Politique de Confidentialité

La présente Politique de Confidentialité décrit comment Fitney Tecnologia Ltda. (« Fitney », « nous ») collecte, utilise, partage et protège les données personnelles des utilisateurs (« Utilisateurs », « vous ») de notre plateforme SaaS dédiée au fitness et à la nutrition.

Cette Politique s'applique à tous les services proposés par Fitney, y compris :

• Le site institutionnel (fitneyapp.com) ;
• L'application mobile pour iOS et Android ;
• Le panneau d'administration pour les professionnels (backoffice) ;
• Les applications white-label générées pour les professionnels du plan Premium ;
• Les API et services backend.

Elle est complétée par notre page RGPD et notre Politique des Cookies.

Nous vous recommandons de lire cette Politique en intégralité. En utilisant la Plateforme, vous confirmez avoir compris nos pratiques de traitement des données.

Aux fins de la présente Politique et des lois applicables sur la protection des données :

• Fitney Tecnologia Ltda. est responsable du traitement des données personnelles des Professionnels (coachs sportifs, nutritionnistes) qui souscrivent à la Plateforme ;
• Le Professionnel est le responsable du traitement des données personnelles de ses Clients, et Fitney agit en qualité de sous-traitant de ces données ;
• Le Délégué à la Protection des Données (DPO) peut être contacté à l'adresse suporte@fitneyapp.com.

Cette distinction est importante pour l'exercice des droits : les Clients doivent adresser leurs demandes en priorité au Professionnel qui gère leurs données, bien qu'ils puissent aussi contacter directement Fitney.

Nous collectons les catégories de données personnelles suivantes :

Données d'inscription

• Nom complet, email, numéro de téléphone (avec indicatif pays) ;
• Numéro d'identification fiscale (pour la facturation) ;
• Inscription professionnelle ou certification, lorsqu'elle est fournie volontairement par l'Utilisateur. Cette donnée est facultative et n'est pas vérifiée par Fitney ;
• Adresse de l'activité et informations de facturation.

Données de santé et de fitness (données sensibles)

• Mesures corporelles (poids, taille, circonférences) ;
• Objectifs de santé et de fitness ;
• Historique d'entraînement et d'exercices ;
• Données nutritionnelles et plans alimentaires ;
• Photos de progression (lorsqu'elles sont fournies volontairement) ;
• Restrictions alimentaires et conditions de santé déclarées ;
• Données importées de plateformes de santé (Apple HealthKit sur iOS et Health Connect sur Android), incluant pas, fréquence cardiaque, calories brûlées, distance parcourue et séances d'exercice — uniquement avec le consentement explicite de la personne concernée, accordé directement via le système d'exploitation de l'appareil ;
• Questionnaire de santé (anamnèse) : antécédents médicaux, mode de vie, niveau d'activité physique, objectifs — rempli volontairement par le Client ou le Professionnel.

Données d'utilisation et d'appareil

• Adresse IP, type de navigateur et système d'exploitation ;
• Pages consultées, temps passé et interactions ;
• Données de géolocalisation (basées sur l'IP sur le site ; GPS sur l'app mobile, si autorisé, pour enregistrer le lieu de l'entraînement) ;
• Identifiants de l'appareil : modèle, version du système d'exploitation, version de l'app et identifiant unique ;
• Tokens de notifications push (Firebase Cloud Messaging) pour l'envoi de rappels et communications ;
• Données de performance et de diagnostic collectées par Firebase Crashlytics (rapports de plantage, sans données personnelles identifiables) ;
• Cookies et technologies similaires — voir notre Politique des Cookies.

Données de stockage local (app mobile)

• Cache des réponses API (stocké localement jusqu'à 3 jours pour la fonctionnalité hors ligne) ;
• File d'attente des opérations hors ligne (exercices, check-ins et séances de course effectués sans connexion, synchronisés automatiquement à la reconnexion) ;
• Préférences de notification et paramètres de l'Utilisateur ;
• Historique récent des notifications (10 dernières reçues).

