Politique de confidentialité
Projet du 17 octobre 2026 — site vitrine et application
1. Responsable et contact
Le responsable des traitements mis en œuvre pour son propre service est [NOM PRÉNOM] EI, nom commercial CoachAurel, [ADRESSE], [SIREN], contact : [E-MAIL CONFIDENTIALITÉ / SUPPORT COMPLET]. [DPO, S’IL EST DÉSIGNÉ : COORDONNÉES].
2. Site vitrine et application : deux périmètres
Le site vitrine présente CoachAurel. Son code propre ne comporte pas d’outil publicitaire ou de mesure d’audience ajouté par CoachAurel. Les demandes de démo sont orientées vers une page de réservation ; le lien personnel Calendly doit encore être renseigné. Aucun formulaire de demande n’est envoyé depuis ce site.
Une fois le lien actif, la réservation s’effectuera sur Calendly après un clic volontaire, dans un nouvel onglet, sans calendrier embarqué. Les coordonnées et détails du rendez-vous seront traités pour organiser la démonstration demandée. [COMPLÉTER : ENTITÉ CALENDLY CONTRACTANTE, CHAMPS DE L’ÉVÉNEMENT, CALENDRIER CONNECTÉ, VISIO, NOTIFICATIONS, DURÉES ET TRANSFERTS]. La simple préparation de cette page n’établit pas une connexion à un compte Calendly.
L’hébergement et, pour la prévisualisation privée, la plateforme d’accès peuvent traiter des informations de connexion, d’authentification ou de sécurité selon leurs propres modalités. Il serait donc inexact d’affirmer que la visite ne donne lieu à aucun traitement ou qu’aucun cookie technique n’existe. Leur inventaire, leurs destinataires et leurs durées restent à vérifier avant l’ouverture publique.
L’application, accessible sur un domaine distinct, gère les profils et les fonctions d’entraînement. Les informations ci-dessous en décrivent le périmètre prévu et les points à finaliser.
3. Catégories de données
- Compte et profil : identifiants de compte, e-mail, nom ou pseudonyme, caractéristiques du profil utiles à l’entraînement et paramètres renseignés.
- Organisation : objectifs et dates, disponibilités, choix de cycles, programmation, séances et préférences.
- Données sportives accessibles : activités, dates, durées, puissance, charge, travail en kJ, fréquence cardiaque, indicateurs dérivés, ressenti et, selon la source et les autorisations, autres mesures de récupération.
- Parcours : fichiers GPX, coordonnées et profils d’itinéraires, lorsqu’ils sont utilisés. Un parcours peut révéler un lieu de départ ou des habitudes ; limiter son partage au besoin réel.
- Connexion Intervals : identifiant du coureur, autorisations et éléments d’accès nécessaires à la synchronisation ; [MODE DE CONNEXION ET PROTECTION DES SECRETS À CONFIRMER].
- Support et contrat : demandes et réponses, preuve d’acceptation, statut d’abonnement et factures lorsque la vente est activée. Les données de paiement seront décrites après choix du prestataire.
- Technique : journaux d’accès, d’erreurs et de sécurité, selon les composants effectivement utilisés.
Les données proviennent de l’utilisateur, d’Intervals.icu selon les autorisations accordées, et des calculs réalisés dans CoachAurel. [LISTE DES CHAMPS ET SOURCES À VÉRIFIER SUR L’APPLICATION]. Les fonctions qui exigent une donnée doivent l’expliquer ; une absence de donnée peut empêcher le calcul correspondant sans démontrer une baisse de performance.
4. Finalités et bases juridiques
| Finalité | Base juridique du projet |
|---|---|
| Fournir le compte, programmer les séances et calculer le plan demandé | Exécution du contrat ou mesures précontractuelles demandées, pour les données nécessaires. |
| Synchroniser les activités et envoyer le programme demandé | Exécution du service et autorisations techniques accordées ; conditions supplémentaires si données sensibles. |
| Répondre à une demande de démo | Mesures précontractuelles demandées, uniquement lorsqu’une demande est effectivement transmise. |
| Assurer la sécurité et résoudre les incidents | Intérêt légitime documenté à protéger le service, avec minimisation et mise en balance. |
| Facturer et tenir la comptabilité | Exécution du contrat et obligations légales applicables. |
| Traiter des données qualifiées de données de santé | Base de l’article 6 du RGPD et condition valable de l’article 9 ; consentement explicite envisagé pour le service Solo amateur, à mettre effectivement en œuvre. |
| Prospection et traceurs facultatifs, s’ils sont ajoutés | Information et consentement préalable lorsque requis ; aucun accord n’est déduit de l’acceptation des CGV. |
5. Données sensibles et autorisation Intervals
La fréquence cardiaque, les indicateurs de récupération ou le croisement de plusieurs mesures peuvent relever des données de santé selon leur nature et leur usage. Une autorisation d’API Intervals ou l’acceptation des CGV ne remplace pas un consentement explicite valide lorsque celui-ci constitue la condition retenue pour ces données sensibles.
