Politique de confidentialité

1. Responsable du traitement et périmètre

AIMS Corp., SAS immatriculée sous le numéro 941 923 682 RCS Paris, est responsable des traitements décrits ici. Son identité complète et son adresse postale figurent dans les mentions légales. Pour vos données : privacy@rockso.app.

Cette politique concerne le site rockso.app, ses accès de démonstration et de bêta, ainsi que la version gratuite de l’application Rockso. Le Service peut être utilisé par des personnes majeures et mineures, dans les conditions expliquées ci-dessous et dans les CGU. Rockso accompagne l’entraînement sportif ; ses indicateurs et recommandations ne constituent ni un diagnostic ni un suivi médical.

2. Données et sources

Les données traitées dépendent des fonctions utilisées et des sources que vous connectez.

• Compte et accès : adresse e-mail, nom ou identifiant, données d’authentification, préférences, langue, dates de création et de connexion. L’authentification est gérée par Supabase.
• Profil sportif : sports, objectifs, disponibilités, niveau, et informations que vous renseignez, telles que date de naissance, sexe, taille ou poids.
• Entraînement et bien-être : séances prévues et réalisées, durée, distance, dénivelé, puissance, cadence, fréquence cardiaque, charge, récupération, sommeil, fatigue, ressenti d’effort, douleurs ou blessures que vous renseignez ; certains indicateurs sont calculés à partir de ces données.
• Localisation : lorsqu’un import autorisé contient un parcours, coordonnées GPS et horodatages de l’activité. Les autorisations et réglages de la source déterminent l’accès au tracé.
• Échanges avec l’IA : messages, contexte sportif utilisé pour répondre, réponses, comptes rendus et résumés de conversation conservés pour la continuité de l’accompagnement.
• Connexions : identifiants de liaison, autorisations et jetons nécessaires aux synchronisations avec les plateformes sportives et, selon les fonctions disponibles, Apple Santé / HealthKit ou Health Connect. Rockso ne demande pas le mot de passe de ces plateformes.
• Support et accès anticipé : e-mails, demandes, retours et informations transmis dans les formulaires.
• Diagnostic et sécurité : adresse IP, informations d’appareil, système, version de l’application, événements techniques, journaux d’erreur et de connexion. Sentry peut recevoir l’identifiant utilisateur et l’adresse e-mail associés à un événement, ainsi que son contexte technique.

Les sources sont vos saisies, votre utilisation du Service, les plateformes que vous autorisez et les calculs de Rockso. Renseigner des informations sur d’autres personnes dans les messages ou les notes n’est pas nécessaire au Service.

3. Finalités et bases juridiques

• Créer le compte, gérer l’accès, afficher et synchroniser l’entraînement, fournir les fonctions demandées : exécution du contrat ou mesures précontractuelles à votre demande (article 6.1.b du RGPD), pour les données nécessaires. Sans les informations indispensables au compte, ces fonctions ne peuvent pas être fournies.
• Calculer des indicateurs et personnaliser l’accompagnement : exécution du contrat pour les données sportives nécessaires qui ne sont pas des données de santé ; consentement explicite pour les données de santé et leurs usages associés (articles 6.1.a et 9.2.a). Les données facultatives enrichissent les fonctions choisies sans être une condition générale de consultation du site.
• Répondre au support et organiser l’accès demandé à la bêta : exécution du contrat ou mesures précontractuelles ; intérêt légitime à traiter les autres demandes adressées à Rockso (article 6.1.f).
• Détecter et corriger les erreurs, sécuriser le Service, prévenir les abus : intérêt légitime à fournir un service fiable et à protéger les comptes (article 6.1.f), en limitant les données au nécessaire. Cette base ne permet pas, à elle seule, de traiter des données de santé.
• Gérer les droits, les obligations légales et les litiges : obligation légale (article 6.1.c) et, pour les éléments strictement nécessaires à la défense de droits, intérêt légitime (article 6.1.f). Une conservation de données de santé pour une action en justice est limitée aux conditions de l’article 9.2.f.

Une utilisation facultative nouvelle exigeant un consentement fait l’objet d’une information et d’un choix distincts. L’acceptation des CGU ne vaut pas consentement à tous les traitements.

4. Données de santé, permissions et retrait

Les informations sur les douleurs, blessures ou l’état physiologique, ainsi que certaines combinaisons ou déductions issues de données sportives, peuvent constituer des données de santé. Leur collecte, leur analyse et leur transmission pour les fonctions choisies nécessitent votre consentement explicite préalable.

Une autorisation technique accordée à Apple Santé, Health Connect, une montre ou une plateforme ne remplace pas à elle seule ce consentement. Les permissions sont limitées aux catégories nécessaires à la fonction demandée ; vous pouvez les modifier dans les réglages de la source et déconnecter celle-ci.

Vous pouvez retirer un consentement à tout moment en écrivant à privacy@rockso.app, et utiliser les réglages disponibles. Le retrait n’affecte pas la licéité des traitements déjà effectués. Les traitements concernés cessent et les données dépendant uniquement de ce consentement sont supprimées, sous réserve des exceptions légales expliquées ci-dessous. Les fonctions qui en dépendent deviennent indisponibles. Déconnecter une source arrête les nouveaux imports mais ne supprime pas automatiquement les données déjà importées : vous pouvez en demander l’effacement.

