1. L'essentiel sur vos données
TrainingForever permet de planifier des entraînements, d'enregistrer des activités, d'analyser les performances et de collaborer avec des entraîneurs et des clubs. Certaines fonctionnalités utilisent des informations qui révèlent ou permettent de déduire des aspects de votre santé. Ces informations bénéficient d'une protection particulière.
Créer un compte ou accepter les Conditions d'utilisation ne revient pas à consentir à tous les traitements. Nous vous demanderons une autorisation spécifique lorsqu'elle est nécessaire pour utiliser des données de santé, activer des fonctionnalités facultatives d'IA avec ces données, connecter un service ou recevoir de la publicité. Vous pouvez retirer les consentements que vous avez donnés.
Votre entraîneur ou club peut être responsable du traitement des données qu'il gère pour vous fournir ses services sportifs. TrainingForever peut agir pour son compte comme fournisseur technologique. En revanche, TrainingForever est responsable de ses propres traitements, tels que la gestion de votre compte et de la sécurité du service. La section 3 explique cette distinction.
2. Qui est TrainingForever et comment le contacter
| Donnée | Information |
|---|---|
| Entité | Trainingforever OÜ |
| Registre du commerce | Estonie, code 16941437 |
| TVA intracommunautaire | EE102717330 |
| Adresse | Narva mnt 5, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia |
| Contact pour la confidentialité et l'exercice des droits | [email protected] |
| Site principal | trainingforever.com |
Cette politique s'applique au site et aux applications officiels de TrainingForever qui l'intègrent. Elle ne décrit pas les traitements indépendants effectués par une plateforme sportive externe, un client d'IA externe ou votre entraîneur en dehors du service de TrainingForever.
3. Qui décide de chaque traitement
Le rôle de chaque participant dépend de celui qui détermine réellement la finalité et les moyens essentiels du traitement, et pas uniquement du nom de son compte.
| Situation | Rôle de TrainingForever | Rôle des autres personnes ou entités |
|---|---|---|
| Inscription, authentification, abonnement à TrainingForever, assistance du compte, sécurité et obligations propres | Responsable du traitement | Ses fournisseurs agissent comme sous-traitants ou comme responsables du traitement indépendants pour leurs finalités légitimes, selon le service |
| Journal et analyse sportive utilisés directement par un sportif comme service propre de TrainingForever | Responsable du traitement | Le sportif décide des fonctionnalités et connexions qu'il active ; il ne devient pas pour autant responsable du traitement à titre professionnel |
| Données gérées par un entraîneur ou un club pour fournir ses services aux sportifs | Sous-traitant, soumis au DPA et aux instructions documentées | L'entraîneur ou le club est responsable du traitement ; si l'entraîneur travaille sous l'autorité du club, il ne devient pas automatiquement responsable du traitement indépendant |
| Entraîneur agissant comme sous-traitant d'une autre entité | Sous-traitant ultérieur, lorsqu'une autorisation existe et que la chaîne correspondante a été formalisée | L'entité est responsable du traitement et l'entraîneur conserve ses obligations de sous-traitant |
| Intégrations et IA dans l'espace d'un entraîneur ou d'un club | Conserve le rôle correspondant au traitement sportif ; activer l'IA ne modifie pas à lui seul ce rôle | Le responsable du traitement doit avoir informé les personnes, établi le fondement de cet usage et autorisé les sous-traitants ultérieurs nécessaires |
| Service externe que vous connectez, y compris un client MCP | Responsable du traitement pour la communication qui lui revient ou sous-traitant exécutant une instruction valable | Le service externe peut agir comme responsable du traitement ou sous-traitant selon son contrat, sa finalité et sa configuration |
L'identité et les coordonnées de l'entraîneur ou de l'entité responsable du traitement doivent être fournies dans l'invitation, lors de l'inscription ou dans le cadre de la relation sportive, ainsi que dans ses propres informations de confidentialité. Vous pouvez nous demander de vous aider à l'identifier. Lorsque nous recevons une demande relevant de ce responsable du traitement, nous la lui transmettons et l'aidons à y répondre conformément au DPA.
Si deux entités déterminent conjointement un traitement, elles doivent établir l'accord de responsabilité conjointe approprié et vous en communiquer les éléments essentiels. Le DPA ne remplace pas cet accord.
4. Quelles données sont utilisées et d'où elles proviennent
Seules les données nécessaires aux fonctionnalités que vous utilisez et aux autorisations que vous avez accordées doivent être traitées.
| Catégorie | Exemples et provenance |
|---|---|
| Identité et compte | Nom, adresse électronique, identifiant, langue, pays, âge ou date de naissance lorsque nécessaire, image de profil et appartenance à une organisation ; fournis par vous ou au moyen d'une invitation légitime |
| Souscription et encaissements | Formule, limites, factures, données fiscales, état du paiement, identifiants de transaction et d'abonnement ; provenant du souscripteur et du prestataire de paiement |
| Entraînement | Discipline, objectifs, calendrier, séances planifiées et réalisées, exercices, séries, répétitions, charges, allures, puissance, cadence, distance, durée, dénivelé et réalisation ; fournis par vous, votre entraîneur ou des connexions autorisées |
| Santé et condition physique | Fréquence cardiaque, zones et métriques physiologiques, capacité ou récupération estimée, poids, composition corporelle si fournie, repos, fatigue, douleur, blessures, limitations et commentaires révélant des informations de santé ; fournis directement ou provenant de connexions autorisées |
| Localisation sportive | Itinéraires et coordonnées d'activités importées ou enregistrées lorsque la fonctionnalité l'exige ; un itinéraire peut révéler le domicile, des lieux habituels ou des informations sensibles |
| Clubs et communication | Adhésion, rôle, messages, commentaires, participation à des groupes ou défis et préférences de visibilité ; fournis par des participants autorisés |
| IA et automatisations | Instructions, contexte de l'écran ou de l'activité, historique utilisé, données renvoyées par les outils, réponses, propositions, actions et journaux d'exécution ; générés lors de l'utilisation de ces fonctionnalités |
| Intégrations et API | Service connecté, autorisations, identifiants externes, jetons d'autorisation et journaux de synchronisation ; provenant du processus de connexion et du fournisseur |
| Données techniques et d'assistance | IP, session, navigateur, appareil, événements de sécurité, erreurs et communications avec l'assistance ; générés lors de l'accès ou des demandes d'assistance |
| Préférences et preuves juridiques | Version des textes fournis, acceptation contractuelle, consentements, retrait, date, contexte et preuves proportionnées de l'acte effectué |
Une métrique sportive n'est pas automatiquement une donnée de santé dans tous les contextes. Nous la traitons avec une protection renforcée lorsqu'elle révèle ou permet de déduire des informations sur votre état physique ou de santé. Les estimations et profils dérivés peuvent également être des données de santé. Les métriques d'une montre ne sont pas utilisées pour vous identifier par biométrie du seul fait qu'elles proviennent d'un capteur.
