Politique de confidentialité

La société SYNERGY PERFORMANCE, SAS (ci-après « Synergy » ou « nous ») accorde une importance particulière à la protection de vos données personnelles. La présente politique explique quelles données nous collectons, pourquoi, sur quelle base légale, avec qui nous les partageons, combien de temps nous les conservons, et quels sont vos droits.

Cette politique s'applique à l'ensemble des services Synergy : site internet et application web accessibles à l'adresse synergyperformance.fr et ses sous-domaines (incluant les espaces coach, athlète et coaching), et application mobile Synergy Performance iOS/Android (ci-après « les Services »).

Elle est élaborée conformément au Règlement (UE) 2016/679 (« RGPD »), à la Loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés ») et à la directive 2002/58/CE (« ePrivacy »).

Synergy intervient avec deux statuts différents selon le contexte d'utilisation.

2.1 Synergy en tant que responsable de traitement

Nous sommes responsable de traitement (au sens de l'article 4-7 du RGPD) lorsque nous déterminons les finalités et les moyens du traitement. C'est le cas pour :

• Les comptes coachs (gestion du compte, abonnement, facturation, support, communication marketing)
• Les comptes athlètes individuels s'inscrivant sans être invités par un coach (utilisateurs en mode autonome, gratuit ou payant)
• L'analyse statistique et les mesures techniques du fonctionnement des Services

2.2 Synergy en tant que sous-traitant

Nous sommes sous-traitant (au sens de l'article 4-8 et de l'article 28 du RGPD) lorsque nous traitons des données pour le compte d'un coach. C'est le cas pour :

• Les données des athlètes invités par un coach sur la plateforme (ses clients) : programmes assignés, suivi des performances, bilans, photos de progression, données nutritionnelles renseignées dans le cadre du suivi par le coach
• Les données de paiement des clients d'un coach lorsque celui-ci relie à Synergy le compte Stripe ou GoCardless sur lequel il les encaisse (voir section 3.8), y compris pour des clients qui ne sont pas inscrits sur Synergy

Dans cette configuration, le coach est responsable de traitement des données de ses athlètes ; il définit la finalité et les moyens du traitement, et c'est lui qui doit informer ses athlètes, recueillir leur consentement et répondre à leurs demandes d'exercice de droits. Synergy n'agit qu'en exécution des instructions du coach, dans le cadre d'un Accord de sous-traitance (DPA) accepté par chaque coach à son inscription.

2.3 Cas particulier : athlète passant de l'usage solo à l'invitation par un coach

Si vous avez initialement créé un compte en solo (Synergy responsable) puis que vous êtes ensuite invité par un coach :

• Les données de votre compte (email, mot de passe, identifiants, abonnement éventuel) restent sous la responsabilité de Synergy
• Les données partagées avec votre coach (programmes que vous suivez avec lui, bilans, photos de progression, etc.) passent sous la responsabilité de ce coach

Vous restez libre de vous désaffilier d'un coach à tout moment depuis l'application. Les données traitées par le coach pourront alors être supprimées sur sa demande, selon ses propres règles.

3.1 Données d'identification

• Nom, prénom, nom d'utilisateur
• Adresse email
• Date de naissance, genre
• Photo de profil (optionnelle)

3.2 Données de santé et de forme physique

⚠️ Données sensibles (RGPD Article 9) : ces données sont collectées uniquement avec votre consentement explicite donné à l'inscription. Vous pouvez retirer ce consentement à tout moment depuis les paramètres de votre compte ; dans ce cas, votre utilisation des Services sera limitée car ces données sont au cœur de notre service.

• Poids, taille, IMC
• Mensurations corporelles (tour de taille, poitrine, hanches, cuisses, bras, etc.)
• Pourcentage de masse grasse
• Objectifs de santé (perte/prise de poids, alimentation)
• Statut grossesse/allaitement (si renseigné)
• Photos de progression corporelle (optionnelles)

3.3 Données d'entraînement

• Historique des séances d'entraînement
• Exercices réalisés, séries, répétitions, charges, temps de repos
• Objectifs de pas et cardio quotidiens
• Données d'activité physique importées depuis HealthKit / Health Connect (voir section 4)

3.4 Données nutritionnelles

• Objectifs nutritionnels (calories, protéines, glucides, lipides)
• Journal alimentaire quotidien
• Recettes et plans de repas créés ou utilisés

