Politique de confidentialité

POLITIQUE DE CONFIDENTIALITÉ The Advanced Coaching (TAC) Version 2.1 — En vigueur depuis le 12/10/2026 ARTICLE 1 — RESPONSABLE DU TRAITEMENT The Advanced Coaching (TAC), édité par Valentin Caloc — Entrepreneur individuel, SIRET 107 705 170 00010. Contact RGPD : theadvancedcoaching@gmail.com ARTICLE 2 — DONNÉES COLLECTÉES 2.1 Données de compte - Email, mot de passe (chiffré), nom, prénom, photo de profil. - Rôle (client, coach, admin), date d'inscription. - Authentification via Google/Microsoft/Apple (identifiant OAuth). 2.2 Données de profil client - Profil sportif : niveau, sport principal, objectifs, disponibilités, matériel, préférences. - Données corporelles : taille, poids, sexe, date de naissance (facultatif). - Performances, compétitions, historique sportif. 2.3 Données de profil coach - Qualifications : diplômes, certifications, organisme émetteur, année, pays, numéro de référence. - Justificatifs : documents stockés en stockage PRIVÉ (non accessibles publiquement). - Spécialités, langues, bio, tarif public, ville. - Statut de vérification (IA + admin). 2.4 Données de coaching - Programmes d'entraînement (workouts), exercices, séries, répétitions. - Calendrier, séances planifiées et terminées. - Check-ins hebdomadaires (fatigue, sommeil, motivation, stress, douleur). - Feedback du coach sur les séances. 2.5 Données de nutrition - Photos de repas (stockage PRIVÉ, accessibles au client et au coach assigné uniquement). - Analyse IA des repas : aliments identifiés, quantités estimées, valeurs nutritionnelles. - Quantité estimée par l'IA (estimated_quantity) et quantité validée par l'utilisateur (validated_quantity). - Plans nutritionnels, objectifs nutritionnels, hydratation. - Base de données alimentaire (indicative, non exhaustive). 2.6 Données de messagerie - Messages échangés entre client et coach (contenu privé). - Métadonnées : date, expéditeur, conversation. 2.7 Données de paiement (Stripe) - ID client Stripe, ID abonnement Stripe, statut d'abonnement. - Historique des paiements, factures. - TAC ne stocke PAS les données bancaires (numéro de carte, IBAN). Ces données sont gérées par Stripe. - Le coach configure un compte Stripe Connect (coordonnées gérées par Stripe). 2.8 Données de notifications push - Abonnements push par appareil : endpoint (URL du service push), clés de chiffrement (p256dh, auth). - Navigateur, user-agent, plateforme, statut actif/inactif. - Préférences par catégorie (messages, paiements, propositions, etc.). - Statut d'onboarding push (not_asked, accepted, refused, dismissed). 2.9 Données techniques - Logs de connexion, journaux d'audit (actions admin). - Tokens d'authentification (sessions). - Éléments strictement nécessaires conservés dans le navigateur (session de connexion, préférences d'affichage). - Statistiques de visite (pages vues, clics sur les principaux boutons) : voir l'article 10. ARTICLE 3 — BASES LÉGALES 3.1 Exécution du contrat : gestion du compte, coaching, paiements. 3.2 Consentement : notifications push, analyse IA des photos, préférences. 3.3 Obligation légale : conservation des données comptables (factures Stripe). 3.4 Intérêt légitime : sécurité, prévention des fraudes, modération. 3.5 Consentement explicite (article 9.2.a du RGPD) : données relatives à la santé et à la condition physique du client (poids et données corporelles, sommeil, fatigue, stress, douleurs, alimentation, hydratation). Ce consentement est recueilli par une case à cocher dédiée lors de l'inscription du client, puis enregistré (date et version du document). Il peut être retiré à tout moment (voir l'article 9). ARTICLE 4 — DESTINATAIRES DES DONNÉES 4.1 Coach assigné - Le coach a accès aux données du client qu'il accompagne : profil sportif, performances, check-ins, nutrition, photos de repas, programmes. - L'accès est limité aux relations ACTIVES. Après fin de relation, l'accès est retiré. 4.2 Client - Le client a accès à ses propres données à tout moment. - Après fin de relation, le client conserve l'accès à son historique. 4.3 Stripe - Données de paiement : ID client, ID abonnement, historique des transactions. - Coordonnées bancaires (gérées exclusivement par Stripe, non stockées par TAC). 4.4 Services d'IA - Photos de repas : envoyées à un service d'analyse IA (vision) pour identification des aliments et estimation des quantités. - L'IA reçoit la photo (via URL temporaire) et retourne une estimation. La photo n'est pas stockée par le service d'IA. - Justificatifs de diplômes : envoyés à un service d'IA pour pré-vérification (lecture du document). 4.5 Hébergeur - Données hébergées sur l'infrastructure Base44 (Cloudflare Workers pour le calcul, stockage managé pour les données). 4.6 Prestataires push - Les notifications push transitent par les services push des navigateurs (FCM pour Chrome, APNs pour Apple, Mozilla autopush pour Firefox). - Ces services reçoivent l'endpoint et le payload chiffré, pas le contenu en clair. ARTICLE 5 — DURÉES DE CONSERVATION 5.1 Données de compte : conservées tant que le compte est actif. Supprimées à la demande de l'utilisateur. 