1. Protection des données personnelles
2A CONSULTING s'engage à protéger les données personnelles de ses utilisateurs conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés).
Responsable de traitement :
2A CONSULTING
Email : contact@athleteside.com
Délégué à la protection des données (DPO) :
Joignable par email à contact@athleteside.com
Pour toute question relative à la protection de vos données personnelles, vous pouvez nous contacter à l'adresse ci-dessus.
2. Données collectées
Nous collectons différentes catégories de données en fonction de votre utilisation de la plateforme :
Données d'identification : nom, prénom, adresse email, mot de passe (haché), photo de profil, date de naissance.
Données de connexion : adresse IP, type de navigateur, système d'exploitation, pages consultées, date et heure de connexion, URL de provenance.
Données de paiement : les informations de carte bancaire sont traitées exclusivement par notre prestataire de paiement Stripe. Nous ne stockons jamais vos numéros de carte bancaire sur nos serveurs. Nous conservons les références de transaction, montants et dates de facturation.
Données sportives : historique d'activités (via Strava, Garmin Connect ou saisie manuelle), performances, fréquence cardiaque, données GPS de parcours, objectifs sportifs, niveau de forme.
Données de coaching : messages échangés entre coach et athlète, plans d'entraînement assignés, avis et évaluations.
Données d'interaction avec l'IA : historique des conversations avec le Coach IA, questions posées, profil sportif transmis à l'IA.
Données de géolocalisation : adresse IP géolocalisée (MaxMind GeoIP), localisation des événements et clubs.
Données de navigation : cookies, identifiants de session, préférences d'affichage, données d'audience (voir section Cookies).
Données de communication : adresse email pour la newsletter, préférences de notification.
3. Bases légales des traitements
Chaque traitement de données personnelles repose sur une base légale conforme à l'article 6 du RGPD :
Exécution du contrat (art. 6.1.b) :
- Création et gestion de votre compte utilisateur
- Traitement de vos commandes et paiements (abonnements Prime, plans d'entraînement, coaching)
- Fourniture du service de coaching (messagerie, plans, suivi)
- Mise en relation via la marketplace
- Accès au Coach IA (pour les abonnés Prime)
- Export de séances vers Strava / Garmin Connect
- Envoi de la newsletter et communications commerciales
- Connexion de votre compte Strava ou Garmin (accès à vos données d'activité sportive)
- Connexion via un service tiers (Google, Facebook, Apple)
- Dépôt de cookies non essentiels (analytics, publicitaires)
- Amélioration de la plateforme et analyse d'audience
- Prévention de la fraude et sécurité du site (reCAPTCHA, rate limiting)
- Suivi des conversions et performance des fonctionnalités
- Conservation des factures et données de transaction (obligations fiscales et comptables)
- Réponse aux réquisitions judiciaires
4. Finalités des traitements
Vos données personnelles sont traitées pour les finalités suivantes :
- Gestion des comptes : inscription, authentification, gestion du profil utilisateur.
- Services payants : traitement des paiements, gestion des abonnements (Prime, coaching), émission des factures, versement des commissions aux coachs.
- Coaching : mise en relation coach/athlète, messagerie, suivi des séances, évaluations.
- Intelligence artificielle : fourniture du Coach IA, personnalisation des recommandations d'entraînement.
- Données sportives : synchronisation avec Strava et Garmin, export de séances, calculs de performance.
- Marketplace : publication et gestion d'annonces, messagerie entre vendeur et acheteur.
- Communication : envoi de la newsletter, notifications transactionnelles (confirmation de commande, relance de paiement, expiration de carte), emails de service.
- Parrainage : suivi des parrainages, attribution des récompenses.
- Analyse et amélioration : mesure d'audience, analyse des parcours utilisateur, optimisation du site.
- Sécurité : détection de fraude, protection contre les abus (reCAPTCHA), journalisation des accès.
5. Intelligence artificielle
AthleteSide utilise des services d'intelligence artificielle fournis par OpenAI (OpenAI, L.L.C., San Francisco, États-Unis) pour les fonctionnalités suivantes :
- Coach IA : Assistant conversationnel d'entraînement, nutrition et stratégie de course. Les messages que vous envoyez au Coach IA sont transmis à l'API OpenAI pour générer des réponses.
- Génération de contenu : Certains articles et descriptions peuvent être générés ou enrichis par IA.
- Traduction : Assistance à la traduction de contenus dans les différentes langues du site.
Absence de décision automatisée : L'IA fournit des recommandations à titre informatif. Aucune décision produisant des effets juridiques ou affectant significativement l'utilisateur n'est prise de manière automatisée sur la seule base d'un traitement algorithmique.
Les données transmises à OpenAI font l'objet d'un transfert hors UE (voir section « Transferts hors UE »).
