Politique de confidentialité
Version
2026-08-28. Dernière mise à jour : 28 août 2026 (l'application et la base de données sont désormais hébergées chez Hetzner, en Allemagne). Cette politique décrit les traitements de données personnelles pour lesquels JYMA est responsable de traitement. Lorsqu'un Coach suit des Athlètes, le Coach est responsable de traitement de leurs données et JYMA agit en sous‑traitant (voir l'Accord de sous‑traitance (DPA)).
1. Responsable de traitement & contact
Responsable : Jean‑Baptiste Lebrun – Entrepreneur individuel (EI), exploitant « JYMA », SIRET 103 428 496 00014, 822 avenue de Vaugrenier, 06270 Villeneuve‑Loubet, France.
Point de contact « protection des données » : [email protected] (à défaut [email protected]). Aucun délégué à la protection des données (DPO) n'est désigné à ce jour ; toute demande relative à vos données peut être adressée à ce contact.
Autorité de contrôle : CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
2. Données que nous collectons
- Compte : prénom, nom, adresse e‑mail, mot de passe (stocké haché, jamais en clair), rôle, date de naissance.
- Profil sportif : discipline, poids de corps, records, unités et préférences.
- Données d'entraînement : séries réalisées (charges, répétitions, RPE), retours de séance, check‑ins (énergie, sommeil, notes), éventuelles mentions de blessures.
- Médias : photos, vidéos, messages vocaux que vous envoyez, et leurs métadonnées.
- Suivi physique (discipline musculation) : photos de votre physique (face, profil, dos), mensurations (cou, poitrine, bras, taille, hanches, cuisse, mollet), poids et notes associées — uniquement si vous ou votre Coach les renseignez.
- Messagerie : contenu des messages échangés avec votre Coach ou vos Athlètes.
- Paiement : données de transaction traitées par Stripe ; JYMA ne stocke pas votre numéro de carte.
- Données techniques : journaux de connexion et de sécurité (adresse IP, horodatage, type d'appareil/navigateur), jetons de notification push, journaux d'erreurs.
- Provenance de votre compte : lorsque vous arrivez sur notre site par un lien que nous avons publié (réseau social, e-mail, message), ce lien porte une étiquette d'origine (par exemple « instagram ») que nous enregistrons sur votre compte à l'inscription. Elle nous sert uniquement à savoir quels canaux nous font connaître. Elle ne dit rien de votre navigation, n'est jamais transmise à un tiers, et vous pouvez nous en demander la suppression.
- Mesure d'audience interne : événements d'usage (page consultée, ouverture de l'application, séance terminée, message envoyé…) avec leur horodatage, sans adresse IP. Traitée uniquement par nos soins, jamais transmise à un tiers (voir la Politique cookies).
3. Données relatives à votre condition physique (données sensibles)
Certaines données (blessures, photos de votre physique, mensurations, et par recoupement poids de corps, sommeil, énergie) peuvent constituer des données de santé ou de condition physique au sens de l'article 9 du RGPD. Nous les traitons uniquement sur la base de votre consentement explicite, recueilli séparément (case dédiée) ou manifesté par la fourniture volontaire de ces éléments dans un écran qui vous en annonce la portée, afin d'adapter votre suivi d'entraînement. Ces informations sont facultatives et vous pouvez retirer votre consentement à tout moment — supprimer une photo ou un point de suivi physique l'efface définitivement de nos serveurs de stockage.
Qui y accède : votre Coach, et — si votre suivi s'inscrit dans une structure (salle, cabinet, écurie) — les intervenants de cette structure autorisés sur votre fiche (responsables de la structure et intervenants qui vous sont affectés, par exemple un kinésithérapeute), selon la même règle d'accès que le reste de votre dossier. Ces photos n'apparaissent jamais dans un espace public ni dans un profil partagé entre athlètes.
N'y renseignez pas d'informations médicales détaillées non nécessaires. JYMA n'est pas un dispositif médical et ne poursuit aucune finalité de soin.
4. Finalités, bases légales et durées de conservation
| Finalité | Base légale | Durée de conservation |
|---|---|---|
| Création et gestion du compte, authentification | Exécution du contrat (art. 6.1.b) | Durée de la relation ; suppression/anonymisation sous 30 jours après clôture |
| Fourniture du service de coaching (programmes, séries, retours) | Exécution du contrat (6.1.b) | Durée du contrat ; supprimées avec le compte |
| Données de condition physique / santé (blessures, poids, sommeil, énergie, photos de suivi physique et mensurations) | Consentement explicite (9.2.a) | Durée du contrat ; retrait possible à tout moment — la suppression d'une photo l'efface du stockage |
| Médias & messagerie | Exécution du contrat (6.1.b) | Durée du contrat |
| Notifications push | Consentement (autorisation de l'appareil) / intérêt légitime pour les notifs de service | Jusqu'à désactivation ou suppression du compte |
| Paiement et abonnement | Exécution du contrat (6.1.b) + obligation légale | Via Stripe ; JYMA ne conserve pas les données de carte |
| Comptabilité / facturation | Obligation légale (6.1.c) | 10 ans (art. L123‑22 C. com.) |
| Sécurité, prévention de la fraude, correction de bugs | Intérêt légitime (6.1.f) | Journaux d'erreurs 6 à 12 mois |
| Mesure d'audience interne (pages consultées, ouvertures de l'application, actions clés) — améliorer le Service, sans aucun outil ni partage tiers, sans adresse IP | Intérêt légitime (6.1.f) | Détail des événements 90 jours ; au‑delà, seuls des totaux agrégés non rattachables à une personne |
| Provenance du compte (l'étiquette du lien par lequel vous êtes arrivé, ex. « instagram ») — mesurer quels canaux nous font connaître | Intérêt légitime (6.1.f) | Durée de vie du compte |
| Journaux de connexion / sécurité | Intérêt légitime + obligation légale | 12 mois maximum |
| Support et réclamations | Intérêt légitime / contrat | Durée de traitement + prescription |
| Preuve des consentements et acceptations | Obligation légale (art. 7.1) | Durée du consentement + 3 ans |
Compte inactif : après 24 mois d'inactivité, votre compte fait l'objet d'une relance par e‑mail, puis d'une suppression ou anonymisation à défaut de réactivation.