Données de paiement

• Données de transaction (montant, date, statut) ;
• 4 derniers chiffres et marque de la carte (à des fins d'identification) ;
• Données d'achat in-app via Apple App Store ou Google Play, incluant identifiants de transaction et périodes d'abonnement ;
• Note : les données complètes de la carte sont traitées directement par Stripe ou par les processeurs locaux et ne sont jamais stockées sur nos serveurs.

Données de communication

• Messages échangés entre Professionnels et Clients sur la Plateforme ;
• Communications de support et feedback.

Données de santé (professionnels de la nutrition/santé). Lorsque le professionnel utilise la fonctionnalité d'examens de laboratoire, nous collectons des données de santé sensibles de l'élève/patient (examens demandés, valeurs et résultats, indication clinique) et, le cas échéant, l'identifiant fiscal (CPF) du patient. Ce traitement est détaillé dans la section « Données de Santé (Examens de Laboratoire) ».

Données des intégrations connectées par l’Utilisateur

Si — et seulement si — l’Utilisateur autorise la connexion (OAuth), nous recevons et stockons sur nos serveurs les données suivantes. La connexion peut être retirée à tout moment dans les paramètres du compte, ce qui interrompt la réception de nouvelles données :

• Strava, Garmin, Polar, Fitbit, Oura et Whoop : entraînements et activités (type, durée, distance, allure, tracé lorsque disponible), fréquence cardiaque, calories, pas, sommeil et indicateurs de récupération, selon ce que chaque fournisseur expose ;
• Google Agenda : événements, horaires et disponibilités, pour synchroniser l’agenda de rendez-vous du Professionnel.

Données des visiteurs et prospects du site

Les personnes qui remplissent un formulaire sur le site sans créer de compte voient également leurs données traitées : nom, e-mail, téléphone, pays, profession et origine de la visite (campagne, terme de recherche ou site référent). Nous les utilisons pour répondre à la demande et présenter la Plateforme, sur la base de l’intérêt légitime et, pour les communications marketing, du consentement. La suppression peut être demandée à tout moment à l’adresse du DPO.

Nous traitons les données personnelles sur la base des fondements juridiques suivants :

Pour les données sensibles (données de santé et de fitness), nous utilisons principalement le consentement spécifique et explicite de la personne concernée, comme requis par l'Art. 9 du RGPD et l'Art. 11 de la LGPD.

Nous utilisons vos données personnelles aux finalités suivantes :

• Fourniture du service : création et maintenance de votre compte, fourniture des fonctionnalités contractuelles, traitement des paiements ;
• Personnalisation : adaptation de l'expérience, recommandations d'entraînement et fonctionnalités selon votre profil ;
• Communication : envoi de notifications de service, mises à jour, alertes de sécurité et (avec consentement) communications marketing ;
• Sécurité : détection, prévention et investigation des fraudes, accès non autorisés et activités malveillantes ;
• Amélioration du service : analyse des modèles d'utilisation (sous forme agrégée et anonymisée lorsque possible) pour améliorer les fonctionnalités ;
• Conformité légale : respect des obligations fiscales, réglementaires, judiciaires et des autorités compétentes ;
• Support : réponse aux demandes, réclamations et fourniture d'assistance technique.

Rappels de consultation. La Plateforme peut générer des rappels de suivi/consultation que le professionnel peut envoyer à l'élève via WhatsApp ; l'envoi est effectué par le professionnel lui-même.

