Politique de confidentialité

ANVIL Athletics Lab est une plateforme de suivi sportif qui relie un coach sportif à ses clients. Elle n'est pas conçue pour le suivi médical ou paramédical de patients et ne doit pas être utilisée par des professionnels de santé dans ce cadre. Cette page explique quelles données sont collectées, pourquoi, sur quelle base, combien de temps elles sont gardées et quels sont vos droits, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

Qui est responsable de vos données ?

• Vous êtes client d'un coach : votre coach est responsable du traitement de vos données (séances, poids, photos, bilans…). ANVIL Athletics Lab agit pour son compte comme sous-traitant, dans le cadre d'un accord de traitement des données.
• Vous êtes coach : l'éditeur de ANVIL Athletics Lab, Gaëtan FRADIN, est responsable du traitement des données de votre compte.
• Contact pour toute question sur vos données : contact@elnir.fr. Aucun délégué à la protection des données n'a été désigné (il n'est pas obligatoire pour ce service).

Données collectées

• Compte : nom, adresse e-mail, téléphone (facultatif), photo de profil (facultative, ajoutée par la personne elle-même : celle du coach est visible par ses clients, celle du client par son coach), mot de passe (stocké uniquement sous forme hachée, jamais lisible).
• Suivi sportif : objectif, programmes, séances réalisées, charges et répétitions, ressenti (RPE), records, défis, commentaires.
• Données de santé et de bien-être : poids, mensurations, photos de progression, sommeil, pas, hydratation, réponses aux bilans, repas (ceux du plan et ceux que le client ajoute lui-même, avec leur note et leur photo), réactions du coach, et consignes que le coach note pour adapter l'entraînement (par exemple une blessure ou une contre-indication), visibles par lui seul.
• Échanges : messages entre le coach et le client.
• Technique : adresse technique de l'appareil pour les notifications, dates de connexion et de consentement.

Les données de santé sont des données sensibles (RGPD, article 9). Elles ne sont traitées qu'avec le consentement explicite du client, donné à l'activation de l'application, et ne servent qu'à son suivi par son coach. L'application est réservée aux personnes de 16 ans ou plus.

Pourquoi et sur quelle base ?

• Fournir le service (comptes, programmes, suivi, messages) : exécution du contrat entre le coach et ANVIL Athletics Lab, et entre le coach et son client.
• Suivre la santé et le bien-être du client : consentement explicite du client, qu'il peut retirer à tout moment en supprimant son compte.
• Envoyer des notifications et e-mails utiles (rappel de séance, nouveau message, nouveau bilan, résumé de la semaine pour le coach) : exécution du service. Des rappels automatiques d'encouragement sont aussi envoyés aux clients (séance du jour pas encore faite, absence d'activité depuis 5 jours, au plus un par semaine) : ils ne contiennent aucune donnée de santé. Chacun choisit comment être prévenu : notification sur son appareil, e-mail, ou les deux (le client le règle dans son compte de l'appli ; pour l'option e-mail il donne son adresse et la confirme en cliquant sur un lien reçu à cette adresse, aucune notification n'y étant envoyée avant ; le coach le règle dans « Mon compte »). Le coach peut aussi couper le résumé et les rappels automatiques.
• Sécuriser les comptes (connexion, double authentification, limitation des tentatives, sauvegardes) : intérêt légitime et obligation de sécurité (article 32).

Aucune donnée n'est vendue, louée, utilisée à des fins publicitaires ni pour entraîner des outils d'intelligence artificielle. Aucune décision automatisée n'est prise à votre sujet.

Qui peut voir les données ?

• Le client voit ses propres données ; son coach voit les données de ses clients, et seulement d'eux.
• L'éditeur, tenu au secret, n'y accède que si c'est nécessaire (maintenance, sécurité) ou à la demande du coach : celui-ci peut l'autoriser à voir son espace pendant 24 heures, en lecture seule, chaque consultation étant enregistrée.
• Les photos et vidéos sont servies par des liens signés, valables quelques jours, jamais publics.
• Les notifications et e-mails ne contiennent jamais le texte des messages ni de donnée de santé : seulement une indication du type « Nouveau message de ton coach ».

Prestataires techniques (sous-traitants) :

• OVH SAS (France) — Envoi des e-mails (compte et notifications) et stockage des sauvegardes. Données : Adresse e-mail et texte des e-mails (jamais le contenu des messages) ; sauvegardes chiffrées, illisibles pour OVH. Lieu : France (Roubaix, Gravelines).
• Services de notification des navigateurs (Google, Apple, Mozilla, Microsoft) — Acheminer les notifications de l'appli web sur le téléphone ou l'ordinateur. Données : Notification chiffrée de bout en bout (illisible pour ces services) et adresse technique de l'appareil. Lieu : Union européenne et États-Unis (contenu illisible pour eux ; clauses contractuelles types / Data Privacy Framework).

Où et combien de temps ?

• Hébergement : serveur de l'éditeur, situé en France et administré par lui. Sauvegardes chiffrées chez OVH, en France.
• Compte actif : les données sont gardées tant que le compte est utilisé.
• Client archivé par son coach (plus suivi) : données supprimées automatiquement 3 ans après l'archivage.
• Compte coach sans activité pendant 3 ans : supprimé avec les données de ses clients, après un e-mail d'avertissement 30 jours avant.
• Suppression d'un compte (par le client, son coach ou le coach pour tout son compte) : effacement immédiat du service.
• Sauvegardes de sécurité : 14 jours sur le serveur, 90 jours en copie chiffrée hors site ; elles sont effacées automatiquement ensuite.
• Liens de réinitialisation de mot de passe : valables 1 heure, effacés le lendemain.

Sécurité

Échanges chiffrés (HTTPS), mots de passe hachés, double authentification pour les coachs, limitation des tentatives de connexion, déconnexion de tous les appareils en cas de changement de mot de passe, cloisonnement strict entre comptes, serveur accessible uniquement par le proxy sécurisé, aucun journal des adresses IP des visiteurs, mises à jour de sécurité automatiques, sauvegardes chiffrées hors site dont la restauration est testée, surveillance de disponibilité. En cas de violation de données présentant un risque, la CNIL est prévenue dans les 72 heures et les personnes concernées sont informées.

Vos droits

Vous pouvez à tout moment :

• Accéder à vos données et les récupérer (droit d'accès et à la portabilité) : bouton « Exporter mes données » dans l'application (client) ou dans « Mon compte » (coach).
• Les faire rectifier : directement dans l'application, ou en le demandant à votre coach.
• Les faire effacer : bouton « Supprimer mon compte » dans l'application ou dans « Mon compte ».
• Retirer votre consentement aux données de santé : la suppression du compte met fin à tout traitement.
• Vous opposer à un traitement ou en demander la limitation, et définir des directives sur le sort de vos données après votre décès.

Si vous êtes client, vous pouvez vous adresser à votre coach ou directement à contact@elnir.fr, qui transmettra si besoin. Une réponse vous est apportée dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de la CNIL (cnil.fr).

Cookies et stockage local

ANVIL Athletics Lab n'utilise que des éléments strictement nécessaires, qui ne demandent pas de consentement : le cookie de session qui garde le coach connecté, un cookie temporaire (10 minutes) pendant la saisie du code de double authentification, la mémorisation de la connexion dans l'application client et le choix du thème clair ou sombre. Aucun cookie publicitaire ni de mesure d'audience.