Politique de confidentialité

2. Données collectées

2.1 Informations de compte

Quand tu sauvegardes ton programme, nous collectons :

• Adresse email : pour la connexion, la communication et la récupération de mot de passe
• Mot de passe : haché avec scrypt et jamais stocké en clair
• Date de sauvegarde du programme

2.2 Données d'entraînement

Pour générer des programmes d'entraînement sur mesure, nous collectons :

• Objectif fitness : prise de muscle, sèche, endurance, etc.
• Niveau d'expérience : débutant, intermédiaire, avancé
• Équipement disponible : salle, poids du corps, haltères, etc.
• Fréquence d'entraînement souhaitée : nombre de séances par semaine
• Préférences d'exercices : exercices favoris ou à éviter
• Historique d'entraînement : séances complétées, logs par série (poids, reps, temps de repos), records personnels (1RM estimé), volume par groupe musculaire, mesures de poids corporel, feedback de séance

2.3 Données de paiement

Les paiements sont exclusivement traités par Lemon Squeezy, LLC (notre Merchant of Record). Lemon Squeezy gère le traitement des paiements, la collecte des taxes, les remboursements et rétrofacturations, ainsi que la conformité liée au paiement, notamment PCI. Nous ne stockons jamais tes informations bancaires sur nos serveurs.

Lemon Squeezy collecte et traite :

• Numéro de carte bancaire, date d'expiration, CVV
• Nom et adresse de facturation
• Détails de transaction (montant, date, devise)

Nous recevons de Lemon Squeezy des métadonnées de facturation et d'abonnement limitées, nécessaires au fonctionnement du service, comme le statut de l'abonnement, le plan, les dates de renouvellement ou de fin, les identifiants client et abonnement Lemon Squeezy, le processeur de paiement, les liens du portail et des références de transaction. Nous pouvons aussi conserver l'email de facturation lié à l'abonnement pour le support, le rapprochement et la récupération de compte. Nous ne recevons ni ne stockons jamais les données complètes de carte.

2.4 Données techniques

Nous collectons :

• Type d'appareil : navigateur web ou PWA installée (iOS, Android, desktop)
• Version de l'application
• Version du système d'exploitation
• Préférence de langue
• Journaux d'erreurs (pour corriger les bugs)

Nous n'utilisons pas la géolocalisation précise ni les identifiants publicitaires mobiles (IDFA/AAID) à des fins de suivi. Certains identifiants techniques (y compris l'IP) peuvent être traités de façon transitoire pour la sécurité, la prévention de fraude et le routage, puis minimisés ou supprimés selon nos règles de conservation.

2.5 Données de condition physique

Pour générer des programmes personnalisés, nous collectons avec ton consentement explicite :

• Poids : pour adapter l'intensité des exercices
• Taille : pour calculer les paramètres d'entraînement
• Âge : pour ajuster la difficulté du programme
• Sexe : pour personnaliser la sélection des exercices
• Morphologie : pour optimiser la stratégie d'entraînement
• Objectif d'entraînement : pour sélectionner le programme approprié

3. Comment nous utilisons tes données

3.1 Fourniture du service

• Sauvegarder ton programme et gérer ton accès
• Générer des programmes d'entraînement personnalisés avec l'IA
• Suivre ta progression et ton historique d'entraînement
• Synchroniser les données entre tes appareils

Base légale : Exécution du contrat (Conditions d'utilisation).

3.2 Communication

• Envoyer des emails transactionnels (confirmation de compte, réinitialisation de mot de passe)
• Notifier du statut de l'abonnement (rappels de renouvellement, échec de paiement)
• Fournir un support client

Base légale : Exécution du contrat et intérêt légitime.

3.3 Traitement des paiements

• Traiter les paiements d'abonnement via Lemon Squeezy
• Générer des factures
• Gérer les remboursements

Base légale : Exécution du contrat et obligation légale (registres fiscaux : 10 ans).

