Politique de confidentialité
Dernière mise à jour :
1. Qui est responsable de vos données ?
Fitloop, édité par Yassin Mehlil, entrepreneur individuel (EI), nom commercial MHL Technologies ((en cours de domicilation)), est responsable des traitements liés au site vitrine, aux comptes des utilisateurs (identifiants, sécurité) et aux abonnements des coachs.
Pour les données de suivi des clients d’un coach (programmes, rendez-vous, messages, mesures, photos, notes), le coach est responsable de traitement : c’est lui qui décide de les collecter, pour accompagner ses clients. Fitloop agit alors comme sous-traitant (article 28 du RGPD) : il héberge et traite ces données uniquement sur instruction du coach, pour fournir le service. Ces engagements sont précisés dans un accord de sous-traitance entre Fitloop et chaque coach, prévu par les CGV.
2. Données de santé
Le poids et les photos de progression peuvent être considérés comme des données de santé au sens de l’article 9 du RGPD. Leur traitement repose sur le consentement explicite du client.
- Le coach recueille cet accord avant d’enregistrer ces données ou de demander au client de les saisir.
- Le client peut retirer son accord à tout moment et demander la suppression de ses mesures.
- Fitloop n’utilise jamais ces données à d’autres fins que l’affichage au client et à son coach.
- Ces données ne sont ni vendues, ni utilisées pour de la publicité, ni partagées avec des tiers hors sous-traitants techniques.
3. Données collectées
Sur le site vitrine
- Statistiques de visite agrégées (pages vues, provenance, type d’appareil) via Plausible Analytics, sans cookie et sans conserver votre adresse IP.
- Les paramètres de campagne présents dans l’adresse de la page (utm_source, utm_campaign…, et les identifiants de clic gclid de Google et fbclid de Meta), gardés dans le stockage de session du navigateur jusqu’à la fermeture de l’onglet, puis transmis à l’application si vous créez un compte : ils sont alors enregistrés sur votre compte coach pour savoir quelle campagne a mené à l’inscription.
- Si vous demandez le kit gratuit : votre email, votre prénom s’il est indiqué, et votre choix de recevoir ou non nos conseils par email.
- Si vous acceptez les cookies publicitaires : les données collectées par le pixel Meta (voir section 7).
- Le contenu des emails que vous nous envoyez.
Dans l’application
- Compte : nom, adresse email, mot de passe (stocké sous forme chiffrée irréversible).
- Abonnement du coach : plan, historique de facturation. Les données de carte sont traitées par Stripe.
- Suivi : fiches clients, notes privées du coach, programmes et fichiers joints, rendez-vous, messages, mesures (poids, notes, photos).
- Données techniques : journaux de connexion et d’erreurs, nécessaires à la sécurité du service.
4. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fournir le service (comptes, programmes, rendez-vous, messagerie, suivi) | Exécution du contrat |
| Mesures de poids et photos de progression | Consentement explicite du client |
| Facturation et comptabilité | Obligation légale |
| Emails de service (invitation, confirmation, rappel, notification) | Exécution du contrat |
| Sécurité et prévention des abus | Intérêt légitime |
| Mesure d’audience du site vitrine | Intérêt légitime (mesure exemptée de consentement, sans cookie) |
| Savoir quelle campagne a mené à une inscription, puis à un abonnement (statistiques internes) | Intérêt légitime |
| Envoi du kit gratuit demandé | Exécution de votre demande |
| Emails de conseils (au plus deux par mois) | Consentement (case à cocher, désinscription en un clic) |
| Mesure des publicités (pixel Meta et événements envoyés par le serveur) | Consentement (bandeau cookies), retirable à tout moment |
5. Sous-traitants
Fitloop fait appel aux prestataires suivants, qui n’utilisent les données que pour le service rendu :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Render Services, Inc. | Hébergement de l’application et de la base de données | Serveurs à Francfort (Allemagne) ; société établie aux États-Unis |
| Amazon Web Services EMEA SARL | Stockage des fichiers (PDF des programmes, photos de progression) | Région de Paris (France) |
| Stripe Payments Europe, Ltd. | Paiement des abonnements et factures | Irlande (UE) ; transferts possibles vers les États-Unis |
| Brevo (Sendinblue SAS) | Envoi des emails : invitations, rappels de rendez-vous, notifications, kit gratuit et conseils aux personnes inscrites | France (UE) |
| Cloudflare, Inc. | Hébergement du site vitrine | Réseau mondial ; société établie aux États-Unis |
| Plausible Insights OÜ | Mesure d’audience du site vitrine, sans cookie | Union européenne |
| Meta Platforms Ireland Ltd. | Mesure des publicités Instagram et Facebook, seulement avec votre accord | Irlande (UE) ; transferts possibles vers les États-Unis |
Quand un prestataire établi hors de l’Union européenne peut accéder aux données, le transfert est encadré par les mécanismes prévus par le RGPD : certification au Data Privacy Framework UE–États-Unis ou clauses contractuelles types de la Commission européenne.
6. Durées de conservation
- Compte et données de suivi : tant que le compte est actif, puis suppression dans les 3 ans suivant la dernière connexion.
- Factures : 10 ans, au titre des obligations comptables.
- Journaux techniques : 12 mois maximum.
- Emails de contact : 3 ans après le dernier échange.
Vous pouvez demander la suppression de votre compte à tout moment, sans attendre ces délais.
7. Cookies et mesure des publicités
La mesure d’audience Plausible n’utilise aucun cookie et fonctionne sans votre accord. L’application utilise un cookie de session, strictement nécessaire pour vous garder connecté.
Avec votre accord seulement, donné dans le bandeau « Cookies publicitaires », le site vitrine et les pages d’inscription et de connexion de l’application chargent le pixel Meta. Il dépose les cookies _fbp et _fbc et permet à Meta de mesurer les visites et inscriptions venues de nos publicités. Le pixel n’est jamais chargé dans l’espace connecté, où se trouvent les données de vos clients.
Si vous avez accepté au moment de créer votre compte coach, l’application signale aussi à Meta, depuis le serveur, trois étapes : la création du compte, le premier programme assigné et le premier paiement (avec son montant hors taxes). Seuls votre email et votre nom, chiffrés de manière irréversible (SHA-256), et les identifiants du pixel sont transmis ; aucune donnée de vos clients, aucune donnée de santé.
Votre choix est gardé 6 mois dans le cookie fitloop_consent. Vous pouvez le changer à tout moment avec le lien « Gérer les cookies » en bas des pages, et, pour un compte coach, dans « Mon compte ». Refuser n’a aucune conséquence sur l’accès au site ou à l’application.
8. Sécurité
Les échanges sont chiffrés (HTTPS), les mots de passe sont hachés et l’accès aux données est limité aux personnes qui en ont besoin pour faire fonctionner le service. Un coach ne voit que les données de ses propres clients.
9. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment. Écrivez à contact@fitloop.fr. Si vous êtes client d’un coach, vous pouvez aussi vous adresser directement à lui pour les données de suivi ; Fitloop l’aidera à répondre.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr).
10. Modifications
Cette politique peut évoluer. En cas de changement important, les utilisateurs de l’application sont prévenus par email. La date de dernière mise à jour figure en haut de la page.