Politique de Confidentialité

La présente Politique de Confidentialité décrit comment Fitney Tecnologia Ltda. (« Fitney », « nous ») collecte, utilise, partage et protège les données personnelles des utilisateurs (« Utilisateurs », « vous ») de notre plateforme SaaS dédiée au fitness et à la nutrition.

Cette Politique s'applique à tous les services proposés par Fitney, y compris :

• Le site institutionnel (fitney.com.br) ;
• L'application mobile pour iOS et Android ;
• Le panneau d'administration pour les professionnels (backoffice) ;
• Les applications white-label générées pour les professionnels du plan Premium ;
• Les API et services backend.

Elle est complétée par notre page RGPD et notre Politique des Cookies.

Nous vous recommandons de lire cette Politique en intégralité. En utilisant la Plateforme, vous confirmez avoir compris nos pratiques de traitement des données.

Aux fins de la présente Politique et des lois applicables sur la protection des données :

• Fitney Tecnologia Ltda. est responsable du traitement des données personnelles des Professionnels (coachs sportifs, nutritionnistes) qui souscrivent à la Plateforme ;
• Le Professionnel est le responsable du traitement des données personnelles de ses Clients, et Fitney agit en qualité de sous-traitant de ces données ;
• Le Délégué à la Protection des Données (DPO) peut être contacté à l'adresse dpo@fitneyapp.com.

Cette distinction est importante pour l'exercice des droits : les Clients doivent adresser leurs demandes en priorité au Professionnel qui gère leurs données, bien qu'ils puissent aussi contacter directement Fitney.

Nous collectons les catégories de données personnelles suivantes :

Données d'inscription

• Nom complet, email, numéro de téléphone (avec indicatif pays) ;
• Numéro d'identification fiscale (pour la facturation) ;
• Inscription professionnelle ou certification, lorsqu'elle est fournie volontairement par l'Utilisateur. Cette donnée est facultative et n'est pas vérifiée par Fitney ;
• Adresse de l'activité et informations de facturation.

Données de santé et de fitness (données sensibles)

• Mesures corporelles (poids, taille, circonférences) ;
• Objectifs de santé et de fitness ;
• Historique d'entraînement et d'exercices ;
• Données nutritionnelles et plans alimentaires ;
• Photos de progression (lorsqu'elles sont fournies volontairement) ;
• Restrictions alimentaires et conditions de santé déclarées ;
• Données importées de plateformes de santé (Apple HealthKit sur iOS et Health Connect sur Android), incluant pas, fréquence cardiaque, calories brûlées, distance parcourue et séances d'exercice — uniquement avec le consentement explicite de la personne concernée, accordé directement via le système d'exploitation de l'appareil ;
• Questionnaire de santé (anamnèse) : antécédents médicaux, mode de vie, niveau d'activité physique, objectifs — rempli volontairement par le Client ou le Professionnel.

Données d'utilisation et d'appareil

• Adresse IP, type de navigateur et système d'exploitation ;
• Pages consultées, temps passé et interactions ;
• Données de géolocalisation (basées sur l'IP sur le site ; GPS sur l'app mobile, si autorisé, pour enregistrer le lieu de l'entraînement) ;
• Identifiants de l'appareil : modèle, version du système d'exploitation, version de l'app et identifiant unique ;
• Tokens de notifications push (Firebase Cloud Messaging) pour l'envoi de rappels et communications ;
• Données de performance et de diagnostic collectées par Firebase Crashlytics (rapports de plantage, sans données personnelles identifiables) ;
• Cookies et technologies similaires — voir notre Politique des Cookies.

Données de stockage local (app mobile)

• Cache des réponses API (stocké localement jusqu'à 3 jours pour la fonctionnalité hors ligne) ;
• File d'attente des opérations hors ligne (exercices, check-ins et séances de course effectués sans connexion, synchronisés automatiquement à la reconnexion) ;
• Préférences de notification et paramètres de l'Utilisateur ;
• Historique récent des notifications (10 dernières reçues).

Données de paiement

• Données de transaction (montant, date, statut) ;
• 4 derniers chiffres et marque de la carte (à des fins d'identification) ;
• Données d'achat in-app via Apple App Store ou Google Play, incluant identifiants de transaction et périodes d'abonnement ;
• Note : les données complètes de la carte sont traitées directement par Stripe ou par les processeurs locaux et ne sont jamais stockées sur nos serveurs.

