Politique de confidentialité

1. Préambule

TriPaced (ci-après "le Service") est édité par Vincent Delpeuch, personne physique agissant en qualité de responsable de traitement au sens du Règlement (UE) 2016/679 du 27 avril 2016 (ci-après "RGPD").

La présente politique de confidentialité informe les utilisateurs du Service de la nature des données personnelles collectées, des finalités de traitement, des bases légales, des destinataires, des durées de conservation, ainsi que de leurs droits.

TriPaced traite des données concernant la santé au sens de l'article 9 du RGPD. Un consentement explicite et séparé est demandé lors de l'inscription pour ces traitements spécifiques.

Le Service est actuellement en bêta privée gratuite, sur invitation, avec un nombre de comptes très limité. Cette politique décrit ce que le Service fait réellement aujourd'hui, et non ce qu'il fera peut-être demain.

2. Responsable de traitement

• Nom : Vincent Delpeuch
• Statut : personne physique, projet personnel en phase bêta
• Contact : vincent@tripaced.com
• Délégué à la Protection des Données (DPO) : Vincent Delpeuch agit en qualité de DPO de facto. Aucune désignation formelle n'est obligatoire compte tenu de la taille du projet (RGPD article 37), mais Vincent Delpeuch est joignable directement à l'adresse vincent@tripaced.com pour toute question relative à la protection des données.

3. Données collectées

3.1 Données d'identification

• Adresse email (obligatoire pour la création de compte)
• Prénom et nom (optionnel, modifiable à tout moment)
• Mot de passe (haché par bcrypt, jamais accessible en clair)

3.2 Données d'entraînement

• Configuration du profil athlète : heures disponibles par semaine, type de course cible (Half Ironman 70.3 ou Full Ironman 140.6), date de la course, niveau actuel
• Séances planifiées par le moteur (discipline, durée, intensité prescrite)
• Séances réalisées (issues de Strava ou validation manuelle)
• Validations hebdomadaires (charge ressentie, ajustements demandés)
• Seuils calculés : FTP (Functional Threshold Power), VDOT (Jack Daniels), CSS (Critical Swim Speed)

3.3 Données concernant la santé (article 9 RGPD)

Ces données ne sont collectées qu'avec votre consentement explicite et séparé donné lors de l'inscription.

• Épisodes de blessures déclarés : type de blessure, sévérité, dates de début et fin, notes libres
• Charge d'entraînement physiologique : CTL (Chronic Training Load), ATL (Acute Training Load), TSB (Training Stress Balance) selon le modèle Banister/Coggan
• Messages au coach IA (fonctionnalité actuellement masquée en MVP) pouvant contenir des mentions médicales

3.4 Données issues de Strava (avec votre consentement OAuth)

Lors de la connexion de votre compte Strava :

• Tokens OAuth (access token, refresh token, expiration) : stockés chiffrés, rafraîchis automatiquement
• Activités synchronisées : distance, durée, allure, puissance, fréquence cardiaque moyenne
• Flux GPS et cardio détaillés (pour les analyses fines)
• Photo de profil et nom Strava

Les coordonnées GPS sont utilisées exclusivement pour calculer le dénivelé et la qualité de la session, jamais affichées publiquement, jamais partagées avec des tiers.

3.5 Données comportementales (mesure d'audience)

Via PostHog (sous-traitant, hébergement Union européenne) :

• Pages visitées, durée des sessions
• Événements clés : parcours d'inscription à la bêta, création de compte, complétion de la wizard, génération de plan, validation hebdomadaire
• Identifiant de compte et adresse email : lorsque vous êtes connecté et que vous avez accepté la mesure d'audience, votre identifiant interne et votre adresse email sont transmis à PostHog pour rattacher les événements à votre compte

Ces données sont pseudonymisées, elles ne sont pas anonymes. Le mot « anonymisation » désigne en droit un processus irréversible : ce n'est pas le cas ici, puisque les événements sont rattachés à votre compte et à votre adresse email. En revanche, aucune donnée de santé n'est transmise à PostHog : aucun poids, aucune fréquence cardiaque, aucun seuil physiologique, aucune blessure ne transite par la mesure d'audience, et les champs de saisie des seuils sont explicitement exclus de la capture automatique.

Ce traitement repose sur votre consentement préalable (opt-in) : aucune mesure d'audience n'est effectuée tant que vous n'avez pas cliqué « Accepter » dans la bannière dédiée. Vous pouvez activer ou retirer ce consentement à tout moment ci-dessous.