3.4 Amélioration du service

• Analyser les données d'utilisation (via PostHog avec consentement, ou anonymement sans)
• Identifier et corriger les bugs
• Développer de nouvelles fonctionnalités selon les besoins des utilisateurs

Base légale : consentement pour les analyses identifiées. L'intérêt légitime s'applique uniquement aux statistiques agrégées produites à partir d'événements analytiques anonymes en mémoire uniquement et de paramètres de campagne non personnels.

4. Prestataires de services tiers

Nous partageons tes données avec ces partenaires de confiance qui nous aident à fournir le service :

4.1 Infrastructure

• Cloudflare, Inc. (société de droit américain) : hébergement applicatif complet sur Cloudflare Workers (Smart Placement), base de données principale sur Cloudflare D1 (SQLite sur le réseau Cloudflare), stockage objet R2 en juridiction UE (médias d'exercices), cache KV, Durable Objects (données par utilisateur restreintes à la juridiction UE ; verrous distribués et anti-brute-force du compte avec indice de placement Europe de l'Ouest), Workers Rate Limit, Cloudflare Pages (site marketing), DNS, protection DDoS, CDN, détection du pays via les signaux réseau Cloudflare.
• Cloudflare Turnstile (CAPTCHA) : protection anti-bot et anti-abus à l'inscription, à la réinitialisation de mot de passe et aux demandes d'OTP par e-mail. Traite uniquement des signaux navigateur minimaux, sans cookies ni fingerprinting.
• Resend (Plus Five Five, Inc., US) : emails transactionnels (confirmation de compte, OTP par email, réinitialisation de mot de passe, notifications de rétention). Transferts couverts par les Clauses Contractuelles Types.
• Bunny.net (BunnyWay d.o.o., Slovénie, UE) : CDN d'images pour le site marketing uniquement. Aucune donnée d'utilisateur authentifié n'est traitée.
• Strapi (Strapi SAS, France, UE) : CMS headless hébergeant le contenu du blog du site marketing uniquement. Aucune donnée d'utilisateur authentifié n'est traitée.

Un Accord de traitement des données (DPA Standard v4.3 de Cloudflare) est signé entre JCODE et Cloudflare, Inc., daté du 2026-05-10, incluant les Clauses Contractuelles Types (CCT) de l'UE pour les transferts vers des pays non adéquats.

4.2 Paiement

• Lemon Squeezy, LLC : Merchant of Record, traitement des paiements, gestion des taxes, facturation, conforme PCI-DSS

Pour plus de détails sur la manière dont Lemon Squeezy traite tes données, consulte la Politique de confidentialité de Lemon Squeezy.

4.3 Analyse

• PostHog (eu.posthog.com, région UE) : analyses identifiées basées sur le consentement, ou analyses anonymes en mémoire uniquement, sans stockage PostHog persistant, pour des statistiques agrégées.

Transferts internationaux : ta base de données principale (Cloudflare D1) et ton stockage objet (Cloudflare R2 en juridiction UE) opèrent sur le réseau edge de Cloudflare ; les transferts entre régions Cloudflare sont couverts par l'Addendum de traitement des données de Cloudflare et les Clauses Contractuelles Types (CCT). Cloudflare elle-même, Lemon Squeezy et Resend sont des sociétés de droit américain et peuvent traiter des données hors de l'Espace économique européen ; dans tous les cas, nous nous appuyons sur les garanties de transfert RGPD (CCT et/ou décisions d'adéquation).

5. Partage de données

Nous ne vendons jamais tes données personnelles à des tiers.