Les données de santé, notamment celles issues de HealthKit ou Health Connect, ne sont pas utilisées par Rockso pour la publicité, la vente de données ou l’entraînement de modèles.

Mineurs et accord parental

L’accès des mineurs n’est pas interdit du seul fait qu’ils ont moins de 18 ans. Les autorisations ou la représentation requises pour l’utilisation du Service dépendent de leur âge, de leur capacité juridique et du droit applicable. Elles ne remplacent pas les consentements propres aux données personnelles.

En France, pour les traitements fondés sur le consentement dans le cadre d’un service en ligne, avant 15 ans, le consentement du mineur et celui du titulaire de l’autorité parentale sont requis conjointement. À partir de 15 ans, le mineur peut consentir seul à ces traitements. Dans les autres pays, l’âge et les conditions applicables peuvent différer. Ces règles s’appliquent également aux consentements explicites requis pour les données de santé ; l’âge ne dispense pas de les recueillir.

Le mineur peut exercer ses droits. Son représentant légal peut nous contacter à privacy@rockso.app pour une demande relative au compte ou aux données, notamment une suppression dans l’intérêt de l’enfant. Nous examinons sa qualité et la demande de manière proportionnée, dans le respect des droits du mineur.

5. Intelligence artificielle et conversations

Rockso utilise actuellement l’API de Mistral AI pour générer des réponses, analyses d’activités, synthèses et adaptations de l’entraînement. Pour ces fonctions, les messages et les éléments pertinents du contexte sportif sont transmis à Mistral : historique ou résumés d’entraînement, indicateurs, ressentis, informations de récupération, et contexte de conversation. Ils peuvent inclure des données de santé si vous les avez fournies ou autorisées.

La transmission de données personnelles à ce prestataire doit faire l’objet d’une information et d’une autorisation explicite préalable pour les fonctions concernées ; les exigences propres aux données de santé s’ajoutent à cette autorisation. Il ne s’agit pas d’un modèle exécuté uniquement sur votre appareil.

Rockso ne réutilise pas vos données personnelles ou vos conversations pour entraîner des modèles. Les traitements techniques du fournisseur sont encadrés par ses conditions commerciales et son accord de traitement des données. La configuration Mistral retenue pour Rockso exclut l’utilisation des conversations pour l’entraînement de ses modèles. La génération d’une réponse et l’entraînement d’un modèle sont deux opérations distinctes.

Les résumés et réponses peuvent être inexacts ; vous pouvez les vérifier et demander une rectification de données personnelles. Rockso ne prend pas de décision produisant un effet juridique ou un effet significatif similaire sur vous uniquement sur la base d’un traitement automatisé. Ses recommandations sportives restent des propositions.

6. Destinataires

L’accès interne est limité aux personnes habilitées d’AIMS Corp. pour l’exploitation, la sécurité et le support. Nous utilisons les prestataires suivants :

• Supabase : authentification, base de données et stockage des comptes, profils, activités, conversations et fichiers. Voir son accord de traitement et sa liste de sous-traitants.
• Mistral AI : traitement du contexte envoyé pour les fonctions d’IA, décrit à l’article 5.
• Sentry (Functional Software, Inc.) : collecte des événements de diagnostic et des erreurs pour comprendre et corriger les incidents. Voir sa politique de confidentialité et ses conditions de traitement.
• GitHub : hébergement du site et des démonstrations web, avec traitement des informations techniques de connexion. Voir sa déclaration de confidentialité.
• Prestataires de messagerie et de diffusion technique : acheminement des e-mails de compte ou de support et livraison de bibliothèques nécessaires à certaines pages, notamment le CDN jsDelivr.

Les plateformes sportives connectées traitent également vos données selon leurs propres politiques. Les échanges avec elles dépendent des permissions et des fonctions choisies. Lorsqu’un partage avec un coach ou un autre utilisateur est disponible et activé à votre initiative, seules les catégories couvertes par cet accès sont partagées ; un accès étendu peut inclure des informations de santé et des parcours.

Une divulgation peut aussi intervenir pour répondre à une obligation légale ou à une demande valide d’autorité. En cas de transfert de l’activité à un nouvel exploitant, les personnes concernées sont informées et leurs droits restent applicables. Rockso ne vend pas vos données et ne les partage pas pour la publicité ciblée.

7. Hébergement et transferts internationaux

Le projet Supabase utilisé par Rockso est hébergé en Suède, dans l’Union européenne. Cette localisation de la base principale ne signifie pas que toutes les opérations de tous les prestataires ont lieu en Suède. Les événements Sentry sont stockés dans sa région Union européenne. GitHub et Sentry sont des prestataires américains ; l’hébergement du site, les opérations de support ou les sous-traitants peuvent néanmoins impliquer des traitements ou des accès hors de l’Espace économique européen, notamment aux États-Unis.