6. Données de paiement
Les paiements sur AthleteSide sont traités par Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irlande).
Données traitées par Stripe : numéro de carte bancaire, date d'expiration, cryptogramme visuel, nom du titulaire. Ces données sont collectées et traitées directement par Stripe dans un environnement certifié PCI-DSS Niveau 1. AthleteSide ne stocke jamais vos données de carte bancaire.
Données conservées par AthleteSide : identifiant client Stripe, 4 derniers chiffres de la carte, type de carte, date d'expiration, historique des transactions (montants, dates, statuts), factures.
Pour les coachs : les versements de commissions sont effectués via Stripe Connect. Le coach fournit ses coordonnées bancaires (IBAN, BIC) directement à Stripe.
Politique de confidentialité de Stripe : https://stripe.com/fr/privacy
7. Connexion via services tiers
AthleteSide permet la connexion et l'inscription via les services tiers suivants :
Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande) — Données récupérées : nom, prénom, adresse email, photo de profil.
Facebook (Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irlande) — Données récupérées : nom, prénom, adresse email, photo de profil.
Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irlande) — Données récupérées : nom, adresse email (possiblement relayée via le service « Hide My Email »).
Strava (Strava, Inc., San Francisco, États-Unis) — Données récupérées : nom, prénom, photo de profil, données d'activités sportives (voir section « Données sportives »).
L'utilisation de ces services de connexion est facultative et soumise à votre consentement. Vous pouvez à tout moment déconnecter un service tiers depuis les paramètres de votre compte. Seules les données nécessaires à la création ou à la connexion de votre compte sont récupérées.
8. Données sportives et de santé
Certaines fonctionnalités de AthleteSide impliquent le traitement de données relatives à la santé au sens de l'article 9 du RGPD, notamment :
- Fréquence cardiaque (données importées depuis Strava ou Garmin Connect)
- Données d'activité physique : distance, durée, allure, dénivelé, puissance, cadence
- Données GPS : tracés de parcours
- Objectifs sportifs et niveau de forme
Strava (Strava, Inc., San Francisco, États-Unis) — Nous accédons à vos activités sportives via l'API Strava. Vous pouvez révoquer cet accès à tout moment depuis les paramètres de votre compte Strava.
Garmin Connect (Garmin Ltd., Schaffhausen, Suisse / Garmin International, Inc., Olathe, Kansas, États-Unis) — Nous exportons des séances vers votre compte Garmin. La connexion peut être révoquée depuis les paramètres Garmin.
Vous pouvez à tout moment supprimer vos données sportives depuis les paramètres de votre compte AthleteSide.
9. Sous-traitants et destinataires des données
Vos données personnelles peuvent être transmises aux sous-traitants suivants, agissant sur instruction de 2A CONSULTING :
| Sous-traitant | Service | Données concernées | Localisation |
|---|---|---|---|
| Amazon Web Services (AWS) | Hébergement | Toutes les données | UE (Irlande / France) |
| Stripe | Paiements | Données de paiement, identité | Irlande / États-Unis |
| SendGrid (Twilio) | Envoi d'emails | Adresse email, contenu des emails | États-Unis |
| OpenAI | Intelligence artificielle | Conversations IA, profil sportif | États-Unis |
| reCAPTCHA, Analytics, OAuth | Adresse IP, données de navigation | Irlande / États-Unis | |
| Plausible Analytics | Analyse d'audience | Données de navigation anonymisées | UE |
| MaxMind (GeoIP2) | Géolocalisation IP | Adresse IP | États-Unis |
| Meta (Facebook) | OAuth, partage social | Identité (si connexion sociale) | Irlande / États-Unis |
| Apple | OAuth (Sign In with Apple) | Identité (si connexion sociale) | Irlande |
| Strava | Sync activités sportives | Données d'activité physique | États-Unis |
| Garmin | Export de séances | Séances d'entraînement | Suisse / États-Unis |
| Effiliation | Affiliation commerciale | Données de navigation (cookies) | France |
Aucune donnée personnelle n'est vendue à des tiers.
10. Transferts de données hors UE
Certains de nos sous-traitants sont situés en dehors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par les garanties suivantes, conformément au chapitre V du RGPD :
EU-US Data Privacy Framework : Stripe, Google, Meta et d'autres sous-traitants américains sont certifiés au titre du Data Privacy Framework, reconnu par la Commission européenne comme offrant un niveau de protection adéquat (décision d'adéquation du 10 juillet 2023).
Clauses Contractuelles Types (SCCs) : Pour les sous-traitants non couverts par le Data Privacy Framework, des Clauses Contractuelles Types approuvées par la Commission européenne sont mises en place.