Nous pouvons partager des données uniquement dans ces cas :

• Avec ton consentement : si tu l'autorises explicitement
• Obligation légale : ordonnance judiciaire, demande réglementaire
• Prestataires de services : listés dans la section 4 ci-dessus
• Transfert d'entreprise : en cas de fusion, acquisition ou vente d'actifs (tu seras informé)

6. Utilisation des données pour l'amélioration de l'IA

Avec ton consentement explicite, pour améliorer la qualité des programmes générés pour tous les utilisateurs, nous pouvons utiliser des données d'entraînement agrégées et anonymisées pour affiner les règles et heuristiques qui alimentent nos fonctionnalités IA (par exemple le clustering d'exercices, la détection de plateaux, la progression des charges). Le rapport AI Coach (WorkoutGen Max) est généré localement par WorkoutGen à partir de signaux agrégés du tracker - aucune donnée personnelle n'est partagée avec des fournisseurs LLM tiers.

Mesures de protection :

• Aucun identifiant direct (nom, email) n'est utilisé dans ce flux d'amélioration IA.
• Les données sont pseudonymisées (identifiant aléatoire)
• Uniquement des données d'entraînement (objectif, niveau, équipement, progression)
• Aucune donnée de diagnostic médical ni de traitement n'est traitée.
• Stockage restreint à l'UE pour les données par utilisateur et les objets R2 ; traitements edge mondiaux couverts par le DPA Cloudflare et les CCT
• Tu peux refuser via support@workoutgen.app

Base légale : Consentement explicite (opt-in via Paramètres > Confidentialité). Tu peux retirer ton consentement à tout moment.

7. Conservation des données

• Compte actif : données conservées tant que le compte est actif
• Compte supprimé : données supprimées dans les 30 jours (sauf obligations légales)
• Factures : 10 ans (exigence fiscale). Journal d'audit de sécurité (suppression de compte, changement d'e-mail, événements d'annulation d'abonnement avec identifiants hachés) : 3 ans.
• Journaux d'analyse : 12 mois maximum
• Comptes inactifs : 1 an d'inactivité → avertissement par email → suppression après 30 jours
• Comptes non vérifiés : supprimés automatiquement après 90 jours si l'adresse email n'est pas vérifiée.

8. Sécurité des données

Nous mettons en œuvre des mesures de sécurité standard de l'industrie :

Mesures techniques

• Chiffrement : HTTPS/TLS pour les données en transit, AES-256 pour les données au repos (via les fournisseurs d'infrastructure)
• Authentification : mots de passe hachés avec scrypt ; OTP par email (codes à usage unique) hachés avant stockage ; verrouillage du compte après 10 tentatives échouées sur une fenêtre de 15 minutes.
• Contrôle d'accès : principe du moindre privilège
• Surveillance et prévention des abus : limitation de débit automatisée (Cloudflare Workers Rate Limit et Durable Objects), verrouillage du compte après 10 tentatives de connexion échouées en 15 minutes, protection anti-bot via Cloudflare Turnstile à l'inscription, à la réinitialisation de mot de passe et aux demandes d'OTP par e-mail, détection d'intrusion automatisée.

Mesures organisationnelles

• Audits de sécurité réguliers
• Formation du personnel sur la protection des données
• Plan de réponse aux incidents

En cas de violation de données personnelles, nous notifions l'autorité de contrôle compétente dans les délais légaux (Art. 33 RGPD). Si la violation est susceptible d'engendrer un risque élevé pour tes droits et libertés, nous t'informerons sans retard injustifié (Art. 34 RGPD).

9. Tes droits en matière de confidentialité

En vertu du RGPD et des lois américaines sur la confidentialité (CCPA, lois d'État), tu disposes des droits suivants :

Droit d'accès

Demander une copie de toutes les données personnelles que nous détenons à ton sujet.

Droit de rectification

Corriger tes données personnelles directement dans l'application (Paramètres > Compte) ou nous contacter.

Droit à l'effacement

Supprimer ton compte à tout moment (Paramètres > Supprimer le compte). Toutes les données seront effacées dans les 30 jours, sauf obligations légales (factures : 10 ans).

Droit d'opposition

T'opposer au traitement de tes données pour l'analyse ou l'entraînement de l'IA.