Nous partageons les données personnelles uniquement dans les situations ci-dessous, toujours avec des garanties appropriées :

Prestataires de services (sous-traitants)

• Infrastructure et hébergement : Amazon Web Services (AWS — application et base de données), Cloudflare (CDN, hébergement du site et des interfaces web, stockage de fichiers et protection), Upstash (files d’attente et cache) et Sentry (surveillance des erreurs) ;
• Analytics et monitoring : Google Analytics 4 (via Google Tag Manager, avec Consent Mode v2), Firebase Analytics et Firebase Crashlytics (rapports de stabilité), Microsoft Clarity (heatmaps) ;
• Notifications push : Firebase Cloud Messaging (Google) ;
• Stockage de fichiers : Cloudflare R2 (photos d’exercices, check-ins, bilans, documents et images envoyés par l’Utilisateur) ;
• Santé : Apple HealthKit et Google Health Connect (lecture/écriture locales uniquement sur l'appareil, données non transférées aux serveurs Fitney) ;
• Paiements : Stripe (international) et Asaas (Brésil — PIX et Boleto) ; Apple App Store et Google Play (achats in-app) ;
• Email transactionnel : MailerSend et Resend (confirmations, avis de facturation et notifications du service) ;
• Intégrations connectées par l’Utilisateur : Strava, Garmin, Polar, Fitbit, Oura, Whoop et Google Agenda. Ces connexions n’existent que si l’Utilisateur les autorise (OAuth) et peuvent être révoquées à tout moment dans les paramètres du compte ;
• Support : outils de service client.

Tous les fournisseurs sont contractualisés avec des accords de traitement des données (DPA).

Partage Professionnel-Client

Les Professionnels ont accès aux données de leurs Clients dans la mesure nécessaire à la fourniture du service. Les Clients doivent consulter la politique de confidentialité de leur Professionnel.

Obligations légales

Nous pouvons divulguer des données lorsque la loi l'exige, sur ordonnance judiciaire, dans le cadre de procédures légales ou à la demande d'une autorité gouvernementale compétente.

Transferts d'entreprise

En cas de fusion, acquisition, réorganisation ou cession d'actifs, les données peuvent être transférées, avec préavis et maintien des protections.

Fitney ne vend pas de données personnelles à des tiers, selon les définitions du RGPD, de la LGPD et du CCPA/CPRA.

Page publique du professionnel. Si le professionnel active la page de présentation publique, les données qu'il choisit d'afficher (nom, inscription professionnelle, spécialités, lieux d'exercice et contact) deviennent accessibles au public tant que la page est active.

Services tiers et sous-traitants

Pour certaines fonctions, des données peuvent être partagées avec des services tiers, strictement pour la finalité indiquée :

• OpenStreetMap / Nominatim — affichage de cartes et géocodage d'adresses (peut impliquer l'adresse et l'IP du visiteur).
• ViaCEP et Zippopotam.us — remplissage automatique d'adresse par code postal.
• Google Maps / Waze — lorsque le visiteur demande un itinéraire vers un lieu d'exercice.
• WhatsApp (Meta) — lors du démarrage d'un contact/rendez-vous via WhatsApp.

Ces services ont leurs propres politiques de confidentialité, hors du contrôle de Fitney après la redirection/le partage.

Équipe du Professionnel

Le Professionnel peut donner accès à son compte à des membres de son équipe (secrétaire, réceptionniste, stagiaire ou autre professionnel), avec les permissions qu’il définit. Ces personnes peuvent consulter les données des Élèves selon les permissions accordées. Fitney journalise ces accès, mais c’est le Professionnel — en tant que responsable de traitement — qui décide qui entre et qui répond de la confidentialité.

Fitney peut transférer des données personnelles en dehors du pays d'origine de la personne concernée, conformément aux lois applicables :

UE/EEE vers l'étranger (RGPD, Art. 44-49)

• Vers des pays bénéficiant d'une décision d'adéquation de la Commission européenne ;
• Au moyen des Clauses Contractuelles Types (CCT) de l'UE ;
• Vers les USA, dans le cadre de l'EU-US Data Privacy Framework, lorsque applicable ;
• Une analyse d'impact du transfert (TIA) est réalisée si nécessaire.

Brésil vers l'étranger (LGPD, Art. 33-36)

• Vers des pays ou organisations offrant un niveau de protection adéquat, reconnu par l'ANPD ;
• Au moyen de clauses contractuelles types approuvées par l'ANPD ;
• Avec le consentement spécifique et explicite de la personne concernée ;
• Lorsque nécessaire à l'exécution du contrat.