Sous-traitants concernés par un transfert hors UE :
- Stripe (États-Unis) — Data Privacy Framework
- SendGrid / Twilio (États-Unis) — SCCs
- OpenAI (États-Unis) — SCCs + Data Processing Agreement
- Google (États-Unis) — Data Privacy Framework
- MaxMind (États-Unis) — SCCs
- Strava (États-Unis) — SCCs
11. Cookies et traceurs
Le site https://www.athleteside.com utilise des cookies et traceurs. Pour une information détaillée, consultez notre page dédiée aux cookies.
Résumé des catégories de cookies utilisés :
- Cookies strictement nécessaires : Session utilisateur, authentification, panier, CSRF, préférence de langue. Ces cookies ne nécessitent pas votre consentement.
- Cookies analytiques : Google Analytics, Plausible Analytics — mesure d'audience et amélioration du site.
- Cookies fonctionnels : Mémorisation de vos préférences (comparateur produits, filtres).
- Cookies tiers : reCAPTCHA (Google), boutons de partage social, contenus intégrés (vidéos).
12. Durées de conservation
Vos données sont conservées pendant les durées suivantes :
| Type de données | Durée de conservation |
|---|---|
| Compte utilisateur | Durée du compte + 3 ans après suppression |
| Données de paiement et factures | 10 ans (obligation comptable — art. L123-22 du Code de commerce) |
| Données de coaching (messages, plans) | Durée de l'abonnement + 1 an |
| Conversations Coach IA | Durée du compte (supprimables par l'utilisateur) |
| Données d'activités sportives | Durée du compte (supprimables par l'utilisateur) |
| Newsletter | Jusqu'au désabonnement |
| Logs de connexion | 12 mois (obligation légale — LCEN) |
| Données d'audience (analytics) | 26 mois maximum |
| Cookies | 13 mois maximum (recommandation CNIL) |
| Annonces marketplace | Durée de publication + 6 mois |
| Données de parrainage | Durée du compte parrain |
À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
13. Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès (art. 15 RGPD) : Obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie.
- Droit de rectification (art. 16 RGPD) : Faire corriger des données inexactes ou incomplètes.
- Droit à l'effacement (art. 17 RGPD) : Demander la suppression de vos données, sous réserve des obligations légales de conservation.
- Droit à la portabilité (art. 20 RGPD) : Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
- Droit d'opposition (art. 21 RGPD) : Vous opposer au traitement de vos données pour des motifs légitimes, ou vous opposer à la prospection commerciale.
- Droit à la limitation (art. 18 RGPD) : Demander la suspension du traitement de vos données dans certains cas.
- Droit de retrait du consentement : Retirer votre consentement à tout moment (newsletter, cookies, connexion sociale, données sportives), sans affecter la licéité du traitement antérieur.
- Directives post-mortem (art. 85 Loi Informatique et Libertés) : Définir des directives relatives au sort de vos données après votre décès.
14. Exercer vos droits
Pour exercer vos droits, vous pouvez :
- Envoyer un email à contact@athleteside.com en précisant votre demande et en joignant un justificatif d'identité.
- Utiliser les fonctionnalités de votre compte : modifier vos informations, supprimer votre compte, gérer vos abonnements, déconnecter les services tiers (Strava, Google, etc.).
En cas de difficulté dans l'exercice de vos droits, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Site web : www.cnil.fr
15. Sécurité des données
2A CONSULTING met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données personnelles :
- Chiffrement en transit : Toutes les communications sont sécurisées via HTTPS/TLS.
- Chiffrement au repos : Les données sensibles sont chiffrées dans la base de données.
- Hachage des mots de passe : Les mots de passe sont hachés avec un algorithme sécurisé (bcrypt) et ne sont jamais stockés en clair.
- Contrôle d'accès : Accès restreint aux données par rôle (RBAC), authentification renforcée pour les administrateurs.
- Paiements sécurisés : Traitement PCI-DSS via Stripe — aucune donnée de carte bancaire ne transite par nos serveurs.
- Protection contre les abus : Rate limiting, reCAPTCHA, protection CSRF, détection d'intrusion.
- Sauvegardes : Sauvegardes régulières et chiffrées des données.
- Mises à jour : Application régulière des correctifs de sécurité.
16. Mineurs
Le site AthleteSide n'est pas destiné aux enfants de moins de 15 ans (âge du consentement numérique en France, conformément à l'article 7-1 de la loi Informatique et Libertés).
Les utilisateurs âgés de 15 à 18 ans doivent obtenir l'autorisation de leur représentant légal pour créer un compte et utiliser les services, en particulier les services payants.
Si nous apprenons que des données ont été collectées concernant un enfant de moins de 15 ans sans le consentement du titulaire de l'autorité parentale, nous prendrons les mesures nécessaires pour supprimer ces données dans les meilleurs délais.