5.2 Données de coaching : conservées pendant la relation + durée d'archivage (3 mois par défaut). 5.3 Photos de repas : conservées pendant la relation. Supprimées à la demande. 5.4 Factures : conservées selon les obligations comptables (10 ans en France). 5.5 Logs et journaux d'audit : conservés pour des raisons de sécurité pendant la durée nécessaire au respect des obligations légales. 5.6 Abonnements push : supprimés à la désinscription ou révoqués en cas d'erreur (404/410). ARTICLE 6 — SÉCURITÉ 6.1 Les données sont stockées sur une infrastructure sécurisée (Base44). 6.2 Les justificatifs de diplômes sont en stockage PRIVÉ (URL signée générée à la demande, non accessible publiquement). 6.3 Les photos de repas sont en stockage PRIVÉ. 6.4 Les mots de passe sont chiffrés. 6.5 Les notifications push sont chiffrées (RFC 8291, AES-GCM) via les clés VAPID. 6.6 L'accès aux données est contrôlé par des règles de sécurité au niveau des lignes (RLS) : un client ne voit que ses données, un coach ne voit que les données de ses clients. ARTICLE 7 — IA ET PHOTOS DE REPAS 7.1 L'analyse IA des repas est optionnelle. Le client peut saisir son repas manuellement. 7.2 La photo est envoyée à un service d'IA via une URL temporaire signée (validité 10 minutes). 7.3 L'IA identifie les aliments visibles et estime les quantités. Ce sont des ESTIMATIONS, pas des mesures exactes. 7.4 L'utilisateur peut corriger les résultats (quantité, aliment). La quantité validée par l'utilisateur devient la valeur de référence. 7.5 L'IA ne reprend pas automatiquement le contrôle d'une quantité modifiée manuellement. 7.6 Les résultats nutritionnels (calories, macros) sont des estimations. En cas de besoin spécifique (allergies, régime médical), consulter un professionnel. 7.7 Les photos sont accessibles au client et au coach assigné uniquement. ARTICLE 8 — NOTIFICATIONS PUSH 8.1 TAC utilise les notifications push pour informer l'utilisateur d'événements importants : messages, propositions, paiements, sessions. 8.2 L'utilisateur doit donner son consentement explicite (demande native du navigateur). 8.3 L'utilisateur peut refuser, et modifier ses préférences à tout moment (Profil → Notifications). 8.4 Données techniques stockées : endpoint (URL du service push), clés de chiffrement p256dh et auth, navigateur, user-agent. 8.5 Ces données sont strictement nécessaires au fonctionnement du push. Elles ne sont pas utilisées à d'autres fins. 8.6 Multi-appareils : l'utilisateur peut enregistrer plusieurs appareils. Chaque appareil a sa propre subscription. 8.7 Les préférences par catégorie sont enregistrées côté backend et respectées lors du déclenchement. ARTICLE 9 — DROITS DES UTILISATEURS 9.1 Accès : l'utilisateur peut consulter ses données (Profil, export de données). 9.2 Rectification : l'utilisateur peut modifier ses données depuis son profil. 9.3 Suppression : l'utilisateur peut supprimer son compte (Profil → Supprimer mon compte). 9.4 Export : l'utilisateur peut exporter ses données (fonctionnalité d'export intégrée). 9.5 Opposition : l'utilisateur peut désactiver les notifications push et les préférences par catégorie. 9.6 Portabilité : les données exportées sont dans un format lisible. 9.7 Retrait du consentement : l'utilisateur peut retirer à tout moment son consentement au traitement de ses données de santé en écrivant à theadvancedcoaching@gmail.com. Le retrait ne remet pas en cause les traitements effectués avant celui-ci. Sans ces données, le suivi de coaching ne peut plus être assuré ; l'utilisateur peut alors supprimer son compte (Profil → Supprimer mon compte), ce qui efface ces données. 9.8 Délai de réponse : les demandes sont traitées dans un délai d'un mois à compter de leur réception. 9.9 Réclamation : si l'utilisateur estime que ses droits ne sont pas respectés, il peut introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr). ARTICLE 10 — COOKIES ET TRACEURS 10.1 TAC ne dépose aucun cookie publicitaire ni traceur tiers, et n'enregistre pas les sessions de navigation des utilisateurs (pas de « replay » de session). 10.2 Le navigateur conserve localement les éléments strictement nécessaires au fonctionnement de l'application : session de connexion, préférences d'affichage (langue, thème) et état de l'application. 10.3 Statistiques de visite : l'hébergeur de l'application (Base44) mesure la fréquentation (pages vues, clics sur les principaux boutons) à l'aide d'un identifiant de session aléatoire conservé dans le navigateur. TAC utilise ces statistiques uniquement pour comprendre l'usage de l'application et l'améliorer, jamais à des fins publicitaires. ARTICLE 11 — TRANSFERT HORS UE Les données peuvent être traitées par des prestataires situés hors UE (hébergement Base44, Stripe, services d'IA, services push). Ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types). ARTICLE 12 — CONTACT RGPD Pour toute demande RGPD (accès, rectification, suppression, opposition) : theadvancedcoaching@gmail.com ou via la fonctionnalité de signalement intégrée à l'application.