Politique de confidentialité

L'application Noov est éditée par la société ENSWEET SAS, société par actions simplifiée au capital de 23 332,07 euros, dont le siège social est situé 225 rue des Templiers, 59000 Lille, immatriculée au RCS de Lille sous le numéro 885 050 625.

Noov est une application d'activité physique adaptée à domicile. Elle n'est pas un dispositif médical et ne se substitue pas à un suivi médical.

Délégué à la protection des données (DPO) : dpo@ensweet.fr

Cette politique s'adresse à toute personne utilisant l'application Noov. L'application est réservée aux personnes âgées de 18 ans et plus. Si vous avez connaissance qu'un mineur a créé un compte, contactez-nous à l'adresse dpo@ensweet.fr.

Pour chaque traitement, nous indiquons la base légale utilisée au sens du Règlement général sur la protection des données (RGPD, Règlement UE 2016/679).

3.1 Données de compte

Données : nom, prénom, adresse e-mail, mot de passe (conservé sous forme chiffrée), date de naissance.

Finalité : création et gestion de votre compte, accès aux services Noov.

Base légale : exécution du contrat (article 6(1)(b) du RGPD).

3.2 Données de profil sportif

Données : niveau d'activité physique actuel, objectifs déclarés, éventuelles limitations physiques que vous choisissez de communiquer.

Finalité : personnalisation de votre programme et de vos séances.

Base légale : exécution du contrat (article 6(1)(b) du RGPD).

3.3 Données d'utilisation de l'application

Données : séances réalisées, vidéos visionnées, temps d'utilisation, indicateurs de progression et de régularité.

Finalités :

• Afficher votre suivi de progression dans l'application : exécution du contrat (article 6(1)(b)).
• Adapter automatiquement votre programme à votre progression (voir section 7 sur le profilage) : intérêt légitime (article 6(1)(f)).
• Analyser les usages de manière agrégée pour améliorer nos services : intérêt légitime (article 6(1)(f)).

3.4 Données de communication avec votre coach

Données : messages échangés via la messagerie sécurisée in-app, comptes rendus de séances visio, notes de suivi rédigées par votre coach.

Finalité : délivrance du service de coaching personnalisé.

Base légale : exécution du contrat (article 6(1)(b) du RGPD).

3.5 Données de paiement

Vos paiements sont gérés exclusivement par Stripe, LLC via leur système d'achat intégré. ENSWEET ne stocke pas vos coordonnées bancaires.

Noov conserve uniquement les preuves de transaction (date, montant, statut) pendant cinq ans, conformément à ses obligations comptables et fiscales.

Base légale : exécution du contrat et obligation légale (articles 6(1)(b) et 6(1)(c) du RGPD).

3.6 Données de fréquence cardiaque (Offre Performance uniquement)

Donnée de santé au sens de l'article 9 du RGPD. La CNIL reconnaît que la mesure de fréquence cardiaque pendant des séances sportives, dans le but d'optimiser la performance physique, est proportionnée et adéquate (CNIL, « Sportifs : dans quels cas et conditions collecter des données de santé ? »). Ces données font néanmoins l'objet d'un consentement explicite distinct, recueilli lors de l'activation de l'Offre Performance. Vous pouvez retirer ce consentement à tout moment sans que cela remette en cause la licéité des traitements effectués avant ce retrait.

Données : mesures de fréquence cardiaque horodatées issues du capteur fourni dans le cadre de l'Offre Performance.

Finalité : suivi de votre activité physique et personnalisation de l'intensité des séances.

Base légale : consentement explicite (article 9(2)(a) du RGPD).

3.7 Données techniques et de journalisation

Données : adresse IP, identifiant de l'appareil, système d'exploitation, version de l'application, logs d'erreurs, identifiants de session.

Finalité : sécurité de l'application, détection des anomalies et des tentatives de fraude, débogage.

Base légale : intérêt légitime (article 6(1)(f) du RGPD).

3.8 Données collectées par les API/SDK tiers de l'application mobile

API/SDK Analytics mobile : Sentry, collecte des données d'utilisation pseudonymisées à des fins d'analyse agrégée des comportements dans l'application. Base légale applicable : intérêt légitime (article 6(1)(f) du RGPD).

Chaque sous-traitant est lié à ENSWEET par un contrat conforme à l'article 28 du RGPD.

Catégorie de données	Durée
Données de compte et de profil sportif	Durée de l'abonnement, puis 3 ans après résiliation (prescription commerciale)
Données d'utilisation	Durée de l'abonnement, puis 1 an après résiliation
Données de communication avec le coach	Durée de l'abonnement, puis 1 an après résiliation
Données de fréquence cardiaque	Durée de l'abonnement Performance, puis 1 an après résiliation ou retrait du consentement (date la plus proche)
Preuves de transaction	5 ans (obligation légale)
Données techniques	12 mois glissants
Données pseudonymisées et agrégées (analyses d'usage)	3 ans

Vos données sont traitées par ENSWEET et par les sous-traitants suivants, liés à ENSWEET par un contrat de sous-traitance conforme à l'article 28 du RGPD. Vos données ne sont pas vendues à des tiers.

Sous-traitant	Rôle	Pays
OVH SAS	Hébergement des données	France
Sentry	Analytics mobile	USA
Stripe, LLC	Facturation	USA

OVH héberge vos données en France : aucun transfert hors UE.

Stripe LLC et Sentry sont établis aux États-Unis. Les transferts vers ces sociétés sont encadrés par des clauses contractuelles types (SCC) approuvées par la Commission européenne, conformément à l'article 46 du RGPD.

• Droit d'accès (art. 15) Obtenir une copie de vos données personnelles traitées par ENSWEET.
• Droit de rectification (art. 16) Corriger vos données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) Demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement (art. 18) Demander la suspension temporaire d'un traitement, notamment le temps qu'une contestation soit examinée.
• Droit à la portabilité (art. 20) Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (art. 21) Vous opposer aux traitements fondés sur l'intérêt légitime. ENSWEET fera droit à votre demande sauf motif légitime impérieux de sa part.
• Retrait du consentement (données FC) Retirer à tout moment votre consentement au traitement de vos données de fréquence cardiaque, sans conséquence sur la licéité des traitements antérieurs.
• Directives post-mortem Définir des directives relatives au sort de vos données après votre décès.

Pour exercer vos droits : dpo@ensweet.fr, en joignant une copie de votre pièce d'identité. Nous vous répondrons dans un délai d'un mois (délai pouvant être prolongé de deux mois pour les demandes complexes).

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07.

La présente politique peut être mise à jour pour tenir compte de l'évolution de nos services ou de la réglementation applicable. En cas de modification substantielle, vous en serez informé par notification dans l'application.