1. Qui sommes-nous
Elevate Coaching est une application de coaching sportif personnalisé éditée par ANA INVESTISSEMENTS (ci-après « Elevate », « nous »). L'application met en relation des coachs sportifs indépendants avec leurs clients, et leur fournit les outils nécessaires au suivi individualisé de l'activité physique, de la nutrition et du progrès corporel.
Le responsable de traitement au sens du Règlement (UE) 2016/679 (« RGPD ») est ANA INVESTISSEMENTS — Eva Jankowiak, entrepreneur individuel, 60 rue François 1er, 75008 Paris — joignable à l'adresse contact@ana-investissement.com. Pour toute question liée à vos données personnelles, vous pouvez nous écrire à cette même adresse en précisant « RGPD » en objet.
2. Données que nous collectons
2.1 Données d'identification
- Nom, prénom, adresse e-mail, mot de passe haché
- Photo de profil (facultative)
- Identifiant d'appareil et jeton de notifications push (Apple Push Notification service ou Firebase Cloud Messaging)
2.2 Données de santé et de bien-être (catégorie sensible)
Lorsque vous êtes client, l'application traite des données qui relèvent de l'article 9 du RGPD :
- Réponses à l'anamnèse (objectifs, antécédents médicaux déclarés, niveau d'activité, sommeil, alimentation, etc.)
- Mesures corporelles : poids, taille, âge, tour de poitrine, taille, hanches, bras, cuisses, mollets, fessiers
- Photos de progression corporelle (avant/après)
- Vidéos d'exécution d'exercice partagées avec votre coach pour retours techniques
- Réponses aux check-ins (humeur, sommeil, douleurs, énergie, etc.)
- Réponses aux questions de pesée définies par votre coach
- Nombre de pas quotidiens, lu avec votre autorisation depuis Apple Santé (HealthKit) sur iOS ou Health Connect sur Android — utilisé uniquement pour afficher votre activité quotidienne à vous et à votre coach
- Données d'activité sportive enregistrées pendant vos séances : durée, distance et tracé GPS des séances en extérieur (course, marche)
- Suivi du cycle menstruel, si vous l'activez : moyen de contraception, dates de règles, flux, symptômes et niveau d'énergie. Cette fonctionnalité est facultative et désactivée par défaut.
Ces données sont traitées uniquement sur la base de votre consentement explicite, recueilli via un écran dédié avant le début de l'anamnèse. Vous pouvez retirer ce consentement à tout moment depuis les paramètres de l'application, ce qui entraîne la suppression de votre compte et de l'ensemble des données associées (voir section 7).
Suivi du cycle menstruel. Son activation et le partage avec votre coach sont deux choix distincts, tous deux désactivés par défaut. Si vous choisissez de partager, votre coach voit uniquement votre phase de cycle du moment (par exemple « phase lutéale »), afin d'adapter l'intensité de vos séances — jamais vos dates de règles, votre flux ni vos symptômes, qui restent privés. Vous pouvez désactiver le suivi ou le partage à tout moment depuis l'application.
2.3 Données d'usage
- Messages texte, notes vocales et vidéos échangés entre coach et client
- Séances réalisées, exercices effectués, charges, répétitions, RPE, retour de fin de séance
- Suivi nutritionnel et hydrique quotidien
- Historique des paiements (montants, dates) — sans stockage de données bancaires de notre côté
2.4 Données techniques
- Adresse IP, identifiant de session, version de l'app, modèle d'appareil, système d'exploitation
- Journaux d'erreur applicative (uniquement si Sentry est activé pour le diagnostic)
3. Pourquoi nous traitons ces données
| Finalité | Base légale | Durée de conservation |
|---|---|---|
| Fournir le service de coaching (anamnèse, séances, messagerie, suivi) | Exécution du contrat | Durée de votre compte + 30 jours |
| Traiter les données de santé | Consentement explicite (art. 9.2.a RGPD) | Durée de votre compte + 30 jours, ou jusqu'au retrait du consentement |
| Facturer et encaisser les paiements | Exécution du contrat + obligation légale (comptable / fiscale) | 10 ans (obligation légale, données minimisées) |
| Authentification, sécurité, prévention de la fraude | Intérêt légitime | 12 mois maximum pour les logs d'accès |
| Envoi d'e-mails transactionnels (compte, programme, alertes) | Exécution du contrat | Durée de votre compte |
| Envoi d'e-mails marketing (newsletter, conseils) | Consentement (opt-in) | Jusqu'au retrait du consentement, opt-out un clic dans chaque e-mail |
| Page publique du coach (si activée) | Consentement du coach | Tant que la page est publique |
| Témoignages affichés sur la page publique | Consentement explicite séparé du client | Tant que le témoignage est publié, retrait possible à tout moment |
4. Avec qui nous partageons vos données
Vos données ne sont jamais vendues. Elles sont partagées uniquement avec :
- Votre coach — qui a accès à votre profil, anamnèse, mesures, photos, vidéos, messages et progression. C'est l'objet même du service.
