Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est l’éditeur de GearWatts (voir les mentions légales). Vous pouvez nous écrire pour toute question relative à vos données à l’adresse [email protected]. Les questions générales vont à [email protected] et l’aide technique à [email protected].

GearWatts est une application web, gratuite pendant la bêta, établie en Espagne et destinée aux utilisateurs de l’Union européenne, qui analyse des sorties à vélo à partir de fichiers de compteurs cyclistes. Elle est financée par la publicité.

2. Données traitées

Compte

Votre adresse e-mail et les données d’authentification gérées par Firebase Authentication, que vous vous connectiez par lien envoyé par e-mail ou par e-mail et mot de passe (les mots de passe sont gérés par Firebase et ne nous sont jamais visibles en clair).

Sorties

Lorsque vous importez des fichiers .fit, .tcx ou .gpx, ils sont lus dans votre navigateur. Nous conservons ensuite : le fichier d’origine (compressé) ; les séries temporelles qu’il contient (tracé GPS, vitesse, altitude, puissance, fréquence cardiaque, cadence, vitesses engagées, équilibre gauche/droite, température et canaux similaires) ; un résumé de la sortie ; et les identifiants ANT+ et numéros de série des capteurs associés à votre appareil. Un tracé GPS peut révéler où vous habitez, travaillez ou vous entraînez : il doit être considéré comme une donnée personnelle. Vous pouvez supprimer les sorties une par une à tout moment.

Profil

• Vos vélos : nom, braquet, roue et, facultativement, une image en pixel art. Cette image est générée dans votre navigateur à partir d’une photo que vous choisissez ; la photo elle-même ne quitte jamais votre navigateur.
• Votre nom de cycliste, FTP, fréquence cardiaque maximale et poids.
• Les noms que vous donnez aux ascensions.

Connexions (facultatives)

• Garmin : vous collez votre clé de l’API personnelle Garmin. Nous la stockons chiffrée (AES-256-GCM) côté serveur et ne l’utilisons que pour importer vos activités de cyclisme.
• Polar AccessLink et Hammerhead : connexion via OAuth. Nous stockons les jetons chiffrés et n’importons que les fichiers d’activité.
• Google Health API : OAuth avec des autorisations en lecture seule sur le sommeil et les indicateurs de santé.

Vous pouvez en déconnecter chacune à tout moment depuis votre Profil.

Données de santé (facultatives)

Voir la section 4.

Partage

Sur votre demande, nous pouvons donner à un autre utilisateur de GearWatts un accès en lecture seule à vos sorties. Il n’existe pas de profils publics et rien n’est publié.

Données techniques

Comme tout service web, notre hébergement et nos serveurs traitent votre adresse IP et des informations techniques de base (navigateur, date et heure, adresse demandée) afin de fournir le site et d’en assurer la sécurité. Les journaux sont conservés par Google selon ses propres durées.

3. Finalités et bases légales

• Fournir le service demandé (compte, stockage et analyse de vos sorties, profil, imports depuis les services connectés, partage que vous demandez) : exécution d’un contrat ou mesures précontractuelles, art. 6.1.b RGPD.
• Données de santé : votre consentement explicite, art. 9.2.a RGPD (section 4).
• Sécurité, prévention des abus et correction des erreurs : notre intérêt légitime, art. 6.1.f RGPD.
• Répondre à vos messages : votre demande et notre intérêt légitime à y répondre.
• Publicité et mesure d’audience : votre consentement, art. 6.1.a RGPD, recueilli par le message de consentement décrit à la section 7 et dans la politique relative aux cookies.
• Obligations légales le cas échéant, art. 6.1.c RGPD.

Nous ne vendons pas vos données, nous n’établissons pas de profils au-delà des analyses que vous voyez dans votre propre compte et nous ne prenons aucune décision automatisée produisant des effets juridiques à votre égard.

4. Données de santé

Lorsque cette fonction sera disponible, vous pourrez ajouter des données de santé issues de Google Health, de Garmin ou d’un export Apple Santé (.zip). Les données que nous pouvons conserver sont des valeurs quotidiennes de : sommeil, fréquence cardiaque au repos, variabilité de la fréquence cardiaque (VFC), saturation en oxygène (SpO2), respiration, température nocturne, pas et minutes d’autres sports. Le fichier d’export Apple Santé est lu dans votre navigateur et seules les valeurs quotidiennes sont conservées.

Ces données relèvent d’une catégorie particulière au sens de l’art. 9 RGPD. Nous ne les utilisons que pour vous montrer vos propres graphiques et le lien entre vos indicateurs de santé et vos sorties. Nous ne les utilisons pas pour la publicité et ne les partageons avec personne, hormis notre hébergeur agissant comme sous-traitant.

La base légale est votre consentement explicite (art. 9.2.a RGPD), que vous donnez en connectant une source de santé ou en important le fichier. Vous pouvez le retirer à tout moment en déconnectant la source ou en nous demandant de supprimer les données à [email protected]. Le retrait n’affecte pas les traitements antérieurs. Vous pouvez toujours utiliser GearWatts sans données de santé.

