Politique de confidentialité

Version 1.0 · en vigueur depuis le 5 septembre 2026

La présente Politique décrit la manière dont les données à caractère personnel sont traitées dans l'application Trexana et sur le site trexana.app : quelles données sont collectées, sur quelle base juridique, à quelles fins, à qui elles sont transmises, combien de temps elles sont conservées et de quels droits vous disposez. Elle est rédigée conformément à la loi géorgienne sur la protection des données à caractère personnel (en vigueur depuis le 1^er mars 2024), au Règlement général sur la protection des données de l'UE (RGPD), à la loi générale brésilienne sur la protection des données (LGPD) et, dans la mesure applicable, au California Consumer Privacy Act tel que modifié (CCPA/CPRA).

1. Qui est responsable du traitement

Le responsable du traitement (au sens de la LGPD, le controlador) est le titulaire du service Trexana : un entrepreneur individuel immatriculé en Géorgie, à Tbilissi. Les données d'immatriculation complètes, y compris la dénomination et l'adresse enregistrée, sont communiquées sur demande écrite adressée à privacy@trexana.app.

Aucun délégué à la protection des données distinct n'a été désigné : l'ampleur du traitement n'atteint pas les seuils rendant cette désignation obligatoire. La responsabilité des questions de protection des données, y compris la fonction d'encarregado prévue à l'article 41 de la LGPD, incombe au titulaire du service. Adressez toute demande relative aux données personnelles à privacy@trexana.app ; nous répondons dans les délais indiqués à la section 14.

2. Champ d'application de la Politique

La présente Politique s'applique à l'application mobile Trexana et au site trexana.app. Elle ne couvre pas les traitements effectués par les magasins d'applications (Google Play, App Store) — lors du téléchargement de l'application et de l'achat d'un abonnement, ceux-ci agissent en tant que responsables autonomes selon leurs propres politiques — ni les services tiers auxquels vous choisissez d'envoyer un contenu créé dans l'application (par exemple une messagerie à laquelle vous partagez une carte d'entraînement).

L'utilisation de l'application suppose un compte. L'analyse de la technique n'est pas disponible sans compte ; la fourniture des données identifiées à la section 3 comme nécessaires à l'exécution du contrat conditionne donc l'utilisation du service.

3. Quelles données sont traitées sur notre serveur

Le tableau recense toutes les catégories de données qui quittent votre appareil vers notre serveur, avec la finalité, la base juridique et la durée de conservation. Les bases juridiques sont citées au titre du RGPD ; les bases correspondantes de la LGPD (articles 7 et 11) et du droit géorgien s'appliquent dans les mêmes termes.

Nous ne demandons ni ne conservons sur le serveur votre taille, votre poids, votre date de naissance, votre sexe, votre numéro de téléphone, vos coordonnées de paiement ni vos données de localisation.

4. Ce qui est traité uniquement sur l'appareil

Une partie des données ne quitte techniquement pas l'appareil : elle n'est pas envoyée à notre serveur, n'est pas sauvegardée par nous et ne nous est accessible sous aucune forme. Cela concerne les éléments suivants.

• Flux vidéo de la caméra et détection de posture. Les images sont traitées localement par une bibliothèque de détection de la posture humaine. Ni les images, ni les fichiers vidéo, ni les coordonnées image par image des points du corps ne sont transmis à notre serveur — seuls les résultats numériques de la série énumérés à la section 3.
• Enregistrements vidéo de vos séries. Ils sont stockés dans la mémoire de l'appareil afin que vous puissiez revoir une répétition, et sont supprimés avec les données de l'application.
• Profil de calibration corporelle : les rapports entre les longueurs des segments (par exemple cuisse et tronc) qui servent à ajuster les seuils d'analyse. Il est calculé et conservé sur l'appareil.
• Réponses relatives à l'état de santé. Le questionnaire facultatif (grossesse et post-partum, douleurs lombaires ou hernie discale, articulations sensibles, limitations cardiovasculaires ou de tension artérielle, blessure récente, troubles de l'équilibre, reprise après une interruption) n'existe que pour permettre à l'application d'afficher des avertissements avant les exercices les plus exigeants. Les réponses restent sur l'appareil.
• Photo de profil. Si vous choisissez un avatar dans la galerie ou le prenez avec la caméra, l'image reste sur l'appareil ; seule une référence au fichier local, au sein de cet appareil, est conservée.
• Succès, séries de jours et réglages de l'interface (thème, langue, durée de repos, rappels) : calculés et conservés localement.