Nos serveurs principaux sont situés aux États-Unis (Amazon Web Services), le stockage de fichiers et le CDN étant assurés par le réseau mondial de Cloudflare, toujours avec des mesures de sécurité techniques et organisationnelles adéquates.

Nous conservons les données personnelles uniquement pendant la durée nécessaire à la réalisation des finalités décrites dans cette Politique :

À la fin de la période de conservation, les données sont supprimées ou anonymisées de manière irréversible.

Selon votre lieu de résidence, vous disposez des droits suivants sur vos données personnelles :

Droits au titre du RGPD (UE/EEE)

Conformément aux Art. 15-22 du RGPD, vous avez le droit à :

• L'accès (Art. 15) ;
• La rectification (Art. 16) ;
• L'effacement / « droit à l'oubli » (Art. 17) ;
• La limitation du traitement (Art. 18) ;
• La portabilité (Art. 20) ;
• L'opposition (Art. 21), y compris au marketing direct ;
• Ne pas faire l'objet d'une décision automatisée (Art. 22) ;
• Introduire une réclamation auprès de l'autorité de contrôle compétente (en France, la CNIL).

Droits au titre de la LGPD (Brésil)

Conformément aux Art. 17-22 de la LGPD, vous avez le droit à :

• La confirmation du traitement des données ;
• L'accès aux données personnelles ;
• La rectification des données incomplètes, inexactes ou obsolètes ;
• L'anonymisation, le blocage ou la suppression des données inutiles ou excessives ;
• La portabilité des données ;
• La suppression des données traitées sur la base du consentement ;
• Les informations sur le partage avec des tiers ;
• Le retrait du consentement ;
• L'opposition au traitement.

Droits au titre du CCPA/CPRA (Californie, USA)

• Droit de savoir quelles données sont collectées et comment elles sont utilisées ;
• Droit de supprimer les données personnelles ;
• Droit de rectifier les données inexactes ;
• Droit de s'opposer à la vente/au partage des données ;
• Droit de limiter l'utilisation des données sensibles ;
• Droit de ne pas faire l'objet de discrimination pour l'exercice de ses droits.

Fitney ne vend ni ne partage de données personnelles à des fins de publicité comportementale cross-context, telle que définie par le CPRA.

Pour exercer vos droits, contactez-nous à l'adresse suporte@fitneyapp.com. Nous répondrons sous 30 jours (RGPD), 15 jours (LGPD) ou 45 jours (CCPA).

Comment demander une copie ou la portabilité de vos données : écrivez à suporte@fitneyapp.com avec pour objet « Export de données » et l’e-mail associé au compte. Après vérification de votre identité, nous vous remettons un fichier dans un format structuré et lisible par machine (JSON ou CSV) dans les délais indiqués ci-dessus, sans frais.

Il n’existe pas d’export automatique. La Plateforme ne propose pas aujourd’hui de bouton générant ce fichier : la demande est traitée manuellement par notre équipe, à partir de l’adresse ci-dessus. Les rapports et PDF que le Professionnel génère dans le tableau de bord (entraînement, régime, évaluation) ne remplacent pas cet export complet.

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données personnelles, notamment :

• Chiffrement : données en transit protégées par TLS 1.3 ; données sensibles chiffrées au repos (AES-256) ;
• Contrôle des accès : authentification multi-facteurs, principe du moindre privilège, journaux d'accès ;
• Infrastructure : serveurs dans des data centers certifiés (SOC 2 Type II, ISO 27001) ;
• Surveillance : détection d'intrusion, monitoring 24/7 et alertes automatiques ;
• Sauvegarde : sauvegardes chiffrées avec conservation régulière et tests de restauration ;
• Personnel : formation régulière en sécurité et confidentialité pour tous les employés ;
• Tests : évaluations périodiques des vulnérabilités et revues de sécurité.