5. Destinataires
- Votre Coach est destinataire des données d'entraînement et de condition physique des Athlètes qu'il suit (c'est l'objet même du Service).
- Si votre suivi s'inscrit dans une structure (salle, cabinet, écurie), les intervenants autorisés sur votre fiche (responsables et intervenants affectés) accèdent aux mêmes données de suivi, y compris le suivi physique.
- Nos sous‑traitants techniques (article 6).
- Le cas échéant, les autorités compétentes (obligation légale) et nos conseils (avocat, expert‑comptable).
Nous ne vendons ni ne louons vos données. Aucune donnée n'est utilisée à des fins de publicité ou de profilage tiers.
6. Sous‑traitants et transferts hors UE
| Sous‑traitant | Rôle | Localisation | Garantie de transfert hors UE |
|---|---|---|---|
| Hetzner Online GmbH | Hébergement de l'application, de la base de données et des médias | Allemagne (UE) | Aucun transfert hors UE |
| Stripe | Paiement | UE + États‑Unis | Clauses Contractuelles Types (CCT) et/ou EU‑US Data Privacy Framework (DPF) |
| Resend | E‑mails transactionnels | États‑Unis | CCT / DPF |
| Sentry | Monitoring d'erreurs | États‑Unis | CCT / DPF |
| Cloudflare | Site vitrine / CDN / sécurité | États‑Unis (réseau mondial) | CCT / DPF |
| Mistral AI | Assistant d'aide au Coach dans l'application | France (UE) | Traitement en UE ; CCT pour les éventuels sous‑traitants de Mistral hors UE |
Chaque sous‑traitant est lié par un accord de sous‑traitance (art. 28 RGPD). Une copie des garanties de transfert peut être demandée à [email protected].
6.1 Ce qui est envoyé à l'assistant d'aide
L'assistant intégré à l'espace Coach s'appuie sur Mistral AI pour formuler ses réponses. Nous limitons strictement ce qui lui est transmis :
- la question du Coach, dont les prénoms et noms de ses athlètes sont remplacés par des pseudonymes avant l'envoi, puis rétablis à l'affichage ;
- des extraits du manuel de l'application ;
- le nom de l'écran consulté (« la fiche d'un bloc »), jamais l'adresse ni un identifiant ;
- lorsque le Coach consulte un bloc d'entraînement ou une séance, un résumé chiffré de cet écran (nombre de semaines, charges, pourcentages, RPE prescrits et réalisés).
Ce résumé ne contient aucun nom, aucun texte libre (ni note du Coach, ni commentaire de l'athlète) et aucune donnée de santé : ni douleur, ni fréquence cardiaque, ni aucune donnée du suivi santé. L'entraînement des modèles de Mistral sur nos données est désactivé.
7. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité (notamment l'export de vos données d'entraînement), d'opposition, de retrait de votre consentement à tout moment (données de santé, notifications), et de définition de directives post‑mortem. Pour les exercer : [email protected]. Nous répondons dans un délai d'un mois ; un justificatif d'identité peut être demandé en cas de doute. Pour les données traitées pour le compte de votre Coach, votre demande peut être relayée à ce dernier. Vous pouvez introduire une réclamation auprès de la CNIL.
8. Mineurs
L'inscription autonome est réservée aux personnes de 15 ans ou plus. Pour un mineur de moins de 15 ans suivi via le compte d'un Coach, le Coach garantit avoir recueilli le consentement du ou des titulaires de l'autorité parentale. Les représentants légaux peuvent exercer les droits ci‑dessus pour le compte du mineur. Aucun profilage ni démarchage publicitaire n'est réalisé sur les mineurs.
9. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées (art. 32 RGPD) : mots de passe hachés, chiffrement des échanges (TLS), contrôle et cloisonnement des accès entre Coach et Athlètes, journalisation, et procédure de notification en cas de violation de données (sous 72 h à la CNIL lorsque requis).
10. Cookies
L'usage des cookies et traceurs est décrit dans la Politique cookies.
11. Modifications
Cette politique peut évoluer ; la version applicable est datée et versionnée. Toute modification substantielle fait l'objet d'une information et, le cas échéant, d'un recueil de consentement.