Politique de confidentialité

MyFitGoo est exploité par deux éducateurs sportifs associés, chacun exerçant sous sa propre entreprise individuelle, au régime du micro-entrepreneur. Ils travaillent ensemble et partagent l'application.

Benjamin QUERRUÉ, éducateur sportif, entrepreneur individuel

4 Allée de la Bergerie, 27430 Saint-Étienne-du-Vauvray, France

Téléphone : 06 58 61 06 25 · E-mail : benjamin@myfitgoo.com

SIRET 10260542500010 · Code NAF 8551Z

Alexis DA SYLVA, éducateur sportif, entrepreneur individuel

3 rue du Château d'Eau, 27350 Hauville, France

E-mail : alexis@myfitgoo.com

SIRET 99144279900011 · Code NAF 8551Z

Parce qu'ils décident ensemble de ce qui est recueilli dans l'application et de ce à quoi cela sert, tous deux sont responsables conjoints du traitement au sens de l'article 26 du RGPD. Concrètement, cela ne change rien pour vous : vous pouvez exercer l'ensemble de vos droits auprès de l'un ou de l'autre, et une demande adressée à un seul suffit. Le point de contact unique est benjamin@myfitgoo.com.

Aucun délégué à la protection des données n'a été désigné. Sa désignation n'est pas obligatoire ici : l'article 37 du RGPD ne l'impose qu'aux organismes publics, à ceux dont l'activité de base est un suivi systématique à grande échelle, ou à ceux qui gèrent à grande échelle des données sensibles. Une structure de deux éducateurs sportifs n'entre pas dans ces cas. Cela ne dispense ni de l'analyse d'impact, ni du registre : voir l'article 13. Si l'activité change d'échelle, ce point sera réexaminé et cette page mise à jour.

---

Elle couvre :

• le site MyFitGoo, myfitgoo.com : les pages de présentation, le formulaire de prise de rendez-vous, le formulaire d'alerte sur la disponibilité de l'application ;
• l'application MyFitGoo, son espace élève et son espace coach ;
• les échanges qui suivent : e-mails, messagerie de l'application, WhatsApp si vous choisissez ce canal ;
• la facturation de l'accompagnement.

Elle ne couvre pas les sites et services tiers vers lesquels un lien pointe. Une salle de sport où se déroulent les séances, un service de messagerie que vous utilisez de votre côté, une application de suivi que vous auriez installée par ailleurs : chacun a ses propres règles.

Une précision qui compte. Benjamin QUERRUÉ, titulaire du BPJEPS Activités de la Forme, option haltérophilie-musculation, et Alexis DA SYLVA, éducateur sportif diplômé d'État, sont éducateurs sportifs. Ils ne sont pas professionnels de santé. Les informations de santé que vous renseignez dans l'application ne constituent pas un dossier médical, ne sont pas couvertes par le secret médical, et ne remplacent l'avis d'aucun médecin. Dès qu'une question porte sur l'alimentation au-delà des repères généraux d'une personne en bonne santé, nous vous orientons vers un diététicien diplômé.

---

3.1 La prise de rendez-vous sur le site

Avec Benjamin QUERRUÉ, la page affiche son agenda, fourni par Calendly. Vous y choisissez un créneau libre, puis vous indiquez votre nom, votre adresse électronique, votre numéro de téléphone, puisque c'est lui qui vous appelle, et, si vous le souhaitez, ce qui peut aider à préparer l'échange. Ces informations sont recueillies et gardées par Calendly, qui pose le rendez-vous dans l'agenda de Benjamin QUERRUÉ et vous en envoie la confirmation par e-mail. Le site MyFitGoo, lui, n'en enregistre rien. Si vous préférez ne pas passer par Calendly, écrivez à benjamin@myfitgoo.com.

Avec Alexis DA SYLVA, le formulaire ne demande que votre prénom, en plus du jour et de l'heure, ni adresse électronique ni numéro de téléphone, et le site n'enregistre rien. Quand vous validez, il ouvre WhatsApp avec un message déjà rédigé, qui contient votre prénom, le créneau et le coach choisis. Ce message part vers le numéro WhatsApp de Benjamin QUERRUÉ, et seulement si vous l'envoyez vous-même depuis WhatsApp. Le créneau vous est ensuite confirmé par ce même canal. Si vous préférez ne pas passer par WhatsApp, écrivez à alexis@myfitgoo.com.

N'écrivez rien de sensible dans un champ libre du site. Ni détail médical, ni traitement en cours, ni coordonnées bancaires. Ces sujets se disent de vive voix lors du premier échange, ou se renseignent dans l'application, qui est faite pour ça.

3.2 L'alerte sur la disponibilité de l'application

Si vous demandez à être prévenu de l'ouverture de l'application seule, seule votre adresse électronique est recueillie : elle est envoyée par courriel à contact@myfitgoo.com, gardée dans cette boîte, et ne sert qu'à vous prévenir de l'ouverture. Le Site lui-même ne l'enregistre pas.

