Politique de confidentialité

1. Responsable et contact

Gabriel Mourlane est responsable du traitement. Pour une demande liée à vos données, utilisez la rubrique Réglages → Mes données ou écrivez à contact@repvyr.app.

2. Utilisation sans compte

Sans compte, votre programme, vos séances, votre poids, votre nutrition, votre hydratation, vos objectifs et vos réglages restent dans IndexedDB sur votre appareil. Ils ne sont pas envoyés à notre cloud. Une sauvegarde exportée par vos soins n’est transmise qu’au service que vous choisissez dans la feuille de partage de l’appareil.

3. Compte et services cloud Premium

La connexion utilise un code email à usage unique ou Apple sur iPhone. Le service d’authentification traite l’adresse email ou l’identifiant Apple nécessaire à la session. Cloudflare Turnstile vérifie les demandes de code à partir de données techniques du navigateur et du réseau afin de limiter les abus automatisés. Avec un abonnement Premium actif, les données sportives que vous choisissez de synchroniser sont hébergées dans l’Union européenne, séparées par compte et protégées par des règles d’accès au niveau de la base. La synchronisation, la sauvegarde, la restauration cloud et l’accès multi-appareil sont des services Premium. Les données de démonstration ne sont jamais synchronisées.

4. Abonnements

L’App Store ou Google Play traite le paiement. RevenueCat reçoit un identifiant de compte pseudonyme, le produit acheté et l’état de l’abonnement afin de déterminer l’accès Premium. RevenueCat ne reçoit pas le contenu de vos séances, vos pesées ni votre profil sportif par ce mécanisme.

5. Administration

La liste opérationnelle des comptes est limitée à une allowlist, exige une authentification renforcée et journalise les consultations. Elle expose uniquement une projection fermée de métadonnées : UUID et état du compte, locale, plateforme et version de l’app, dernière synchronisation et statut d’abonnement. Email, téléphone, identifiant Apple, profil corporel, programme, séances, performances et notes n’y figurent jamais. Des files séparées, également protégées et auditées, permettent aux modérateurs de contrôler uniquement les liens YouTube, profils, publications, photos et commentaires volontairement soumis, publiés ou signalés. Elles n’ouvrent jamais la séance privée source ni les données de santé ; chaque consultation et décision est motivée et journalisée.

Les messages que vous envoyez à l’assistance depuis l’application sont enregistrés avec votre compte, accompagnés du type d’appareil, de la version de l’application et de la langue, afin qu’un administrateur puisse vous répondre dans l’application. L’administrateur voit votre pseudo public si vous en avez un, jamais votre adresse email. Ces messages figurent dans l’export de vos données et sont effacés avec votre compte.