3.6 Données de candidature à la bêta

Pour les utilisateurs ayant postulé via le formulaire de bêta :

• Email, motivation libre, course cible, niveau auto-déclaré
• Statut de la candidature (en attente / invité / refusé)

3.7 Données liées à la connexion Intervals.icu (optionnelle)

Si vous connectez un compte Intervals.icu (voir section 5.2), le Service conserve :

• Le jeton OAuth Intervals.icu et votre identifiant d'athlète Intervals.icu, en accès serveur uniquement
• La correspondance entre chaque séance TriPaced et l'évènement créé chez Intervals.icu (date, créneau, identifiant d'évènement, date de dernière synchronisation)

3.8 Contenus que vous publiez dans l'espace communautaire

• Sujets de discussion : titre et corps du message
• Réponses publiées dans un sujet
• Mentions « j'aime » posées sur une réponse
• Le prénom associé à votre compte, affiché comme auteur

4. Finalités et bases légales

5. Connexions vers des services tiers que vous activez

Aucune de ces connexions n'est active par défaut. Chacune est déclenchée par une action explicite de votre part et peut être révoquée à tout moment.

5.1 Strava

Connexion OAuth que vous établissez pour importer vos activités réalisées. Les données concernées sont décrites en section 3.4. La révocation se fait depuis vos réglages TriPaced ou depuis votre compte Strava.

5.2 Intervals.icu

Si votre montre est une Garmin, une Wahoo, une COROS ou une Hammerhead, vous pouvez connecter un compte Intervals.icu pour recevoir vos séances planifiées directement dans le calendrier de votre montre. Cette connexion est facultative.

Ce que TriPaced envoie à Intervals.icu, et uniquement cela :

• Le titre de la séance et sa discipline (nage, vélo, course, renforcement)
• La date, l'heure indicative et la durée prévue
• La structure détaillée de la séance : blocs, répétitions, et cibles d'intensité exprimées en pourcentage de FTP, en allure (secondes par kilomètre ou par 100 mètres) ou en battements par minute. Ces cibles sont calculées à partir de vos seuils physiologiques, elles en révèlent donc indirectement le niveau.

Ce que TriPaced n'envoie jamais à Intervals.icu : votre adresse email, vos blessures déclarées, votre charge physiologique (CTL, ATL, TSB), vos messages au coach, vos données Strava brutes, vos traces GPS.

Les autorisations demandées lors de la connexion couvrent l'écriture dans votre calendrier Intervals.icu ainsi que la lecture de vos activités et de vos données de bien-être chez Intervals.icu, pour de futures fonctionnalités de suivi. Intervals.icu est édité par intervals.icu Ltd, société de droit britannique, dont les serveurs sont situés en Allemagne et en Finlande. Vis-à-vis de vous, Intervals.icu agit comme responsable de traitement indépendant : sa propre politique de confidentialité s'applique aux données que vous y détenez. Vous pouvez rompre la connexion à tout moment depuis vos réglages TriPaced ou depuis votre compte Intervals.icu.

5.3 Connecteur MCP (assistant IA)

TriPaced expose un connecteur au format MCP (Model Context Protocol) qui permet à un assistant d'intelligence artificielle que vous utilisez par ailleurs (par exemple Claude) de lire, et le cas échéant de proposer des modifications sur, vos données TriPaced. Ce connecteur n'est pas ouvert : il fonctionne avec un jeton nominatif délivré manuellement par le responsable de traitement, à votre demande, et il est aujourd'hui limité à un très petit nombre de comptes de la bêta privée.

Ce que le connecteur expose, lorsqu'il est activé pour votre compte :

• Votre plan et vos séances planifiées
• Votre profil d'entraînement et vos seuils calculés, ainsi que leur historique
• Votre état physiologique quotidien (CTL, ATL, TSB) et vos validations hebdomadaires
• Un agrégat hebdomadaire de votre charge réalisée (totaux et charge par discipline)
• Les propositions de modification de plan, si vous utilisez un jeton d'écriture

Ce que le connecteur n'expose jamais : vos données Strava brutes (identifiants d'activité, traces GPS, flux cardio détaillés) et les données d'un autre utilisateur. Un jeton est attaché à un compte et à un seul, côté serveur ; il n'est jamais journalisé. Les jetons de lecture ne donnent aucun accès en écriture.

Conséquence importante : les données lues par ce connecteur transitent vers l'éditeur de l'assistant que vous connectez, qui peut être situé hors de l'Union européenne, et deviennent soumises à sa propre politique. Le choix de cet assistant vous appartient. Si vous ne demandez pas de jeton, aucune donnée ne sort par ce canal.

6. Partage volontaire au sein de TriPaced

Votre compte est privé par défaut. Les trois surfaces ci-dessous ne publient rien tant que vous ne les activez pas vous-même.

6.1 Lien public de partage d'une séance

Vous pouvez générer, séance par séance, un lien de la forme /s/<jeton> qui rend cette séance consultable sans authentification par toute personne à qui vous transmettez le lien, et potentiellement par un moteur de recherche si le lien est publié quelque part.

