Politique deconfidentialité

Qui est responsable

Johan Pauget, entrepreneur individuel (micro-entreprise), 19 rue du Docteur Beal, 76780 Argueil, France. Pour tes données : contact@scorka.com.

Ton compte

Tu crées ton compte avec Apple, avec Google, ou avec ton adresse e-mail et un mot de passe. Apple et Google nous transmettent ton adresse e-mail et un identifiant de compte, rien d'autre : ni ton nom, ni ta photo, ni tes contacts. Avec Apple, tu peux masquer ton adresse : l'app reçoit alors une adresse de relais créée par Apple.

Ton mot de passe n'est jamais gardé tel quel : Supabase n'en garde qu'une empreinte (bcrypt), dont on ne peut pas le retrouver. Personne ne peut le lire, nous non plus.

Le compte garde ton adresse e-mail, le moyen de connexion, l'empreinte de ton mot de passe si tu en as choisi un, et les dates de création et de dernière connexion.

Quand tu crées un compte avec ton e-mail, que tu demandes un code, que tu résilies ton abonnement ou que tu changes d'avis, le formulaire passe par Turnstile, le filtre anti-robots de Cloudflare, Inc., aux États-Unis, qui déclare adhérer au Data Privacy Framework UE–États-Unis. Cloudflare reçoit ton adresse IP et des informations techniques sur ton navigateur, pour vérifier qu'une personne est là, et pas un robot. Sa politique est sur cloudflare.com/turnstile-privacy-policy.

Ce que ton compte garde

Ta fiche : tes kilomètres par semaine, ta régularité d'allure, ta répartition d'intensité et tes allures repères, ton score et tes quatre notes, ta série, tes records et tes succès, avec leurs dates.

Le détail qui a servi au calcul : pour chaque sortie longue, sa date, sa distance, son allure et son ralentissement en 2e moitié ; tes kilomètres semaine par semaine.

Tes choix et le suivi de ton plan : ton objectif, la date de ta course si tu l'as donnée, ton rythme, le bloc en cours et le précédent (leur date de départ et les nombres dont ils partent), les séances cochées de ces deux blocs et ton ressenti après chacune, les jours que tu as déplacés dans le bloc en cours, et les changements que tu as confirmés dans ces deux blocs (une séance raccourcie ou plus facile, une semaine allégée ou refaite). Ta réponse à la question sur un arrêt de plus d'un mois ces 12 derniers mois, si tu y as répondu. Et les dates où tu as vu l'aperçu du plan et les écrans de l'offre.

Le résumé de chaque bloc fini : ses dates, les séances faites sur les séances prévues, les kilomètres faits et prévus semaine par semaine, le nombre de séances par ressenti, ta plus longue sortie cochée, et ta course si elle était dans le bloc. Des nombres seulement, pour l'écran de tes séances faites.

Si tu utilises le coach : tes questions et ses réponses, pendant 30 jours. Tu peux effacer la conversation à tout moment depuis l'écran du coach.

Pour chaque chat, le nombre de messages envoyés chaque jour et ce qu'ils ont coûté, pendant 35 jours, pour tenir les limites par jour et par mois.

Jamais un fichier de course, une trace GPS, ta fréquence cardiaque ni le nom d'un fichier.

Où c'est gardé

Ton compte, ces nombres et ta conversation avec le coach sont gardés chez Supabase, dans un centre de données à Paris (Union européenne). Chacun ne peut lire que son propre compte. Supabase Pte. Ltd (Singapour) les traite pour notre compte, selon son accord de traitement des données, qui reprend les clauses types de la Commission européenne, y compris pour les accès depuis l'extérieur de l'Union.

Ce qui reste sur ton appareil

De chaque course, l'app garde dans ton navigateur quelques nombres : la date, la distance, la durée, les meilleurs temps, le temps passé à chaque allure, et le nom du fichier. La trace GPS est jetée juste après la lecture. Ton objectif et ton rythme y sont aussi, en plus du compte, avec le fait que tu as déjà répondu à la question de la course.

Si tu pars te connecter chez Apple ou chez Google juste après avoir déposé tes fichiers, les nombres déjà lus attendent ton retour sur cet appareil, 15 minutes au plus, puis sont effacés. Ils ne sont rattachés à aucun compte pendant ce temps.

Un repère dit aussi si un compte est ouvert sur cet appareil, pour que la page d'accueil montre tout de suite « Mon plan » et « Mon score » au lieu de « Connexion ». Il ne contient ni ton adresse ni ton compte, et part à la déconnexion.

Tu peux tout effacer de cet appareil avec le bouton en bas de cette page, ou en supprimant les données du site dans les réglages de ton navigateur.

Ce qui part sur le serveur pour le plan

Pour calculer ton plan, l'app envoie au serveur quelques nombres de ta fiche : tes kilomètres par semaine, tes sorties par semaine, ta plus longue sortie, tes allures repères, ton ralentissement en fin de sortie longue et ton rythme. Ces nombres, la date de ta course et la forme de chaque bloc de 4 semaines sont gardés sur ton compte, pour que ton bloc ne change pas en cours de route ; le bloc suivant part aussi des séances cochées au bloc d'avant. Les séances elles-mêmes ne sont pas enregistrées : elles sont recalculées à chaque fois à partir de ces nombres et des changements que tu as confirmés.