6. Classements communautaires

La participation est facultative et nécessite un compte. Si vous activez votre profil public, votre pseudonyme et, uniquement si vous les renseignez, votre photo, âge déclaré, sexe, pays, description et liens sociaux peuvent être visibles avec votre nombre de séances, votre record de flammes, votre badge actuel, vos compteurs d’abonnés et d’amis, vos performances approuvées et leurs mentions J’aime. Votre profil communautaire devient visible lorsque vous choisissez un compte public ou privé ; il porte trois partages sportifs — programme détaillé, indication de séance en cours et historique structuré de jusqu’à 200 séances terminées — et chaque changement est enregistré automatiquement. Choisir un compte public active ces trois partages et la participation aux classements publics ; choisir un compte privé désactive les trois partages et laisse la participation aux classements publics activée. Vous pouvez ensuite modifier chaque case, sauf celle de la séance en cours lorsque votre compte est public : l’indication de séance en cours (titre, numéro et heure de début de la séance, jamais vos performances) est alors toujours visible par tous les membres, qui peuvent vous encourager. Pour la cacher aux membres qui ne sont pas vos amis, choisissez un compte privé, sur lequel cette case peut être cochée, pour que tous les membres voient l’indication, ou laissée décochée, pour que seuls vos amis la voient. Ces partages ne concernent que les autres membres : vos amis voient toujours votre programme, votre séance en cours et votre historique, même lorsqu’ils sont désactivés. Si vous désactivez « Participer aux classements publics », vous n’apparaissez plus dans aucun classement public (général, hebdomadaire, défis, performances et points), mais vous conservez votre profil, vos amis, le fil et les messages, et vos amis vous voient toujours, y compris dans le classement entre amis. Même lorsque ce partage est activé, le poids corporel, la fréquence cardiaque, le ressenti, les commentaires et les notes personnelles ne sont jamais inclus. Les abonnements, demandes d’amitié, amitiés et événements sociaux non lus sont stockés afin de fournir les classements entre amis, les messages et leurs notifications. Les messages texte sont privés, réservés aux comptes amis et inaccessibles après le retrait de l’amitié ; ils restent conservés jusqu’à la suppression du compte sauf blocage, qui supprime la conversation. Votre email n’est jamais public. Chaque lien de preuve YouTube reste masqué par défaut ; vous pouvez le publier avec une performance approuvée puis révoquer ce choix. Un lien publié peut être ouvert et partagé par toute personne. Vous pouvez retirer une soumission, signaler ou bloquer un profil, quitter les classements publics, masquer entièrement votre profil et désactiver chaque partage, sauf l’indication de séance en cours tant que votre compte est public. La suppression du compte efface les données communautaires et la photo chez Repvyr, mais pas la vidéo hébergée par YouTube, que vous devez gérer sur YouTube. Le fil communautaire est réservé aux comptes Repvyr authentifiés. Lorsque vous enregistrez une séance terminée, en ligne et avec un profil communautaire, elle est publiée automatiquement selon votre compte : dans Général et dans Amis s’il est public, seulement dans Amis, pour vos amis, s’il est privé. Hors connexion ou si l’envoi échoue, elle reste enregistrée sur votre appareil sans être publiée ; vous pouvez la publier plus tard depuis l’historique, en choisissant alors son texte et ses photos avant l’envoi. Chaque publication contient un instantané sportif à schéma fermé, qui exclut poids, taille, IMC, fréquence cardiaque, ressenti, ainsi que notes et commentaires de la séance privée. Pour une sortie enregistrée avec le GPS, la publication affiche par défaut une carte simplifiée du parcours, sans horodatage et dont le début et la fin sont masqués (voir « Position et sorties GPS »). Vous pouvez à tout moment modifier une publication (texte, photos, carte) ou la supprimer. Les photos sont réencodées pour retirer les métadonnées EXIF et GPS, mais les personnes ou lieux visibles peuvent encore révéler des informations. Général montre ces publications à tous les utilisateurs connectés autorisés ; Amis montre les publications de vos amis. Si vous rendez votre compte privé, vos publications, anciennes comprises, quittent Général et ne sont plus visibles que par vos amis, dans Amis ; vous pouvez revenir en public à tout moment. Pseudonyme, photo de profil et badge peuvent accompagner le post ; mentions J’aime et commentaires sont visibles aux utilisateurs autorisés. Vous pouvez supprimer vos posts et commentaires, signaler ou bloquer un contenu ou un compte. L’export comprend vos posts, commentaires, mentions J’aime et métadonnées de médias ; leur suppression et celle des photos interviennent avec le post ou le compte, sous réserve d’une conservation de modération limitée et annoncée.

Le classement général affiche un total de points et ses cinq composantes : séances terminées, régularité quotidienne actuelle, meilleures performances vidéo approuvées par défi, interactions communautaires éligibles et propositions de défis approuvées. Cette agrégation comportementale publique est calculée sur le serveur à partir des données communautaires minimales. Elle ne publie ni journal sportif privé, ni jour précis d’activité, ni fuseau. Les points de régularité expirent avec la série quotidienne ; les points de performance varient selon le rang et le nombre de participants distincts. Les points communautaires ne périment pas, mais les suppressions, retraits et décisions de modération retirent les points concernés. Votre export de compte inclut le détail de votre score ; désactiver « Participer aux classements publics » le retire des classements publics, mais vos amis vous voient toujours dans le classement entre amis ; supprimer votre compte efface ses sources, sous réserve des durées de conservation annoncées pour la modération.

Invitation depuis vos contacts

Dans l’app iPhone ou Android, vous pouvez choisir dans vos contacts les amis à inviter. Repvyr ne lit vos contacts qu’à ce moment, lorsque vous ouvrez ce choix et après votre autorisation, et seulement leurs noms et numéros de téléphone, pour vous les afficher. Cette liste reste sur votre appareil : elle n’est envoyée ni à Repvyr ni à un prestataire, et l’app ne l’enregistre pas. Sur iPhone (iOS 18 ou plus récent), vous pouvez ne partager que certains contacts. Dans un navigateur, l’app n’accède jamais à vos contacts ; vous pouvez partager ou copier le lien d’invitation.