Données de communication

• Messages échangés entre Professionnels et Clients sur la Plateforme ;
• Communications de support et feedback.

Nous traitons les données personnelles sur la base des fondements juridiques suivants :

Base juridique	RGPD (Art. 6)	LGPD (Art. 7)	Exemples
Exécution du contrat	Art. 6(1)(b)	Art. 7, V	Fourniture du service, traitement des paiements
Consentement	Art. 6(1)(a)	Art. 7, I / Art. 11, I	Données de santé, marketing, cookies non essentiels
Intérêt légitime	Art. 6(1)(f)	Art. 7, IX	Sécurité, prévention des fraudes, amélioration du service
Obligation légale	Art. 6(1)(c)	Art. 7, II	Obligations fiscales, exigences réglementaires, ordonnances judiciaires
Sauvegarde de la vie	Art. 6(1)(d)	Art. 7, VII	Situations d'urgence impliquant des données de santé

Pour les données sensibles (données de santé et de fitness), nous utilisons principalement le consentement spécifique et explicite de la personne concernée, comme requis par l'Art. 9 du RGPD et l'Art. 11 de la LGPD.

Nous utilisons vos données personnelles aux finalités suivantes :

• Fourniture du service : création et maintenance de votre compte, fourniture des fonctionnalités contractuelles, traitement des paiements ;
• Personnalisation : adaptation de l'expérience, recommandations d'entraînement et fonctionnalités selon votre profil ;
• Communication : envoi de notifications de service, mises à jour, alertes de sécurité et (avec consentement) communications marketing ;
• Sécurité : détection, prévention et investigation des fraudes, accès non autorisés et activités malveillantes ;
• Amélioration du service : analyse des modèles d'utilisation (sous forme agrégée et anonymisée lorsque possible) pour améliorer les fonctionnalités ;
• Conformité légale : respect des obligations fiscales, réglementaires, judiciaires et des autorités compétentes ;
• Support : réponse aux demandes, réclamations et fourniture d'assistance technique.

Nous partageons les données personnelles uniquement dans les situations ci-dessous, toujours avec des garanties appropriées :

Prestataires de services (sous-traitants)

• Infrastructure et hébergement : fournisseurs de cloud computing (serveurs aux USA et/ou en UE) ;
• Paiements : Stripe et processeurs locaux ;
• Analytics et monitoring : Google Analytics 4 (via Google Tag Manager, avec Consent Mode v2), Firebase Analytics et Firebase Crashlytics (rapports de stabilité), Microsoft Clarity (heatmaps) ;
• Notifications push : Firebase Cloud Messaging (Google) ;
• Stockage média : Amazon S3 et Supabase (photos d'exercices, check-ins et bilans) ;
• Santé : Apple HealthKit et Google Health Connect (lecture/écriture locales uniquement sur l'appareil, données non transférées aux serveurs Fitney) ;
• Paiements : Stripe (international) et Asaas (Brésil — PIX et Boleto) ; Apple App Store et Google Play (achats in-app) ;
• Email transactionnel : fournisseurs de livraison email (SMTP) ;
• Support : outils de service client.

Tous les fournisseurs sont contractualisés avec des accords de traitement des données (DPA).

Partage Professionnel-Client

Les Professionnels ont accès aux données de leurs Clients dans la mesure nécessaire à la fourniture du service. Les Clients doivent consulter la politique de confidentialité de leur Professionnel.

Obligations légales

Nous pouvons divulguer des données lorsque la loi l'exige, sur ordonnance judiciaire, dans le cadre de procédures légales ou à la demande d'une autorité gouvernementale compétente.

Transferts d'entreprise

En cas de fusion, acquisition, réorganisation ou cession d'actifs, les données peuvent être transférées, avec préavis et maintien des protections.

Fitney ne vend pas de données personnelles à des tiers, selon les définitions du RGPD, de la LGPD et du CCPA/CPRA.