Le projet prévoit une information séparée et un accord spécifique, libre et non précoché, précisant les données nécessaires et les fonctions concernées. Le retrait devra être aussi accessible que le consentement ; les effets réels sur les fonctions dépendantes doivent être expliqués sans étendre la restriction à des fonctions qui n’en dépendent pas. [PARCOURS DE CONSENTEMENT/RETRAIT ET FONCTIONS SANS DONNÉES SENSIBLES À VÉRIFIER AVANT ACTIVATION].
L’utilisation auprès de sportifs professionnels, salariés ou de haut niveau demande une analyse distincte : le consentement ne doit pas être présenté comme automatiquement adapté à ces contextes.
6. Calculs et personnalisation
La programmation et le plan de progression utilisent les données du coureur et ses blocs de référence, sans IA pour ces fonctions. L’analyse de l’historique et l’évaluation du profil peuvent constituer une personnalisation ou un profilage au sens du RGPD, même sans IA.
Le programme proposé peut être relu et ajusté. Aucun envoi dans Intervals ne résulte d’une simple consultation ou d’une validation sans confirmation d’export. [VÉRIFIER L’EXISTENCE D’AUTRES DÉCISIONS AUTOMATISÉES ET, LE CAS ÉCHÉANT, LEURS EFFETS ET GARANTIES]. L’existence d’un autre traitement par une IA devra être décrite avec sa finalité, ses données et son prestataire ; aucune absence générale d’IA ni utilisation pour l’entraînement de modèles n’est déduite de cette seule déclaration.
7. Support assisté par IA — raccordement prévu
Un support assisté par IA est prévu pour aider à classer et prioriser les tickets, en résumer le contenu et préparer des réponses à partir de l’aide CoachAurel. Il est distinct du moteur de programmation des séances et du calcul du plan de progression, qui restent sans IA.
Le raccordement n’est pas actif sur ce site. Avant sa mise en service, préciser le fournisseur, l’entité contractante, les pays de traitement, les sous-traitants, la durée de conservation des messages et les conditions éventuelles de réutilisation. Aucun accès intégral au dossier sportif ne sera présumé nécessaire au traitement d’un ticket.
Le parcours prévu limite l’envoi aux éléments nécessaires : question, page concernée, version et contexte technique utile. Les pièces jointes doivent être contrôlées et, si nécessaire, masquées avant transmission. Ne pas demander de mot de passe, clé API, carte bancaire ou dossier médical ; une capture peut contenir des données d’autres coureurs et doit être expurgée.
Le dispositif prévu conserve une validation humaine des réponses au démarrage. Les demandes relatives au paiement, aux accès, aux droits sur les données, aux incidents bloquants ou aux sujets sensibles sont transmises à un humain. Le support IA ne doit pas décider seul d’un remboursement, d’une suppression de compte, d’un export ou d’une modification d’entraînement. Les bases juridiques et, si des données sensibles sont réellement indispensables, les conditions particulières de leur traitement seront finalisées avant raccordement.
8. Destinataires, coach et prestataires
L’accès doit être limité aux personnes et prestataires ayant besoin des données pour la finalité concernée. Dans l’offre Coach, seuls les coureurs et intervenants effectivement autorisés doivent pouvoir consulter les dossiers concernés. [MODÈLE D’AUTORISATION ET RÉVOCATION À VALIDER]. Les données sportives ne sont pas publiques du seul fait de l’utilisation du service.
Prestataires techniques identifiés dans le contexte du projet, à confirmer contractuellement : Sites pour le site vitrine, Render pour l’application, Neon pour la base et GitHub pour le code et, si toujours utilisé, les sauvegardes techniques. Ce repérage n’atteste ni leur région de stockage, ni l’identité de l’entité contractante, ni le contenu des sauvegardes. [COMPLÉTER POUR CHACUN : ENTITÉ, RÔLE, DONNÉES, RÉGION, SOUS-TRAITANTS ET GARANTIES]. Intervals.icu intervient comme service source/destinataire selon les opérations autorisées ; son rôle juridique exact et ses conditions sont à documenter.