Nous n'avons pas besoin de dossiers médicaux complets, de documents d'identité systématiques ni de données de tiers étrangers à l'entraînement. Évitez de les inclure dans des messages, fichiers, demandes d'assistance ou instructions à l'IA.
Si un entraîneur fournit vos données avant que vous disposiez d'un compte, il doit vous informer de leur origine et de leur finalité, des destinataires et des droits dans les délais légaux. Lorsque TrainingForever est responsable du traitement de données obtenues indirectement, il fournira les informations exigées par l'article 14 du RGPD, normalement dans un délai d'un mois et, le cas échéant, avant la première communication ou transmission, sauf exception légale applicable.
5. Pourquoi les données sont traitées et sur quelle base
Les bases suivantes s'appliquent aux traitements dont TrainingForever est responsable. L'utilisation de l'article 6 du RGPD ne remplace pas l'exception supplémentaire exigée par l'article 9 lorsque des données de santé sont traitées.
| Finalité | Base de l'article 6 du RGPD | Conditions supplémentaires |
|---|---|---|
| Créer et gérer votre compte et fournir les fonctionnalités ordinaires demandées | Exécution du contrat avec vous ou mesures précontractuelles, article 6.1.b | Uniquement les données objectivement nécessaires ; les données facultatives ne deviennent pas obligatoires par leur inclusion dans les conditions |
| Gérer la souscription, l'assistance contractuelle et les paiements de TrainingForever | Article 6.1.b ; obligations comptables ou fiscales précises, article 6.1.c | Pour les contacts d'une entreprise cliente, intérêt légitime à gérer la relation professionnelle, article 6.1.f, lorsqu'ils ne sont pas parties au contrat |
| Enregistrer, suivre et analyser votre santé ou condition physique dans les fonctionnalités que vous demandez | Article 6.1.b lorsque nécessaire à la fonctionnalité souscrite ; article 6.1.a pour les usages supplémentaires volontaires | Consentement explicite de l'article 9.2.a comme règle de ce service ; toute autre exception nécessite une évaluation et des informations spécifiques |
| IA facultative utilisant vos données sportives personnelles, y compris des données de santé | Consentement de l'article 6.1.a pour cette finalité distincte | Consentement explicite de l'article 9.2.a si elle utilise ou déduit des informations de santé ; informations préalables sur le fournisseur, les données et la finalité |
| Envoyer des données à un entraîneur ou club choisi et autoriser des accès facultatifs | Contrat lorsque l'accès est nécessaire à la collaboration que vous avez demandée ; consentement pour les communications supplémentaires | Autorisation explicite de la communication de données de santé lorsque l'article 9.2.a est utilisé ; le destinataire est identifié |
| Importer ou exporter au moyen d'une connexion facultative, y compris MCP | Consentement, article 6.1.a, pour la connexion et la communication facultatives | Consentement explicite si des données de santé sont incluses et qu'il s'agit de l'exception applicable ; une autorisation technique valable et le respect des conditions de la source sont également exigés |
| Participer volontairement à des clubs, défis ou espaces visibles par d'autres personnes | Contrat pour la participation demandée ; consentement pour publier des informations ou élargir la visibilité de manière facultative | Aucun consentement à la publication de données de santé ou d'itinéraires n'est présumé. Leur publication est désactivée par défaut et nécessite une évaluation et une autorisation spécifiques |
| Répondre à des questions sans relation contractuelle préalable | Mesures précontractuelles ou intérêt légitime à répondre aux demandes, selon leur contenu | L'intérêt légitime ne permet pas d'utiliser librement les données de santé ; leur inclusion est évitée, sauf nécessité et autorisation spécifique |
| Protéger les comptes et systèmes, enquêter sur les abus et tenir les journaux techniques nécessaires | Intérêt légitime, article 6.1.f, à la sécurité et à l'intégrité ; article 6.1.c lorsqu'une obligation précise existe | Évaluation de la nécessité et de la proportionnalité ; le contenu sportif et de santé dans les journaux est minimisé |
| Envoyer des actualités ou promotions | Consentement, article 6.1.a | Distinct de l'inscription et révocable dans chaque communication ; aucune donnée de santé n'est utilisée pour le ciblage publicitaire |
| Cookies, SDK ou technologies facultatives de mesure ou de publicité | Consentement, article 6.1.a, et réglementation relative aux appareils | La Politique de cookies s'applique ; ces technologies ne sont pas activées par l'acceptation de la présente politique |
| Statistiques d'utilisation et amélioration technique | Intérêt légitime pour des métriques techniques minimales sans suivi facultatif ; consentement lorsqu'il est requis | Les données réellement anonymes sont privilégiées. L'amélioration n'autorise pas la réutilisation de données de santé ou de conversations identifiables à de nouvelles fins |
| Respecter les obligations et traiter les réclamations | Article 6.1.c pour des obligations précises ; article 6.1.f pour la constatation ou la défense de droits en justice | Uniquement si nécessaire, article 9.2.f pour les données de santé liées à une réclamation ; ne justifie pas la conservation indéfinie de tout l'historique |
Pour les données gérées par un entraîneur ou un club, il appartient à ce responsable du traitement de déterminer et de vous communiquer les bases des articles 6 et 9. TrainingForever les traite selon ses instructions. Sa relation contractuelle avec TrainingForever ne constitue pas à elle seule une exception permettant d'utiliser vos données de santé.
6. Données de santé et liberté de choix
Avant d'activer un traitement de données de santé fondé sur le consentement, le responsable du traitement, les finalités, les catégories de données et, le cas échéant, l'entraîneur ou le club qui y aura accès seront expliqués. Le consentement doit être explicite et enregistré.
Le consentement au suivi sportif n'inclut pas automatiquement l'utilisation de l'IA sur les données de santé, la transmission à un client MCP externe, la publication dans un club ou la publicité. Chaque finalité supplémentaire qui l'exige fait l'objet de son propre choix.
Vous pouvez retirer votre consentement depuis les contrôles de confidentialité disponibles ou en écrivant à [email protected]. Le retrait n'affecte pas les traitements licites antérieurs. Nous arrêterons les nouveaux traitements concernés et gérerons la suppression, la limitation ou la conservation légale applicable. Si nous agissons comme sous-traitant, nous communiquerons votre demande au responsable du traitement et coopérerons à son exécution.
Refuser une fonctionnalité facultative n'empêche pas d'utiliser les parties du service qui n'en ont pas besoin. Si une fonctionnalité précise dépend nécessairement de données de santé, elle peut ne pas être disponible en cas d'absence ou de retrait de ce consentement. Nous n'utiliserons pas cette situation pour vous imposer des finalités qui ne sont pas nécessaires.