Comme pour tout site, l'hébergeur tient un journal technique des visites (adresse IP, date, page demandée). Vercel le garde un jour, Supabase sept jours au plus.

Les chats et l'intelligence artificielle

L'app a deux chats : « Un imprévu ? », pour changer ton plan quand ta semaine change, et le coach, pour tes questions sur ton entraînement (formules 3 mois et 12 mois). Leurs réponses viennent d'une intelligence artificielle d'OpenAI, et chaque chat le dit à son ouverture. Rien ne part chez OpenAI tant que tu n'écris pas dans un chat.

Quand tu écris dans « Un imprévu ? », partent chez OpenAI : ton message, la date du jour, les séances de ta semaine en cours et de la suivante (leur jour, leur type, leur distance, leur durée, cochées ou non), ton rythme, et ta course si tu l'as datée. L'IA choisit un changement dans une liste fixe, l'app le calcule et te le montre, et rien ne change sans ton accord. Scorka ne garde pas ton message.

Quand tu poses une question au coach, partent chez OpenAI : ta question, les trois derniers échanges de ta conversation, la date du jour, et des nombres de ta fiche et de ton plan : ton objectif et la date de ta course, ton score et tes notes, tes allures repères, ton ralentissement en fin de sortie longue, ton temps passé en allure facile, tes kilomètres par semaine et ta plus longue sortie récente, ton rythme, les séances de ton bloc avec celles que tu as cochées et ton ressenti, et le bilan de tes trois derniers blocs finis. Scorka garde la conversation 30 jours sur ton compte, pour que tu la retrouves.

Jamais ton adresse e-mail, ton nom, l'identifiant de ton compte ni un fichier de course. Chaque envoi porte seulement un identifiant anonyme, tiré de ton compte par un calcul à sens unique avec une clé secrète : OpenAI s'en sert pour repérer un usage abusif, sans pouvoir remonter à ton compte.

Un message qui parle de douleur, de soins ou de santé n'est pas envoyé : le chat répond par une phrase toute faite, et le message n'est gardé nulle part. Ce filtre ne reconnaît pas tout : n'écris pas d'information sur ta santé dans les chats.

OpenAI traite ces messages hors de l'Union européenne, notamment aux États-Unis. Ce transfert est encadré par l'accord de traitement des données d'OpenAI, qui reprend les clauses contractuelles types de la Commission européenne (article 46 du RGPD).

Scorka demande à OpenAI de ne pas enregistrer ces échanges dans ses outils. OpenAI peut quand même les garder jusqu'à 30 jours pour surveiller les abus, puis les efface, et ne s'en sert pas pour entraîner ses modèles.

Ces envois servent à te rendre le service de ton abonnement (article 6, paragraphe 1, b, du RGPD).

Scorka compte aussi, par jour et sans rien qui te désigne, combien de fois chaque bouton et chaque chat servent.

Les cookies

Quand tu es connecté, le site dépose les cookies de ta session (leur nom commence par « sb- ») : ils gardent ta connexion ouverte, les scripts de la page ne peuvent pas les lire, et la déconnexion les efface.

Pendant une connexion avec Apple ou avec Google, un cookie « fa_oauth_apple » ou « fa_oauth_google » vérifie que le retour vient bien de ta demande. Il dure 10 minutes.

Quand ton abonnement est ouvert, le cookie « fa_acces » garde un jeton signé, que les scripts de la page ne peuvent pas lire : l'identifiant de ton compte, ton numéro de client chez Stripe, ta formule et l'heure de la dernière vérification de ton abonnement. Il dure 400 jours ; l'abonnement, lui, est revérifié chaque jour, et le cookie s'efface quand il s'arrête ou quand tu te déconnectes.

Ces cookies servent uniquement à te connecter et à t'ouvrir ce que tu as payé : la CNIL les dispense de consentement (délibération n° 2020-091 du 17 septembre 2020). Aucun cookie de mesure d'audience ni de publicité.

Mesure d'audience

Les visites sont comptées par Vercel Web Analytics, sans cookie et sans rien garder sur ton appareil : des pages vues, le pays, le navigateur et le type d'appareil, en données agrégées. Vercel les garde 12 mois.

Quand tu arrives par le lien d'une vidéo, ce lien porte des paramètres « utm » (par exemple « tiktok » et le numéro de la vidéo). Ils sont comptés avec la visite, seuls : les autres paramètres de l'adresse sont retirés avant l'envoi. Quelques moments sont aussi comptés, avec cette origine : le lancement d'une analyse, sa réussite ou son échec (avec la raison, par exemple « fichiers illisibles »), la création d'un compte (avec le moyen choisi : Apple, Google ou e-mail) et l'abonnement (avec la formule). Rien qui te désigne : ni ton adresse, ni ton compte.

