Politique de confidentialité — PREVAIL Endurance

Dernière mise à jour : 22/10/2026 · Version : 1.6

1. Qui est responsable de vos données ?

Le responsable de traitement au sens du Règlement Général sur la Protection des Données (RGPD, UE 2016/679) est :

Identité : PREVAIL Endurance — Clément BOYER, entrepreneur individuel (micro-entreprise)
SIRET : 10756230800018, Registre National des Entreprises (RNE)
Siège social : 1 Avenue Alphand, 75116 Paris, France
Contact : contact@prevail-endurance.com

Pour toute question relative à vos données personnelles, écrivez à cette adresse. Nous vous répondons sous 30 jours au plus (article 12 RGPD).

2. Quelles données collectons-nous ?

2.1 Données que vous nous fournissez directement

Lors de la création de votre compte et de votre usage de PREVAIL, nous collectons :

Données d'identification : e-mail, prénom
Données sportives déclarées : sport pratiqué, objectif (ex. : 70.3, Ironman, marathon), date de course cible, niveau (débutant / intermédiaire / confirmé / élite), volume d'entraînement hebdomadaire disponible
Données physiques facultatives : âge, taille, poids (ou fourchette), équipement disponible
Seuils physiologiques : FTP (vélo), CSS (natation), VMA (course), fréquence cardiaque max, zones personnalisées
Records personnels : chronos sur diverses distances (5 km, 10 km, semi, marathon…)
Blessures et contraintes médicales : zone, date d'apparition, statut actuel (données de santé au sens de l'article 9 RGPD — traitement sur consentement explicite)
Check-ins quotidiens : niveau de sommeil, fatigue perçue, stress, douleur (données de santé)
Messages échangés avec le coach IA : contenu textuel de vos conversations, préférences déduites (longueur, ton, fréquence)
Retours explicites : pouce levé ou baissé, notes laissées sur les recommandations

2.2 Données collectées automatiquement

Sessions d'entraînement réalisées : type, durée, intensité, ressenti (RPE), statut (complétée / ratée / repos)
Date et heure de votre dernière ouverture de l'application, pour savoir si vous êtes absent depuis plusieurs jours
Informations de session : à chaque connexion, l'identification de l'appareil transmise par iOS (« user-agent ») et la date d'expiration de la session, conservées le temps de celle-ci pour détecter une réutilisation frauduleuse ; et, pour chaque appareil, une clé d'attestation Apple (App Attest) qui prouve que les requêtes viennent bien de l'application PREVAIL
Consommation du coach IA : pour chaque réponse, la fonction utilisée, le modèle, le nombre de jetons et leur coût, pour plafonner la dépense de chaque compte

2.3 Données des services que vous connectez (sur consentement)

Si vous reliez PREVAIL à l'un de ces services, nous recevons les données ci-dessous, par une autorisation (OAuth 2.0, ou l'autorisation d'iOS pour Apple Santé) que vous pouvez retirer à tout moment :

Garmin Connect
- Ce que nous lisons : vos activités (type de sport, durée, distance, allure, puissance, cadence, fréquence cardiaque, tours et intervalles), la durée de votre sommeil, votre variabilité de la fréquence cardiaque (VFC) et votre fréquence cardiaque de repos.
- Ce que nous écrivons : uniquement à votre demande, une séance de votre plan, envoyée au calendrier de votre compte Garmin Connect pour que votre montre vous guide (blocs, durées, cibles d'allure, de puissance ou de fréquence cardiaque). Si votre plan s'adapte, la séance déjà envoyée est mise à jour. PREVAIL ne crée, ne modifie et ne supprime aucune activité enregistrée.
- Par où passe la connexion : aujourd'hui par SweatStack BV, notre agrégateur, qui détient l'autorisation de votre compte Garmin (section 4.1). Une fois notre accès au programme Garmin Connect Developer accordé, elle pourra aussi se faire directement avec Garmin, sans intermédiaire.
WHOOP : récupération (score, VFC, fréquence cardiaque de repos, saturation en oxygène, température cutanée), sommeil, effort (strain), séances et mensurations (taille, poids, fréquence cardiaque max). Lecture uniquement.
Apple Santé (HealthKit) : fréquence cardiaque, VFC, sommeil et séances, lus sur votre iPhone puis transmis à notre serveur. Lecture uniquement : PREVAIL n'écrit rien dans Apple Santé.
Strava : vos activités (type de sport, durée, distance, puissance moyenne et max, fréquence cardiaque moyenne et max, allure, cadence, dénivelé, suffer score), votre profil athlète (prénom, nom, photo de profil publique, FTP et poids s'ils sont renseignés) et les métadonnées d'activité (nom, description, statut privé / public, kilojoules, calories). Le tracé GPS d'une activité est lu à la demande pour afficher son parcours, sans être conservé. Lecture uniquement : PREVAIL ne publie rien en votre nom (scopes read, activity:read_all, profile:read_all, aucun scope d'écriture).