Le paiement n’est pas actif. Aucun prestataire de paiement n’est désigné ici. [AJOUTER LE PRESTATAIRE D’E-MAIL ET TOUT OUTIL DE SUPPORT OU D’ANALYSE EFFECTIVEMENT UTILISÉ].
Pour le suivi commandé par un coach, il faut déterminer quelles opérations relèvent du coach comme responsable, de CoachAurel comme sous-traitant ou de chaque acteur pour ses propres finalités. Cette répartition sera documentée dans le contrat professionnel et l’accord de sous-traitance, sans qualifier arbitrairement tous les acteurs.
9. Localisation et transferts
[À COMPLÉTER] : pays de stockage principal, sauvegardes, accès à distance et traitements des sous-traitants. L’usage d’un fournisseur européen ou d’une région UE ne suffit pas à exclure tous les transferts hors Espace économique européen. Pour chaque transfert, préciser le pays, le mécanisme applicable, les garanties complémentaires nécessaires et comment en obtenir une copie. Aucune promesse « tout est stocké en France/Europe » n’est faite sans vérification.
10. Conservation
Les durées doivent être proportionnées aux finalités et appliquées dans les systèmes. Les valeurs suivantes sont une proposition de politique à valider et implémenter, pas la description d’un mécanisme de suppression déjà audité :
- Compte et données sportives : pendant l’utilisation ; après fermeture ou demande recevable d’effacement, suppression en base active sous trente jours, sauf obligation de conservation ciblée.
- Sauvegardes : expiration progressive selon un cycle à fixer, proposition maximale de quatre-vingt-dix jours ; pas de réutilisation courante des données supprimées et réapplication des suppressions après restauration.
- Journaux de sécurité : durée à fixer après analyse, proposition de six mois, avec prolongation limitée si un incident le justifie.
- Support : durée à fixer selon la nature du dossier, proposition de trois ans après clôture pour les échanges ordinaires, hors données sensibles inutiles et pièces nécessaires à un litige.
- Factures et justificatifs comptables : archivage selon les durées légales applicables, en principe dix ans pour les documents comptables concernés ; accès séparé de la base courante.
- Preuve du contrat, des consentements et d’un litige : durée adaptée aux obligations et délais de prescription ; conservation minimale, à préciser par catégorie.
La fin de l’abonnement ne doit pas être confondue avec la fermeture du compte. [PRÉCISER LE DEVENIR DU COMPTE GRATUIT, LE TRAITEMENT DE L’INACTIVITÉ ET LES AVERTISSEMENTS AVANT SUPPRESSION].
11. Sécurité
Des mesures adaptées à la sensibilité des données doivent protéger les accès, les échanges, les clés Intervals et les sauvegardes. [MESURES EFFECTIVEMENT CONTRÔLÉES À DOCUMENTER : HABILITATIONS, CHIFFREMENT, JOURNALISATION, SAUVEGARDES, RESTAURATION ET GESTION DES INCIDENTS]. Aucun dispositif ne peut garantir un risque nul ; cela n’écarte pas les obligations de sécurité de l’éditeur.
12. Vos droits
Dans les conditions prévues par le RGPD, vous pouvez demander l’accès, la rectification, l’effacement, la limitation et, selon le traitement, la portabilité ou l’opposition. Vous pouvez retirer un consentement pour l’avenir sans remettre en cause les traitements licites antérieurs et définir des directives relatives au sort de vos données après votre décès.
Adressez votre demande à [E-MAIL]. Une vérification d’identité proportionnée peut être demandée en cas de doute ; la copie d’une pièce d’identité ne doit pas être exigée systématiquement. Une réponse est apportée en principe dans un mois ; une prolongation pouvant atteindre deux mois supplémentaires doit être justifiée et annoncée dans le premier mois.
Un export produit une copie et ne supprime pas les données. Révoquer une connexion interrompt les accès futurs concernés mais n’efface pas à lui seul les données déjà importées. L’effacement chez CoachAurel ne commande pas celui du compte Intervals ; les droits doivent aussi y être exercés si nécessaire.
Vous pouvez saisir la CNIL si vous estimez que vos droits ne sont pas respectés.
13. Cookies et mises à jour
Consultez la politique relative aux cookies. Toute modification substantielle de cette politique sera portée à la connaissance des utilisateurs ; un nouveau consentement sera demandé lorsque le changement le nécessite. La version définitive indiquera sa date d’entrée en vigueur.