Pour ne plus être prévenu, écrivez à contact@myfitgoo.com.

3.3 WhatsApp et les échanges par e-mail

Les boutons WhatsApp qui servent à écrire au coach, comme la demande de rendez-vous avec Alexis DA SYLVA (article 3.1), ouvrent une conversation avec Benjamin QUERRUÉ, au numéro indiqué à l'article 1. WhatsApp reste facultatif : l'e-mail est toujours possible. Si vous l'utilisez, Meta prend en charge votre numéro et vos messages selon ses propres conditions, en tant que responsable autonome.

Les échanges par e-mail transitent par la messagerie de l'entreprise (voir les articles 8 et 9).

3.4 Le compte dans l'application

Le compte enregistre vos nom et prénom, le pseudo que vous choisissez éventuellement d'afficher à la place de votre nom, votre adresse électronique, votre numéro de téléphone, une empreinte de votre mot de passe qui ne permet pas de retrouver le mot de passe, votre rôle (élève ou coach), le rattachement à votre coach, la date de création et la date et l'heure de votre dernière activité dans l'application. Cette dernière est mise à jour au plus une fois par minute pendant que vous utilisez l'application, et écrasée à chaque fois : aucun historique de vos connexions ni de vos passages n'est conservé. Elle sert à indiquer si vous êtes en ligne, ou depuis quand vous ne l'êtes plus : votre coach voit la vôtre, et vous voyez la sienne. La date de naissance, la taille et le poids décrits à l'article 3.6 sont enregistrés dans cette même fiche. Votre photo de profil, si vous en ajoutez une, est réduite à une vignette puis enregistrée sur le serveur avec votre compte, comme les initiales que vous choisissez. Elle s'affiche chez les personnes reliées à votre compte : votre coach, ou, pour la photo d'un coach, ses élèves et les autres comptes d'administration. Le navigateur n'en garde qu'une copie (article 10).

• Il n'y a pas d'inscription libre. Seul un coach déjà connecté peut créer un compte, et le compte d'un élève est rattaché au coach qui l'a créé.
• Votre coach ne choisit pas et ne reçoit pas votre mot de passe. Le compte est créé sans mot de passe, et un compte sans mot de passe ne peut pas se connecter.
• Le lien de votre premier accès part à la création de votre compte, par courrier électronique à l'adresse que votre coach a saisie, et votre coach peut le renvoyer depuis votre fiche. S'il n'est pas arrivé ou s'il a expiré, le lien « première connexion » de l'écran de connexion en redemande un. Le même mécanisme sert ensuite en cas d'oubli.
• Chaque lien ne fonctionne qu'une fois et expire au bout de 24 heures. Le lien lui-même n'est pas conservé, seule son empreinte l'est, ce qui ne permet pas de le rejouer.
• Votre mot de passe n'est jamais conservé : seule une empreinte calculée par la fonction password_hash de PHP est enregistrée, et elle est recalculée d'elle-même si le niveau de protection de PHP augmente. Le mot de passe fait au minimum douze caractères, et sont refusés ceux qui contiennent le début de votre adresse électronique, l'un des six mots trop courants d'une liste, ou trois caractères différents ou moins.
• Aucun courrier de MyFitGoo ne contient de mot de passe, même provisoire.

Le compte appartient au coach. C'est lui qui le crée et lui qui construit les programmes d'entraînement et les plans. Il ne choisit pas votre mot de passe et ne le connaît pas, et vous pouvez supprimer vous-même votre compte à tout moment, sans passer par lui (article 7). Vous vous y connectez pour suivre votre accompagnement, y enregistrer vos séances et échanger avec votre coach.

Cette appartenance ne touche en rien à vos droits. Les informations qui vous concernent restent les vôtres au sens du RGPD : vous pouvez à tout moment en obtenir une copie, les faire corriger, les récupérer dans un fichier lisible par machine et en demander l'effacement (voir l'article 14). Le fait que le compte soit celui du coach ne lui permet de refuser aucune de ces demandes. Ce que devient l'accès au compte après la fin de l'accompagnement est décrit à l'article 7.