7. Entraîneurs, clubs, groupes et visibilité
L'accès à vos informations doit être limité aux personnes autorisées qui en ont besoin pour le service sportif. L'appartenance à un club ne donne pas automatiquement à tous ses membres accès à votre historique, à vos messages privés, à votre santé, à vos paiements ou à vos itinéraires précis.
Les administrateurs d'une organisation peuvent gérer les adhésions et accès dans les limites de leurs compétences. L'accès aux données sportives détaillées doit répondre à une fonction précise et légitime. Avant une publication ou un classement visible par d'autres personnes, les données affichées et le public destinataire seront indiqués. La participation ou la visibilité facultatives peuvent être désactivées selon les contrôles proposés.
Si vous changez d'entraîneur ou de club, la nouvelle relation ne doit pas hériter automatiquement de l'accès à l'historique de la précédente. Le nouvel accès et son périmètre doivent être établis. L'ancien responsable du traitement ne pourra conserver que les données qu'il doit légitimement garder, sous sa propre responsabilité et avec un accès restreint le cas échéant.
8. Assistant d'IA, analyses et actions
Lorsque vous interagissez avec l'assistant, vous serez informé que vous utilisez une intelligence artificielle. Il peut interpréter des instructions, résumer des données, expliquer des métriques et proposer ou exécuter les actions disponibles, telles que des modifications de séances ou de planification, dans les limites des autorisations du compte et du périmètre de la fonctionnalité.
Pour élaborer la réponse, votre message, une partie de l'historique, des références contextuelles et les résultats d'outils consultés peuvent être envoyés au fournisseur d'IA. Ces résultats peuvent inclure des informations sportives ou de santé même si vous ne les avez pas écrites dans le message. L'historique peut contenir des noms ou d'autres identifiants : pseudonymiser certains champs ne rend pas automatiquement la conversation anonyme.
Les fournisseurs autorisés, pays, durées de conservation, usages permis et garanties figurent à l'annexe A. Aucun fournisseur ne sera autorisé à traiter ces données sans que son évaluation et les garanties requises aient été complétées. La plateforme doit minimiser les données envoyées, limiter l'accès par fonction et éviter d'inclure des secrets ou des informations étrangères à la tâche.
Les données personnelles et de santé, les conversations et les résultats obtenus pour fournir le service ne sont destinés ni à l'entraînement ou à l'ajustement de modèles généraux, ni à la création de bases de connaissances entre clients, ni à la publicité. Les fournisseurs agissant pour le compte de TrainingForever doivent être soumis à cette limitation. Tout autre projet nécessiterait sa propre évaluation juridique, des informations préalables et les autorisations applicables ; cette politique ne l'autorise pas.
Les résultats de l'IA peuvent être incorrects et générer des déductions sensibles. Ils sont utilisés comme aide sportive et doivent pouvoir être examinés et corrigés. Ils ne doivent pas servir à prendre, de manière exclusivement automatisée, des décisions concernant l'accès à des services essentiels, les assurances, l'emploi ou d'autres décisions ayant des effets juridiques ou d'importance similaire. Les recommandations ordinaires d'entraînement ne constituent pas à elles seules de telles décisions, mais leur impact réel doit être évalué.
Si l'introduction d'un traitement soumis à l'article 22 du RGPD était envisagée, sa licéité serait évaluée avant son activation, des informations sur la logique, l'importance et les conséquences seraient fournies et les droits applicables seraient garantis. Une clause générale ou un prétendu examen humain purement formel ne suffisent pas.
9. Intégrations, montres et clients MCP
Les connexions sont activées volontairement et avec des autorisations délimitées. Avant la connexion, le service, les données importées ou exportées, leur sens de circulation et les fonctionnalités concernées seront identifiés. La synchronisation peut comprendre aussi bien des séances planifiées vers un service compatible que des activités réalisées vers TrainingForever, uniquement lorsque la connexion concernée le permet.
L'autorisation technique de l'appareil ou de la plateforme externe ne remplace pas à elle seule les consentements requis pour d'autres usages. Toutes les catégories d'un appareil ne sont pas importées du seul fait de sa connexion. Les restrictions du fournisseur doivent également être respectées, même en présence du consentement de l'utilisateur.
Si vous connectez TrainingForever à ChatGPT, Claude ou à un autre client via MCP, ce client peut recevoir les données renvoyées par les outils et lancer les actions que vous autorisez. Il peut les conserver dans son historique et appliquer ses propres conditions selon la formule et la configuration. Ce flux est distinct de l'utilisation du fournisseur de l'assistant intégré de TrainingForever.
Avant d'activer un client MCP, son identité, ses autorisations, les données et la finalité seront indiquées. Un entraîneur ne peut pas consentir au nom de ses sportifs à une nouvelle communication de données de santé du seul fait qu'il est leur entraîneur. Le fondement correspondant doit exister et, lorsque le client agit pour leur compte, la chaîne contractuelle nécessaire doit être en place. Il est interdit de connecter les données de tiers à des comptes externes dépourvus de ces garanties.
La déconnexion révoque ou désactive l'autorisation dans TrainingForever et arrête les nouveaux échanges concernés. Pour Garmin, la suppression prévue à la section 9.1 s'applique également. Pour les autres intégrations, la déconnexion ne supprime pas à elle seule les activités déjà importées. Les copies reçues licitement par un responsable du traitement externe sont gérées conformément à ses obligations ; vous pouvez lui demander leur suppression. TrainingForever apportera son aide dans les limites de ses attributions et exécutera les obligations applicables de notification de suppression ou de rectification aux destinataires.
9.1. Données de Garmin Connect (Garmin Connect Data)
Accès et autorisation. Si vous choisissez de connecter votre compte Garmin, Trainingforever OÜ accède aux données d'activité et de condition physique de Garmin Connect, y compris aux données de santé uniquement si vous les autorisez, par les API officielles de Garmin, directement ou par l'intermédiaire de Stridee, notre fournisseur de synchronisation. Nous ne lisons ni ne recevons les données avant l'autorisation du sportif titulaire du compte, et uniquement dans les limites des catégories et autorisations accordées et des API approuvées pour l'intégration.
Finalités. Nous utilisons ces données exclusivement pour fournir les fonctionnalités de TrainingForever que vous demandez : importer, afficher et résumer des activités, suivre votre entraînement et permettre leur consultation par vous et votre entraîneur autorisé. Si vous autorisez l'envoi de séances planifiées à Garmin, nous ne transmettons que les séances et les données nécessaires à cet envoi. Le traitement propre à Garmin est décrit dans sa politique de confidentialité de Garmin Connect.