Fitney peut transférer des données personnelles en dehors du pays d'origine de la personne concernée, conformément aux lois applicables :

UE/EEE vers l'étranger (RGPD, Art. 44-49)

• Vers des pays bénéficiant d'une décision d'adéquation de la Commission européenne ;
• Au moyen des Clauses Contractuelles Types (CCT) de l'UE ;
• Vers les USA, dans le cadre de l'EU-US Data Privacy Framework, lorsque applicable ;
• Une analyse d'impact du transfert (TIA) est réalisée si nécessaire.

Brésil vers l'étranger (LGPD, Art. 33-36)

• Vers des pays ou organisations offrant un niveau de protection adéquat, reconnu par l'ANPD ;
• Au moyen de clauses contractuelles types approuvées par l'ANPD ;
• Avec le consentement spécifique et explicite de la personne concernée ;
• Lorsque nécessaire à l'exécution du contrat.

Nos serveurs principaux sont situés aux États-Unis (AWS/Google Cloud) avec des mesures de sécurité techniques et organisationnelles adéquates.

Nous conservons les données personnelles uniquement pendant la durée nécessaire à la réalisation des finalités décrites dans cette Politique :

Catégorie de données	Durée de conservation	Justification
Données du compte actif	Pendant la durée du compte	Exécution du contrat
Données après annulation	Jusqu'à 6 mois	Possibilité de réactivation
Données fiscales/financières	10 ans	Obligation légale (réglementation fiscale)
Données de santé	Jusqu'à suppression par la personne concernée ou 2 ans après inactivité	Exercice régulier des droits
Logs d'accès	1 an	Obligation légale (LCEN, Code des postes)
Données de communication	Pendant la durée du compte + 1 an	Support et résolution des litiges
Données anonymisées	Indéfiniment	Les données anonymisées ne sont pas des données personnelles

À la fin de la période de conservation, les données sont supprimées ou anonymisées de manière irréversible.

Selon votre lieu de résidence, vous disposez des droits suivants sur vos données personnelles :

Droits au titre du RGPD (UE/EEE)

Conformément aux Art. 15-22 du RGPD, vous avez le droit à :

• L'accès (Art. 15) ;
• La rectification (Art. 16) ;
• L'effacement / « droit à l'oubli » (Art. 17) ;
• La limitation du traitement (Art. 18) ;
• La portabilité (Art. 20) ;
• L'opposition (Art. 21), y compris au marketing direct ;
• Ne pas faire l'objet d'une décision automatisée (Art. 22) ;
• Introduire une réclamation auprès de l'autorité de contrôle compétente (en France, la CNIL).

Droits au titre de la LGPD (Brésil)

Conformément aux Art. 17-22 de la LGPD, vous avez le droit à :

• La confirmation du traitement des données ;
• L'accès aux données personnelles ;
• La rectification des données incomplètes, inexactes ou obsolètes ;
• L'anonymisation, le blocage ou la suppression des données inutiles ou excessives ;
• La portabilité des données ;
• La suppression des données traitées sur la base du consentement ;
• Les informations sur le partage avec des tiers ;
• Le retrait du consentement ;
• L'opposition au traitement.

Droits au titre du CCPA/CPRA (Californie, USA)

• Droit de savoir quelles données sont collectées et comment elles sont utilisées ;
• Droit de supprimer les données personnelles ;
• Droit de rectifier les données inexactes ;
• Droit de s'opposer à la vente/au partage des données ;
• Droit de limiter l'utilisation des données sensibles ;
• Droit de ne pas faire l'objet de discrimination pour l'exercice de ses droits.

Fitney ne vend ni ne partage de données personnelles à des fins de publicité comportementale cross-context, telle que définie par le CPRA.

Pour exercer vos droits, contactez-nous à l'adresse dpo@fitneyapp.com. Nous répondrons sous 30 jours (RGPD), 15 jours (LGPD) ou 45 jours (CCPA).

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données personnelles, notamment :

• Chiffrement : données en transit protégées par TLS 1.3 ; données sensibles chiffrées au repos (AES-256) ;
• Contrôle des accès : authentification multi-facteurs, principe du moindre privilège, journaux d'accès ;
• Infrastructure : serveurs dans des data centers certifiés (SOC 2 Type II, ISO 27001) ;
• Surveillance : détection d'intrusion, monitoring 24/7 et alertes automatiques ;
• Sauvegarde : sauvegardes chiffrées avec conservation régulière et tests de restauration ;
• Personnel : formation régulière en sécurité et confidentialité pour tous les employés ;
• Tests : évaluations périodiques des vulnérabilités et revues de sécurité.