3.5 Ce que l'accompagnement produit

• vos objectifs, votre niveau, vos contraintes et votre disponibilité hebdomadaire ;
• vos séances. Quand vous validez une séance, ce qui part chez votre coach est une notification de fin de séance : son intitulé, le volume soulevé, la durée, le nombre de séries et la note que vous y écrivez, limitée à 400 caractères. Le détail exercice par exercice, avec les charges et les répétitions, est lui aussi enregistré sur le serveur : il forme votre historique de séances, que votre coach voit également ;
• les messages échangés avec votre coach dans la messagerie de l'application : leur texte, limité à 4 000 caractères, leur date et le moment où le destinataire les a lus. Ils sont enregistrés sur le serveur, et seuls vous et votre coach pouvez lire votre conversation. Chaque message produit aussi une notification chez son destinataire, qui en reprend le début ;
• les photos et les vidéos jointes à un message, avec leur légende si vous en écrivez une. Une photo est réduite sur votre téléphone avant l'envoi, à 1 600 pixels au plus sur son grand côté ; une vidéo part telle quelle, 3 minutes et 200 Mo au plus. Le fichier est enregistré sur le serveur, hors de la partie publique du site, sous un nom tiré au hasard, avec une petite image d'aperçu, ses dimensions et, pour une vidéo, sa durée. Seules les deux personnes de la conversation peuvent l'afficher, et seulement tant qu'elles peuvent encore s'écrire. Le serveur interdit à tout navigateur de le garder en cache ;
• vos rendez-vous passés et à venir ;
• le rappel du soir. Chaque jour, à l'heure que vous choisissez dans Profil, Rappels (20:00 si vous n'y touchez pas), dans votre fuseau horaire, le serveur regarde ce qui vous reste à faire ce jour-là, selon vos réglages : la séance du jour à valider, le dîner du plan à cocher, une gêne à confirmer, la pesée du jour, l'eau et les pas si vous l'avez choisi. S'il reste quelque chose, un seul rappel part : il entre toujours dans la cloche de l'application, et arrive aussi sur votre téléphone si vous y avez activé les notifications (article 3.7). Son texte reste générique : il dit « gêne à confirmer », jamais la zone du corps. Pour ne jamais l'envoyer deux fois, le serveur note chaque jour où ce rappel a été traité, qu'il soit parti ou non, et efface cette trace au bout de 60 jours.

3.6 Les données de santé

Traitées à part, à l'article 4. Ce qui est enregistré sur le serveur aujourd'hui : votre sexe, votre date de naissance (dès qu'elle est connue, votre âge n'est plus enregistré : il se recalcule à chaque affichage), votre taille en centimètres, votre poids en kilos, votre niveau, votre activité, votre objectif et votre nombre de séances par semaine, ainsi que l'historique de vos objectifs : pour chaque étape, son type, ses dates, le poids de départ, le poids visé et le poids atteint. Chaque pesée est enregistrée avec sa date, une par jour : une deuxième pesée le même jour remplace la première. Le serveur garde ainsi la courbe de vos pesées, et votre fiche porte la dernière.

Sont aussi enregistrés sur le serveur : les gênes et les douleurs que vous signalez, avec leur zone, le côté, leur niveau, votre commentaire et leur date, et votre coach en est prévenu ; les mensurations que vous notez, en centimètres et datées ; les photos d'évolution que vous ajoutez (article 5). Seuls vous et votre coach y avez accès.

3.7 Les données techniques

L'application enregistre très peu de données techniques, et aucune adresse IP.

• Aucune adresse IP, aucune page consultée ne sont enregistrées par l'application, ni aucun identifiant de navigateur, à une exception près : l'adresse d'abonnement d'un téléphone où vous activez les notifications (ci-dessous).
• Aucune trace n'est gardée de la consultation d'une fiche. Quand votre coach ouvre votre dossier, rien n'est écrit. Il n'existe aucune table de journal dans la base.
• Les traces horodatées de votre passage sont la date et l'heure de votre dernière activité, écrasée à chaque mise à jour (article 3.4), le moment où vous lisez un message ou une notification, qui fait apparaître « Vu » chez l'expéditeur d'un message, et, sur un téléphone où les notifications sont activées, la date de la dernière ouverture de l'application, écrasée elle aussi (ci-dessous).
• Un compteur anti-abus retient les échecs de connexion et les demandes de lien, rattachés à l'adresse électronique saisie, et les envois faits depuis votre compte, dont les séances, les messages, les photos et les vidéos, rattachés au numéro de votre compte. Jamais à une adresse IP. Ses lignes de plus de 24 heures sont supprimées automatiquement dès le contrôle suivant.
• Les notifications sur votre téléphone sont facultatives. Vous les activez vous-même, depuis l'écran Rappels, avec le bouton « Activer » puis l'autorisation que demande le téléphone. Pour chaque téléphone où elles sont activées, le serveur garde : l'adresse d'abonnement fournie par le service de notification du téléphone, deux clés de chiffrement, le fuseau horaire du téléphone, un compteur d'envois refusés, la date d'enregistrement et celle de la dernière ouverture de l'application. « Désactiver » et la déconnexion les coupent sur ce téléphone et retirent cet abonnement du serveur. Faite sans réseau, la déconnexion retire cet abonnement au retour du réseau, ou à la prochaine ouverture de l'application. Un abonnement que le service de notification déclare disparu, ou qui a échoué 30 fois de suite, est effacé automatiquement. Ce qui part vers le téléphone, et par où, est décrit aux articles 8 et 9.
• Le fuseau horaire de votre téléphone est envoyé à chaque ouverture de l'application et gardé sur votre compte : il sert à faire partir le rappel du soir à votre heure.
• Les erreurs techniques du serveur ne sont jamais affichées : elles partent dans le journal de l'hébergeur. En plus des erreurs de PHP lui-même, l'application y écrit huit sortes de messages : un envoi de courrier refusé, qui contient l'adresse électronique du destinataire ; une notification refusée et une suppression de compte qui a échoué, qui contiennent des numéros de compte ; une ouverture d'objectif qui a échoué ; une image refusée par la base ; une notification qui n'a pas pu partir vers un téléphone, avec, si le service de notification l'a refusée, son code, le nom du service et le début de sa réponse ; un incident sur une photo ou une vidéo de la messagerie, qui peut contenir le numéro de la pièce jointe, son nom de fichier tiré au hasard ou le numéro d'un compte supprimé ; une erreur d'affichage de l'application, avec son message et le numéro du compte connecté.
• Une erreur d'affichage de l'application montre son détail technique à l'écran, pour pouvoir la signaler. Elle part aussi sur le serveur, avec la page, la taille de l'écran, le navigateur utilisé et le compte connecté, mais aucune donnée que vous avez saisie. Seuls les coachs peuvent la relire, et elle est effacée au bout de soixante jours.