Conservation et déconnexion. Nous stockons les données Garmin de manière sécurisée et uniquement tant que la connexion reste active et qu'elles sont nécessaires aux fonctionnalités autorisées, sans préjudice de votre possibilité d'en demander la suppression plus tôt. Vous pouvez déconnecter Garmin depuis les paramètres de connexion ou d'intégration de votre compte TrainingForever, ou révoquer l'accès depuis Garmin Connect. Lors de la déconnexion ou à la réception de la révocation de Garmin, nous arrêtons les nouveaux échanges et lançons automatiquement la suppression des données Garmin associées, y compris des résultats dérivés qui en contiennent, dans TrainingForever et chez ses sous-traitants : sans retard injustifié et dans un délai maximal de 30 jours dans les systèmes actifs. Les sauvegardes isolées sont supprimées dans un délai maximal de 90 jours à compter de cette suppression ; si Garmin exige un délai plus court, celui-ci s'applique. Seule la partie minimale exigée par une obligation légale précise sera conservée, bloquée et pendant la durée requise. Les délais généraux de l'historique sportif ne permettent pas de prolonger cette conservation après la déconnexion.
Ni vente ni publicité. Nous ne vendons pas vos données Garmin et ne les utilisons ni ne les partageons à des fins de publicité, de ciblage commercial ou de création d'audiences.
Fournisseurs agissant pour notre compte. Stridee et les fournisseurs d'hébergement, de stockage, de communications et d'IA identifiés à l'annexe A peuvent traiter ces données uniquement dans la mesure nécessaire au fonctionnement des fonctionnalités autorisées. Lorsqu'ils agissent pour notre compte, ils sont soumis à des instructions documentées et à des obligations contractuelles de protection : ils n'utilisent pas le contenu sportif Garmin pour leurs propres finalités, pour la publicité ou pour entraîner ou améliorer leurs modèles. Nous n'activons aucun flux lorsque les garanties exigibles font défaut.
Transparence sur l'IA. Uniquement si les conditions applicables de Garmin le permettent et si vous donnez un consentement explicite, distinct et révocable, l'assistant intégré peut envoyer aux API d'OpenAI ou d'Anthropic/Claude les données Garmin nécessaires, avec les messages, le contexte et les résultats d'outils, afin de résumer des activités, d'expliquer des métriques ou de générer les propositions sportives demandées. Vous pouvez retirer ce consentement depuis les contrôles de confidentialité ou en écrivant à [email protected] ; cet usage de l'IA cessera sans empêcher les fonctionnalités qui n'en ont pas besoin. Connecter Garmin ou accepter les conditions ne constitue pas un consentement à cet usage.
Clients MCP externes. Nous n'envoyons pas de données Garmin à un client MCP externe sans identifier le destinataire, obtenir votre autorisation spécifique et vérifier des garanties compatibles concernant les finalités, l'absence d'entraînement des modèles et la suppression. Si ces garanties ne peuvent être assurées, ce flux n'est pas activé. L'autorisation de l'assistant intégré ne couvre pas à elle seule ces connexions.
10. Destinataires et fournisseurs
Les données peuvent être traitées par :
Nous ne vendons pas de données à caractère personnel et n'utilisons pas les données de santé, de blessures, de localisation sensible ou d'appareils de santé pour cibler la publicité. Nous ne transmettons pas de dossiers de santé aux sponsors de clubs ou aux annonceurs du seul fait de la participation à une activité.
Lorsqu'un fournisseur agit comme sous-traitant, le contrat correspondant sera formalisé et il ne pourra traiter les données que selon les instructions reçues. Les entités agissant comme responsables du traitement indépendants devront fournir leurs propres informations. L'annexe A précise les entités et fonctions autorisées.
11. Traitement hors de l'Espace économique européen
La localisation d'un serveur en Europe n'exclut pas l'accès depuis d'autres pays pour l'assistance, l'administration, l'IA ou la sous-traitance. L'annexe A identifie les pays de stockage et d'accès pertinents.
Un transfert international ne sera effectué que s'il existe une décision d'adéquation en vigueur couvrant le destinataire et le traitement, ou des garanties valables, telles que des clauses contractuelles types applicables, une évaluation du transfert et les mesures supplémentaires nécessaires. Toute certification doit être vérifiée pour l'entité et le service précis. Le consentement donné lors de l'inscription n'est pas utilisé comme autorisation générale pour les transferts habituels et ne remplace pas ces garanties.
Vous pouvez demander des informations et une copie des garanties applicables en écrivant au contact chargé de la confidentialité. Les secrets d'affaires ou les données d'autres personnes pourront être protégés sans vous empêcher de connaître l'essentiel des garanties.
12. Durée de conservation
Les délais suivants s'appliquent aux traitements propres de TrainingForever. Lorsque nous agissons pour le compte d'un entraîneur ou d'un club, ses instructions licites et les délais du DPA s'appliquent, sans que la résiliation de son abonnement constitue une autorisation de réutiliser les données.
Si l'autorisation du fournisseur d'origine impose une durée plus courte ou un usage plus limité, cette restriction s'appliquera aux données correspondantes. Les délais généraux de la présente politique ne permettent pas de l'étendre.
| Information | Critère de conservation et sort des données |
|---|---|
| Compte et profil | Tant que le compte est actif et que les données sont nécessaires. Après une demande valable de suppression ou de clôture, suppression des systèmes actifs dans un délai maximal de 30 jours, sauf conservation précise justifiée |
| Historique sportif et de santé du service direct | Tant que vous maintenez la fonctionnalité et que les données sont nécessaires à l'historique demandé ; la nécessité est réexaminée et les demandes de suppression et de retrait sont traitées. Aucune conservation par défaut pour de nouvelles finalités |
| Conversations et résultats de l'assistant intégré | Au maximum 90 jours après la dernière interaction de chaque conversation, sauf demande de suppression antérieure. Une séance ou un plan que vous décidez d'enregistrer a son propre cycle de conservation ; il n'exige pas de conserver toute la conversation |
| Données chez le fournisseur d'IA | La durée spécifique de chaque service indiquée à l'annexe A, qui peut différer de celle de l'historique de TrainingForever |
| Jetons d'intégrations | Tant que la connexion est active ; révoqués ou rendus inutilisables lors de la déconnexion et supprimés des systèmes actifs, à l'exception de l'enregistrement minimal nécessaire pour prouver la révocation |
| Données de Garmin Connect | Règle spécifique de la section 9.1 : tant que la connexion est active et que les données sont nécessaires aux fonctionnalités autorisées ; à la déconnexion ou à la réception de la révocation, suppression automatique des données associées et des résultats dérivés qui en contiennent. Les maximums de 30 jours dans les systèmes actifs et de 90 jours à compter de cette suppression dans les sauvegardes isolées s'appliquent, ou les délais contractuels plus courts, sous réserve d'une obligation légale précise. |
| Journaux techniques ordinaires | Jusqu'à 90 jours, en évitant les messages, les données de santé et les itinéraires complets |
| Journaux de sécurité | Jusqu'à 12 mois ; une enquête ou réclamation précise peut justifier de conserver plus longtemps des preuves spécifiques, avec un accès restreint |
| Demandes d'assistance | Jusqu'à 24 mois après leur clôture, sauf nécessité contractuelle ou légale précise. Les pièces jointes de santé inutiles sont supprimées plus tôt |
| Factures et justificatifs comptables propres | En règle générale, sept ans à compter de la fin de l'exercice concerné conformément à la réglementation comptable estonienne ; d'autres documents ou obligations peuvent nécessiter un calcul différent, qui sera déterminé spécifiquement |
| Preuves d'acceptation, de consentement et de retrait | Aussi longtemps que nécessaire pour démontrer le traitement, puis pendant le délai de prescription applicable aux responsabilités précises : En attente: plazo y criterio evidencias validado. Seule la preuve minimale est conservée, pas l'ensemble de l'historique de santé |
| Communications commerciales | Jusqu'au retrait de votre consentement ou à la fin de la finalité ; une liste minimale d'exclusion peut être conservée pour respecter la désinscription |
| Sauvegardes | Suppression ou écrasement au maximum 90 jours après la suppression des systèmes actifs ; elles restent isolées de l'usage ordinaire. Toute restauration doit réappliquer les suppressions |
| Données soumises à une réclamation ou obligation légale précise | Uniquement les données nécessaires, avec un accès limité et jusqu'à la fin de l'obligation ou de la responsabilité ; elles sont ensuite supprimées |
La demande de suppression reçoit une réponse dans les délais de la section 14, même si une copie isolée achève ensuite son cycle technique. Si les données doivent être bloquées conformément à la réglementation applicable, elles ne seront utilisées ni pour fournir de nouvelles fonctionnalités, ni pour développer des modèles, ni pour effectuer de la publicité.