Seuls les numéros que vous sélectionnez sont transmis à l’application de messages de votre appareil, avec le texte et le lien d’invitation déjà écrits. C’est vous qui envoyez le message depuis cette application, selon votre forfait ; plusieurs destinataires forment un message de groupe dans lequel chacun voit les autres. Repvyr n’envoie aucun SMS et ne demande pas l’autorisation de le faire. Vous pouvez retirer l’accès à vos contacts à tout moment dans les réglages de votre téléphone.

Diagnostics techniques

Lorsqu’une erreur se produit, l’app peut envoyer un diagnostic technique : une description technique de l’erreur (son type, son message et l’endroit du code concerné, nettoyés des adresses e-mail, identifiants et clés), la version de l’app, la plateforme (web, iPhone ou Android), la langue et l’écran concerné, sans ses paramètres. Un diagnostic ne contient jamais ton compte, aucun identifiant, aucun de tes contenus ni ta position. Il sert uniquement à corriger les dysfonctionnements de l’app.

Les diagnostics sont conservés chez Supabase, dans la base cloud configurée dans l’Union européenne, pendant 30 jours, puis supprimés automatiquement. Ils sont envoyés sans aucun lien avec ton compte. Leur envoi est activé par défaut : tu peux le désactiver à tout moment dans Réglages > Mes données.

Statistiques d’utilisation

Pour comprendre comment l’app est utilisée et l’améliorer, elle mesure le temps passé au premier plan dans chacune de ses parties (accueil, séance, programmes, communauté, coach IA…) et tes sessions d’utilisation, et elle compte quelques actions : séances lancées, terminées ou annulées, programme installé ou créé, message envoyé au coach IA, publication, recherche. S’y ajoutent la plateforme (web, iPhone ou Android), la version de l’app, la langue, un identifiant d’installation aléatoire créé sur ton appareil, ton compte quand tu es connecté, et un résumé de l’état de l’app : Premium ou non, programme actif, nombre de programmes et de séances, sauvegarde cloud activée ou non.

Ces statistiques ne contiennent jamais le contenu de tes séances, de tes messages, de tes recherches ni de tes repas, ni ta position, ni ton adresse IP.

Elles sont conservées chez Supabase, dans la base cloud configurée dans l’Union européenne. Seul l’administrateur de Repvyr peut les consulter, après une vérification en deux étapes, et chaque consultation est journalisée. Elles sont supprimées automatiquement au bout de 180 jours, et avec ton compte quand tu le supprimes.

La mesure est activée par défaut : tu peux la désactiver à tout moment dans Réglages > Mes données > Statistiques d’utilisation. Plus rien n’est alors mesuré ni envoyé, et ce qui attendait d’être envoyé est effacé de l’appareil.

Accompagnement Coach

L’espace Coach partage des programmes, objectifs, bilans et messages entre un coach et un élève ayant accepté la relation. Le partage des séances récentes est facultatif et révocable. Les notes personnelles du coach lui sont réservées. Ces informations ne sont pas publiées dans les classements ou le profil communautaire.

Position et sorties GPS

Repvyr utilise la position de votre appareil uniquement pendant une sortie à pied ou à vélo que vous lancez vous-même, jusqu’à ce que vous l’arrêtiez, pour en mesurer la distance, l’allure et le parcours. Sur iPhone, l’app demande seulement l’accès à la position lorsqu’elle est active ; l’enregistrement se poursuit en arrière-plan et écran verrouillé, et iOS l’indique par un indicateur bleu. Sur Android, un service de premier plan affiche une notification visible pendant toute la sortie ; aucune autorisation de localisation en arrière-plan n’est demandée. Dans un navigateur, la position n’est lue que tant que la page reste ouverte. En dehors d’une sortie, votre position n’est jamais utilisée. Le tracé enregistré, c’est-à-dire les positions horodatées et le résumé de la sortie, est conservé sur votre appareil.