Biométrie. La détection de posture sert exclusivement à évaluer la technique du mouvement. Elle n'est ni destinée ni utilisée à l'identification unique d'une personne ; les données traitées ne constituent donc pas des données biométriques au sens de l'article 4, point 14, du RGPD. Nous n'employons pas de reconnaissance faciale et ne constituons pas de gabarits biométriques.

Partage. La carte de résultat d'un entraînement peut être enregistrée sous forme d'image et envoyée où vous le souhaitez au moyen de la fonction de partage du système d'exploitation. Ce transfert n'a lieu que sur votre instruction, l'image est produite sur l'appareil et ne passe pas par notre serveur.

5. Autorisations de l'appareil

L'application demande les autorisations juste avant la première utilisation de la fonction concernée. Toute autorisation peut être retirée dans les réglages du système d'exploitation ; son retrait désactive la fonction correspondante et laisse les autres opérationnelles.

6. Ce que nous ne faisons pas

• Nous n'affichons aucune publicité et n'intégrons aucun réseau publicitaire.
• Nous n'utilisons aucun SDK analytique ou de pistage, ne collectons aucun identifiant publicitaire (Google Advertising ID, IDFA) et n'appliquons aucune technique d'empreinte numérique de l'appareil.
• Nous ne collectons pas de données de localisation, ni la liste de vos contacts, ni le contenu du presse-papiers, ni la liste des applications installées.
• Nous ne vendons pas de données personnelles et ne les transmettons pas à des fins de publicité ciblée. Au cours des douze derniers mois, nous n'avons ni vendu ni transmis de données personnelles au sens du CCPA/CPRA, et nous n'avons pas l'intention de le faire.
• Nous ne vous suivons pas sur des sites ou dans des applications tiers.
• Nous ne communiquons pas de données de santé ou d'entraînement à des tiers à des fins de marketing.
• Nous n'utilisons pas vos données pour entraîner des modèles d'apprentissage automatique à usage général. Les algorithmes d'évaluation de la technique sont des règles déterministes calibrées à la main ; seules des statistiques agrégées anonymisées servent à vérifier cette calibration (section 3).

7. Données de santé et de condition physique

Les informations sur la manière dont vous exécutez les exercices peuvent, dans certains ordres juridiques, relever d'une catégorie particulière : « données concernant la santé » (art. 9 RGPD), « données personnelles sensibles » (art. 11 LGPD) et « sensitive personal information » (CPRA). Nous distinguons deux groupes et les traitons différemment.

Réponses relatives à l'état de santé. Le questionnaire décrit à la section 4 porte directement sur votre santé. C'est précisément pourquoi il est facultatif et que ses résultats ne parviennent pas à notre serveur : le traitement est local, il repose sur votre consentement explicite, donné par le fait même de remplir le questionnaire, et sert uniquement à afficher des avertissements avant les exercices. Vous pouvez retirer ce consentement à tout moment en décochant les cases dans votre profil ; les avertissements cessent alors d'apparaître.

Résultats des entraînements. Les notes de technique, les types d'erreurs et les angles articulaires décrivent la qualité d'un mouvement et non un état de santé : ils ne contiennent aucun diagnostic, aucun symptôme, aucune mesure anthropométrique ou clinique et ne permettent de déduire aucune pathologie. Nous les traitons sur le fondement de l'exécution du contrat et non du consentement, car le service ne peut fonctionner sans eux. Nous leur appliquons néanmoins les mesures de protection renforcées propres aux catégories particulières de données, ne les utilisons pas pour du profilage marketing et ne les communiquons à personne d'autre que les prestataires d'infrastructure de la section 10. Si le droit qui vous est applicable qualifie néanmoins ces informations de données de santé, la base juridique complémentaire est votre consentement explicite, donné lors de la création du compte, que vous pouvez retirer en supprimant celui-ci.

Trexana n'est pas un dispositif médical et ne délivre aucun avis médical. Les conditions d’utilisation relatives à votre santé figurent dans l’Avertissement santé ; notre responsabilité est régie par les Conditions d’utilisation.