Les données ne sortent du champ du RGPD que si elles ont été effectivement anonymisées, en tenant compte du risque raisonnable de réidentification. Les données pseudonymisées, les agrégats de petits groupes et les itinéraires reconnaissables peuvent rester des données personnelles. L'anonymisation ne permet pas non plus de contourner les conditions du fournisseur d'origine.
13. Sécurité
TrainingForever doit appliquer des mesures proportionnées au risque des données, notamment des contrôles d'accès par personne et organisation, la protection des identifiants et jetons, le chiffrement des communications, la gestion des sauvegardes, les journaux nécessaires et les procédures d'incident. L'accès du personnel est limité aux personnes qui en ont besoin et sont soumises à une obligation de confidentialité.
L'accès exceptionnel de l'assistance aux données sportives ou de santé doit être justifié, limité et enregistré. Les données réelles de santé ne sont pas librement réutilisées dans les environnements de test ou de démonstration. Les mesures contractuelles pour les traitements effectués pour le compte d'organisations sont décrites dans le DPA.
Si une violation de sécurité nécessite une communication aux personnes concernées, nous l'effectuerons sans retard injustifié dans les conditions légales. Lorsque nous agissons comme sous-traitant, nous informerons et aiderons le responsable du traitement pour qu'il respecte ses propres obligations.
14. Vos droits et leur exercice
Vous pouvez demander l'accès, la rectification, l'effacement, la limitation, l'opposition et, lorsque les conditions légales sont réunies, la portabilité. Vous pouvez également retirer votre consentement et exercer les droits applicables relatifs aux décisions automatisées.
Écrivez à [email protected] depuis l'adresse électronique de votre compte, en précisant votre demande, ou utilisez les contrôles de confidentialité disponibles. Nous vérifierons votre identité de manière proportionnée ; une copie de votre pièce d'identité n'est pas exigée systématiquement. Pour les données traitées par un club ou entraîneur, vous pouvez vous adresser à lui ; nous vous aiderons à transmettre la demande.
Nous répondons normalement dans un délai d'un mois à compter de la réception. Si la complexité ou le nombre de demandes le nécessite, le délai peut être prolongé de deux mois supplémentaires, en vous en informant au cours du premier mois et en expliquant le motif. L'exercice des droits est gratuit, sauf dans les cas exceptionnels prévus par la loi. Si une demande ne peut être satisfaite, nous expliquerons les raisons et les voies de réclamation.
L'opposition à la publicité directe est prise en compte sans justification nécessaire. Pour les autres traitements fondés sur l'intérêt légitime, nous examinerons les circonstances que vous indiquez et cesserons le traitement, sauf motifs légitimes impérieux ou nécessité de constatation ou de défense de droits en justice prévus par la loi.
Vous pouvez déposer une réclamation auprès de l'autorité de l'État de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation présumée. En Espagne, l'Agencia Española de Protección de Datos ; en Estonie, l'Andmekaitse Inspektsioon. L'immatriculation de la société en Estonie ne détermine pas à elle seule quelle autorité agit comme autorité chef de file pour tous les traitements.
15. Mineurs
La souscription doit être effectuée par une personne disposant d'une capacité suffisante ou par le représentant autorisé de l'entité. La gestion de sportifs mineurs n'est admise que s'il existe une procédure d'inscription et d'information adaptée à leur âge et à leur pays, avec vérification de la représentation et des consentements lorsqu'ils sont nécessaires. Sans cette procédure, leur intégration ne sera pas activée.
L'âge permettant de consentir à certains services numériques n'équivaut pas automatiquement à la capacité de contracter ni à une autorisation pour tout traitement de données de santé. Le responsable du traitement doit identifier qui peut valablement accorder chaque autorisation. L'information sera également fournie au mineur de manière compréhensible, selon sa maturité.
Les profils des mineurs, leurs itinéraires et leurs données de santé ne sont pas rendus publics par défaut. L'entraîneur ou le club doit limiter les accès et ne peut pas introduire ces données en s'appuyant uniquement sur son acceptation des conditions de TrainingForever.
16. Données nécessaires, cookies et modifications
Les formulaires doivent identifier les données obligatoires. Leur absence peut empêcher la création du compte ou la fourniture de la fonctionnalité précise qui en a besoin. Les données et fonctionnalités facultatives seront indiquées comme telles.
La Politique de cookies explique les technologies de l'appareil et comment modifier vos préférences. L'acceptation de cette politique n'active pas les technologies facultatives.
Nous informerons des changements importants avant leur application, sauf si une obligation ou un incident justifie une autre action. Une mise à jour de la politique ne légitime pas rétroactivement un usage et ne renouvelle pas un consentement. Nous demanderons un nouveau choix lorsqu'il sera nécessaire.
Annexe A. Registre des fournisseurs, intégrations et transferts de TrainingForever
Version du registre : TF-REG-2026-10-29-v2 Date de mise à jour : 29 octobre 2026 Exploitant : Trainingforever OÜ — registre estonien 16941437 — contact : [email protected].
1. Périmètre et lecture du registre
Le registre identifie les fournisseurs de la plateforme, les outils de mesure et les services externes connectés. Le rôle de chaque entité dépend de l'opération : traiter des données pour le compte de TrainingForever diffère de la détermination de finalités propres ou de la fourniture d'un service indépendant au sportif.
