disponibilité hebdomadaire, jours d'entraînement, notes de blessures.
• Plans d'entraînement : plans générés, séances programmées, historique des modifications.
• Historique des conversations : échanges avec les chatbots de coaching IA.
• Méthodologie des coachs : contenus méthodologiques fournis par les coachs lors de l'onboarding.
• Entrées de calendrier : séances programmées, événements sportifs, données de synchronisation.
• Messages directs : échanges avec les coachs dans le cadre du coaching supervisé (Coach in the Loop).
• Données d'abonnement : mode de coaching souscrit, historique de facturation, statut de l'abonnement.
• Feedback : retours d'expérience et suggestions soumis via le widget de feedback.
• Tokens OAuth : jetons d'authentification pour la connexion aux plateformes d'entraînement — intervals.icu et Garmin (OAuth direct, via les programmes développeurs officiels de ces plateformes) et, via notre sous-traitant Terra, les autres appareils et plateformes connectés (WHOOP, Zwift, ROUVY, etc.).
• Données de performance issues des plateformes connectées (intervals.icu, Garmin, WHOOP, Zwift, ROUVY, etc.) : lorsque l'Utilisateur connecte un compte, nous synchronisons les activités enregistrées et leurs flux de données seconde par seconde (puissance, fréquence cardiaque, cadence, altitude, position GPS), ainsi que les métriques quotidiennes dérivées (charge d'entraînement, courbes de puissance, scores de conformité au plan). Selon la plateforme connectée, nous synchronisons également des données de bien-être quotidiennes : sommeil (durée et phases), variabilité de la fréquence cardiaque (HRV), fréquence cardiaque de repos, niveau de stress mesuré par l'appareil, nombre de pas et poids. Ces informations sont traitées comme des données de performance sportive et servent exclusivement au calcul des analyses d'entraînement, des scores de récupération et au contexte fourni aux chatbots de coaching.
• Données de navigation et d'analyse : adresse IP, type de navigateur, pages consultées, événements d'usage (via PostHog, hébergé en UE). Pour les visiteurs non connectés, ces événements sont collectés de manière anonyme ; une fois l'Utilisateur connecté, ils sont rattachés à son identifiant de compte afin de mesurer l'engagement et améliorer le service.

Connexion avec Google

Lorsque l'Utilisateur choisit de se connecter avec Google, Google nous transmet, avec son accord, les informations de profil de base couvertes par les autorisations openid, email et profile : nom, adresse email, photo de profil et identifiant du compte Google. Nous conservons uniquement l'adresse email et l'identifiant du compte Google, dans notre service d'authentification (Amazon Cognito, UE) ; le nom et la photo de profil ne sont pas conservés.

• Utilisation : uniquement pour créer le compte CoachedBy de l'Utilisateur et l'authentifier. Nous n'accédons à aucune autre donnée ni service Google (Gmail, Drive, Agenda, contacts, etc.).
• Partage : les données reçues de Google ne sont ni partagées, ni vendues, ni transférées à des tiers ; elles ne servent ni à la publicité, ni au profilage, ni à une évaluation de solvabilité, et ne sont pas utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique.
• Protection : chiffrées en transit (TLS) et au repos, accès réservé au personnel autorisé.
• Conservation et suppression : conservées tant que le Compte est actif et supprimées à la clôture du Compte — sauf si la même connexion sert aussi à un compte coach actif (depuis la page profil ou sur demande à contact@coachedby.io). L'Utilisateur peut aussi retirer à tout moment l'accès de CoachedBy depuis son compte Google (myaccount.google.com/permissions).

L'utilisation et le transfert par CoachedBy des informations reçues des API Google respectent les règles relatives aux données utilisateur des services d'API Google (Google API Services User Data Policy), y compris les exigences d'utilisation limitée (Limited Use).

3. Finalités et base légale

4. Destinataires des données

Les données personnelles peuvent être communiquées aux destinataires suivants :