3.5 Données de coaching (si vous êtes coaché)

• Bilans et check-ins avec votre coach
• Réponses aux questionnaires de suivi
• Notes et commentaires laissés par votre coach
• Appartenance à une équipe ou un club

3.6 Données techniques

• Adresse IP, type de navigateur, langue
• Modèle d'appareil, système d'exploitation, version de l'application
• Identifiants de connexion (Google, Apple)
• Token de notifications push
• Date de dernière connexion
• Journaux de connexion (logs de sécurité)

3.7 Données collectées pour la publicité (consentement marketing uniquement)

Si — et uniquement si — vous avez accepté la catégorie « Marketing » dans la bannière de consentement Axeptio, nous transmettons à Meta Platforms Ireland Limited, au moment de votre inscription et de vos interactions clés (début d'essai, abonnement) :

• Vos identifiants, systématiquement hachés (SHA-256, procédé à sens unique) : adresse email, numéro de téléphone, prénom, nom, date de naissance et identifiant interne de votre compte. Meta ne reçoit jamais ces informations en clair : elles sont hachées avant tout envoi, que celui-ci vienne de nos serveurs ou du Meta Pixel dans votre navigateur.
• Vos données techniques : votre adresse IP, votre User-Agent (navigateur et système), et les cookies Meta _fbp et _fbc posés par le Meta Pixel (identifiants techniques liés à l'attribution publicitaire Facebook/Instagram).

Meta rapproche les empreintes hachées reçues de celles de ses propres utilisateurs (« correspondance avancée ») afin d'attribuer nos campagnes publicitaires. Ces données servent uniquement à fiabiliser cette attribution et à améliorer notre ciblage budgétaire ; elles ne nous permettent pas, ni à Meta, d'accéder à des données de santé.

Si vous refusez le consentement marketing, aucune de ces données n'est transmise à Meta et vos données techniques (adresse IP, User-Agent, cookies Meta) ne sont pas conservées dans nos bases. Les données de votre compte (email, téléphone, prénom, nom, date de naissance) restent bien sûr conservées, mais pour le seul fonctionnement du service — cf. les finalités décrites en section 5.

3.8 Données de paiement (si votre coach relie son compte de paiement)

Lorsque votre coach relie à Synergy le compte Stripe ou GoCardless sur lequel il encaisse ses clients, Synergy importe depuis ce compte, pour le compte du coach :

• Votre identité de payeur : nom et adresse email tels qu'enregistrés chez le prestataire de paiement, ainsi que les identifiants techniques attribués par ce prestataire (client, mandat)
• L'historique de vos paiements : montant, devise, statut (réussi, échoué, remboursé…), date et libellé

Synergy ne collecte ni numéro de carte bancaire, ni coordonnées bancaires (IBAN) : ces informations restent chez Stripe ou GoCardless. Ces données permettent à votre coach de suivre vos paiements au même endroit que votre suivi ; Synergy n'y prélève aucune commission.

Vos données proviennent de plusieurs sources :

• Votre saisie directe dans l'application (formulaires de profil, journal alimentaire, séances d'entraînement, etc.)
• Votre coach (programmes assignés, bilans, notes — si vous êtes coaché)
• Apple HealthKit (iOS) et Android Health Connect (Android), avec votre autorisation explicite donnée au sein du système d'exploitation. Nous pouvons lire en lecture seule certaines de vos données d'activité physique (pas, distance, fréquence cardiaque, etc.) pour les afficher dans Synergy et enrichir votre suivi. Apple et Google restent contrôleurs originaux de ces données dans leurs propres systèmes ; Synergy en stocke une copie dans son périmètre une fois importées. Vous pouvez révoquer cette autorisation à tout moment depuis les réglages de votre téléphone.
• Nos sous-traitants techniques (par exemple Stripe pour l'historique de paiement, RevenueCat pour les abonnements mobile)
• Le compte Stripe ou GoCardless de votre coach, lorsque celui-ci le relie à Synergy (données de paiement décrites en section 3.8)

6.1 Avec votre coach

Si vous rejoignez l'équipe d'un coach (sur invitation), celui-ci aura accès aux données nécessaires au coaching : programmes que vous suivez, performances, bilans, données nutritionnelles renseignées dans le cadre du suivi. Toute photo de progression corporelle que vous téléversez est également automatiquement visible par votre coach ; vous pouvez à tout moment la supprimer depuis les paramètres de votre compte ou choisir de ne pas téléverser de photo si vous ne souhaitez pas la partager. Le coach est dans ce cas responsable de traitement (voir section 2.2). Vous pouvez à tout moment vous désaffilier de votre coach depuis l'application.