Lorsque TrainingForever agit pour le compte d'un entraîneur ou d'un club, les fournisseurs intervenant dans le traitement confié doivent également figurer à l'annexe III du DPA. Les outils utilisés pour le marketing propre de TrainingForever et les services indépendants du sportif ne deviennent pas automatiquement des sous-traitants ultérieurs de cet entraîneur.
Les entités indiquées correspondent à la documentation standard pertinente et doivent être comparées au contrat de chaque compte. Une région européenne pour les bases de données, fonctions ou stockages ne garantit pas que tous les journaux, accès de l'assistance, sous-traitants ou points de distribution se trouvent dans l'EEE. La liste des sous-traitants ultérieurs de chaque fournisseur doit être examinée pour les services utilisés et conservée avec l'évaluation des transferts.
« CCT » désigne les clauses contractuelles types de la Commission européenne pour les transferts internationaux. La mention de CCT ou d'une décision d'adéquation identifie le mécanisme à vérifier pour le flux concerné ; elle ne remplace pas le contrat, l'évaluation ou les mesures supplémentaires applicables. Une certification au cadre de protection des données n'est pas présumée pour toute entité d'un groupe.
2. Fournisseurs technologiques et opérationnels
| Entité juridique et service | Fonction et rôle | Données nécessaires selon l'utilisation déclarée | Stockage et pays d'accès | Garantie de transfert | Conservation et conditions d'utilisation | Documentation |
|---|---|---|---|---|---|---|
| Supabase Pte. Ltd. — Supabase | Base de données et services associés utilisés par l'application. Sous-traitant ou sous-traitant ultérieur pour les données du service | Comptes, profils et données sportives et de santé stockées ; autorisations et journaux nécessaires. Le périmètre d'Auth, de Storage et des fonctions doit être inventorié | Projet principal en Irlande, déclaré par l'exploitant. La documentation distingue l'assistance et les opérations des sociétés affiliées, notamment à Singapour et aux États-Unis ; la région du projet ne les exclut pas | DPA et ses garanties de transfert ; vérifier les destinations des services effectivement utilisés, y compris les sociétés affiliées et sous-traitants ultérieurs | Pendant le service et selon les instructions de conservation. Le DPA prévoit une période de récupération de 30 jours après la fin du contrat ; vérifier les suppressions par utilisateur, journaux et sauvegardes selon la formule. | DPA ; résidence et transferts |
| Vercel Inc. — Vercel | Hébergement du site/de l'application et exécution du backend/des API. Sous-traitant ou sous-traitant ultérieur dans les opérations effectuées pour le compte du responsable du traitement | IP et données de requête, de session, communications traitées par les API et journaux techniques. Le backend peut traiter les données sportives ou de santé nécessaires à la fonctionnalité ; leur inclusion dans les journaux n'est pas présumée nécessaire | Backend/API dans l'UE/EEE, déclaré ; pays et code à préciser. La diffusion du contenu, les journaux et l'assistance nécessitent une évaluation distincte ; un traitement aux États-Unis et dans d'autres destinations du fournisseur peut exister | DPA et CCT applicables. Vérifier la formule : le DPA public consulté indique couvrir Pro et Enterprise ; la formule de TrainingForever n'a pas été confirmée | Selon la relation, le produit et la configuration des journaux et sauvegardes. Aucune durée unique n'a été confirmée pour toutes les données de Vercel. | DPA ; confidentialité |
| BunnyWay d.o.o. — Bunny Stream et Bunny Storage | Stockage et diffusion de vidéos, images, documents et autres fichiers ; lecture vidéo. Sous-traitant ou sous-traitant ultérieur du contenu confié | Contenus téléversés par les entraîneurs et sportifs, métadonnées et données techniques nécessaires à l'accès et à la diffusion. Les fichiers peuvent contenir des données personnelles ou de santé selon leur contenu | Stockage principal et répliques uniquement dans l'UE/EEE, déclaré. Entité en Slovénie. Pays précis, distribution par CDN, caches et accès à distance à vérifier | DPA du compte et garanties nécessaires pour tout flux hors de l'EEE ; le lieu du stockage principal ne permet pas de déduire une absence de transferts | Les contenus sont conservés selon les instructions et la suppression du responsable du traitement ; valider les cycles de suppression, les versions et les caches. Aucune suppression automatique liée à l'ancienneté n'a été confirmée. | Confidentialité ; DPA dans le compte ; sous-traitants ultérieurs |
| Plus Five Five, Inc. — Resend | Envoi de courriels transactionnels et commerciaux. Sous-traitant ou sous-traitant ultérieur du contenu envoyé ; traitements propres distincts liés au compte et aux opérations | Adresse électronique et nom du destinataire lorsqu'ils sont inclus ; accès, récupération et invitations ; notifications ; factures/encaissements ; publicité ; entraînements, activités et métriques. Ces dernières peuvent révéler des informations de santé | États-Unis pour le contenu et les journaux selon la documentation standard. Une région européenne d'envoi ne modifie pas à elle seule ce stockage | CCT intégrées au DPA, avec sélection du module approprié. Tout autre mécanisme nécessite la vérification de l'entité et du périmètre couvert | Documentation standard : messages et journaux, 30 jours pour Free, Pro et Scale ; sauvegardes, 7 jours ; données restantes après la clôture du compte, jusqu'à 90 jours. Enterprise peut varier. Vérifier la formule et l'adéquation du contenu de santé. | DPA ; localisation et conservation |
| Stripe Payments Europe, Limited ; Stripe Technology Europe, Limited lorsqu'elle fournit des services financiers réglementés — Stripe | Paiements, abonnements et facturation utilisés. Sous-traitant pour les opérations effectuées pour le compte du client et responsable du traitement pour les finalités propres, selon le service ; la souscription à l'ensemble du catalogue ou à Stripe Connect n'est pas présumée | Identification, contact, données fiscales, transactions, abonnements et données de paiement nécessaires ; les données complètes de carte sont fournies au prestataire selon l'intégration. Exclure la santé des descriptions et métadonnées | Entités européennes concernées et traitement international par le groupe et ses fournisseurs, notamment aux États-Unis, selon le service | DPA et garanties de transfert du contrat de Stripe ; distinguer les opérations en qualité de sous-traitant et de responsable du traitement | Aussi longtemps que nécessaire pour le service et les délais réglementaires, comptables, antifraude et de réclamation applicables à Stripe. La clôture dans TrainingForever ne supprime pas automatiquement ses obligations propres. | DPA ; rôles dans le traitement ; confidentialité |
| OpenAI Ireland Ltd. — OpenAI API, dans le cadre contractuel standard EEE | Inférence de l'assistant intégré par API directe, sans intermédiaire déclaré. Sous-traitant ou sous-traitant ultérieur du contenu de la requête | Messages, contexte, historique et résultats d'outils envoyés, y compris les données réelles des sportifs, entraînements et métriques ; données de santé lorsqu'elles en font partie | Aucune résidence européenne ni conservation nulle spéciale n'a été déclarée. Ne pas limiter le flux à l'EEE : examiner le traitement aux États-Unis et dans les pays de la chaîne du service | DPA d'OpenAI et garanties applicables aux transferts et sous-traitants ultérieurs | Pas d'entraînement des modèles par défaut, sauf activation volontaire spécifique. Journaux de lutte contre les abus : généralement jusqu'à 30 jours, avec des exceptions ; état, fichiers, caches et autres objets dépendent du point de terminaison et de la configuration. Ne pas affirmer une suppression universelle à 30 jours. | DPA ; contrôles des données de l'API |