• Équipe interne : les membres habilités de Sport'N Data pour la gestion et l'amélioration des Services.
• Le coach choisi par l'Utilisateur : en s'abonnant à un coach, l'Utilisateur accepte que ce coach consulte ses données d'entraînement et de bien-être (activités, charge, récupération, HRV, sommeil), y compris celles issues des appareils connectés, afin d'encadrer son entraînement. Cet accès prend fin avec l'abonnement. Les données ne sont communiquées à aucun autre utilisateur.
• Amazon Web Services (AWS) : hébergement des données dans la région eu-central-1 (Francfort, Allemagne).
• Modèles d'intelligence artificielle : traitement des conversations et analyse des métriques d'entraînement par des modèles d'IA hébergés dans l'Union européenne (Amazon Bedrock, AWS eu-central-1, Francfort), au sein de l'infrastructure de CoachedBy. Les données issues des appareils et plateformes connectés ne sont jamais utilisées pour entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique. Les données transmises aux modèles sont pseudonymisées : seul un identifiant technique interne est utilisé, sans nom, adresse email ni aucune information permettant d'identifier directement l'Utilisateur. Aucune donnée n'est transférée hors de l'UE dans le cadre de ce traitement.
• intervals.icu : synchronisation des plans d'entraînement et des activités lorsque l'Utilisateur connecte son compte (OAuth direct).
• Garmin : synchronisation des activités et des données de bien-être, et envoi des séances planifiées vers l'appareil, lorsque l'Utilisateur connecte son compte Garmin Connect (OAuth direct, programme Garmin Connect Developer). Les données reçues de Garmin ne sont ni vendues, ni partagées, ni transférées à des tiers ; elles ne sont visibles que par l'Utilisateur et le coach auquel il est abonné.
• Terra API (Terra Enabling Developers, Inc., société du Delaware, États-Unis, et sa filiale britannique Terra Enabling Developers Limited) : sous-traitant d'agrégation utilisé pour la connexion des appareils et plateformes tiers (WHOOP, Zwift, ROUVY, etc.). Lorsque l'Utilisateur connecte un appareil, Terra reçoit l'autorisation OAuth accordée auprès du fournisseur et nous transmet les données d'activité et de bien-être correspondantes. La référence utilisateur transmise à Terra est un identifiant technique interne pseudonymisé (sans nom ni adresse email). Les données sont traitées principalement au Royaume-Uni, pays bénéficiant d'une décision d'adéquation de la Commission européenne ; des transferts vers les États-Unis peuvent intervenir et sont encadrés par les Clauses Contractuelles Types de la Commission européenne (article 46 du RGPD).
• Google : fournisseur d'authentification lorsque l'Utilisateur choisit de se connecter avec Google (voir « Connexion avec Google » ci-dessus). Les données Google reçues par CoachedBy ne sont transmises à aucun autre destinataire.
• Stripe : traitement sécurisé des paiements par carte bancaire, gestion des abonnements et versements aux coachs.
• PostHog (hébergé en UE) : analyse d'usage pour l'amélioration de la Plateforme. Les événements sont anonymes pour les visiteurs non connectés et associés à l'identifiant de compte après connexion. Aucun tracking publicitaire tiers.

5. Durée de conservation

• Données de compte et profil athlète : conservées pendant toute la durée d'activité du Compte, puis supprimées dans un délai de 30 jours après la demande de suppression.
• Historique des conversations : conservé pendant la durée d'activité du Compte.
• Plans d'entraînement : conservés pendant la durée d'activité du Compte.
• Données de performance (activités, flux, métriques dérivées, bien-être) : conservées pendant toute la durée d'activité du Compte. La déconnexion d'une plateforme arrête toute nouvelle synchronisation mais conserve les données déjà importées, qui restent visibles en cas de reconnexion. La résiliation d'un abonnement ne supprime pas le Compte : les données sont conservées pour permettre à l'Utilisateur de reprendre son suivi, et le coach n'y a plus accès. À la suppression du Compte, l'ensemble de ces données, y compris les fichiers d'activité d'origine, est supprimé dans un délai de 30 jours ; aucun historique n'est conservé.
• Données de paiement : conservées en base active pendant la durée de l'abonnement. À la suppression du Compte, seules les données de facturation (nom, adresse e-mail, factures, montants) et la preuve de l'acceptation des conditions de vente, dont la renonciation au droit de rétractation, sont conservées, chez notre prestataire de paiement Stripe et avec accès restreint, pendant 10 ans conformément aux obligations comptables légales (article L123-22 du Code de commerce).
• Messages envoyés au support (signalements, suggestions) : conservés pendant la durée d'activité du Compte, puis supprimés dans un délai de 30 jours après la suppression du Compte.
• Tokens OAuth : conservés sur nos serveurs, chiffrés (AWS KMS), jamais transmis au navigateur ; révoqués auprès de la plateforme concernée dès que l'Utilisateur la déconnecte, et supprimés à la clôture du Compte.