L’export GPX crée un fichier contenant le parcours complet, sans masquage, avec l’heure de chaque point ; vous le partagez vous-même avec le service de votre choix. Si la synchronisation avec Apple Santé ou Health Connect est activée, le parcours, la distance et le type d’activité de la sortie y sont aussi écrits. Avec la sauvegarde cloud Premium, vos tracés (positions horodatées et résumé de chaque sortie) sont copiés dans le cloud, hébergé dans l’Union européenne et protégé par des règles d’accès au niveau de la base, pour que vous les retrouviez sur vos autres appareils. Un tracé est supprimé avec la séance ou l’exercice auquel il appartient, et avec votre compte selon les modalités de la section « Conservation et suppression ». Vos tracés figurent dans l’export de vos données, avec ou sans Premium. Si vous soumettez volontairement une performance au classement, après votre consentement explicite, une copie du suivi GPS et de ses horaires est transmise à la modération pour vérification, avec ou sans Premium. Cette preuve est distincte de la sauvegarde cloud et du partage dans le fil : les positions horodatées ne sont pas publiées dans le classement. La date de la performance reste visible. Les coordonnées de cette preuve sont retirées après le refus ou le retrait de la soumission ; la preuve est supprimée avec la soumission ou le compte. Supprimer seulement le tracé sur votre appareil ne supprime pas cette preuve.

Lorsqu’une séance comprenant une sortie GPS est publiée dans le fil communautaire, y compris automatiquement quand vous l’enregistrez, la carte de son parcours est jointe par défaut à la publication. Vous pouvez la retirer à tout moment en modifiant la publication, ou avant l’envoi lorsque vous publiez une séance depuis l’historique. Seule une ligne simplifiée, sans horodatage, est partagée. Le début et la fin du parcours sont masqués sur 200 m par défaut, plus une longueur aléatoire pouvant atteindre 100 m à chaque extrémité ; dans Réglages > Sorties GPS, vous pouvez choisir 500 m, 1 km ou aucun masquage, auquel cas le parcours entier est publié. Une sortie trop courte pour rester visible une fois masquée est publiée sans carte. La carte est visible par toute personne qui peut voir la publication, disparaît avec elle et figure dans l’export de vos données. Même masqué, un parcours peut révéler des lieux que vous fréquentez.

Les fonds de carte proviennent d’OpenFreeMap (openfreemap.org). Pour afficher une carte, y compris celle du parcours d’un autre membre, votre appareil télécharge auprès d’OpenFreeMap les données cartographiques de la zone affichée : ce service reçoit alors votre adresse IP et cette zone. Selon OpenFreeMap, ses journaux d’accès excluent par défaut les adresses IP et sont supprimés après sept jours, et aucun cookie n’est utilisé ; le service peut s’appuyer sur Cloudflare pour la diffusion.

7. Conservation et suppression

Les données cloud sont conservées tant que le compte existe, y compris après l’expiration de Premium. La synchronisation et la restauration restent alors suspendues, mais l’export de vos données et leur suppression demeurent accessibles. Une demande de suppression peut être créée depuis Réglages → Mes données. Un délai de grâce de sept jours permet de l’annuler ; après ce délai, l’identité et les données associées sont supprimées lorsque le worker serveur de purge est activé. La suppression du compte n’annule pas un abonnement Apple : celui-ci doit être résilié séparément dans les réglages Apple. Apple peut conserver les justificatifs de transaction imposés par ses obligations légales.

Les consultations administratives produisent un journal minimisé (acteur, motif, champs techniques consultés et date), sans recopier le contenu sportif. Une conservation maximale de six mois et une rotation de trente jours pour les journaux techniques sont des conditions d’activation de la production ; aucune administration ni purge commerciale ne doit être activée avant leur automatisation.

8. Vos droits

Vous pouvez consulter et corriger vos données dans l’app, exporter une copie JSON, demander une copie cloud et supprimer votre compte. Selon votre lieu de résidence, vous pouvez également demander l’accès, la rectification, l’effacement, la limitation ou la portabilité, et saisir votre autorité de contrôle.

Âge minimum

Repvyr est destiné aux personnes âgées de 18 ans et plus. Si vous avez moins de 18 ans, n’utilisez pas l’application et ne créez pas de compte. Si vous pensez qu’une personne mineure nous a transmis des données, contactez-nous selon les modalités de la section « Responsable et contact ».

9. Sécurité et suivi

Les échanges utilisent HTTPS. La session native est stockée dans le Keychain sur iOS et chiffrée à l’aide d’Android Keystore sur Android. Turnstile sert uniquement à limiter les demandes de connexion automatisées. Aucun fournisseur publicitaire n’est actuellement activé. L’offre gratuite prévoit à l’avenir des annonces contextuelles occasionnelles ; les données de santé et de fitness ne seront pas utilisées pour les cibler. Premium restera sans publicité. La collecte automatique des identifiants d’attribution de RevenueCat est désactivée. Aucun système ne peut garantir un risque nul : maintenez iOS et l’application à jour et protégez votre appareil.