| Anthropic Ireland, Limited — Anthropic API / Claude, dans le cadre contractuel standard EEE | Inférence de l'assistant intégré par API directe, sans intermédiaire déclaré. Sous-traitant ou sous-traitant ultérieur du contenu | Messages, contexte, historique et résultats d'outils envoyés, y compris les données réelles des sportifs, entraînements et métriques ; données de santé lorsqu'elles en font partie | Aucun accord spécial de résidence européenne ni de conservation nulle n'a été déclaré. Examiner les pays de traitement et les sous-traitants ultérieurs du service ; ne pas présumer un traitement exclusif en Irlande | DPA d'Anthropic avec CCT et documentation de transfert applicables | La politique commerciale consultée indique une suppression ordinaire des entrées/sorties dans les 30 jours, avec des exceptions liées aux fonctionnalités, modèles, à la sécurité, à la loi et aux retours d'information. Pas d'entraînement sans autorisation expresse selon ses engagements. | Conditions commerciales ; DPA ; conservation commerciale |
| Molina Studio, exploitant de Stridee — Stridee Developer Platform/API | Envoi des entraînements planifiés et réception des activités et métriques. Sous-traitant du flux confié ; vérifier la chaîne lorsque TrainingForever agit lui-même comme sous-traitant | Identifiants de connexion, autorisations et jetons, séances et activités, et métriques autorisées. Itinéraires et données de bien-être uniquement lorsque le périmètre précis les inclut | Exploitant en Suisse ; infrastructure publiée d'OVH SAS en Suisse et dans l'EEE. Ne pas ajouter de destinations hypothétiques comme si elles étaient actives | Adéquation de la Suisse et contrats applicables ; évaluer tout transfert ultérieur distinct des destinations publiées | Selon les instructions et conditions de la plateforme. Demande de restitution après la fin : dans les 30 jours ; exécution de la suppression/restitution, jusqu'à 90 jours selon ses conditions et sauvegardes. Journaux de requêtes : 30 jours. Mettre en cohérence avec le DPA de TrainingForever. | Exploitant ; conditions de l'API ; sous-traitants ultérieurs ; confidentialité |
Les entités d'OpenAI, Anthropic, Google, Microsoft et Stripe indiquées doivent être comparées au compte et au contrat régional acceptés. Les fonctionnalités des fournisseurs qui n'ont pas été souscrites ou activées ne sont pas intégrées du seul fait qu'elles apparaissent sur leurs pages produit.
3. Analyse, gestion des balises, publicité et expérience utilisateur
TrainingForever a déclaré l'utilisation des quatre services suivants également dans l'application authentifiée. Le périmètre déclaré des événements envoyés est pages, écrans, clics et navigation. Cela ne rend pas ces événements anonymes : les technologies peuvent traiter des IP, identifiants techniques, cookies, URL, référents et données de l'appareil selon leur fonctionnement et leur configuration. Le trafic effectif ainsi que le contenu des pages ou liens capturés n'ont pas été vérifiés.
| Entité et service | Fonction et rôle | Données et limites | Pays et garanties | Conservation | Information |
|---|---|---|---|---|---|
| Google Ireland Limited, selon le contrat EEE — Google Analytics | Mesure de l'utilisation. Sous-traitant pour les opérations de mesure effectuées pour le compte de TrainingForever ; examiner les finalités propres et les accords supplémentaires en cas de partage ou de fonctionnalités publicitaires | Événements de navigation déclarés et données techniques du service. Exclure les données de santé et les données d'identification ou contenus qui ne sont pas autorisés pour ce produit | Traitement par la chaîne de Google, potentiellement hors de l'EEE, notamment aux États-Unis ; vérifier les conditions et garanties de transfert applicables à la propriété | Durée configurée pour les utilisateurs/événements à vérifier. Aucune valeur de 2 ou 14 mois n'est attribuée par supposition. Les agrégats et fonctionnalités supplémentaires ont leurs propres règles. | Cadre RGPD de Google ; conservation ; confidentialité |
| Google Ireland Limited, selon le contrat EEE — Google Tag Manager | Gestion et déploiement de balises ; distinguer le gestionnaire de chaque destinataire activé par son intermédiaire | Configuration du conteneur, données techniques et variables utilisées dans les balises. Ne pas introduire par défaut de données de santé, noms ou adresses électroniques dans la couche de données | Selon le service et les destinations des balises. La localisation du backend ne détermine pas où ces balises reçoivent les données | Le gestionnaire ne fixe pas de durée unique pour Analytics, Meta ou Clarity. Inventorier chaque balise, cookie, clé de stockage et destinataire. | Informations sur le produit ; cadre de protection des données ; confidentialité |
| Meta Platforms Ireland Limited, pour le service EEE — Meta Pixel | Mesure et attribution publicitaire. Évaluer et appliquer la responsabilité conjointe limitée à la collecte et à la transmission prévue dans l'accord pertinent, ainsi que les traitements ultérieurs de Meta ; ne pas le classer sans autre analyse comme sous-traitant ultérieur de l'entraîneur | Événements de pages/écrans et interactions déclarés, ainsi que données techniques de la balise. Ne pas transmettre d'informations interdites par ses conditions, notamment de santé ; examiner également les URL, titres et événements qui les révèlent | Services de Meta et éventuels transferts internationaux, notamment aux États-Unis, avec le mécanisme et les conditions effectivement applicables ; vérifier son accord régional | Durées propres aux produits, finalités et contrôles de Meta ; préciser la configuration des événements, cookies et audiences. Ne pas appliquer automatiquement la durée des journaux de TrainingForever. | Conditions des outils professionnels ; accord entre responsables du traitement ; informations interdites |
| Microsoft Ireland Operations Limited et Microsoft Corporation, selon leurs fonctions — Microsoft Clarity | Analyse des comportements et fonctionnalités d'expérience activées. Microsoft déclare agir comme responsable du traitement | Navigation et interactions déclarées, ainsi que champs techniques du service ; examiner le rendu, les enregistrements, les liens et le masquage. Exclure les données confidentielles et de santé des captures | Azure et éventuels transferts du service, y compris traitement par Microsoft Corporation aux États-Unis ; la documentation décrit des CCT entre les entités d'Irlande et des États-Unis | La FAQ indique un accès ordinaire de l'administrateur aux données jusqu'à 30 jours après l'enregistrement. Ce n'est pas une garantie de suppression de toutes les données pour toutes les finalités de Microsoft. Examiner la configuration et les conditions. | FAQ, rôles et transferts ; conditions ; confidentialité de Microsoft |
Les données sportives et de santé confiées par un entraîneur ou un club ne sont pas autorisées à ces fins de mesure ou de publicité par l'acceptation du DPA. La base juridique, l'information et le rôle de chaque entité doivent être analysés pour chaque flux. Les éléments essentiels d'un accord de responsabilité conjointe applicable doivent être mis à la disposition des personnes concernées.
