Politique de confidentialité.

Introduction

La présente politique de confidentialité décrit comment Gym Studio (ci-après « nous ») collecte, utilise et protège vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679) et à la loi Informatique et Libertés.

Éditeur du service : Gym Studio — Arthur Comets (EI), entrepreneur individuel, 104 quai des Chartrons, 33300 Bordeaux, France. SIREN 791 870 298. Contact : contact@gym-studio.com

Qui est responsable de quoi

Gym Studio est un outil professionnel : le coach souscrit l'abonnement, ses élèves accèdent gratuitement à l'application. Cette organisation détermine deux rôles distincts au sens du RGPD.

• Pour les données du coach lui-même (compte, facturation, usage du service) : Gym Studio est responsable de traitement.
• Pour les données d'entraînement des élèves (séances réalisées, charges, notes, historique) : Votre coach est responsable de traitement et Gym Studio agit comme sous-traitant, au sens de l'article 28 du RGPD. Gym Studio ne traite ces données que sur instruction du coach et pour l'exécution du service.

Accord de sous-traitance (DPA) : un accord conforme à l'article 28 du RGPD, précisant les obligations de chaque partie, la liste des sous-traitants ultérieurs et les mesures de sécurité appliquées, est mis à disposition des coachs et des structures sur simple demande à contact@gym-studio.com.

Concrètement : un élève qui souhaite exercer ses droits sur ses données d'entraînement peut s'adresser à son coach, ou nous écrire directement, auquel cas nous transmettons la demande au coach concerné et l'assistons dans son traitement.

Données collectées

Nous collectons les données suivantes :

• Données d'inscription : adresse email, prénom, mot de passe (hashé)
• Données de profil : genre, date de naissance, poids, taille, niveau d'expérience, objectifs (facultatif)
• Mensurations : tour de bras, de taille, de cuisse, masse grasse estimée, quand vous ou votre coach les renseignez
• Données d'entraînement : séances réalisées, charges utilisées, séries complétées, temps de repos, notes et commentaires du coach
• Messages : les échanges entre vous et votre coach dans la messagerie
• Données de calendrier : assignations de séances, occurrences planifiées, tokens OAuth Google Calendar (si activé)
• Données techniques : tokens d'authentification, tokens de notification push, logs d'erreurs

Données de santé : notre ligne rouge

Le poids, les mensurations et toute mention d'une blessure touchent à des données que l'article 9 du RGPD protège particulièrement. Nous les traitons en conséquence, et nous posons une limite claire.

• Gym Studio n'est pas un outil de santé. Le service relève de l'entraînement sportif : charges, volume, fréquence, technique, assiduité. Il ne pose aucun diagnostic, ne propose aucun protocole de rééducation et ne délivre aucune prescription.
• Nos assistants automatiques n'en délivrent pas davantage. Cette limite est inscrite dans la spécification du produit et vérifiée par des tests automatisés, sur chacune des surfaces concernées.
• Vos mensurations ne quittent jamais le couple que vous formez avec votre coach. Elles ne sont transmises à aucun service d'intelligence artificielle, et le rattachement est vérifié à chaque lecture comme à chaque écriture.

Si un échange s'approche du registre médical, la seule réponse du produit est de vous inviter à consulter un professionnel de santé.

Finalités du traitement

• Fourniture du service de coaching sportif personnalisé
• Suivi de progression et historique d'entraînement
• Communication entre coach et athlète (commentaires, invitations)
• Synchronisation avec Google Calendar, lorsqu'elle est activée
• Envoi de notifications push et emails de service (rappels, séances, invitations)
• Amélioration du service et correction de bugs

Base légale

• Exécution du contrat : les données nécessaires au fonctionnement du service (inscription, entraînements, calendrier)
• Consentement : synchronisation calendrier externe, notifications push, dictée vocale
• Intérêt légitime : amélioration du service, sécurité, lutte anti-fraude