6.2 Avec nos sous-traitants techniques

La liste exhaustive des sous-traitants figure à la section 7. Chaque sous-traitant est lié à Synergy par un contrat (DPA) garantissant un niveau de protection conforme au RGPD.

6.3 Cas exceptionnels

Vos données peuvent également être partagées :

• Pour répondre à une obligation légale (réquisition judiciaire, contrôle fiscal, etc.)
• Pour protéger nos droits ou la sécurité d'autres utilisateurs
• En cas de fusion, acquisition ou cession d'actifs (avec notification préalable des utilisateurs)
• Avec votre consentement explicite pour tout autre cas

Nous ne vendons jamais vos données personnelles à des tiers.

Tous les sous-traitants listés ci-dessous sont liés à Synergy par un contrat conforme à l'article 28 du RGPD. Les transferts vers les sociétés situées hors Union européenne sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (Décision d'exécution (UE) 2021/914).

7.1 Hébergement et infrastructure

7.2 Paiement et abonnements

Lorsqu'un coach relie son propre compte Stripe ou GoCardless (voir section 3.8), ces prestataires ne sont pas des sous-traitants de Synergy pour ce traitement : ce sont les prestataires de paiement choisis par le coach, auprès desquels Synergy lit les données à sa demande.

7.3 Authentification

7.4 Communication

7.5 Analytics et marketing

Le trafic de collecte PostHog transite par un proxy géré s'appuyant sur l'infrastructure de Cloudflare, Inc., agissant en qualité de sous-traitant ultérieur de PostHog (encadré par le Data Processing Agreement de PostHog et des Clauses Contractuelles Types) ; ce transit peut s'effectuer sur des infrastructures situées hors de l'Union européenne.

7.6 Sécurité et monitoring

Dans le cadre du coaching, certains coachs choisissent d'importer dans Synergy des fichiers d'entraînement existants au format Excel ou Google Sheets pour faciliter la migration de leurs programmes vers la plateforme.

Pour analyser la structure de ces fichiers (identification des colonnes, des séances, des exercices, des séries/répétitions), nous utilisons le service OpenAI API :

• Sous-traitant : OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, États-Unis
• Données transmises : contenu du fichier importé par le coach (qui peut contenir des données d'entraînement nominatives concernant ses athlètes)
• Finalité : extraction de la structure du fichier pour conversion automatique en programmes Synergy
• Rétention : 30 jours côté OpenAI (politique de rétention API), puis suppression
• Transferts : États-Unis, encadrés par les Clauses Contractuelles Types
• Base légale (côté Synergy) : exécution du contrat avec le coach (Synergy agit en tant que sous-traitant du coach pour cette opération ; OpenAI est sous-traitant ultérieur autorisé par le DPA Synergy↔Coach)

Aucun autre traitement IA n'est effectué sur vos données. En particulier, nous ne soumettons pas vos données de santé, de nutrition ou de performance à OpenAI ou à tout autre modèle d'IA pour générer des recommandations.

Un coach peut à tout moment renoncer à utiliser la fonctionnalité d'import IA en ne soumettant simplement pas de fichier.

9.1 Cookies strictement nécessaires (sans consentement)

Ces traceurs sont indispensables au fonctionnement du service et ne nécessitent pas votre consentement (base légale : exécution du contrat, intérêt légitime ou obligation légale). Ils ne passent pas par le CMP Axeptio.

Les cookies d'affiliation ne sont déposés que si vous arrivez sur le site par le lien d'un affilié (adresse contenant ?via=). Ils ne contiennent qu'un identifiant de parrainage et ne servent ni à la publicité ni à la mesure d'audience.

9.2 Cookies soumis à consentement (gérés par Axeptio)

Le CMP Axeptio vous permet d'accepter ou refuser séparément trois catégories :

Vous pouvez modifier vos choix à tout moment via le bouton « Gérer mes cookies » présent en bas de chaque page. Le retrait du consentement est aussi simple que son acceptation.