Scorka compte aussi ces moments dans sa propre base, chez Supabase à Paris, pour voir à quelle étape une visite s'arrête : l'arrivée sur le site, le bouton touché pour commencer, chaque écran du questionnaire et la réponse choisie (ton objectif, tes sorties par semaine, ce qui te freine, la source de tes courses, le renforcement, et si ta course a une date, sans la date elle-même), un retour en arrière, l'analyse, l'ouverture et la fermeture de la fenêtre de connexion (et pourquoi elle a échoué, s'il le faut), la création du compte, tes résultats, la page du plan, la séance offerte, un rythme ou une course changés, l'écran des formules, la formule choisie et la page de paiement. Chaque visite reçoit un numéro tiré au hasard, gardé en mémoire le temps de la visite : il n'est écrit dans aucun cookie de mesure et ne te relie ni à ton adresse ni à ton compte. Il est noté avec l'origine, le pays, le type d'appareil et l'appli qui ouvre la page (par exemple TikTok ou Safari). Le détail est effacé au bout de 30 jours ; il ne reste ensuite que des totaux par jour.

Quand une page plante sur ton appareil, l'erreur est comptée avec la page et le type de navigateur. Son message technique, sans ton adresse e-mail, est noté dans les journaux du serveur, gardés un jour.

Hébergement du site

Le site est hébergé par Vercel Inc., aux États-Unis ; ses fonctions tournent à Paris. Vercel adhère au Data Privacy Framework UE–États-Unis.

Paiement

Le paiement passe par Stripe (Stripe Payments Europe, Limited, en Irlande). Tes données de carte bancaire vont directement chez Stripe : l'app ne les voit jamais. La politique de confidentialité de Stripe est sur stripe.com/fr/privacy.

Chez Stripe, ton abonnement est rangé avec ton adresse e-mail, le nom inscrit sur la carte, ton pays, tes paiements et tes factures. L'app y ajoute : l'identifiant de ton compte, la formule choisie, l'origine de ta visite (par exemple « tiktok/v012 »), la version des conditions de vente que tu as acceptée, les dates d'envoi de la confirmation et du rappel de renouvellement, et, le cas échéant, la date et le nom indiqués pour une résiliation, la date d'une rétractation, ou celle d'un changement de formule. De son côté, ton compte garde ton numéro de client chez Stripe.

Les e-mails

Les e-mails de l'app (le code de connexion, la confirmation d'abonnement, celle d'un changement de formule, le rappel avant le renouvellement des formules 3 mois et 12 mois, les accusés de résiliation et de rétractation) partent par Resend, Inc. Ils sont envoyés depuis l'Irlande, mais Resend garde les données du compte aux États-Unis, dont l'adresse du destinataire et le contenu de l'e-mail, pendant 30 jours. Resend adhère au Data Privacy Framework UE–États-Unis.

Si ton archive Strava n'est pas encore prête, tu peux laisser ton adresse e-mail pour qu'on te prévienne : un seul e-mail part trois heures plus tard, par Resend, avec le lien pour revenir déposer ton archive. Ce rappel ne crée pas de compte, et Scorka ne garde ton adresse nulle part : seul Resend la garde, 30 jours, comme pour les autres e-mails.

Ton adresse e-mail est aussi rangée chez Brevo (Sendinblue SAS, en France), l'outil qui envoie les e-mails de Scorka : les nouvelles de ton compte et du service. Aucune publicité sans ton accord. Quand tu supprimes ton compte, ton adresse sort de la liste.

Une copie des e-mails que la loi impose (confirmation de l'abonnement ou d'un changement de formule, rappel, accusés de résiliation et de rétractation) est gardée dans la boîte de l'éditeur, pour pouvoir prouver qu'ils sont partis, pendant 3 ans après la fin de ton abonnement.

Combien de temps

Ton compte et ce qu'il garde, résumés des blocs finis compris : tant que le compte existe. Tu le supprimes depuis la page « Mon compte » : tout part aussitôt, la fiche, le détail et le suivi compris. Un compte resté 3 ans sans connexion est supprimé.

Deux exceptions : ta conversation avec le coach, effacée au bout de 30 jours, et le nombre de messages envoyés chaque jour aux chats, effacé au bout de 35 jours.

Un nouvel import remplace l'ancienne fiche ; ton bloc en cours continue, et le bloc suivant part de la nouvelle fiche.

Sur ton appareil : jusqu'à ce que tu les effaces. Chez Stripe : pendant ton abonnement, puis le temps des obligations comptables ; les factures sont gardées 10 ans (article L123-22 du Code de commerce), le reste 3 ans après la fin de ton abonnement.

Chez OpenAI : 30 jours au plus, pour surveiller les abus (voir « Les chats et l'intelligence artificielle »).

Tes droits

Tu peux demander l'accès à tes données, leur rectification, leur effacement, la limitation de leur traitement, t'y opposer, ou les récupérer, en écrivant à contact@scorka.com. Tu peux aussi adresser une réclamation à la CNIL, sur cnil.fr.