4. Connexions sportives et clients externes
#### 4.1. Cartographie déclarée des connexions
Les connexions suivantes sont déclarées actives. La synchronisation de Stridee est bidirectionnelle à l'échelle du service : des entraînements sont envoyés et des activités et métriques sont reçues. Cela ne démontre pas que chaque marque permet les deux sens ni toutes les catégories de santé. Le périmètre doit rester limité aux autorisations et capacités de chaque connexion.
| Service et entité de référence | Circuit déclaré | Informations et sens | Rôle et limites | Informations sur le service |
|---|---|---|---|---|
| Garmin / entités responsables de Garmin Connect selon sa politique et son contrat régional | Connexion directe et également via Stridee | Entraînements et activités/métriques autorisées, selon l'API et les autorisations utilisées | Garmin est responsable du traitement indépendant pour son propre service ; Stridee traite le flux pour le compte de TrainingForever lorsque ce circuit est utilisé. Accès uniquement après autorisation du sportif et avec les API et autorisations approuvées. La section 9.1 de confidentialité s'applique : ni vente ni publicité, sous-traitants sans usage propre ni entraînement de modèles, et suppression à la déconnexion. Identifier l'entité et les autorisations du contrat d'intégration. | Garmin Connect; Stridee / Garmin |
| COROS Wearables, Inc. — COROS | Via Stridee | Données et séances permises par la connexion autorisée | Responsable de son propre service. Sa politique identifie une entité aux États-Unis et un représentant européen ; cela n'équivaut pas à un stockage exclusivement européen. Vérifier les garanties du flux concerné. | Confidentialité de COROS |
| Polar Electro Oy — Polar | Via Stridee | Données et séances permises par la connexion autorisée | Responsable de son propre service ; conservation et destinataires selon ses informations, sans présumer que l'intermédiaire remplace ces conditions. | Confidentialité de Polar |
| Suunto Oy et entités identifiées par la politique applicable — Suunto | Via Stridee | Données et séances permises par la connexion autorisée | Responsables de leur propre service conformément à leur politique. Ne pas attribuer automatiquement l'ensemble du flux à la Finlande en raison du siège de Suunto Oy. | Confidentialité de Suunto |
| Apple Salud / HealthKit — source de données et autorisations de l'appareil | Déclarée via Stridee ; composant ou application passerelle à documenter | Catégories autorisées depuis l'appareil ; préciser quelle application lit, transmet ou écrit chaque donnée | La simple utilisation de HealthKit ne démontre pas que TrainingForever envoie ces données à Apple ni qu'Apple est son sous-traitant ultérieur. Identifier l'exploitant réel de la passerelle et ses destinataires avant de finaliser le flux. | Confidentialité de HealthKit |
| Strava Ireland Limited pour le service EEE, selon le contrat — Strava | Connexion directe | Données d'activité et autres données autorisées par les autorisations et le contrat précis. L'envoi d'entraînements structurés à Strava n'est pas présumé | Responsable de son propre service. Respecter les restrictions en vigueur concernant le stockage, l'affichage, l'analyse et l'IA ; documenter l'autorisation précise pour l'usage prévu. Aucun circuit de Strava via Stridee n'a été confirmé. | Conditions de l'API ; politique de l'API |
Les politiques de la source régissent ses traitements propres. TrainingForever doit également informer sur le traitement qu'il effectue lors de l'importation ou de l'envoi d'informations et sur ses intermédiaires. La déconnexion ne supprime pas automatiquement toutes les données déjà reçues par des responsables du traitement indépendants ; les obligations de suppression et de notification s'appliquent selon chaque flux. Pour les données Garmin détenues par TrainingForever ou ses sous-traitants, la suppression à la déconnexion prévue à la section 9.1 de la Politique de confidentialité s'applique expressément.
#### 4.2. ChatGPT et Claude comme clients MCP choisis par l'utilisateur
| Service externe | Traitement possible lors de la connexion | Rôle, localisation et conservation | Condition d'activation |
|---|---|---|---|
| ChatGPT — entité OpenAI correspondant au compte externe | Recevoir des réponses d'outils MCP et demander des actions dans les limites des autorisations accordées | Dépend de la formule, du contrat, du pays et de la configuration du compte externe. Les conditions contractuelles standard de l'API intégrée de TrainingForever ne déterminent pas l'historique, l'entraînement ou la résidence de ce compte ChatGPT | Identifier le destinataire, les données, les outils, la finalité et la configuration ; n'autoriser la communication de données de santé et de tiers qu'avec le fondement et les garanties nécessaires. |
| Claude — entité Anthropic correspondant au compte externe | Recevoir des réponses d'outils MCP et demander des actions autorisées | Dépend de la formule, du contrat, du pays et de la configuration du compte externe. Ne pas appliquer à l'interface Claude les conditions de conservation de l'API intégrée | Mêmes exigences d'identification, d'autorisations, de données, de finalité et de garanties, selon le flux réel. |
Ces connexions sont documentées séparément des fournisseurs de l'API intégrée. Elles ne constituent pas une autorisation générale d'exporter les informations de tous les sportifs vers n'importe quel compte personnel d'un entraîneur. Lors de la connexion, les informations sur la formule et le destinataire précis doivent être fournies et un lien vers sa politique en vigueur doit être proposé.
5. Mise à jour et consultation des garanties
Le registre sera mis à jour en cas de changement de fournisseurs, finalités, pays, données ou conditions pertinentes. Les changements de sous-traitants ultérieurs du traitement confié suivront également la procédure du DPA et n'autoriseront pas, à eux seuls, de nouvelles finalités.
Vous pouvez demander des informations sur les destinataires et garanties applicables à votre traitement à [email protected]. Pour les services externes choisis, les informations correspondantes seront fournies lors de la connexion et les politiques de leurs responsables du traitement s'appliqueront également.
La liste des décisions d'adéquation de la Commission européenne et ses informations sur les clauses contractuelles types permettent de vérifier les garanties ; elles ne remplacent pas l'évaluation du destinataire et du service précis.