Durée de conservation

• Données de compte : conservées tant que le compte est actif, et supprimées immédiatement à la validation d'une demande de suppression
• Données d'entraînement et mensurations : conservées tant que le compte est actif, supprimées avec lui
• Tokens OAuth (Google Calendar) : supprimés immédiatement à la déconnexion du calendrier
• Logs d'erreurs : 90 jours maximum
• Trace d'une demande de suppression : conservée sans limite, sous forme d'une empreinte de votre adresse et non de l'adresse elle-même. Elle sert uniquement à prouver que la demande a été honorée
• Contenus produits par un coach supprimé : conservés sans son identité, afin que ses élèves ne perdent pas leur propre historique

Partage des données

Vos données ne sont ni vendues ni cédées à des tiers. Elles sont partagées uniquement avec :

• Le coach dont vous êtes l'élève : accès à vos données d'entraînement, commentaires et progression, dans le cadre du suivi qu'il vous propose
• Vercel Inc. : hébergement et exécution du service, Union européenne et États-Unis
• Neon Inc. : base de données, Union européenne
• Anthropic PBC : import d'un programme, analyse d'un signal et assistant du coach, États-Unis
• Resend : envoi des emails transactionnels, États-Unis
• Google LLC (Firebase) : notifications push mobiles, Union européenne et États-Unis
• Google LLC (Calendar) : synchronisation du calendrier, uniquement si elle est activée, Union européenne et États-Unis
• Stripe Payments Europe Ltd : paiement de l'abonnement du coach et facturation, Union européenne et États-Unis

Cette liste est celle de l'accord de sous-traitance, qui fait foi. Les transferts hors Union européenne reposent sur les clauses contractuelles types de la Commission européenne, complétées d'une analyse d'impact du transfert. La certification de certains prestataires au cadre de protection des données UE–États-Unis s'y ajoute sans s'y substituer, la décision d'adéquation faisant l'objet d'un recours pendant devant la Cour de justice de l'Union européenne.

Ce qui n'est jamais transmis à l'intelligence artificielle

• Aucun identifiant direct : ni nom, ni prénom, ni adresse. Chaque élève est désigné par un identifiant technique, et la réponse est réassociée avant d'atteindre le coach.
• Aucune mensuration. La restriction est appliquée à la source, dans les requêtes elles-mêmes.

Dictée vocale

La fonctionnalité de dictée vocale utilise l'API Speech Recognition native de votre navigateur ou appareil iOS. L'audio n'est jamais envoyé à nos serveurs. Seul le texte transcrit est conservé.

Cookies

Gym Studio utilise uniquement des cookies strictement nécessaires :

• Tokens d'authentification (localStorage)
• Préférences utilisateur (thème, langue)
• Service Worker pour le fonctionnement hors-ligne

Aucun cookie publicitaire, de suivi ou d'analyse tiers n'est utilisé.

Vos droits (RGPD)

Vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger vos données inexactes
• Droit de suppression : demander la suppression de votre compte et de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré (JSON)
• Droit d'opposition : vous opposer à certains traitements
• Droit de retrait du consentement : à tout moment pour les traitements basés sur le consentement

Pour exercer ces droits, utilisez la fonction « Exporter mes données » ou « Supprimer mon compte » dans l'application, ou contactez-nous à contact@gym-studio.com.

Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

Sécurité

• Mots de passe hashés (bcrypt)
• Communications chiffrées (HTTPS/TLS)
• Tokens JWT à durée de vie limitée (15 min access, 24h refresh)
• Base de données avec chiffrement au repos (NeonDB)
• Headers de sécurité stricts (CSP, HSTS, X-Frame-Options)
• Sauvegardes régulières de la base de données
• Accès aux données de production restreint aux personnes qui en ont besoin

Localisation : la base de données est hébergée sur des serveurs situés dans l'Union européenne. Certains prestataires techniques (hébergement applicatif, envoi d'emails) opèrent depuis les États-Unis et sont encadrés par les garanties appropriées prévues par le RGPD.

Modifications

Nous nous réservons le droit de modifier cette politique. En cas de modification substantielle, les utilisateurs seront informés par email ou notification dans l'application.