- Nos sous-traitants techniques — strictement encadrés par des Data Processing Agreements (DPA) :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Railway | Hébergement de l'API, de la base de données PostgreSQL et stockage des fichiers (photos, vidéos, notes vocales) via leur service de stockage objet compatible S3 | EU-West (Amsterdam, Pays-Bas) |
| Stripe | Traitement des paiements et de la facturation | États-Unis (SCC + décision d'adéquation EU-US Data Privacy Framework) |
| Resend | Envoi des e-mails transactionnels et marketing | États-Unis (SCC) |
| Apple / Google | Notifications push (APNs / FCM) | États-Unis (SCC) |
| Sentry (si activé) | Diagnostic des erreurs applicatives | États-Unis (SCC) |
| PostHog (si activé) | Mesure d'usage anonymisée (uniquement après consentement cookies) | Région EU |
Aucune autorité publique n'a accès à vos données en dehors des cas prévus par la loi (réquisition judiciaire, etc.).
5. Transferts hors Union européenne
Certains sous-traitants (Stripe, Resend, Apple, Google, Sentry) sont établis aux États-Unis ou opèrent des points de présence hors UE pour la distribution de contenu. Ces transferts sont encadrés par des Clauses Contractuelles Types (SCC) approuvées par la Commission européenne, et le cas échéant par la certification au cadre EU-US Data Privacy Framework.
Les données de santé sensibles (mesures, photos, vidéos, anamnèse, check-ins) sont stockées par Railway en région EU-West (Amsterdam, Pays-Bas) et ne sont pas transférées hors Union européenne.
6. Sécurité des données
- Chiffrement en transit (TLS 1.2+) pour toutes les communications
- Chiffrement au repos pour les fichiers stockés
- Mots de passe hachés avec un algorithme à coût adaptatif
- Accès aux fichiers sensibles via URLs présignées à durée courte (15 minutes maximum)
- Vérification serveur de la propriété de chaque ressource avant signature
- Journal d'accès aux données sensibles conservé 12 mois
- Sauvegardes chiffrées quotidiennes
7. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès — Vous pouvez consulter les données que nous détenons sur vous depuis l'application (profil, anamnèse, mesures, photos, messages).
- Droit à la portabilité — Vous pouvez demander un export complet de vos données au format JSON depuis Paramètres → Exporter mes données. L'export vous est envoyé par e-mail sous 24 heures.
- Droit de rectification — Vous pouvez modifier vos données personnelles (profil, e-mail, anamnèse, mesures) directement depuis l'application. Pour les cas non couverts par l'application, écrivez-nous à contact@ana-investissement.com (réponse sous 7 jours).
- Droit à l'effacement — Depuis Paramètres → Supprimer mon compte, vous pouvez supprimer votre compte et l'ensemble des données associées. La suppression est immédiate côté coach (qui perd l'accès), et la purge définitive (base de données + fichiers stockés) intervient sous 30 jours. Les données de facturation sont conservées 10 ans, conformément à nos obligations comptables.
- Droit à la limitation du traitement et droit d'opposition — Vous pouvez nous demander de cesser certains traitements en nous écrivant à contact@ana-investissement.com.
- Droit de retirer votre consentement — À tout moment, depuis Paramètres → Confidentialité. Le retrait du consentement aux données de santé entraîne la suppression de votre compte.
8. Cookies et traceurs (site web)
Sur les pages publiques d'Elevate Coaching (elevatecoaching.app, pages publiques des coachs), nous utilisons un nombre minimal de traceurs :
- Essentiels — Indispensables au fonctionnement du site (préférences d'affichage, session). Aucun consentement requis.
- Mesure d'audience — Statistiques d'usage anonymisées (uniquement après votre consentement explicite).
- Marketing — Aucun cookie marketing n'est posé sans votre accord explicite.
Une bannière de consentement est affichée à votre première visite avec les choix Tout accepter, Tout refuser et Personnaliser, présentés au même niveau visuel conformément aux recommandations de la CNIL.
9. Mineurs
Le service est réservé aux personnes majeures (18 ans et plus). Les mineurs de moins de 16 ans ne peuvent pas s'inscrire conformément à l'article 8 du RGPD. Si vous découvrez qu'un mineur a créé un compte sans autorisation, écrivez-nous à contact@ana-investissement.com pour suppression immédiate.
10. Violation de données
En cas d'incident de sécurité affectant vos données personnelles, nous nous engageons à notifier la CNIL sous 72 heures, et à vous informer directement si le risque est élevé pour vos droits et libertés.
11. Réclamation auprès de la CNIL
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
www.cnil.fr
12. Modifications de cette politique
Cette politique peut être modifiée pour refléter des évolutions techniques, légales ou de service. La version en vigueur est toujours datée en haut de cette page. Toute modification substantielle vous sera notifiée par e-mail et, le cas échéant, par un nouveau recueil de consentement dans l'application.