5. Sous-traitants et transferts internationaux

Nous utilisons Google Firebase et Google Cloud comme infrastructure, Google agissant en tant que sous-traitant selon les conditions de traitement des données de Firebase :

• Firebase Authentication pour la connexion.
• Base de données Firestore dans la multi-région eur3 (Europe).
• Cloud Functions en europe-west1 (Belgique), utilisées pour les connexions avec Garmin, Polar, Hammerhead et Google Health.
• Firebase Hosting sur le réseau mondial de diffusion de contenu de Google.

Google peut traiter certaines données, par exemple d’assistance ou d’exploitation, aux États-Unis ou dans d’autres pays. Ces transferts reposent sur le cadre de protection des données UE-États-Unis, auquel Google est certifié, ou sur les clauses contractuelles types approuvées par la Commission européenne.

Lorsque vous connectez Garmin, Polar, Hammerhead ou Google Health, le fournisseur concerné est responsable de traitement indépendant des données qu’il détient, selon sa propre politique de confidentialité. Nous ne recevons que ce que vous autorisez.

6. Tiers contactés par votre navigateur

Pour afficher les cartes et les pages, votre navigateur contacte directement les services suivants. Ils reçoivent votre adresse IP et les données techniques de toute requête web, et appliquent leurs propres politiques :

• Serveurs de tuiles OpenStreetMap (images de carte).
• AWS Terrain Tiles (données d’altitude).
• Orthophotographies PNOA de l’Institut géographique national espagnol (IGN), uniquement pour les parcours en Espagne.
• Google Fonts (polices de caractères).

Les requêtes de tuiles contiennent la zone de carte affichée, qui peut correspondre à la zone de vos parcours.

7. Publicité et mesure d’audience

GearWatts est financée par la publicité Google AdSense, affichée sur les pages de contenu publiques et éventuellement dans l’application. Dans l’Espace économique européen et au Royaume-Uni, le message de gestion du consentement de Google (TCF) demande votre consentement aux publicités personnalisées et aux cookies. Vous pouvez modifier votre choix à tout moment via le lien « Paramètres des cookies » en pied de page. Vos sorties et vos données de santé ne servent jamais à choisir des publicités.

Les pages publiques utilisent Google Analytics 4 (Google Ireland Limited) pour mesurer les visites, uniquement si vous l’acceptez dans le bandeau cookies : visites, pages, pays approximatif, appareil et navigateur, sans adresse IP. L’application accessible après connexion ne l’utilise pas. Les détails et la façon de modifier votre choix figurent dans la politique relative aux cookies.

8. Durée de conservation

Nous conservons vos données tant que votre compte existe. Vous pouvez supprimer plus tôt chaque sortie ou chaque connexion. Pour le moment, le compte ne peut pas être supprimé depuis l’application : demandez sa suppression par e-mail à [email protected] et nous supprimerons le compte et ses données ; si vous le souhaitez, nous vous enverrons d’abord un export. Les sauvegardes et les journaux techniques conservés par Google sont supprimés selon les durées de Google. Nous pouvons conserver les informations strictement nécessaires pour respecter des obligations légales ou défendre des droits en justice.

9. Vos droits

Vous disposez d’un droit d’accès, de rectification et d’effacement, du droit de limiter le traitement ou de vous y opposer, du droit à la portabilité et du droit de retirer votre consentement à tout moment. Pour les exercer, écrivez à [email protected] ; nous pouvons vous demander de justifier de votre identité. Nous répondrons dans un délai d’un mois.

Si vous estimez que vos droits n’ont pas été respectés, vous pouvez introduire une réclamation auprès de l’Agence espagnole de protection des données (AEPD, www.aepd.es) ou auprès de l’autorité de contrôle de votre pays de résidence, en France la CNIL.

10. Mineurs

GearWatts ne s’adresse pas aux enfants de moins de 14 ans (art. 7 de la loi organique espagnole 3/2018, LOPDGDD) et nous ne collectons pas sciemment leurs données. Si vous pensez qu’un enfant a créé un compte, signalez-le-nous et nous le supprimerons. Lorsque la loi de votre pays fixe un âge de consentement plus élevé, cet âge s’applique.

11. Sécurité

• Tout le trafic passe par HTTPS.
• Les clés Garmin et les jetons Polar et Hammerhead sont stockés chiffrés (AES-256-GCM) et ne sont utilisés que côté serveur.
• Les règles d’accès à la base de données font que vos données ne sont lisibles que par vous et, si vous l’accordez, par l’utilisateur avec qui vous partagez.
• Les fichiers que vous importez sont lus dans votre navigateur, ce qui réduit ce qui transite vers nos serveurs.

Aucun système n’est totalement sûr. Si une violation affecte vos droits, nous vous en informerons ainsi que l’autorité, comme l’exige la loi.

12. Modifications

Nous pouvons mettre à jour cette politique, par exemple lors de l’ajout d’une fonction. La date de dernière mise à jour figure en haut de la page. Si le changement est substantiel, nous vous en informerons dans l’application ou par e-mail.