8. Bases juridiques, refus et retrait du consentement

Nous nous appuyons sur quatre bases juridiques, indiquées par catégorie dans le tableau de la section 3 :

• Exécution du contrat (art. 6, § 1, b) RGPD ; art. 7, V, LGPD) — fonctionnement du compte, analyse de la technique, historique et statistiques, accès aux fonctions payantes.
• Intérêt légitime (art. 6, § 1, f) RGPD ; art. 7, IX, LGPD) — sécurité et protection contre les usages abusifs, diagnostic des défaillances, calibration des algorithmes sur des données anonymisées, défense de droits en justice. Nous avons mis en balance notre intérêt et vos droits et limité les données au minimum nécessaire à ces finalités ; vous pouvez vous opposer à ce traitement (section 14).
• Consentement explicite (art. 9, § 2, a) RGPD ; art. 11, I, LGPD) — uniquement pour le questionnaire de santé facultatif, traité sur l'appareil.
• Respect d'obligations légales (art. 6, § 1, c) RGPD ; art. 7, II, LGPD) — conservation des documents que la loi nous impose de garder, par exemple à des fins fiscales.

Conséquences d'un refus de fournir les données. Les données du compte et les résultats des séries sont nécessaires à la fourniture du service : sans eux, il est impossible de s'inscrire et d'utiliser l'analyse de la technique. Tout le reste — questionnaire de santé, nom, photo de profil, notifications, calibration — est facultatif, et un refus ne limite que la fonction concernée.

Retrait du consentement. Vous pouvez retirer votre consentement à tout moment, dans les réglages de l'application ou par courriel à privacy@trexana.app. Le retrait ne remet pas en cause la licéité du traitement effectué avant sa réception.

9. Traitement automatisé et profilage

L'évaluation de la technique, le comptage des répétitions, l'attribution des succès et le classement en ligue sont effectués automatiquement, selon des règles définies à l'avance. Ce traitement ne constitue pas une décision produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire, au sens de l'article 22 du RGPD et de l'article 20 de la LGPD : le résultat est une recommandation d'entraînement et n'a aucune incidence sur vos droits, votre accès au service, les conditions du contrat ou le prix. Nous n'utilisons pas de traitement automatisé pour évaluer votre solvabilité, établir un score ou prendre toute autre décision vous concernant en tant que personne. Au titre de l'article 20 de la LGPD, vous pouvez demander le réexamen d'un résultat automatisé : écrivez-nous et nous examinerons manuellement la série en question.

10. À qui nous transmettons les données

Nous ne vendons pas de données et ne les transmettons pas à des réseaux publicitaires. Seuls y accèdent les prestataires nécessaires au fonctionnement du service ; chacun agit en qualité de sous-traitant (operador) en vertu d'un accord de traitement des données, dans les limites de nos instructions et sans droit d'utiliser les données à ses propres fins.

Nous pouvons également divulguer des données lorsque la loi l'exige — sur demande contraignante d'une autorité compétente — ou lorsque cela est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice, ou pour écarter un danger pour la vie et la santé. Nous informons la personne concernée de telles demandes, sauf interdiction légale.

La liste des prestataires peut évoluer. La liste en vigueur est toujours celle de la présente section ; si nous ajoutons un prestataire ayant accès aux données de compte ou d'entraînement, nous l'annoncerons selon la section 19.

11. Transferts internationaux de données

Les données des utilisateurs sont hébergées sur des serveurs situés aux Pays-Bas, c’est-à-dire au sein de l’Espace économique européen. Le responsable du traitement est immatriculé en Géorgie et accède aux données depuis l’extérieur de l’EEE ; certains prestataires accessoires sont établis aux États-Unis.

• Utilisateurs de l’EEE et de Suisse. Le stockage principal — base de données et fichiers du service — se trouve aux Pays-Bas ; pour ce traitement, les données ne quittent pas l’EEE. Le responsable du traitement accède toutefois aux données depuis un pays situé hors de l’EEE pour lequel la Commission européenne n’a pas adopté de décision d’adéquation. Dans la mesure où cet accès constitue un transfert au sens du chapitre V du RGPD, il repose sur les clauses contractuelles types adoptées par la Commission européenne (article 46, paragraphe 2, point c) du RGPD), complétées par une analyse des risques liés au transfert et par des mesures techniques : chiffrement du canal et restriction des accès. Les transferts vers certains prestataires établis aux États-Unis (section 10) reposent sur des clauses contractuelles types ou, lorsque le prestataire est certifié, sur l’EU-US Data Privacy Framework (article 45 du RGPD). Vous pouvez demander une copie des garanties contractuelles applicables en écrivant à privacy@trexana.app.
• Utilisateurs du Brésil. Les données sont hébergées aux Pays-Bas et accessibles au responsable du traitement depuis l’extérieur de l’EEE. Le transfert repose sur les fondements prévus à l’article 33 de la LGPD, principalement des clauses contractuelles assurant un niveau de protection comparable à celui exigé par la loi.
• Utilisateurs de Géorgie. Les données sont hébergées aux Pays-Bas. Le transfert de données vers un autre État s’effectue conformément aux exigences de la loi géorgienne sur la protection des données à caractère personnel et sur la base de contrats avec les prestataires assurant des garanties appropriées.