• Ce que la page publique affiche : la discipline, le type et le titre de la séance, sa durée, sa charge estimée (TSS), la structure des blocs et les badges associés.
• Ce qu'elle n'affiche pas : votre nom, votre prénom, votre adresse email, vos seuils, votre charge physiologique, vos blessures, vos échanges avec le coach, votre plan complet.
• Révocation : depuis les réglages de confidentialité de votre compte. Le lien cesse alors immédiatement de fonctionner. Le jeton est un identifiant aléatoire de 122 bits, non devinable.

6.2 Classements communautaires

Les classements sont désactivés par défaut. Tant que vous ne les activez pas dans vos réglages, vous n'apparaissez dans le classement d'aucun autre utilisateur, et vous ne voyez que votre propre rang.

• Ce qui devient visible par les autres utilisateurs connectés si vous activez l'option : votre prénom (ou la mention « Athlete » si vous n'en avez pas renseigné) et la valeur classée, à savoir votre total de points d'expérience, votre série de jours en cours ou votre plus longue série.
• Ce qui ne l'est jamais : votre adresse email, vos seuils, votre charge, vos séances, vos blessures.
• Révocation : désactiver l'option vous retire immédiatement des classements des autres.

6.3 Espace communautaire (forum)

L'espace communautaire est un forum interne réservé aux utilisateurs connectés du Service. Il n'est pas accessible sans compte et n'est pas indexé publiquement.

• Ce qui est visible par les autres utilisateurs connectés : le titre et le corps des sujets que vous publiez, vos réponses, vos mentions « j'aime », et le prénom associé à votre compte comme signature.
• Le contenu que vous y écrivez est libre : évitez d'y publier des informations que vous ne souhaitez pas partager, en particulier des informations de santé.
• La suppression de votre compte efface vos sujets, vos réponses et vos mentions « j'aime ».

7. Espace « coach plateforme » : partage avec un coach humain

TriPaced permet de rattacher votre compte à celui d'un coach humain également utilisateur du Service, afin qu'il puisse suivre votre entraînement. Ce rattachement n'existe que si vous et le coach l'avez tous les deux voulu : soit le coach vous adresse une demande que vous acceptez, soit vous saisissez le code du coach et c'est lui qui confirme. Aucun coach ne peut accéder à vos données sans cette double action.

Ce partage porte sur des données concernant la santé au sens de l'article 9 du RGPD. Il repose donc sur votre consentement explicite, matérialisé par l'acceptation du rattachement, et vous pouvez y mettre fin à tout moment.

Ce que votre coach voit une fois le lien actif :

• Votre prénom
• Votre course cible (nom et date) et votre objectif principal
• Votre charge d'entraînement du moment : forme (TSB) et charge chronique (CTL)
• L'existence d'une blessure active déclarée et sa sévérité (sans les notes libres que vous y avez associées)
• Vos séances planifiées : date, créneau, discipline, type, titre, durée, charge estimée, zone principale, structure des blocs, et les éventuelles modifications qu'il y a lui-même apportées
• Les notes qu'il rédige lui-même sur vos séances

Ce que votre coach ne voit pas : votre adresse email, vos échanges avec le coach IA, vos données Strava brutes, et les données de tout autre athlète qui ne lui est pas rattaché. Selon le mode d'accès convenu, le coach dispose d'un accès en lecture seule ou d'un accès lui permettant de proposer des modifications à votre plan.

Fin du partage : vous pouvez mettre fin au rattachement à tout moment depuis votre espace. Le coach perd alors immédiatement l'accès à vos données.

8. Destinataires et sous-traitants

Les données sont accessibles à Vincent Delpeuch (responsable de traitement) et aux destinataires suivants, sélectionnés pour leur niveau de garanties RGPD :

Certaines de vos données peuvent également être vues par d'autres utilisateurs du Service, mais uniquement dans les cas décrits aux sections 6 et 7, et uniquement après une action explicite de votre part.

Aucune donnée n'est vendue, louée ou partagée à des fins commerciales avec des tiers.

9. Durée de conservation

Le Service est en bêta privée et ne dispose d'aucune purge automatique des comptes. Le tableau ci-dessous décrit ce qui est réellement appliqué aujourd'hui, et non un engagement que le Service ne tiendrait pas. Vous pouvez à tout moment demander la suppression de votre compte, ou l'effacement de vos seules données de santé, depuis vos réglages ou par email : ces demandes, elles, sont bien traitées.

À l'ouverture du Service au public, ces durées seront bornées par des suppressions automatiques et cette section sera mise à jour en conséquence.

10. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (article 15) : obtenir une copie de toutes vos données
• Droit de rectification (article 16) : corriger toute donnée inexacte
• Droit à l'effacement (article 17, "droit à l'oubli") : supprimer votre compte et toutes les données associées
• Droit à la portabilité (article 20) : recevoir vos données dans un format structuré (JSON pour l'ensemble, FIT pour les séances Garmin-compatibles)
• Droit d'opposition (article 21) : refuser un traitement spécifique (mesure d'audience notamment)
• Droit à la limitation (article 18) : geler temporairement un traitement
• Droit de retrait du consentement Article 9 : effacer sélectivement les données de santé sans supprimer le reste du compte
• Droit de définir des directives post-mortem (loi française) : transmissibles par email

Comment exercer vos droits ?

Envoyez un email à vincent@tripaced.com en précisant :

• Votre identité (email du compte)
• Le droit que vous souhaitez exercer
• Le cas échéant, un justificatif d'identité (en cas de doute sur votre identité)

Délai de réponse : 1 mois maximum (extensible à 3 mois pour les demandes complexes, conformément à l'article 12 du RGPD).

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Site web : www.cnil.fr
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
• Téléphone : 01 53 73 22 22

11. Sécurité

Vincent Delpeuch met en œuvre les mesures techniques et organisationnelles suivantes :

• HTTPS sur l'ensemble du site (certificat Let's Encrypt via Vercel)
• Mots de passe hachés par bcrypt (Supabase Auth, jamais accessibles en clair)
• Row Level Security (RLS) PostgreSQL activée sur toutes les tables contenant des données utilisateur
• Secrets serveur isolés : aucun secret n'est exposé au client (audit régulier)
• Tokens OAuth chiffrés au repos (Supabase managed encryption)
• Sauvegardes automatiques de la base gérées par l'hébergeur
• Limitation de débit sur les points d'entrée sensibles (invitations, forum, connecteur MCP)
• Journalisation d'accès assurée par les hébergeurs pour la détection d'anomalies

12. Engagement spécifique sur les données de santé (article 9 RGPD)

Vincent Delpeuch s'engage à :

• Ne jamais revendre ou partager les données de santé à des tiers commerciaux
• Ne jamais utiliser les données de santé pour du profilage publicitaire ou marketing
• Ne jamais utiliser les données de santé pour discriminer l'accès aux fonctionnalités
• Ne jamais transmettre de donnée de santé à l'outil de mesure d'audience
• Ne partager de donnée de santé avec un autre utilisateur ou un service tiers que dans les cas décrits aux sections 5 et 7, et uniquement après une action explicite de votre part
• Respecter votre droit de retirer votre consentement à tout moment, ce qui entraînera l'effacement sélectif des données de santé sans supprimer le reste de votre compte

13. Cookies

TriPaced n'utilise que des cookies strictement nécessaires au fonctionnement du Service :

• Cookie de session d'authentification (Supabase Auth)
• Cookie de préférence d'interface (langue, thème)

Aucun cookie publicitaire, aucun cookie de tracking tiers. La mesure d'audience (PostHog) n'est activée qu'après votre consentement explicite (bannière opt-in) et n'utilise pas de cookie de tracking (stockage local, région UE). Vous pouvez retirer ce consentement à tout moment depuis la section « Données comportementales » ci-dessus.

14. Mineurs

L'utilisation de TriPaced est réservée aux personnes âgées d'au moins 16 ans. Lors de l'inscription, vous certifiez avoir au moins 16 ans révolus.

Si vous avez moins de 16 ans, vous devez obtenir le consentement explicite préalable d'un parent ou tuteur légal et nous contacter à vincent@tripaced.com avant toute inscription.

15. Transferts hors Union Européenne

Certains destinataires (Strava, Anthropic, et le cas échéant l'éditeur de l'assistant IA que vous connectez au connecteur MCP) sont situés hors de l'Union européenne. Les transferts vers ces destinataires sont encadrés par :

• Les Clauses Contractuelles Types approuvées par la Commission européenne (Décision 2021/914)
• Le EU-US Data Privacy Framework entré en vigueur en juillet 2023

Intervals.icu est édité par une société britannique, pays couvert par une décision d'adéquation de la Commission européenne, et ses serveurs sont situés dans l'Union européenne.

Vincent Delpeuch suit l'évolution réglementaire (notamment les contestations en cours, type Schrems III) et adaptera les transferts si nécessaire.

16. Modifications de la présente politique

Cette politique de confidentialité peut être mise à jour pour refléter l'évolution du Service ou de la réglementation. La date de dernière mise à jour est indiquée en haut du document.

En cas de modification substantielle (nouvelle finalité, nouveau destinataire traitant des données santé, nouvelle surface de partage), vous serez informé par email avec un délai raisonnable avant l'entrée en vigueur.

17. Contact

Pour toute question relative à cette politique ou à vos données personnelles :

• Email : vincent@tripaced.com
• Délai de réponse : 1 mois maximum