---

C'est le point le plus sensible de cette page. Il mérite d'être lu en entier.

4.1 Pourquoi ces informations sont particulières

Le poids, les mensurations, les gênes et douleurs signalées, et les photos du corps sont des données concernant la santé au sens de l'article 4.15 du RGPD. L'article 9.1 en interdit le traitement par principe. Il n'existe que quelques exceptions, listées à l'article 9.2.

4.2 La base retenue : votre consentement explicite

La seule exception praticable ici est celle de l'article 9.2.a du RGPD : votre consentement explicite. Les autres ne s'appliquent pas. En particulier, l'exception de médecine préventive de l'article 9.2.h suppose un professionnel de santé soumis au secret médical, ce que n'est pas un éducateur sportif.

Ce consentement a deux caractéristiques, et elles ne sont pas négociables :

Aucune stipulation des conditions générales ne peut faire du retrait de ce consentement une résiliation, une faute ou un motif de fin d'accompagnement. Une clause de ce type rendrait le consentement non libre, donc invalide, et priverait de base légale l'ensemble du traitement des données de santé. C'est cette page qui fait foi sur ce point.

Le questionnaire de santé. Avant de commencer, chaque personne accompagnée remplit un questionnaire de santé. Un certificat médical n'est pas demandé systématiquement : il l'est lorsque la situation le justifie, par exemple si le questionnaire fait apparaître un antécédent, une pathologie ou une gêne qui appelle un avis médical avant la reprise. Lorsqu'il est demandé, un certificat de moins de 12 mois est attendu.

4.3 Comment retirer votre consentement, et ce qui se passe ensuite

Le retrait se fait par un simple e-mail à benjamin@myfitgoo.com.

Après le retrait :

1. plus aucune nouvelle donnée de santé n'est enregistrée ;
2. les données déjà enregistrées sont effacées sans délai, sauf si vous demandez expressément à les conserver pour reprendre plus tard ;
3. le retrait ne remet pas en cause ce qui a été fait avant : il ne vaut que pour l'avenir (article 7.3 du RGPD) ;
4. l'accompagnement continue, sur la base de ce que vous acceptez encore de renseigner.

Un retrait n'entraîne aucune pénalité, aucun surcoût, aucune résiliation, aucune interruption de l'accompagnement décidée par le coach.

---

Elles sont mises à part parce qu'elles sont, de loin, ce que l'application contiendra de plus intime.

Les photos d'évolution sont conservées sur le serveur. Une photo ajoutée depuis l'application est ramenée à 1 080 pixels au plus sur son grand côté, puis enregistrée dans la base de données de l'application ; l'écran le dit, et seuls vous et votre coach pouvez la voir. Les règles ci-dessous s'y appliquent.

Une autre photo est gardée, et ce n'est pas une photo d'évolution : celle de votre profil. Elle est réduite à une vignette et enregistrée sur le serveur avec votre compte (article 3.4). La déconnexion efface l'adresse que votre navigateur en garde, comme la suppression de votre compte faite depuis ce navigateur. L'image elle-même peut rester dans le cache des navigateurs qui l'ont affichée : dans ces deux cas, le serveur demande au vôtre de vider son cache, sans garantie qu'il le fasse, et celui des autres personnes n'est pas touché (article 10).

Combien de temps elles restent : aussi longtemps que vous et votre coach le décidez ensemble. Vous pouvez en demander la suppression à tout moment, une par une ou toutes ensemble, et elles sont alors effacées. Elles le sont également, sans que vous ayez à le demander, si vous retirez votre consentement (article 4.3).

