Politique de confidentialité

Version 1.2 — En vigueur au 1er août 2026 — RGPD (UE 2016/679)

FitDesk (Société par Actions Simplifiée (SAS), RCS Montpellier 104 196 233, 118 Rue des Roselières, 34970 Lattes, France) s'engage à protéger vos données personnelles conformément au RGPD et à la loi Informatique et Libertés. La présente politique couvre le site web, l'application mobile Android et l'ensemble des services associés.

Article 1 — Responsable du traitement

FitDesk, Société par Actions Simplifiée (SAS), RCS Montpellier 104 196 233, 118 Rue des Roselières, 34970 Lattes, France.

Contact : contact@fitdesk.io

Article 2 — Champ d'application et rôles

La présente politique s'applique aux données traitées par FitDesk en qualité de responsable du traitement, c'est-à-dire aux données des utilisateurs de la Plateforme, quel que soit leur profil : coach, athlète, gestionnaire d'organisation ou administrateur.

Lorsqu'un coach saisit dans la Plateforme des informations relatives à ses propres clients ou prospects, il détermine seul les finalités et les moyens de ce traitement : il en est le responsable et FitDesk agit alors comme prestataire technique pour son compte.

Article 3 — Catégories de données collectées

• Données d'identification : nom, prénom, adresse email, numéro de téléphone, langue préférée.
• Données de compte et d'authentification : identifiants, empreinte du mot de passe (jamais conservé en clair), clés d'authentification sans mot de passe (« passkeys »), historique de connexion.
• Données professionnelles (coachs) : nom commercial, spécialité, pays d'exercice, informations d'organisation.
• Données d'activité sportive : programmes, séances, exercices, charges, performances, records et indicateurs de progression.
• Données de santé et de bien-être (athlètes) : conditions médicales et allergies déclarées, rapports de bien-être (sommeil, énergie, stress, humeur, motivation, courbatures, zones de douleur, confort digestif, hydratation, envies alimentaires et, le cas échéant, suivi du cycle menstruel), comptes rendus de séance et rapports de repas.
• Données de nutrition : plans alimentaires, repas, apports et suivi associé.
• Données de communication : messages échangés via la messagerie de la Plateforme (conversations individuelles, de groupe et échanges avec le support).
• Échanges avec l'assistant conversationnel : contenu des conversations avec l'assistant « Milo » (voir l'article 7).
• Données de facturation (coachs) : coordonnées de facturation et historique d'abonnement. Les données de moyen de paiement sont traitées par notre prestataire de paiement et ne sont jamais stockées par FitDesk.
• Données techniques et de journalisation : adresse IP, type de navigateur et d'appareil, pages consultées, journaux d'appels aux services et journaux d'envoi des courriers électroniques.

Article 4 — Origine des données

Les données sont en principe collectées directement auprès de vous. Certaines peuvent être renseignées par un tiers autorisé : un coach qui invite un athlète, ou un gestionnaire qui rattache un membre à son organisation.

Dans le cadre de ses actions de prospection auprès de professionnels du sport, FitDesk peut également traiter des coordonnées professionnelles obtenues indirectement, à partir de sources accessibles au public. Les personnes concernées sont informées lors du premier contact, peuvent s'opposer à tout moment à ce traitement et disposent, dans chaque message, d'un lien de désinscription immédiate.

Article 5 — Finalités et bases légales

• Fourniture et fonctionnement du service : exécution du contrat (Art. 6.1.b RGPD).
• Suivi sportif et accompagnement par le coach : exécution du contrat (Art. 6.1.b).
• Traitement des données de santé et de bien-être : consentement explicite (Art. 9.2.a). Ces informations sont facultatives et le consentement peut être retiré à tout moment.
• Gestion des abonnements et facturation : exécution du contrat et obligations légales (Art. 6.1.b/c).
• Sécurité, prévention de la fraude et journalisation : intérêt légitime (Art. 6.1.f).
• Amélioration et supervision du service : intérêt légitime (Art. 6.1.f).
• Communications liées au service : intérêt légitime (Art. 6.1.f).
• Prospection auprès de professionnels : intérêt légitime (Art. 6.1.f), avec droit d'opposition permanent.
• Obligations légales et comptables : obligation légale (Art. 6.1.c).

Article 6 — Destinataires et sous-traitants

Vos données sont accessibles à votre coach (pour votre suivi sportif), aux membres autorisés de votre organisation (voir l'article 8), au personnel habilité de FitDesk et aux autorités compétentes lorsque la loi l'exige.

FitDesk fait appel aux sous-traitants suivants :

• OVH SAS : hébergement de la Plateforme et des données — France (Roubaix).
• Stripe : traitement des paiements et de la facturation — États-Unis.
• OpenAI : fourniture des modèles de langage utilisés par l'assistant conversationnel — États-Unis (voir l'article 7).
• OVH SAS : acheminement des courriers électroniques émis par la Plateforme, messages transactionnels et d'information — France (Roubaix).

FitDesk ne vend ni ne loue vos données personnelles. Aucun transfert n'est effectué à des fins publicitaires.

Article 7 — Assistant conversationnel « Milo »

La Plateforme met à disposition un assistant conversationnel reposant sur des modèles de langage fournis par la société OpenAI, établie aux États-Unis. Il intervient pour proposer des repas, composer des exercices et répondre aux demandes d'aide.