10. Prestataires et transferts

Supabase fournit l’authentification et la base cloud configurée dans l’Union européenne. Cloudflare fournit la protection Turnstile des demandes de connexion. RevenueCat reçoit uniquement les informations d’achat et l’identifiant pseudonyme nécessaires au contrôle de Premium. L’App Store ou Google Play traite l’achat et la gestion de l’abonnement. Leurs propres politiques et mécanismes contractuels s’appliquent lorsqu’un traitement sort de l’Espace économique européen. Lorsque vous scannez ou saisissez le code-barres d’un aliment, ce code est envoyé à Open Food Facts, une base de données ouverte, pour retrouver le produit ; aucune donnée de compte, de séance ou de journal alimentaire ne l’accompagne. Comme pour toute requête web, Open Food Facts voit l’adresse IP de l’appareil. OpenFreeMap fournit les fonds de carte des sorties GPS et peut s’appuyer sur Cloudflare ; les données qu’il reçoit sont décrites dans la section « Position et sorties GPS ». Si vous activez la synchronisation avec Apple Santé ou Health Connect, Repvyr y écrit vos séances et y lit ou écrit votre poids, sur votre appareil et seulement pour ces données. Une séance y est écrite avec son type d’activité, la distance parcourue s’il y en a une et, pour une sortie enregistrée avec le GPS, son parcours. Une pesée importée est ensuite conservée comme les autres, y compris dans la sauvegarde cloud si vous l’utilisez. Ces données ne servent ni à la publicité ni à un profilage. Aucun de ces prestataires ne reçoit le texte de vos séances par le flux d’achat ou le CAPTCHA.

Le coach IA, réservé à Premium, s’appuie sur Claude, un modèle de la société Anthropic. Aucune donnée ne lui est envoyée avant votre accord explicite, donné dans l’application. Ensuite, des données ne partent que lorsque vous demandez une analyse ou un programme, écrivez au coach ou lui envoyez une photo (d’un repas ou d’une machine de musculation), ainsi que pour le bilan de la semaine, préparé automatiquement une fois celle-ci terminée. Selon la demande, le modèle reçoit vos séances (notes comprises), votre programme, votre poids, votre nutrition, votre profil sportif (objectif, sexe, taille), ce que vous écrivez au coach et les photos de repas ou de machines que vous choisissez d’envoyer ; il ne reçoit jamais votre adresse email, votre pseudo, votre photo de profil, les identifiants de votre compte, vos amis ni vos messages avec d’autres membres. Anthropic traite ces données selon les conditions de son API ; ce traitement peut avoir lieu hors de l’Union européenne. Repvyr ne conserve pas ces échanges sur ses serveurs, qui ne gardent que votre accord et un registre d’usage sans contenu (fonction utilisée, modèle, volume traité, coût et date) jusqu’à la suppression du compte ; les réponses du coach restent sur votre appareil. L’administration consulte ce registre pour maîtriser les coûts et prévenir les abus. Vous pouvez retirer votre accord à tout moment dans Réglages → Mes données.

Pour parler avec le coach IA, Repvyr s’appuie sur ElevenLabs, une société américaine. Rien ne lui est envoyé avant votre accord, donné dans l’application, distinct de celui du coach. Ensuite, quand vous parlez au coach, l’enregistrement de ce que vous dites lui est envoyé pour être transformé en texte, et chaque réponse du coach lui est envoyée pour être lue à voix haute avec la voix du coach choisi ; cette voix est générée par une intelligence artificielle. ElevenLabs stocke ces données aux États-Unis et les traite selon les conditions de son API ; ce traitement a donc lieu hors de l’Union européenne. Repvyr demande leur effacement juste après chaque réponse ; des copies peuvent subsister jusqu’à 30 jours dans les sauvegardes d’ElevenLabs. Repvyr ne conserve ni l’enregistrement ni l’audio : seul le texte de la conversation reste sur votre appareil, comme pour les messages écrits, et le registre d’usage sans contenu note la durée transcrite et le nombre de caractères lus. Le micro n’est utilisé que pendant la conversation avec le coach. Vous pouvez retirer cet accord à tout moment dans Réglages → Mes données.