---

Quand un traitement repose sur l'intérêt légitime, vous pouvez demander la mise en balance qui a été faite et vous y opposer (article 21 du RGPD).

Ce qui n'est pas fait. Aucune vente, location ou cession à un courtier en données ou à un annonceur. Aucun profilage publicitaire. Aucune décision automatisée produisant des effets juridiques à votre égard : les calculs de l'application, comme l'indice de masse corporelle ou une estimation de dépense énergétique, sont des aides à la décision du coach, qui peut forcer chaque valeur à la main et qui reste seul à décider de votre programme.

---

Le principe retenu est simple : en dehors des durées imposées par la loi, la conservation se décide entre vous et votre coach. Tant que vous ne demandez rien, votre suivi est gardé, pour que vous puissiez reprendre là où vous vous étiez arrêté. Vous pouvez le supprimer vous-même depuis l'application, ou demander à votre coach de le faire : il le supprime alors depuis votre fiche. Vous n'avez pas à vous justifier.

Les lignes « Documents contractuels » et « Factures et pièces comptables » ne se négocient pas. Elles ne sont pas conservées dans l'application, et la suppression du compte ne les touche donc pas. Une facture, une pièce comptable ou la preuve d'un consentement ne peuvent pas être supprimées à votre demande : la loi impose de les garder. Une demande d'effacement portant sur le reste de vos données ne s'y étend donc pas, et c'est le seul cas où une suppression peut vous être refusée.

Dit franchement : presque aucune suppression n'est automatique. Quatre exceptions, toutes techniques : le compteur anti-abus, dont les lignes partent au bout de 24 heures ; ce qui est arrivé d'une photo ou d'une vidéo dont l'envoi s'est interrompu, passé 24 heures ; la trace des rappels du soir, au bout de 60 jours ; l'abonnement d'un téléphone que le service de notification déclare disparu, ou qui a échoué 30 fois de suite. Rien d'autre ne s'efface tout seul : ni un compte inutilisé, ni un message, ni une notification, ni un objectif, ni un lien de mise en route déjà utilisé ou expiré. Effacer une notification depuis l'application la fait disparaître de votre écran, mais la ligne reste dans la base.

La suppression du compte se fait par vous, avec « Supprimer mon compte », ou par votre coach, depuis votre fiche. Elle demande de cocher une case de confirmation, et elle est définitive : il n'y a pas de corbeille.

• Elle efface sur le serveur : le compte et toute la fiche, données de santé comprises ; l'historique des objectifs ; les pesées, les mensurations et les gênes déclarées ; les séances faites, avec leur détail ; les photos d'évolution et la photo de profil ; les rendez-vous ; les programmes et les plans reçus ; le carnet ; les abonnements aux notifications et la trace des rappels du soir ; les notifications reçues et envoyées ; les liens de mise en route ; les compteurs anti-abus rattachés au compte ; tous les messages, envoyés et reçus, qui disparaissent aussi chez l'autre personne, avec les photos et les vidéos qu'ils portent : leurs fichiers sont effacés du serveur, comme ce qui est arrivé d'un envoi pas encore fini.
• Elle n'efface pas : les objectifs que ce compte a posés sur la fiche d'une autre personne, qui y restent sans mention de leur auteur ; les compteurs anti-abus rattachés à l'adresse électronique, qui partent seuls au bout de 24 heures ; ce que gardent les navigateurs de vos appareils, sauf les copies du navigateur depuis lequel vous supprimez vous-même votre compte, que l'application efface (article 10) ; les journaux et les éventuelles sauvegardes de l'hébergeur (articles 3.7 et 9) ; ce qui vit hors de l'application : factures, e-mails, conversations WhatsApp.

Vous pouvez demander l'effacement à tout moment, voir l'article 14.

---

Vos données ne sont pas diffusées. Y accèdent, chacun dans le cadre de sa seule mission :