Droit à la portabilité

Télécharger tes données dans un format structuré (JSON pour l'export complet du compte, CSV pour l'historique du tracker de poids) pour les transférer ailleurs.

Droit à la limitation

Demander le gel temporaire du traitement des données pendant un litige.

Droit de retirer ton consentement

Lorsque le traitement repose sur ton consentement (analyses, amélioration de l'IA), tu peux le retirer à tout moment dans Paramètres > Confidentialité. Le retrait n'affecte pas la licéité du traitement effectué avant ce retrait.

Droit d'opposition (CCPA)

Les résidents de Californie peuvent refuser la « vente » de données (nous ne vendons pas de données, mais tu peux demander la suppression).

Pour exercer tes droits :
Email : support@workoutgen.app
Délai de réponse : 30 jours maximum
Une vérification d'identité peut être requise pour des raisons de sécurité

Déposer une plainte :
Résidents UE : ton autorité nationale de protection des données ou la CNIL (cnil.fr)
Résidents US : Procureur général de l'État ou FTC (ftc.gov)

10. Cookies et traceurs

WorkoutGen utilise un minimum de cookies et respecte tes choix de confidentialité :

Cookies strictement nécessaires (pas de consentement requis)

• Session utilisateur : pour rester connecté (cookie de session lié à un enregistrement de session côté serveur stocké dans notre base de données)
• Préférences d'interface : thème sombre/clair, langue

Analyses (basées sur le consentement)

• PostHog : Avec ton consentement, nous utilisons des cookies et du stockage local d'analyse pour des mesures identifiées. Sans consentement, l'analyse reste anonyme avec un stockage PostHog en mémoire uniquement : aucun identifiant PostHog n'est conservé en cookie ou localStorage. Ces événements servent à des statistiques agrégées, sont conservés pour une durée limitée et ne sont pas utilisés à des fins publicitaires.

Lors de ta première visite, une bannière de consentement te permet d'accepter ou de refuser les cookies analytiques non essentiels. Ton choix est stocké localement et peut être modifié à tout moment dans Paramètres > Confidentialité.

11. Confidentialité des enfants

WorkoutGen n'est pas destiné aux utilisateurs en dessous de l'âge de consentement numérique de leur pays : 15 ans en France (au titre de la transposition française du RGPD), 16 ans dans les pays ayant conservé le seuil par défaut du RGPD, et 13 ans aux États-Unis (COPPA) et au Royaume-Uni. Nous ne collectons pas sciemment de données d'enfants en dessous de ces seuils.

Si nous découvrons que des données d'enfant ont été collectées sans consentement parental, nous les supprimerons immédiatement.

Les utilisateurs âgés de 15 à 17 ans doivent avoir le consentement de leurs parents/tuteurs avant de sauvegarder leur programme.

12. Signaux « Do Not Track »

Certains navigateurs proposent des signaux « Do Not Track » (DNT). WorkoutGen ne répond pas actuellement aux signaux DNT, mais nous minimisons le suivi par défaut (pas de publicités, pas de traceurs tiers).

13. Mises à jour de la politique

Nous pouvons mettre à jour cette Politique de confidentialité pour refléter les changements légaux ou les nouvelles fonctionnalités. Nous t'informerons des changements significatifs par email ou notification dans l'application.

La date de dernière modification est affichée en haut de cette page.

14. Contact et DPO

Pour toute question sur la protection des données :

Email : support@workoutgen.app

Téléphone : +33 7 84 07 11 53

Adresse postale : JCODE, 25 rue de Ponthieu, 75008 Paris, France

Délégué à la Protection des Données (DPO) : Jean-Baptiste Thery (même email)

Autorité de contrôle UE (CNIL) :

Commission Nationale de l'Informatique et des Libertés

3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France

Tél : +33 1 53 73 22 22

Site web : www.cnil.fr