Aucun système n'est sécurisé à 100 %. En cas d'incident de sécurité, nous notifierons les autorités compétentes (CNIL en France, ANPD au Brésil, autorités européennes de protection des données) et les personnes concernées dans les délais légaux.

La Plateforme n'est pas destinée aux mineurs de moins de 18 ans. Les mineurs de moins de 18 ans ne peuvent utiliser la Plateforme qu'avec le consentement vérifiable d'un représentant légal.

• UE (RGPD, Art. 8) : le consentement des mineurs de moins de 16 ans (ou âge inférieur défini par l'État membre, minimum 13 ans) requiert l'autorisation du titulaire de l'autorité parentale ;
• France : l'âge limite pour le consentement au traitement des données personnelles dans le cadre des services de la société de l'information est de 15 ans (Art. 7-1 de la loi Informatique et Libertés) ;
• Brésil (LGPD, Art. 14) : les données des enfants (jusqu'à 12 ans) sont traitées uniquement avec le consentement spécifique et explicite d'au moins un parent ou représentant légal. Adolescents (12-17 ans) : consentement du représentant légal ;
• USA (COPPA) : nous ne collectons pas sciemment de données de mineurs de moins de 13 ans. Si nous en avons connaissance, nous supprimerons immédiatement les données.

Si vous pensez que les données d'un mineur ont été collectées sans autorisation, contactez dpo@fitneyapp.com.

Nous utilisons des cookies et technologies similaires pour faire fonctionner la Plateforme, analyser l'utilisation et personnaliser l'expérience. Pour des informations détaillées, consultez notre Politique des Cookies.

En résumé :

• Cookies essentiels : nécessaires au fonctionnement du site (ne nécessitent pas de consentement) ;
• Cookies d'analyse : pour comprendre comment la Plateforme est utilisée (nécessitent un consentement) ;
• Cookies marketing : pour personnaliser les annonces (nécessitent un consentement).

Vous pouvez gérer vos préférences de cookies à tout moment via la bannière cookies ou les paramètres de votre navigateur.

Fitney peut utiliser un traitement automatisé pour :

• Recommander des entraînements et plans alimentaires en fonction du profil du Client ;
• Détecter des modèles d'utilisation anormaux à des fins de sécurité ;
• Personnaliser l'expérience sur la Plateforme.

Ces recommandations sont auxiliaires et toujours soumises à la revue du Professionnel. Nous ne prenons pas de décisions produisant des effets juridiques ou affectant significativement la personne concernée sur la seule base d'un traitement automatisé.

Conformément à l'Art. 22 du RGPD et à l'Art. 20 de la LGPD, vous avez le droit de demander la révision des décisions automatisées et d'obtenir des informations sur les critères et procédures utilisés.

Nous pouvons mettre à jour périodiquement cette Politique. Les modifications substantielles seront communiquées avec un préavis de 30 jours via :

• Email aux Utilisateurs enregistrés ;
• Notification sur la Plateforme ;
• Mise à jour de la date de « Dernière mise à jour » sur cette page.

Pour les modifications nécessitant un nouveau consentement (ex. nouvelles finalités de traitement de données sensibles), nous demanderons un consentement spécifique avant la mise en œuvre.

Nous vous recommandons de revoir cette Politique périodiquement.

Pour toute question, demande ou réclamation concernant cette Politique ou le traitement de vos données personnelles :

• Délégué à la Protection des Données (DPO) : dpo@fitneyapp.com
• Général : legal@fitneyapp.com
• Adresse : Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brésil

Si vous n'êtes pas satisfait de notre réponse, vous pouvez introduire une réclamation auprès de l'autorité compétente de protection des données :

• France : Commission Nationale de l'Informatique et des Libertés (CNIL) — cnil.fr
• UE : Autorité de protection des données de votre pays de résidence
• Brésil : Autorité Nationale de Protection des Données (ANPD) — gov.br/anpd
• USA (Californie) : Office of the Attorney General of California