FitDesk ne transmet automatiquement à l'assistant aucune donnée issue de votre dossier. Ni votre fiche de santé, ni vos allergies, ni vos rapports de bien-être, ni vos performances ne lui sont communiqués. Seuls sont transmis le contenu que vous saisissez vous-même dans la conversation, l'historique de cette conversation et, pour les demandes d'aide, des extraits de notre base de connaissances.

Chaque message est soumis à un contrôle automatisé de conformité avant traitement. Les conversations sont conservées vingt-quatre heures après le dernier échange, puis effacées automatiquement. Les journaux techniques n'enregistrent jamais le contenu des messages.

Les contenus produits par l'assistant sont des propositions destinées à être relues et validées par un professionnel. Ils ne constituent ni un avis médical, ni une prescription, ni un conseil diététique personnalisé.

Article 8 — Partage au sein d'une organisation

Lorsque vous êtes rattaché à une organisation (club, salle, structure professionnelle), certaines de vos données sont accessibles à d'autres membres de cette organisation :

• le gestionnaire accède à l'annuaire de ses membres et aux informations de rattachement. L'annuaire n'expose aucune donnée de santé ni de suivi sportif ;
• un coach membre de l'organisation peut accéder au dossier de suivi d'un athlète de la même organisation, y compris ses informations de santé, afin d'assurer la continuité de l'accompagnement, même en l'absence de relation contractuelle directe entre eux ;
• les membres peuvent être réunis dans des conversations de groupe, au sein desquelles leur identité est visible des autres participants.

La fin du rattachement met fin à ces accès pour l'avenir.

Article 9 — Transferts hors Union européenne

L'hébergement de la Plateforme et le stockage des données sont assurés en France. Deux traitements impliquent un transfert vers les États-Unis : le traitement des paiements par Stripe, et le recours aux modèles de langage d'OpenAI pour l'assistant conversationnel.

Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, conformément à l'article 46 du RGPD, complétées le cas échéant par les mesures supplémentaires appropriées. Aucun autre transfert hors UE n'est effectué.

Article 10 — Durées de conservation

• Compte et données associées : pendant toute la durée d'utilisation du compte.
• Après clôture du compte : 3 ans, puis suppression ou anonymisation.
• Données de facturation : 10 ans (obligation comptable).
• Journaux de navigation : 30 jours.
• Journaux techniques d'appels aux services et d'envoi des courriers électroniques : 12 mois.
• Conversations avec l'assistant : 24 heures après le dernier échange.
• Preuves d'acceptation des documents contractuels : durée de la relation contractuelle et 5 ans au-delà.

Article 11 — Sécurité

FitDesk met en œuvre : chiffrement des échanges en transit (HTTPS/TLS), stockage des mots de passe sous forme de condensats cryptographiques, cloisonnement des composants et restriction des accès aux environnements de production, journalisation des accès et des opérations sensibles, anonymisation des adresses IP dans les journaux de navigation (précision géographique limitée au pays), sauvegardes régulières.

Article 12 — Application mobile

L'application mobile FitDesk est distribuée sur Google Play. Elle ne requiert que l'accès à Internet, nécessaire au fonctionnement du service.

Elle n'intègre aucun outil de mesure d'audience tiers, aucun traceur publicitaire et aucun identifiant publicitaire. Elle n'accède ni à votre position, ni à votre appareil photo, ni à vos contacts, ni à votre microphone. Les données traitées via l'application sont identiques à celles traitées via le site web.

Article 13 — Cookies et traceurs

FitDesk n'utilise ni cookie tiers, ni outil de mesure d'audience, ni pixel publicitaire.

Seuls sont utilisés des dispositifs strictement nécessaires au fonctionnement du service : maintien de l'authentification pendant la session et mémorisation de la préférence de langue. Ces dispositifs sont exemptés de consentement au sens de la recommandation CNIL du 17 septembre 2020 ; aucun bandeau de cookies n'est requis.

Article 14 — Traitements automatisés et profilage

Conformément à l'article 13.2.f du RGPD, la Plateforme met en œuvre les traitements automatisés suivants :

• l'assistant conversationnel décrit à l'article 7, qui produit des propositions soumises à la validation d'un professionnel ;
• l'envoi automatique de messages de suivi déclenchés par votre activité (absence de connexion prolongée, séance non validée, date anniversaire d'inscription) ;
• un contrôle automatisé de conformité des messages adressés à l'assistant.

Aucune décision produisant des effets juridiques à votre égard, ou vous affectant de manière significative de façon similaire, n'est prise sur le seul fondement d'un traitement automatisé au sens de l'article 22 du RGPD.

Article 15 — Vos droits

• Accès — obtenir une copie de vos données.
• Rectification — corriger des données inexactes.
• Effacement — demander la suppression, sous réserve des obligations légales de conservation.
• Limitation — restreindre certains traitements.
• Opposition — s'opposer à un traitement fondé sur l'intérêt légitime, notamment la prospection.
• Portabilité — recevoir vos données dans un format structuré.
• Retrait du consentement — à tout moment, notamment pour les données de santé.

Pour exercer ces droits : contact@fitdesk.io. Réponse sous un mois. Réclamation possible auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

Article 16 — Mise à jour

La présente politique peut être mise à jour afin de refléter les évolutions du service ou de la réglementation ; la date d'entrée en vigueur figure en en-tête. En cas de modification substantielle, les utilisateurs en sont informés par tout moyen approprié.

Article 17 — Droit applicable

La présente politique de confidentialité est régie par le droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence des juridictions françaises.