Politique de Confidentialité
1. Responsable de traitement
WINAMOOV — Plateforme SaaS de coaching sportif
Email de contact : contact@winamoov.com
2. Données collectées
2.1 Données d’identité
Nom, prénom, adresse email, téléphone (optionnel), mot de passe (stocké sous forme hashée bcrypt 12 rounds), rôle (coach, sportif, entreprise), avatar.
2.2 Données entreprise
Nom de l’entreprise, SIRET, adresse, logo, photo de couverture, email de contact, taux et numéro de TVA, code APE, capital, moyen de paiement.
2.3 Données sportifs
Nom, prénom, email, téléphone, date de naissance, adresse, sport, niveau, club, position, catégorie d’âge.
2.4 Données sensibles (Article 9 du RGPD)
Les données suivantes sont considérées comme des données de santé et bénéficient de protections renforcées :
- Antécédents médicaux, blessures, allergies
- Zones de douleur (body map)
- Données de bien-être (sommeil, stress, fatigue, courbatures, humeur)
- Mesures anthropométriques (poids, masse graisseuse, IMC, masse musculaire)
Les antécédents, blessures, allergies, douleurs et données de bien-être ne sont enregistrés qu’avec votre consentement explicite (voir la section 4.1). Les mesures anthropométriques sont saisies pour le suivi de l’entraînement et soumises aux mêmes restrictions d’accès ; elles ne dépendent pas de ce consentement.
2.5 Données techniques
Adresse IP et user-agent (uniquement dans les logs de consentement), date de dernière connexion, nombre de connexions.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Création et gestion de compte | Consentement (Art. 6.1.a) |
| Gestion des sportifs et coaching | Exécution du contrat (Art. 6.1.b) |
| Suivi de santé (antécédents, blessures, allergies, douleurs, bien-être) | Consentement explicite (Art. 9.2.a), ou accord d’un titulaire de l’autorité parentale avant 15 ans |
| Facturation | Obligation légale (Art. 6.1.c) |
| Messagerie interne | Intérêt légitime (Art. 6.1.f) |
| Communications marketing | Consentement optionnel (Art. 6.1.a) |
| Assistant IA WINA | Consentement explicite (Art. 9.2.a) |
4. Consentement
Lors de l’inscription, des cases distinctes vous sont présentées :
- Conditions Générales d’Utilisation — Obligatoire
- Politique de Confidentialité (ce document) — Obligatoire
- Communications marketing — Optionnel, non coché par défaut
- Données de santé (sportifs de 15 ans et plus) — Optionnel, non coché par défaut, séparé des CGU
Chaque choix est enregistré avec horodatage, adresse IP et user-agent dans un registre dédié (pour les données de santé : avec la version du texte accepté). Vous pouvez retirer votre consentement marketing et votre consentement santé à tout moment.
4.1 Consentement aux données de santé
- Ce qu’il couvre : vos antécédents, blessures et allergies, vos zones de douleur et vos données de bien-être (sommeil, stress, fatigue, courbatures, humeur).
- Quand il est demandé : à l’inscription (case facultative) ou, à défaut, avant votre première saisie de santé. Si votre fiche a été créée par un coach ou une structure, il vous est demandé à votre première connexion.
- Tant qu’il manque : aucune de ces données n’est enregistrée, ni par vous ni par votre coach ou votre structure, qui voient la mention « en attente du consentement du sportif ».
- Qui voit ces données : vous, votre coach, votre structure et le soignant qui vous suit, s’ils vous sont rattachés. L’assistant WINA ne reçoit que des scores agrégés (section 9).
- Retrait : à tout moment dans Paramètres › Données et RGPD. Aucune nouvelle donnée de santé n’est alors enregistrée ; la suppression immédiate des données déjà enregistrées (sur votre fiche et sur celles de vos coachs) vous est proposée. Le retrait ne remet pas en cause les traitements faits avant.
- Moins de 15 ans : l’accord d’un titulaire de l’autorité parentale est obligatoire et vaut consentement. Il est donné par le parent à l’inscription ou depuis l’espace du sportif, ou attesté par le coach qui a recueilli un accord écrit. La preuve (texte accepté, horodatage, identité déclarée du parent ou du coach) est conservée.
- Formulaire de préinscription d’un coach : les questions de santé et d’hygiène de vie y sont facultatives ; vos réponses ne sont transmises que si vous cochez la case de consentement dédiée, qui couvre alors la fiche créée à partir de ce formulaire.