Aucun système n'est sécurisé à 100 %. En cas d'incident de sécurité, nous notifierons les autorités compétentes (CNIL en France, ANPD au Brésil, autorités européennes de protection des données) et les personnes concernées dans les délais légaux.

La Plateforme n'est pas destinée aux mineurs de moins de 18 ans. Les mineurs de moins de 18 ans ne peuvent utiliser la Plateforme qu'avec le consentement vérifiable d'un représentant légal.

• UE (RGPD, Art. 8) : le consentement des mineurs de moins de 16 ans (ou âge inférieur défini par l'État membre, minimum 13 ans) requiert l'autorisation du titulaire de l'autorité parentale ;
• France : l'âge limite pour le consentement au traitement des données personnelles dans le cadre des services de la société de l'information est de 15 ans (Art. 7-1 de la loi Informatique et Libertés) ;
• Brésil (LGPD, Art. 14) : les données des enfants (jusqu'à 12 ans) sont traitées uniquement avec le consentement spécifique et explicite d'au moins un parent ou représentant légal. Adolescents (12-17 ans) : consentement du représentant légal ;
• USA (COPPA) : nous ne collectons pas sciemment de données de mineurs de moins de 13 ans. Si nous en avons connaissance, nous supprimerons immédiatement les données.

Si vous pensez que les données d'un mineur ont été collectées sans autorisation, contactez suporte@fitneyapp.com.

Nous utilisons des cookies et technologies similaires pour faire fonctionner la Plateforme, analyser l'utilisation et personnaliser l'expérience. Pour des informations détaillées, consultez notre Politique des Cookies.

En résumé :

• Cookies essentiels : nécessaires au fonctionnement du site (ne nécessitent pas de consentement) ;
• Cookies d'analyse : pour comprendre comment la Plateforme est utilisée (nécessitent un consentement) ;
• Cookies marketing : pour personnaliser les annonces (nécessitent un consentement).

Vous pouvez gérer vos préférences de cookies à tout moment via la bannière cookies ou les paramètres de votre navigateur.

Fitney peut utiliser un traitement automatisé pour :

• Recommander des entraînements et plans alimentaires en fonction du profil du Client ;
• Détecter des modèles d'utilisation anormaux à des fins de sécurité ;
• Personnaliser l'expérience sur la Plateforme.

Ces recommandations sont auxiliaires et toujours soumises à la revue du Professionnel. Nous ne prenons pas de décisions produisant des effets juridiques ou affectant significativement la personne concernée sur la seule base d'un traitement automatisé.

Conformément à l'Art. 22 du RGPD et à l'Art. 20 de la LGPD, vous avez le droit de demander la révision des décisions automatisées et d'obtenir des informations sur les critères et procédures utilisés.

Lors de l'utilisation de la fonctionnalité d'examens de laboratoire, la Plateforme traite des données personnelles sensibles relatives à la santé de l'élève/patient, conformément à la législation applicable en matière de protection des données (notamment le RGPD de l'UE et la LGPD du Brésil – Loi n° 13.709/2018). Ces données peuvent inclure : les examens demandés, les valeurs et résultats d'examens, l'indication clinique/les notes et, le cas échéant, l'identifiant fiscal (CPF) du patient.

Finalité et base légale. Ces données sont traitées exclusivement pour la fourniture des services de suivi nutritionnel/clinique par le professionnel rattaché à l'élève, sur la base du consentement de la personne concernée et/ou de la protection de la santé.

Accès. Les données de santé de l'élève ne sont accessibles qu'au(x) professionnel(s) qui lui est/sont rattaché(s) sur la Plateforme et au personnel autorisé de Fitney, strictement pour l'exploitation et le support.

Partage. Fitney ne vend ni ne partage de données de santé avec des tiers à des fins de marketing. Les fichiers éventuellement joints sont stockés de manière restreinte.