Ces connexions sont facultatives : sans elles, PREVAIL fonctionne avec les données que vous saisissez. Vous pouvez les couper à tout moment dans Réglages › Sources de données, ou depuis le service concerné (votre compte Garmin Connect, l'application WHOOP, Réglages › Santé sur l'iPhone, https://www.strava.com/settings/apps pour Strava).

2.4 Liste d'attente de la sortie (site public)

Sur www.prevail.fr, avant même qu'un compte existe, vous pouvez demander à être prévenu du jour où l'application sortira sur l'App Store. Dans ce cas — et dans ce cas seulement — nous enregistrons :

Votre adresse e-mail, telle que vous la saisissez
La page d'où vient la demande et sa date
La langue de cette page (français ou anglais), pour vous écrire dans la même langue
La date d'expédition de l'accusé de réception, puis celle de l'annonce de sortie, une fois chacun parti

Rien d'autre : ni prénom, ni adresse IP, ni identifiant de navigateur, ni pages consultées. Cette adresse sert à deux messages seulement : un accusé de réception de votre inscription, puis l'annonce, le jour de la sortie. Les deux partent de contact@prevail-endurance.com, par la messagerie Google Workspace de PREVAIL (section 4.1). Elle n'est ni revendue, ni utilisée à d'autres fins, ni rapprochée d'un compte PREVAIL que vous créeriez ensuite.

La base légale est votre consentement (article 6.1.a RGPD) : cette ligne n'existe que parce que vous avez rempli ce champ sous la phrase qui en dit l'usage. Pour la faire disparaître, répondez « stop » à l'e-mail reçu ou écrivez à contact@prevail-endurance.com : la suppression est définitive, sans justification à fournir, et n'affecte aucun autre traitement.

2.5 Données que nous ne collectons PAS

Par principe de minimisation :

❌ Aucune donnée de localisation en continu, et aucun tracé GPS conservé sur nos serveurs
❌ Aucune donnée biométrique d'identification (empreinte, reconnaissance faciale)
❌ Aucune donnée médicale hors du strict nécessaire au coaching (pas de diagnostic, pas de traitement)
❌ Aucune donnée issue de vos autres applications ou de votre navigateur, hors des services que vous connectez vous-même (section 2.3)
❌ Aucun outil de mesure d'audience ou d'analyse comportementale : PREVAIL n'intègre aucun traceur tiers (ni Google Analytics, ni équivalent), et ne consigne ni les écrans que vous ouvrez, ni les boutons que vous touchez
❌ Aucune mesure de performance de l'IA rattachée à vous : ni latence, ni taux d'erreur

3. Pourquoi collectons-nous ces données ?

Chaque donnée a une finalité précise. Voici le détail conforme au principe de limitation des finalités (article 5.1.b RGPD).

Données	Finalité	Base légale
E-mail + mot de passe	Authentification au service	Exécution du contrat (art. 6.1.b)
Profil sportif + objectifs	Génération de plans d'entraînement personnalisés	Exécution du contrat
Seuils physiologiques + records	Calibrage des zones d'entraînement et allures	Exécution du contrat
Check-ins quotidiens (sommeil, fatigue)	Adaptation du plan en temps réel	Consentement explicite (art. 9.2.a) — données de santé
Blessures et contraintes	Protocole médical interne + adaptation du plan	Consentement explicite — données de santé
Messages coach IA	Conversation contextuelle + apprentissage des préférences	Exécution du contrat
Données des services connectés (Garmin, WHOOP, Apple Santé, Strava)	Mesurer votre charge et votre récupération, adapter vos séances, éclairer les réponses du coach	Consentement explicite — données de santé
Séances envoyées à votre montre Garmin	Vous guider pendant la séance	Exécution du contrat, à votre demande
Consommation du coach IA	Plafonner la dépense de chaque compte	Intérêt légitime (art. 6.1.f)
Journaux techniques du serveur	Sécurité, détection et correction des pannes	Intérêt légitime (art. 6.1.f)
Adresse e-mail de la liste d'attente (site public)	Accuser réception de votre inscription, puis vous prévenir le jour de la sortie sur l'App Store	Consentement (art. 6.1.a) — retirable à tout moment

Nous ne traitons aucune donnée pour de la publicité ciblée, de la revente, ou des fins commerciales tierces.