6. Transferts internationaux

L'ensemble des données personnelles sont hébergées et traitées dans l'Union européenne (AWS eu-central-1, Francfort, Allemagne). Les modèles d'intelligence artificielle utilisés par la Plateforme sont exécutés sur des infrastructures situées dans l'UE. Aucune donnée personnelle n'est transférée hors de l'Union européenne dans le cadre du traitement par l'IA.

Certains sous-traitants techniques (Stripe pour les paiements, Terra pour la connexion des appareils) peuvent impliquer des transferts vers les États-Unis, encadrés par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne, conformément à l'article 46 du RGPD.

7. Sécurité des données

L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre tout accès non autorisé, perte, altération ou divulgation, notamment :

• Chiffrement des données en transit (HTTPS/TLS) et au repos.
• Contrôle d'accès strict aux bases de données.
• Surveillance et journalisation des accès.
• Hébergement sur des infrastructures certifiées (AWS).

En cas de violation de données à caractère personnel présentant un risque élevé pour les droits et libertés des personnes concernées, l'Éditeur notifiera la CNIL dans un délai de 72 heures après en avoir pris connaissance et informera les Utilisateurs concernés dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD.

8. Droits des utilisateurs

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir la confirmation du traitement de vos données et en recevoir une copie.
• Droit de rectification : corriger les données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données dans les conditions prévues par le RGPD.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine. Vous pouvez exercer ce droit en libre-service depuis votre page de profil via la fonctionnalité d'export de données (format JSON).
• Droit à la limitation : limiter le traitement de vos données dans certains cas.
• Droit d'opposition : vous opposer au traitement de vos données pour des motifs légitimes.
• Droit de retrait du consentement : retirer votre consentement à tout moment, sans affecter la licéité du traitement effectué avant le retrait.

Pour exercer ces droits, contactez-nous à contact@coachedby.io.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL(Commission Nationale de l'Informatique et des Libertés) :

• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Site web : www.cnil.fr

9. Cookies et analyse d'usage

La Plateforme distingue deux catégories de traceurs. Aucun cookie publicitaire, et aucun traceur de tiers à des fins de suivi publicitaire, n'est utilisé.

Traceurs strictement nécessaires— déposés sans consentement, car indispensables à un service que vous avez demandé : la session utilisateur (authentification), la préférence de langue, et l'enregistrement de votre choix en matière de cookies. Aucun d'eux ne sert à vous suivre.

Mesure d'audience — soumise à votre consentement préalable. Tant que vous n'avez pas accepté, aucun traceur de mesure d'audience n'est déposé ni lu sur votre appareil.

Cette mesure d'audience repose sur PostHog(hébergé en Union européenne), en cookies first-party uniquement, sans partage avec des tiers, et respecte le signal Do Not Track (DNT) du navigateur. Les événements d'usage sont anonymes pour les visiteurs non connectés ; une fois l'Utilisateur connecté, ils sont associés à son identifiant de compte afin de mesurer l'engagement et améliorer le service. Ces données ne sont jamais vendues, ni utilisées à des fins publicitaires.

Modifier ou retirer votre consentement: le lien « Cookies » présent en pied de page — et, pour les Utilisateurs connectés, la carte « Cookies et suivi » dans Profil › Compte — rouvre à tout moment le panneau de choix. Le retrait est aussi simple que l'acceptation et prend effet immédiatement. Votre choix est conservé 6 mois, au terme desquels il vous est redemandé.

Durées de conservation appliquées :

• Cookies de session : durée de la session de navigation.
• Cookies de préférences (langue, paramètres d'interface) : 6 mois maximum.
• Enregistrement du choix en matière de cookies : 6 mois.
• Cookies analytiques PostHog : 13 mois maximum, conformément à la recommandation de la CNIL.
• Données analytiques associées : 25 mois maximum.

10. Liens vers des sites tiers

La Plateforme peut contenir des liens vers des sites tiers (intervals.icu, etc.). L'Éditeur n'est pas responsable des pratiques de confidentialité de ces sites. Nous vous invitons à consulter les politiques de confidentialité de chaque site tiers visité.

11. Mise à jour de la politique

La présente Politique de Confidentialité peut être modifiée à tout moment. Toute modification sera publiée sur cette page avec la date de mise à jour. Nous encourageons les Utilisateurs à consulter régulièrement cette page.

12. Contact

Pour toute question relative à la protection de vos données personnelles, vous pouvez nous contacter :

• Par email : contact@coachedby.io
• Par courrier : Sport'N Data, 96 Corniche Fleurie, 06000 Nice, France