Conservation et droits. Les données sont conservées pendant toute la durée de la relation professionnel-élève ou selon les exigences légales. La personne concernée peut exercer les droits prévus par la législation applicable (accès, rectification, effacement, portabilité, retrait du consentement) comme indiqué dans la section Contact/DPO.

Lors de l'utilisation des fonctions d'examens de laboratoire, la Plateforme peut stocker et traiter des données personnelles sensibles de santé de l'élève/patient (demandes, résultats et valeurs), au titre de l'art. 11 de la LGPD et de l'art. 9 du RGPD le cas échéant.

• Ces données sont traitées pour le compte du professionnel (responsable de traitement), Fitney agissant comme sous-traitant, aux fins du suivi de l'élève/patient.
• Le traitement requiert une base légale appropriée, y compris, le cas échéant, le consentement spécifique et mis en évidence de la personne concernée.
• Des mesures techniques et organisationnelles s'appliquent et les données ne sont conservées que le temps nécessaire ou par obligation légale.

Rôles. Ces données sont traitées pour le compte et sur instruction du Professionnel, qui est le responsable de traitement, Fitney agissant comme sous-traitant — y compris au sens de l’art. 9 du RGPD, le cas échéant. Des mesures techniques et organisationnelles de protection sont appliquées et les données ne sont conservées que le temps nécessaire aux finalités ou à une obligation légale.

La Plateforme propose la fonctionnalité de rappels de rendez-vous, qui utilise le numéro de téléphone enregistré du Client pour aider le Professionnel à lui rappeler ses rendez-vous et son suivi.

Envoi manuel. Par défaut, Fitney génère un message et un lien (WhatsApp) qui permet au Professionnel de contacter le Client ; l'envoi est effectué par le Professionnel lui-même, depuis son propre compte.

Envoi automatique. Lorsque le Professionnel active l'envoi automatique et connecte son compte WhatsApp Business, des messages de rappel peuvent être envoyés au Client au nom du Professionnel, traités par la Plateforme. Dans ce cas, le consentement préalable du Client est obligatoire et est enregistré, et peut être révoqué à tout moment dans les paramètres du compte.

Vous pouvez gérer votre préférence de réception de ces rappels à tout moment dans les paramètres de votre compte. Le traitement du téléphone à cette fin respecte les bases légales décrites dans la section relative aux bases légales.

Si le professionnel active sa page publique, les informations qu'il choisit de publier (nom, photo, biographie, spécialités, enregistrements, certifications, lieux d'exercice et réseaux sociaux) deviennent publiques et accessibles à tous, moteurs de recherche compris. L'adresse du cabinet n'est affichée que si le professionnel active cette option.

Nous pouvons mettre à jour périodiquement cette Politique. Les modifications substantielles seront communiquées avec un préavis de 30 jours via :

• Email aux Utilisateurs enregistrés ;
• Notification sur la Plateforme ;
• Mise à jour de la date de « Dernière mise à jour » sur cette page.

Pour les modifications nécessitant un nouveau consentement (ex. nouvelles finalités de traitement de données sensibles), nous demanderons un consentement spécifique avant la mise en œuvre.

Nous vous recommandons de revoir cette Politique périodiquement.

Pour toute question, demande ou réclamation concernant cette Politique ou le traitement de vos données personnelles :

• Délégué à la Protection des Données (DPO) : suporte@fitneyapp.com
• Adresse : Fitney Tecnologia Ltda., CNPJ 69.612.408/0001-10, R. Paulo Setubal, 5081, Casa 54 — Boqueirão, Curitiba, PR, CEP 81750-190, Brésil

Si vous n'êtes pas satisfait de notre réponse, vous pouvez introduire une réclamation auprès de l'autorité compétente de protection des données :

• France : Commission Nationale de l'Informatique et des Libertés (CNIL) — cnil.fr
• UE : Autorité de protection des données de votre pays de résidence
• Brésil : Autorité Nationale de Protection des Données (ANPD) — gov.br/anpd
• USA (Californie) : Office of the Attorney General of California