Vos données d’entraînement restent les vôtres.

1. Responsable du traitement

KARDIOO est édité par AMINE ANSEUR CONSULTING, société par actions simplifiée unipersonnelle au capital de 500 €, immatriculée sous le numéro 995 049 228 R.C.S. Pontoise, dont le siège social est situé 104 B avenue de Verdun, 95100 Argenteuil, France. Elle est responsable des traitements décrits dans cette politique. Pour toute question relative à la confidentialité ou pour exercer un droit, écrivez à amine.anseur1@gmail.com.

KARDIOO est un service de suivi et de planification sportive. Il ne fournit ni diagnostic médical, ni traitement, ni service d’urgence.

2. Données traitées

Compte et profil

Identifiant de compte, adresse e-mail, nom, pseudonyme, avatar, ville, région, pays, préférences de langue, d’unités et de confidentialité. L’authentification peut être assurée par Apple ou Google selon votre choix.

Données sportives et de santé

Avec votre autorisation, KARDIOO peut lire depuis Apple Health des séances et leurs métriques : discipline, dates, durée, distance, énergie, fréquence cardiaque, vitesse ou allure, cadence, puissance, dénivelé, longueurs et mouvements de natation, dynamiques de course, segments, séries temporelles, source et appareil d’enregistrement.

Si vous connectez une montre, les mêmes catégories arrivent depuis le constructeur, sous la forme du fichier d’activité que la montre a enregistré, ainsi que des résumés quotidiens : sommeil et ses stades, variabilité de la fréquence cardiaque, fréquence cardiaque de repos, pas, dépense énergétique, stress, VO₂max. La section 4 indique, constructeur par constructeur, ce que nous recevons exactement.

Selon les fonctionnalités activées, KARDIOO peut également traiter le poids, le sexe, la date de naissance, la fréquence cardiaque de repos ou maximale, le sommeil, la saturation en oxygène, la fréquence respiratoire, la FTP et les données utiles au calcul de charge et de récupération.

Localisation

Les traces GPS précises peuvent être importées avec une séance, depuis Apple Health ou depuis le fichier d’une montre connectée. KARDIOO n’utilise pas votre position en continu. Vous pouvez masquer la carte lors du partage d’une activité.

Contenu et fonctions sociales

Publications, descriptions, commentaires, réactions, abonnements, conversations, photos et vidéos, objectifs, séances planifiées et réponses données à l’assistant de planification.

Abonnement, appareil et usage

État d’abonnement et historique de crédits, identifiant client RevenueCat, jeton de notification Apple, informations techniques nécessaires à la sécurité, journaux d’erreur et événements d’usage limités : écran ouvert, fonctionnalité utilisée, réussite ou échec technique. Les événements analytiques ne contiennent pas les mesures de santé ni le contenu d’une séance.

3. Sources et connexions

• Vous, lorsque vous créez un compte, complétez votre profil, publiez ou écrivez un message.
• Apple Health / HealthKit, seulement après l’autorisation détaillée donnée dans iOS. Vous pouvez retirer chaque permission dans les réglages Santé d’Apple.
• Apple ou Google, pour les informations d’identité que vous autorisez lors de la connexion.
• Votre montre — Garmin, COROS, Polar, Wahoo ou Zepp — seulement si vous l’appairez depuis Réglages ▸ Montres et capteurs et que vous validez les autorisations demandées chez le constructeur.

Tant qu’une montre est connectée, KARDIOO n’importe plus depuis Apple Health les séances que l’application de ce constructeur y a recopiées : la même séance arriverait deux fois. Elles restent dans Apple Health, et l’app vous propose de les importer si vous le souhaitez.

4. Constructeurs de montres et de capteurs

KARDIOO ne demande que les autorisations nécessaires aux fonctionnalités que vous utilisez, et traite ce qu’un constructeur envoie uniquement pour servir l’athlète qui l’a autorisé. Ces données ne sont jamais vendues, jamais cédées sous licence, jamais transmises à un tiers ni à un courtier en données, jamais utilisées à des fins publicitaires ni pour construire un profil publicitaire, et jamais utilisées pour entraîner un modèle d’apprentissage automatique. Elles ne sont pas agrégées avec celles d’autres utilisateurs en dehors du service.

Garmin

Résumés d’activité, détails et fichier d’activité enregistré pour plus de trente disciplines ; résumés quotidiens tels que pas, fréquence cardiaque de repos, minutes d’intensité, stress et Body Battery ; sommeil et ses stades ; variabilité de la fréquence cardiaque ; VO₂max et âge de forme ; intervalles d’activité infra-journaliers. Avec votre autorisation, KARDIOO envoie également des séances structurées et des plans d’entraînement vers votre compte Garmin Connect, pour synchronisation sur votre montre. La déconnexion depuis l’app met fin à l’enregistrement de KARDIOO chez Garmin et supprime les enregistrements d’origine Garmin que nous détenons pour vous.