• Benjamin QUERRUÉ et Alexis DA SYLVA, responsables conjoints du traitement, chacun pour les seuls élèves qu'il accompagne. Ce cloisonnement est en place dans le serveur, et pas seulement dans les écrans : chaque compte élève porte l'identifiant de son coach, et c'est le seul lien reconnu. Un coach ne peut lire, modifier ou supprimer que les fiches des élèves rattachés à lui, et viser l'élève d'un autre coach est refusé. Un élève ne peut lire ni modifier que la sienne, et il ne voit de son coach que son nom, son adresse électronique, son numéro de téléphone et l'heure de sa dernière activité. Le refus est le même que la fiche n'existe pas ou qu'elle appartienne à quelqu'un d'autre : on ne peut donc pas découvrir, un numéro après l'autre, qui est inscrit sur MyFitGoo. Une conversation ne peut être lue que par les deux personnes qui l'échangent, et chaque notification adressée d'une personne à une autre passe par la même vérification. Les administrateurs de l'application peuvent s'écrire entre eux. Chacun voit des autres le nom, le pseudo, l'adresse électronique, le numéro de téléphone, l'heure de dernière activité et si leur compte est activé, et, en lecture seule, leurs propres séances et statistiques d'entraînement, leur fiche (dont l'âge et la taille), leur poids, leurs mensurations et les gênes qu'ils signalent, pour pouvoir suivre mutuellement leur entraînement. Aucun ne peut rien modifier chez un autre, et aucun ne voit les élèves d'un autre ;
• IONOS SARL, 7 place de la Gare, BP 70109, 57200 Sarreguemines Cedex, France, téléphone 0970 808 911, en tant que sous-traitant. IONOS héberge les pages du site, mais aussi désormais l'application et la base de données qui contient les comptes, et c'est son serveur de messagerie qui achemine le lien de mise en route envoyé par l'application, sans aucun prestataire d'envoi extérieur. L'hébergement est mutualisé ;
• Vicou Studio, prestataire technique qui construit et entretient l'application, en tant que sous-traitant. Son exploitant dispose d'un compte administrateur dans l'application, soumis au même cloisonnement que les coachs : il ne voit que les élèves qui lui seraient rattachés ;
• Google (messagerie), les adresses de contact étant des adresses Gmail : Google prend en charge le contenu des e-mails échangés avec l'un ou l'autre des deux coachs, en tant que sous-traitant ;
• Google (carte des salles) : la carte des salles affichée sur le site est chargée depuis Google, qui reçoit votre adresse IP ;
• Meta (WhatsApp), si vous choisissez ce canal, en tant que responsable autonome pour ses propres finalités ;
• Calendly, qui fournit l'agenda de Benjamin QUERRUÉ sur la page Rendez-vous du site : il reçoit ce que vous y saisissez (nom, adresse électronique, téléphone, message facultatif) et votre adresse IP, et garde le rendez-vous dans le compte de Benjamin QUERRUÉ, en tant que sous-traitant ;
• les services de notification des fabricants, seulement si vous activez les notifications sur un téléphone : celui d'Apple, de Google, de Mozilla ou de Microsoft, selon votre téléphone et votre navigateur. Ils acheminent jusqu'à votre téléphone le titre et le texte de chaque notification, les mêmes que dans la cloche de l'application : l'aperçu d'un message, un rendez-vous, une séance, le rappel du soir. Ce contenu leur arrive chiffré pour votre seul téléphone : ils ne peuvent pas le lire. Ils voient à quel téléphone et à quel moment une notification part ;
• Stripe, prestataire de paiement, pour les règlements par carte bancaire en ligne. Vos coordonnées bancaires sont saisies chez Stripe et ne transitent jamais par MyFitGoo : ni Benjamin ni Alexis ne voient votre numéro de carte, ils ne reçoivent que la confirmation qu'un paiement a été accepté ou refusé ;
• l'établissement bancaire de votre coach, pour les règlements par virement, qui voit alors les informations figurant sur l'ordre de virement ;
• le cas échéant, un expert-comptable, l'administration fiscale ou sociale, un auxiliaire de justice, au titre d'une obligation légale ou de la défense de nos droits.

---

Où vivent les données de l'application. Elles sont chez IONOS, sur le même hébergement que le site, dans une seule base de données, à une exception près : les photos et les vidéos de la messagerie sont gardées en fichiers, dans un sous-dossier du dossier de la base, lui aussi hors du dossier public et réservé au même compte technique. Cette base, et le dossier qui la contient, sont placés en dehors du dossier public du site : aucune adresse internet n'y mène, elle ne peut pas être téléchargée depuis un navigateur. L'application réserve ce dossier au seul compte technique qui la fait tourner, et restreint à ce même compte les droits du fichier principal de la base, en lecture comme en écriture. Les fichiers de session sont rangés au même endroit, hors d'atteinte du web, et ne sont pas mélangés à ceux des autres sites de l'hébergement.

Les gênes et les douleurs, les mensurations et les photos d'évolution y sont enregistrées elles aussi (article 3.6), comme votre photo de profil (article 3.4). Le navigateur garde en plus une copie de certains éléments de votre profil (article 10). Les réponses du serveur, elles, ne sont pas gardées sur l'appareil par l'application installée ; seules les photos, hors photos d'évolution et photos de la messagerie, peuvent rester dans le cache du navigateur qui les affiche (article 10).

Quatre services impliquent en revanche des traitements susceptibles de sortir de l'Union européenne :

1. Google, pour la messagerie et pour la carte des salles du site ;
2. Meta, pour WhatsApp, si vous utilisez ce canal ;
3. Stripe, pour les paiements par carte bancaire ;
4. Calendly, pour la prise de rendez-vous avec Benjamin QUERRUÉ sur le site.

Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données entre l'Union européenne et les États-Unis, et à titre complémentaire par les clauses contractuelles types de la Commission.

Vous pouvez éviter entièrement le deuxième point en n'utilisant pas WhatsApp : le téléphone, l'e-mail et la messagerie de l'application restent disponibles. Vous pouvez éviter le troisième en réglant par virement bancaire plutôt que par carte : les coordonnées à utiliser vous sont alors transmises directement par votre coach. Vous pouvez éviter le quatrième en convenant d'un créneau avec Benjamin QUERRUÉ par e-mail, à benjamin@myfitgoo.com.

Les notifications sur le téléphone. Si vous les activez (article 3.7), les notifications de l'application, selon vos réglages dans Profil, Rappels, partent du serveur vers le service de notification du fabricant de votre téléphone ou de votre navigateur : Apple, Google, Mozilla ou Microsoft. Elles y passent chiffrées pour votre seul téléphone : le service les achemine sans pouvoir les lire ; il voit à quel téléphone et à quel moment elles partent. Vous évitez entièrement ce passage en n'activant pas les notifications : les rappels et les notifications arrivent alors dans la cloche de l'application.

---

À ce jour, le site et l'application ne déposent aucun outil de mesure d'audience, aucun traceur publicitaire, aucun bouton de réseau social. Ni Google Analytics, ni pixel Meta. Le site ne vous présente donc pas de bannière de consentement. Deux contenus viennent d'autres sites : la carte des salles, fournie par Google, et l'agenda de Benjamin QUERRUÉ, fourni par Calendly sur la page Rendez-vous.

La carte des salles, sur le site, est fournie par Google. Elle se charge avec la page qui l'affiche : votre navigateur se connecte alors à Google, qui reçoit votre adresse IP et peut déposer ses propres cookies, selon ses propres conditions. Un lien permet aussi d'ouvrir l'adresse directement dans Google Maps, hors du site.

L'agenda de Benjamin QUERRUÉ, sur la page Rendez-vous, est fourni par Calendly. Il se charge dès que cette page s'ouvre avec Benjamin sélectionné : votre navigateur se connecte alors à Calendly, qui reçoit votre adresse IP et peut déposer ses propres cookies, selon ses propres conditions. Choisir Alexis DA SYLVA ne charge rien depuis Calendly.

Les seuls éléments que MyFitGoo dépose le sont strictement pour le service que vous demandez. Le cookie qui vous garde connecté part vers le serveur à chaque échange, et il ne contient que l'identifiant technique de votre session : ni nom, ni adresse, ni donnée de santé. Si vous activez les notifications, l'abonnement que le navigateur crée pour ce téléphone part aussi vers le serveur (article 3.7). Les autres restent dans votre navigateur.

Ces éléments sont strictement nécessaires au service que vous demandez. À ce titre, ils sont dispensés de consentement préalable au sens de l'article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée et des lignes directrices de la CNIL sur les traceurs.

Si un outil de mesure ou de publicité venait à être ajouté, une bannière serait mise en place et cette page mise à jour avant tout dépôt.

---

L'accès à MyFitGoo est ouvert à partir de 15 ans. En dessous de 15 ans, il n'est pas ouvert : aucun compte n'est créé et aucune donnée n'est recueillie.

Ce seuil reprend l'âge du consentement numérique en France, fixé à 15 ans par la loi n° 78-17 du 6 janvier 1978 modifiée : à partir de cet âge, une personne mineure consent seule au traitement de ses données, y compris de ses données de santé lorsque le consentement explicite est requis. En dessous, l'accord d'un parent serait nécessaire en plus du sien, et MyFitGoo a choisi de ne pas ouvrir ce cas.

Une règle distincte, qui ne porte pas sur les données : un mineur non émancipé ne peut pas souscrire seul un accompagnement payant. Entre 15 et 18 ans, la souscription et le paiement sont donc faits par un parent ou un tuteur, qui signe le contrat. Cela ne lui donne pas pour autant accès au contenu du suivi : les données de santé restent partagées entre la personne accompagnée et son coach.

L'application fait respecter ce seuil : le serveur refuse de créer un compte dont la date de naissance donne moins de 15 ans, et refuse d'enregistrer une telle date sur une fiche existante. La date de naissance n'est pas obligatoire à la création du compte : quand elle manque, le contrôle a lieu au moment où elle est renseignée.

Une donnée concernant une personne de moins de 15 ans transmise par erreur est supprimée sur simple signalement à benjamin@myfitgoo.com.

---

Les mesures ci-dessous sont en place dans l'application.