Ces transferts doivent être encadrés par les accords de traitement applicables et une garantie prévue par le RGPD : décision d’adéquation lorsqu’elle couvre effectivement le destinataire et le traitement, ou clauses contractuelles types de la Commission européenne accompagnées, lorsque nécessaire, de mesures complémentaires. Les liens vers les accords et les sous-traitants ci-dessus permettent de consulter ce cadre. Vous pouvez demander des précisions et une copie des garanties pertinentes à privacy@rockso.app, sous réserve des informations confidentielles protégées.

8. Conservation et suppression

• Compte et données d’accompagnement : conservés pendant l’existence du compte pour fournir l’historique et les fonctions demandées, tant que le traitement reste nécessaire et que les consentements requis sont maintenus. Cesser d’utiliser l’application ne supprime pas le compte.
• Demandes de support ou d’accès anticipé : conservées pendant leur traitement et le suivi nécessaire de la demande ; seuls les éléments nécessaires à une obligation légale ou à la preuve d’un droit sont ensuite conservés pendant la durée de prescription applicable.
• Suppression du compte : demande accusée sous 7 jours calendaires au maximum ; compte et données associées supprimés sous 30 jours calendaires au maximum à compter de la réception de la demande. Cela inclut les activités, fichiers, jetons, conversations, résumés et analyses rattachés au compte, ainsi que les demandes de suppression nécessaires auprès des sous-traitants.
• Sauvegardes techniques et traces de sécurité résiduelles : expiration, suppression ou écrasement dans un délai maximal de 90 jours après la suppression, sans réutilisation pour l’accompagnement. Si une restauration technique est nécessaire dans cet intervalle, les demandes de suppression doivent être réappliquées.
• Exceptions légales : des éléments strictement nécessaires peuvent rester conservés pour une obligation légale ou un litige, avec accès limité, pendant la durée imposée ou celle de la procédure et de la prescription applicable. Cette exception ne justifie pas la conservation de tout le profil sportif.

La page de suppression de compte donne la procédure accessible sans réinstaller l’application. Une simple désactivation ou perte d’accès ne constitue pas une suppression des données.

9. Sécurité

Nous protégeons les données par le chiffrement des communications, l’authentification et la limitation des accès. Les journaux techniques servent à détecter et corriger les incidents. Aucun système n’offre une sécurité absolue. En cas de violation de données, nous appliquons les obligations de notification aux autorités et, lorsque le risque l’exige, aux personnes concernées.

10. Vos droits

Dans les conditions du RGPD, vous pouvez demander l’accès, la rectification, l’effacement, la limitation et la portabilité de vos données. Vous pouvez vous opposer aux traitements fondés sur notre intérêt légitime pour des raisons tenant à votre situation, et retirer votre consentement lorsque cette base est utilisée. Vous pouvez aussi définir des directives concernant vos données après votre décès dans les conditions du droit français.

Écrivez à privacy@rockso.app ou à l’adresse postale indiquée dans les mentions légales. Une preuve supplémentaire d’identité n’est demandée qu’en cas de doute raisonnable, de façon proportionnée. Nous répondons sans retard injustifié, au plus tard dans un délai d’un mois à compter de la réception de la demande. Une prolongation de deux mois peut être nécessaire en raison de sa complexité ou du nombre de demandes ; vous êtes alors informé, avec les motifs, dans le premier mois.

Vous pouvez déposer une réclamation auprès de la CNIL ou de l’autorité compétente de votre lieu de résidence, de travail ou du lieu du manquement allégué, sans devoir préalablement nous contacter.

11. Site, stockage local et services externes

Le site n’utilise actuellement pas de cookies publicitaires ni d’outil dédié de mesure d’audience. Les accès authentifiés de démonstration ou de bêta peuvent utiliser un stockage local ou de session pour maintenir la connexion et les préférences nécessaires. Vous pouvez l’effacer dans votre navigateur ; cela peut vous déconnecter.

Les connexions au site et aux fournisseurs de ressources techniques, dont GitHub et jsDelivr, transmettent les informations nécessaires à la requête, telles que l’adresse IP et les caractéristiques du navigateur. Les liens vers les stores, les plateformes sportives ou Discord vous conduisent à des services externes régis par leurs propres conditions. Participer à Discord est volontaire.

Un éventuel traceur facultatif nécessitant un consentement sera présenté avec un choix préalable, incluant le refus et le retrait.

12. Évolution et contact

Cette politique est datée et peut évoluer, notamment en cas de changement de prestataire. Les modifications importantes sont annoncées par un moyen approprié avant la mise en œuvre du nouveau traitement. Un nouveau consentement est demandé lorsque nécessaire ; la poursuite de l’utilisation ne vaut pas, à elle seule, consentement.

Contact pour les données : privacy@rockso.app. Assistance et suppression de compte : support@rockso.app. Identité et adresse d’AIMS Corp. : mentions légales. Si des données ont été traitées sans un accord requis pour un mineur, contactez-nous pour que nous examinions la situation et, lorsque nécessaire, leur suppression.