4. Avec qui partageons-nous vos données ?

4.1 Sous-traitants techniques (article 28 RGPD)

Nous utilisons des prestataires techniques encadrés par des contrats de sous-traitance (DPA) conformes RGPD :

Railway Corporation (hébergement du serveur et de la base de données PostgreSQL) — données hébergées en Union Européenne. DPA disponible.
Anthropic, PBC (fournisseur de l'IA du coach) — voir la section 4.2.
Google (Google Workspace) (messagerie de PREVAIL) — achemine les e-mails adressés aux inscrits de la liste d'attente, depuis contact@prevail-endurance.com. Seuls l'adresse de l'inscrit et le texte du message lui sont transmis.
SweatStack BV (agrégateur de données d'entraînement, sur votre consentement explicite) — détient l'autorisation de votre compte Garmin, nous transmet vos séances et vos mesures, et achemine vers votre montre les séances que vous y envoyez. Révocable à tout moment depuis PREVAIL (Réglages › Sources de données) ou depuis votre compte Garmin.

4.2 Traitement par l'IA du coach

Pour vous répondre et rédiger les lectures du Cockpit (après une séance, sur votre forme), PREVAIL transmet à Anthropic, PBC (éditeur de Claude), depuis son serveur :

vos messages au coach ;
un résumé de vos données d'entraînement : profil sportif, plan, séances récentes (y compris celles reçues de Garmin ou d'un autre service connecté), sommeil, VFC, fréquence cardiaque de repos, charge d'entraînement, blessures déclarées. Ce résumé n'est assemblé que si vous avez donné votre consentement aux données de santé.

Nous n'y ajoutons ni votre nom, ni votre e-mail, ni l'identifiant de votre compte. Anthropic ne se sert pas de ces données pour entraîner ses modèles, ne les conserve que pour une durée limitée, puis les efface. Anthropic est basée aux États-Unis : ces transferts sont encadrés par les clauses contractuelles types (SCC) de la Commission Européenne.

4.3 Les services que vous connectez

Garmin, WHOOP, Apple et Strava ne sont pas nos sous-traitants : chacun reste responsable des données de votre compte chez lui, selon sa propre politique de confidentialité. Quand vous reliez l'un d'eux, PREVAIL devient responsable de traitement des données qu'il nous transmet, dans les limites de la section 2.3.

4.4 Pas de revente, pas de partage commercial

Nous ne vendons aucune donnée à des tiers. Nous ne partageons aucune donnée à des fins publicitaires ou de marketing tiers. Aucune de vos données ne sert à entraîner un modèle d'intelligence artificielle, ni chez PREVAIL, ni chez Anthropic. Notre seul revenu provient de l'abonnement utilisateur.

5. Où vos données sont-elles stockées ?

Base de données principale : Railway (PostgreSQL managé), région Union Européenne
Chiffrement au repos : AES-256
Chiffrement en transit : TLS 1.3
Sauvegardes : chiffrées, quotidiennes, conservées 30 jours maximum
Logs d'accès : conservés 90 jours pour audit de sécurité

Les données qui sortent de l'UE (envois à Anthropic aux États-Unis, e-mails de la liste d'attente acheminés par Google) transitent sous le cadre des clauses contractuelles types (SCC) approuvées par la Commission Européenne.

6. Combien de temps conservons-nous vos données ?

Catégorie	Durée de conservation
Compte actif	Tant que le compte existe
Données de performance et d'entraînement	Durée du compte + 30 jours après suppression (sauvegardes)
Messages coach IA	Durée du compte, compression progressive (résumés mensuels après 40 messages)
Consommation du coach IA	Durée du compte
Logs d'accès et de sécurité	90 jours
Séances et mesures déjà importées, après déconnexion d'une source	Conservées : la déconnexion arrête l'import, elle n'efface pas l'historique déjà constitué — c'est la suppression du compte qui l'emporte, ou une demande d'effacement (section 7)
Données de facturation (si applicable)	10 ans (obligation légale fiscale)
Compte inactif (>24 mois sans connexion)	Notification puis suppression automatique après 3 mois sans réaction
Adresse e-mail de la liste d'attente	Jusqu'au message de sortie, puis suppression sous 30 jours — ou immédiatement sur demande

7. Quels sont vos droits ?

Conformément aux articles 15 à 22 du RGPD, vous disposez en permanence des droits suivants :

7.1 Droit d'accès (art. 15)

Obtenir une copie de toutes les données que nous détenons sur vous, dans un format lisible. Comment : Réglages › Données et confidentialité › Exporter mes données, ou demande écrite à contact@prevail-endurance.com.