• Le site n'est accessible qu'en HTTPS. Une visite en clair est redirigée.
• Votre mot de passe n'est jamais conservé : seule une empreinte l'est, recalculée d'elle-même si le niveau de protection de PHP augmente (article 3.4).
• Le cookie qui vous garde connecté n'est envoyé qu'en HTTPS, reste inaccessible au code de la page et n'accompagne pas les requêtes qu'un autre site ferait en arrière-plan. Votre identifiant de session est renouvelé à chaque changement de droits, à la connexion comme après le choix d'un mot de passe. La déconnexion détruit la session côté serveur et efface le cookie ; faite sans réseau, elle aboutit au retour du réseau ou à la prochaine ouverture de l'application.
• La base de données est hors d'atteinte du web, et le dossier qui la contient est réservé au seul compte technique de l'application (article 9).
• Tout accès à une donnée personnelle exige une session ouverte, ou un lien de mise en route valable pour la seule page qui permet de choisir son mot de passe. Le cloisonnement entre coachs comme entre élèves est vérifié à chaque lecture et à chaque écriture (article 8).
• Les réponses du serveur ne sont gardées nulle part, à l'exception des photos : elles portent l'instruction de n'être mises en cache ni par le navigateur ni par un intermédiaire, et l'application installée ne les recopie pas sur l'appareil (article 10). Les photos de profil portent au contraire l'autorisation de rester un an au plus dans le cache du navigateur qui les affiche, jamais dans celui d'un intermédiaire ; les photos d'évolution, comme les photos et les vidéos de la messagerie, portent l'instruction de n'être gardées nulle part (article 10).
• Les essais sont freinés : dix échecs de connexion et cinq demandes de lien par adresse électronique et par heure, vingt envois de séance et cent vingt messages par compte et par heure.
• Les écrans ne trahissent pas qui a un compte. Le message d'échec de connexion est le même que l'adresse existe ou non, et l'écran d'oubli de mot de passe répond toujours la même phrase. À la connexion, une vérification de mot de passe est faite même quand l'adresse est inconnue, pour que le temps de réponse ne désigne pas les adresses inscrites.
• Une suppression de compte ne part pas d'un simple clic : elle exige une case cochée à l'écran, et le serveur la refuse si la requête ne porte pas une confirmation explicite.
• Aucune erreur technique n'est affichée : elles partent dans le journal de l'hébergeur (article 3.7).
• Aucun outil extérieur n'est chargé par l'application : elle n'appelle aucune adresse en dehors de son propre domaine, à une exception près. Si vous activez les notifications sur un téléphone, le serveur remet chacune, chiffrée pour ce seul téléphone, au service de notification qui le dessert (article 8). Sur le site, la carte des salles ne contacte Google qu'après votre clic (article 10).
• Votre coach ne peut pas modifier votre fiche en silence : chaque modification qu'il y fait vous envoie une notification qui nomme les champs touchés.

Aucune mesure ne rend un service invulnérable. En cas de violation de données, une notification est adressée à la CNIL dans les 72 heures (article 33 du RGPD). Si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en êtes informé personnellement et dans les meilleurs délais (article 34). Compte tenu de la nature des informations en jeu, une fuite touchant les données de santé ou les photos d'évolution relèverait de ce cas.

---

Deux obligations pèsent sur MyFitGoo indépendamment de sa taille :

Elles engagent les deux associés, chacun étant responsable conjoint du traitement.

---

Sur les données qui vous concernent, vous pouvez :

Ces droits s'exercent quel que soit le fait que le compte soit celui du coach : c'est l'article 3.4 qui le dit, et il n'y a pas d'exception.

Vous pouvez aussi définir des directives sur le sort de vos données après votre décès et désigner une personne chargée de les faire appliquer (article 85 de la loi n° 78-17 du 6 janvier 1978 modifiée).

Pour les exercer, écrivez à benjamin@myfitgoo.com, ou à l'adresse postale de l'article 1, en précisant le droit concerné. Benjamin QUERRUÉ et Alexis DA SYLVA étant responsables conjoints, une seule demande suffit, même si c'est l'autre qui vous accompagne. Une pièce d'identité n'est demandée qu'en cas de doute raisonnable sur votre identité, et seulement dans la mesure nécessaire pour le lever. La réponse intervient sous un mois, prolongeable de deux mois pour une demande complexe, avec information et motifs (article 12.3 du RGPD).

Réclamation. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : www.cnil.fr, ou CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, téléphone 01 53 73 22 22.

---

La version applicable de cette politique est celle publiée sur cette page, à la date indiquée en tête. En cas d'ajout d'un traceur, d'un nouveau destinataire ou d'une nouvelle catégorie de données, vous en êtes informé avant sa mise en œuvre. Un changement portant sur les données de santé suppose un nouveau consentement, il ne peut pas se faire par simple mise à jour de cette page.

Cette politique est régie par le droit français, par le règlement (UE) 2016/679 dit RGPD et par la loi n° 78-17 du 6 janvier 1978 modifiée. En cas de doute sur l'interprétation d'une clause, celle-ci s'interprète dans le sens le plus favorable au consommateur, conformément à l'article L. 211-1 du code de la consommation.