5. Vos droits (RGPD)
Conformément au RGPD, vous disposez des droits suivants :
Droit d’accès (Art. 15)
Consultez vos données via votre profil ou l’endpoint GET /api/auth/me
Droit de rectification (Art. 16)
Modifiez vos informations à tout moment via la page Gestion
Droit à l’effacement (Art. 17)
Supprimez votre compte via Gestion > RGPD & Sécurité. Vos données seront anonymisées (email, nom, téléphone remplacés). Les données anonymisées sont conservées pour l’intégrité référentielle. Les factures et documents comptables déjà émis restent conservés 10 ans (obligation légale), avec les coordonnées figées au moment de leur émission.
Droit à la portabilité (Art. 20)
Exportez toutes vos données au format JSON via Gestion > RGPD & Sécurité > « Télécharger mes données »
Droit d’opposition (Art. 21)
Retirez votre consentement marketing à tout moment. Le retrait n’affecte pas l’accès au service.
Retrait du consentement santé (Art. 7.3)
Dans Paramètres › Données et RGPD › Données de santé : « Retirer mon accord », avec suppression des données déjà enregistrées si vous le souhaitez. Le reste du service reste accessible.
6. Sécurité des données
- Mots de passe hashés avec bcrypt (12 rounds)
- Authentification par JWT (access token + refresh token)
- HTTPS obligatoire en production avec HSTS
- Protection anti-brute force : 5 tentatives / 15 min sur login
- En-têtes de sécurité via Helmet.js
- CORS restrictif (origines autorisées uniquement)
- ORM Prisma (prévention injection SQL)
- Base de données PostgreSQL chiffrée au repos (Neon)
7. Durée de conservation
| Données | Durée |
|---|---|
| Compte actif | Durée du contrat |
| Compte supprimé | Anonymisé (non identifiant) dès la suppression |
| Données de santé | Durée du suivi. Supprimées immédiatement si vous le demandez en retirant votre consentement, et à la suppression de votre compte (votre fiche personnelle ; sur les fiches tenues par un coach, les antécédents, blessures et allergies sont effacés et la fiche est détachée de votre compte) |
| Messages et pièces jointes de la messagerie | 2 ans, puis supprimés |
| Logs de consentement | 5 ans après le retrait ou le remplacement du consentement (le choix en vigueur est conservé tant que le compte existe) |
| Preuves d’accord parental (moins de 15 ans) | 5 ans après la suppression du compte |
| Factures, avoirs et documents comptables | 10 ans (obligation légale), y compris après la suppression d’un compte : les coordonnées du client et de l’émetteur sont figées sur le document |
| Réponses à un formulaire de préinscription | Conservées par le coach jusqu’à ce qu’il les supprime |
| Token de réinitialisation du mot de passe | 1 heure |
| Jetons de session révoqués, liens de changement d’e-mail | Jusqu’à leur expiration |
8. Sous-traitants
| Sous-traitant | Service | Localisation |
|---|---|---|
| Vercel | Hébergement frontend + API | USA / EU |
| Neon | Base de données PostgreSQL | EU |
| Anthropic | Assistant IA WINA (Claude) | USA |
Des accords de traitement des données (DPA) sont en place avec chaque sous-traitant.
9. Assistant IA WINA
L’assistant WINA utilise l’API Claude (Anthropic, USA) pour fournir des recommandations sportives. Par principe de minimisation (Art. 5.1.c), aucune donnée de santé brute n’est transmise à l’IA. Les données envoyées se limitent à :
- Profil du sportif (sport, niveau, objectifs)
- Scores de santé agrégés calculés par algorithme (sommeil, stress, fatigue, douleur, humeur sur 100), risque blessure et balance de charge — jamais le détail médical
- Un indicateur de présence de blessures (oui/non, sans aucun détail ni antécédent médical)
Les antécédents médicaux, allergies et le détail des blessures ne quittent jamais nos serveurs et ne sont pas transmis à Anthropic. Le transfert vers les USA est encadré par les clauses contractuelles types (CCT).
Aucune donnée n’est stockée par Anthropic — les requêtes API ne sont pas utilisées pour l’entraînement des modèles.
10. Cookies
WINAMOOV utilise uniquement des cookies techniques essentiels au fonctionnement (token d’authentification stocké en localStorage). Aucun cookie publicitaire ou de tracking n’est utilisé.
11. Contact
Pour exercer vos droits ou pour toute question relative à la protection de vos données :
Email : contact@winamoov.com
Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).