Le retrait du consentement aux analytiques déclenche automatiquement la suppression des données de mesure associées à votre compte chez PostHog (droit à l'effacement, Art. 17 RGPD).

Certains de nos sous-traitants (DigitalOcean, Cloudflare, OpenAI, Resend, Expo, RevenueCat, Sentry, PromoteKit, ainsi que Meta et Google pour partie) sont des sociétés situées aux États-Unis.

Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (Décision d'exécution (UE) 2021/914 du 4 juin 2021), conformément aux articles 44 à 49 du RGPD.

Conformément à l'arrêt Schrems II de la CJUE (16 juillet 2020, affaire C-311/18), nous avons procédé à une analyse des mesures supplémentaires offertes par chacun de ces prestataires (chiffrement en transit et au repos, restrictions d'accès, transparence sur les requêtes des autorités, etc.) et les considérons comme adéquates au regard de la nature des données transférées.

Conformément aux recommandations de la CNIL, nous appliquons les durées suivantes :

À l'issue de ces durées, vos données sont définitivement supprimées ou anonymisées de manière irréversible. Certaines données peuvent être conservées plus longtemps sous forme anonymisée à des fins statistiques, sans permettre votre identification.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement des données en transit (HTTPS/TLS 1.2+) et au repos pour les fichiers sensibles
• Hachage sécurisé des mots de passe (algorithme scrypt avec sel unique)
• Contrôle d'accès basé sur les rôles (athlète, coach, administrateur)
• Authentification par sessions sécurisées httpOnly et SameSite
• URLs signées pour l'accès aux fichiers privés stockés sur Cloudflare R2
• Surveillance et journalisation des accès et opérations sensibles
• Sauvegardes régulières chiffrées
• Audits de sécurité internes périodiques
• Sensibilisation des équipes aux bonnes pratiques de sécurité

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, vous serez notifié dans les meilleurs délais conformément aux articles 33 et 34 du RGPD, et la CNIL sera notifiée dans les 72 heures.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger vos données inexactes ou incomplètes
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, exerçable directement depuis les paramètres de l'application ou par email
• Droit à la limitation du traitement : restreindre l'utilisation de vos données dans certains cas
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine, ou les transmettre à un autre responsable de traitement
• Droit d'opposition : vous opposer au traitement de vos données fondé sur l'intérêt légitime
• Droit de retirer votre consentement à tout moment, pour les traitements basés sur le consentement (notamment les données de santé). Ce retrait ne remet pas en cause les traitements effectués avant le retrait.
• Directives post-mortem : définir des directives concernant la conservation, la suppression ou la communication de vos données après votre décès

Comment exercer vos droits ? Adressez votre demande à notre Délégué à la Protection des Données (DPO) :

• Email : [email protected]
• Courrier postal : SYNERGY PERFORMANCE — DPO, 60 rue François 1er, 75008 Paris, France

Nous nous engageons à répondre dans un délai d'un mois maximum à compter de la réception de votre demande (délai prolongeable de deux mois en cas de demande complexe, avec notification motivée).

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 Place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07
• Téléphone : 01 53 73 22 22
• Site : https://www.cnil.fr

Les Services sont réservés aux personnes âgées d'au moins 15 ans, conformément à l'article 7-1 de la Loi Informatique et Libertés.

Si nous prenons connaissance qu'un compte appartient à un utilisateur de moins de 15 ans sans consentement parental, nous prendrons les mesures appropriées, pouvant inclure la suspension ou la suppression du compte et de toutes les données associées.

Nous pouvons être amenés à modifier la présente politique de confidentialité, notamment en cas d'évolution de la réglementation, de nouveaux services, ou de changement de sous-traitants. En cas de modification substantielle, nous vous en informerons par email et/ou via l'application au moins 15 jours avant l'entrée en vigueur, afin que vous puissiez prendre connaissance des nouvelles modalités.

Pour toute question relative à cette politique ou à vos données personnelles :

• Délégué à la Protection des Données (DPO) : Arnaud MARTINEZ
• Email : [email protected]
• Adresse postale : SYNERGY PERFORMANCE, 60 rue François 1er, 75008 Paris, France