7.2 Droit à la rectification (art. 16)

Corriger des données inexactes ou incomplètes. Comment : directement dans Réglages › Profil sportif.

7.3 Droit à l'effacement / droit à l'oubli (art. 17)

Demander la suppression complète de vos données. Comment : Réglages › Compte et abonnement › Supprimer mon compte. Suppression complète sous 30 jours maximum (sauvegardes purgées sous 30 jours supplémentaires).

7.4 Droit à la limitation (art. 18)

Bloquer temporairement le traitement de certaines données. Comment : écrire à contact@prevail-endurance.com en précisant les données concernées.

7.5 Droit à la portabilité (art. 20)

Recevoir vos données dans un format structuré (JSON) pour les transférer à un autre service. Comment : Réglages › Données et confidentialité › Exporter mes données (fichier JSON téléchargeable).

7.6 Droit d'opposition (art. 21)

Vous opposer au traitement pour des raisons tenant à votre situation particulière. Comment : écrire à contact@prevail-endurance.com.

7.7 Droit de retrait du consentement

Pour les traitements basés sur le consentement (données de santé, services connectés), vous pouvez retirer votre consentement à tout moment, sans affecter la licéité des traitements passés. Comment :

Déconnecter Garmin ou un autre service : Réglages › Sources de données
Retirer le consentement aux données de santé : Réglages › Données et confidentialité › Mes données santé, à tout moment. Vous pouvez aussi écrire à contact@prevail-endurance.com (note : ce retrait limite fortement les fonctionnalités de coaching ; voir section 9)

7.8 Droit d'introduire une réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL :

https://www.cnil.fr/
CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

8. Sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, altération, divulgation ou destruction (article 32 RGPD) :

Chiffrement au repos (AES-256) et en transit (TLS 1.3) ; les jetons d'accès à vos comptes connectés sont en outre chiffrés un par un (AES-256-GCM)
Authentification par JWT avec expiration + rafraîchissement automatique
Isolation applicative : chaque requête est filtrée par l'identifiant de l'utilisateur authentifié, de sorte qu'un utilisateur n'accède qu'à ses propres données
Aucune clé API sensible exposée côté client — toutes les clés partenaires (Anthropic, SweatStack, Garmin, WHOOP, Strava) sont stockées en variables d'environnement serveur chiffrées
Audits de sécurité réguliers et logs d'accès conservés 90 jours
En cas de violation de données, notification à la CNIL sous 72 h et aux utilisateurs concernés si le risque est élevé (articles 33 et 34 RGPD)

9. Limites du service sans consentement complet

Certaines fonctionnalités centrales de PREVAIL reposent sur le traitement de données de santé (article 9 RGPD) et nécessitent votre consentement explicite :

Sans consentement données de santé : nous ne pouvons pas générer de plans adaptés à votre sommeil, votre fatigue, vos blessures. L'application fonctionne en mode dégradé (plans statiques, pas d'adaptation temps réel).
Sans service connecté : vous saisissez vous-même vos séances et vos ressentis, et l'envoi des séances sur la montre n'est pas disponible.

Vous gardez toujours le contrôle total et pouvez retirer votre consentement à tout moment.

10. Modifications de cette politique

Cette Politique de confidentialité peut évoluer. La version et la date de dernière mise à jour figurent en tête de ce document : elles font foi, et cette page est publique en permanence.

Un changement qui élargirait l'usage de vos données de santé ne prendrait effet qu'après un nouveau consentement explicite de votre part, demandé dans l'application. Sans ce consentement, le traitement resterait celui de la version que vous avez acceptée.

L'historique des versions est conservé et consultable sur demande.

11. Contact

Pour toute question, réclamation, exercice de vos droits ou demande d'information :

E-mail : contact@prevail-endurance.com
Courrier : PREVAIL Endurance — Clément BOYER (entrepreneur individuel), 1 Avenue Alphand, 75116 Paris, France

Délai de réponse garanti : 30 jours maximum (article 12.3 RGPD).