COROS

Enregistrements de séances et fichier d’activité ; données quotidiennes telles que pas et dépense énergétique ; durée de sommeil ; variabilité de la fréquence cardiaque. Avec votre autorisation, KARDIOO envoie également des séances structurées et des plans vers votre compte COROS. La déconnexion révoque l’autorisation chez COROS et supprime les enregistrements d’origine COROS que nous détenons pour vous.

Polar

Exercices et leurs fichiers enregistrés, activité quotidienne, sommeil et ses stades, Nightly Recharge, fréquence cardiaque continue et charge cardio. L’interface de Polar n’accepte pas les séances structurées : rien n’est envoyé vers un appareil Polar, vos séances planifiées restent dans l’app. La déconnexion supprime l’enregistrement détenu chez Polar et les enregistrements d’origine Polar que nous détenons pour vous.

Wahoo

Séances terminées et leurs fichiers enregistrés. Wahoo ne partage pas les séances provenant d’une application tierce : une séance enregistrée via une autre app peut donc ne pas parvenir à KARDIOO. Lorsque la capacité est activée, KARDIOO envoie également la séance structurée du jour vers votre appareil Wahoo. La déconnexion révoque le jeton et supprime les enregistrements d’origine Wahoo que nous détenons pour vous ; à la demande de Wahoo, les données Wahoo sont supprimées sous 48 heures.

Zepp

Activités et résumés quotidiens, lorsque la connexion est disponible. Rien n’est envoyé vers un appareil Zepp. Sur iOS, une montre Amazfit écrit également dans Apple Health : ce chemin dépend alors de vos autorisations Apple Health et non de cette connexion.

5. Finalités et bases juridiques

• Fournir le service : synchroniser et afficher les activités, calculer les analyses, construire et adapter un plan, envoyer les séances planifiées vers votre montre, assurer les fonctions sociales et le support — exécution du contrat.
• Traiter les données de santé : produire des analyses sportives personnalisées — consentement explicite, que vous pouvez retirer à tout moment.
• Gérer l’abonnement : vérifier les droits et traiter les achats App Store — exécution du contrat et obligations comptables.
• Sécuriser et fiabiliser : prévenir les abus, diagnostiquer les erreurs, protéger les comptes — intérêt légitime de KARDIOO.
• Mesurer l’usage : améliorer les parcours à partir d’événements limités — intérêt légitime ou consentement lorsqu’il est requis. Aucun profil publicitaire n’est créé.

Un abonnement KARDIOO paie le plan d’entraînement et les analyses construites à partir de vos données. Connecter une montre, en recevoir les activités et la déconnecter ne sont jamais soumis à un paiement.

6. Visibilité et partage

Votre profil et vos activités sont soumis aux réglages choisis dans l’app. Une séance peut être publique, réservée à certaines relations ou privée. Des contrôles séparés permettent de masquer la carte, la fréquence cardiaque ou l’allure. Les conversations restent accessibles à leurs participants.

KARDIOO ne vend pas de données personnelles et n’en partage aucune à des fins de publicité ciblée entre contextes. Les données Apple Health et celles reçues d’un constructeur ne servent jamais à de la publicité, ne sont jamais transmises à un courtier en données, et ne sont transmises à aucun tiers en dehors des prestataires nommés à la section 7, qui agissent sur nos instructions. Une communication à une autorité publique n’a lieu que lorsque la loi l’impose.

7. Prestataires et transferts internationaux

Des prestataires techniques traitent uniquement les données nécessaires à leur mission : Supabase pour l’identité et la base de données, Cloudflare R2 pour les médias, Apple pour HealthKit, les achats et les notifications, Google pour la connexion et Firebase Analytics, RevenueCat pour l’état des abonnements, et, pour les constructeurs concernés, Stridee pour la connexion des montres.

Les serveurs de KARDIOO et sa base de données sont hébergés dans l’Union européenne. Lorsqu’une connexion passe par Stridee, celui-ci reçoit votre identifiant Kardioo et, du constructeur, les activités et résumés que vous avez autorisés ; il nous les transmet chiffrés et n’en fait aucun autre usage pour notre compte. Supprimer votre compte Kardioo supprime aussi la référence que Stridee garde de vous et révoque les connexions correspondantes.

Si l’assistance en langage naturel est activée, un fournisseur de modèle peut recevoir la phrase saisie et un contexte agrégé (par exemple phase, nombre de séances et indicateurs de charge arrondis). Le système exclut noms, e-mails, identifiants, date de naissance et séries de santé brutes avant l’envoi. Les fichiers d’activité et les mesures brutes reçus d’un constructeur ne sont jamais transmis à un fournisseur de modèle. Le fournisseur actif sera documenté dans l’app.

