Politique de confidentialité

Cette politique décrit comment Trizy collecte, utilise et protège vos données personnelles, y compris vos données de santé, conformément au RGPD et à la loi « Informatique et Libertés ».

1. Responsable du traitement

Evan Mounaud, éditeur de Trizy. Contact données : contact@trizy.coach (objet « Données personnelles »). La désignation d'un DPO n'est pas obligatoire à ce stade ; un point de contact dédié est mis à disposition à cette adresse.

2. Données traitées

• Identification / compte : e-mail, identifiant de connexion, données techniques de session.
• Profil sportif et physiologique (données de santé, art. 9 RGPD) : fréquence cardiaque, poids, seuils FTP / CSS / allure, RPE, indicateurs de récupération, séances, charge (TSS / CTL / ATL / TSB).
• Strava (facultatif) : activités importées si vous connectez votre compte.
• Technique : données nécessaires au fonctionnement, à la sécurité et à la mesure d'audience.

Nous appliquons le principe de minimisation.

3. Finalités et bases légales

• Gestion du compte et du service — exécution du contrat (art. 6.1.b).
• Génération et calibration des plans à partir de vos données sportives et de santé — consentement explicite (art. 9.2.a), recueilli à l'inscription via une case dédiée non précochée.
• Connexion Strava — consentement (facultatif, révocable).
• Coaching par IA — exécution du contrat + consentement santé ; données minimisées et pseudonymisées.
• Sécurité et mesure d'audience anonyme — intérêt légitime.

Vous pouvez retirer votre consentement à tout moment. Trizy propose des recommandations mais ne prend aucune décision entièrement automatisée à effet juridique (art. 22).

4. Destinataires et sous-traitants

Vos données ne sont ni vendues ni louées. Sous-traitants encadrés par contrat (art. 28) :

• Supabase — base de données / authentification (région : Union européenne).
• Railway — hébergement de l'application (États-Unis).
• Strava — source des activités (si connecté).
• Anthropic — IA de coaching ; données minimisées et pseudonymisées, non réutilisées pour l'entraînement des modèles.
• Resend — e-mails transactionnels.

5. Transferts hors UE

Certains sous-traitants sont établis hors UE (États-Unis). Ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types et/ou Data Privacy Framework). Nous nous efforçons d'héberger les données de santé dans l'UE et de minimiser les données transmises hors UE.

6. Durées de conservation

Données de compte et de santé conservées tant que le compte est actif. Après suppression du compte : effacement immédiat des données applicatives, purge des sauvegardes techniques sous 30 jours. Compte inactif : suppression ou anonymisation après 24 mois. Logs techniques : 12 mois maximum.

7. Vos droits

Accès, rectification, effacement, limitation, opposition, portabilité (export JSON/CSV), retrait du consentement. La suppression de compte et l'export sont disponibles dans l'application ; sinon écrivez à contact@trizy.coach. Réponse sous un mois. Réclamation possible auprès de la CNIL (cnil.fr).

8. Cookies

Trizy utilise des cookies strictement nécessaires (authentification, session, sécurité), exemptés de consentement. La mesure d'audience privilégie une solution anonyme sans cookie. Tout traceur non essentiel ferait l'objet d'un consentement préalable (accepter / refuser au même niveau).

9. Sécurité

HTTPS/HSTS, contrôle d'accès au niveau base (RLS), authentification sans mot de passe en clair, limitation de débit, validation des entrées, secrets hors du code. En cas de violation à risque, notification à la CNIL sous 72 h.