Certains prestataires peuvent traiter des données hors de l’Espace économique européen. KARDIOO s’appuie alors sur une décision d’adéquation, des clauses contractuelles types ou un autre mécanisme autorisé.

8. Conservation et suppression

Les données de compte, d’entraînement et le contenu sont conservés tant que le compte est actif et que leur présence est nécessaire au service. Les journaux techniques et notifications expirent selon des fenêtres limitées. Les justificatifs de transaction peuvent être archivés pendant la durée imposée par le droit comptable ou fiscal.

Déconnecter une montre révoque l’autorisation chez ce constructeur, arrête l’arrivée de toute nouvelle donnée et supprime les enregistrements que ce constructeur a fournis. Vos propres séances et votre historique dans KARDIOO ne sont pas touchés, et aucune autre connexion n’est affectée.

Supprimer votre compte commence par révoquer chaque connexion de montre à la source, pour qu’aucun constructeur ne continue de livrer vers un compte supprimé. Sont ensuite effacées purement et simplement toutes les mesures quotidiennes et les nuits — variabilité cardiaque, stades de sommeil, saturation en oxygène et le reste ; le profil est anonymisé, l’identité détenue par le fournisseur d’authentification est supprimée, ainsi que, le cas échéant, votre référence chez Stridee. Vos séances passées sont conservées sous forme anonymisée, détachées de votre identité et visibles par personne, vous compris ; l’app vous le dit avant de confirmer. Les sauvegardes résiduelles sont isolées puis remplacées selon leur cycle normal.

À la demande d’un constructeur, ou à la vôtre, les données fournies par ce constructeur — y compris les séances conservées et leurs fichiers d’activité — sont supprimées sous 48 heures, et KARDIOO le confirme par écrit. Écrivez à l’adresse indiquée à la section 10 ; aucun compte ni aucune app n’est nécessaire pour le demander.

Depuis les réglages, vous pouvez aussi supprimer séparément les métriques santé stockées, et déconnecter une montre sans supprimer quoi que ce soit d’autre. Avant de supprimer un compte disposant d’un abonnement actif, l’App Store peut exiger son annulation ; cette vérification ne réduit pas votre droit à l’effacement, contactez-nous si elle empêche l’opération. Une suppression peut également être demandée sans passer par l’app — voir Supprimer vos données.

9. Sécurité

KARDIOO utilise le chiffrement TLS en transit pour chaque connexion, des contrôles d’accès par compte, une autorisation centralisée pour les séances privées, des stockages distincts pour les médias publics et privés et une journalisation limitée. Les jetons d’accès des constructeurs sont conservés chiffrés sur le serveur et ne sont jamais transmis à l’application mobile. Les notifications entrantes d’un constructeur ou de Stridee sont vérifiées avant tout traitement de leur contenu et, lorsque le transport le permet, signées dans les deux sens et chiffrées de bout en bout. Aucun système ne garantit cependant une sécurité absolue ; une violation affectant vos droits vous serait notifiée, ainsi qu’à l’autorité compétente, dans les conditions prévues par la loi.

10. Vos droits

Selon le RGPD, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité et vous opposer à certains traitements. Vous pouvez retirer un consentement sans remettre en cause les traitements antérieurs. Écrivez à amine.anseur1@gmail.com. Une preuve d’identité proportionnée peut être demandée si nécessaire.

Vous pouvez aussi saisir la CNIL ou l’autorité de contrôle de votre lieu de résidence.

11. Résidents des États-Unis

Si vous résidez en Californie ou dans un autre État doté d’une loi générale sur la vie privée, vous pouvez demander à connaître les catégories et les éléments précis de données personnelles collectés, leurs sources et leurs finalités ; à les faire rectifier ou supprimer ; et à en obtenir une copie portable. L’exercice de ces droits n’entraîne aucune discrimination : le service n’est ni dégradé ni facturé différemment.

KARDIOO ne vend pas de données personnelles et n’en partage aucune à des fins de publicité ciblée entre contextes, au sens du California Consumer Privacy Act, et ne l’a pas fait au cours des douze derniers mois. Les données de santé et d’activité reçues d’Apple Health ou d’un constructeur de montres sont traitées comme des données personnelles sensibles et servent uniquement aux fonctionnalités que vous avez demandées. Les demandes s’adressent au contact ci-dessus et reçoivent une réponse dans le délai légal ; un mandataire habilité peut agir pour vous sur justification.

12. Mineurs et changements

KARDIOO n’est pas destiné aux moins de 16 ans et ne collecte pas sciemment leurs données. Toute évolution substantielle de cette politique sera signalée dans l’app ou par un moyen adapté avant son entrée en vigueur.