12. Durées de conservation

Les durées applicables à chaque catégorie figurent dans le tableau de la section 3. Règles générales :

• Les données du compte et des entraînements sont conservées aussi longtemps que le compte est actif.
• Lors de la suppression du compte, les données sont conservées 14 jours de plus : pendant ce délai, une connexion annule la suppression, ce qui permet de revenir sur une décision accidentelle ou prématurée. Passé ce délai, les données sont supprimées de manière irréversible.
• Les données disparaissent des sauvegardes dans les 30 jours suivant la suppression — une marge technique en cas d'incident.
• Les documents que la loi nous impose de conserver (par exemple à des fins fiscales) sont conservés pendant la durée légale, indépendamment de la suppression du compte.
• Les enregistrements des paiements sont conservés par Google et Apple selon leurs propres règles ; cette durée échappe à notre contrôle.
• Les statistiques agrégées anonymisées sont conservées sans limite de durée, ne constituant pas des données personnelles.

13. Suppression du compte et des données

Deux voies permettent de supprimer le compte.

• Dans l'application : Profil → rubrique « Compte » → « Supprimer le compte ».
• Sans l'application : par courriel depuis l'adresse à laquelle le compte est enregistré, en suivant les instructions de la page de suppression de compte. Les demandes sont traitées sous 10 jours ouvrés.

La même procédure s'applique dans les deux cas : la suppression est différée de 14 jours, pendant lesquels une connexion l'annule ; ensuite, le compte, l'historique des entraînements et les réglages sont supprimés définitivement, et les données disparaissent des sauvegardes dans les 30 jours suivants. Les enregistrements vidéo des séries, le profil de calibration, les réponses de santé et les succès se trouvent uniquement sur votre appareil : ils sont effacés avec les données de l'application, il suffit donc de la désinstaller ou d'en effacer les données.

La suppression du compte ne résilie pas l'abonnement souscrit via Google Play ou l'App Store : résiliez-le séparément dans les réglages du magasin concerné. La résiliation et les remboursements sont décrits dans les Conditions d'abonnement.

14. Vos droits et comment les exercer

Selon le droit qui vous est applicable, vous pouvez :

• obtenir la confirmation que vos données sont traitées et une copie de celles-ci, y compris dans un format lisible par machine en vue d'un transfert vers un autre responsable (accès et portabilité) ;
• faire rectifier les données inexactes et compléter les données incomplètes ;
• supprimer votre compte et vos données (droit à l'effacement) ;
• limiter le traitement ou vous opposer au traitement fondé sur l'intérêt légitime ;
• retirer votre consentement, sans que cela affecte la licéité du traitement antérieur ;
• savoir à qui vos données ont été transmises et être informé des conséquences d'un refus de consentement (art. 18 LGPD) ;
• demander l'anonymisation, le blocage ou la suppression de données inutiles ou excessives, ou traitées en violation de la loi (art. 18, IV, LGPD) ;
• si vous résidez en Californie, connaître les catégories de données que nous collectons, leurs sources et leurs finalités, demander leur suppression et leur rectification, et limiter l'utilisation des informations personnelles sensibles ; nous ne vendons ni ne transmettons de données, il n'y a donc pas lieu d'exercer un droit d'opposition à la vente. Nous ne vous traiterons pas de manière discriminatoire pour l'exercice de l'un de ces droits ;
• si vous résidez dans un autre État américain doté d'une loi sur la vie privée, contester en outre notre refus de donner suite à votre demande ; la voie de recours est la même que celle de la demande.

Comment présenter une demande. Écrivez à privacy@trexana.app depuis l'adresse à laquelle votre compte est enregistré et indiquez le droit que vous souhaitez exercer. L'adresse d'expédition vaut vérification d'identité ; si le message provient d'une autre adresse, nous pouvons demander des informations complémentaires pour le rattacher à un compte — aux seules fins de vérification et sans les conserver. Vous pouvez également agir par l'intermédiaire d'un mandataire, en joignant le document attestant ses pouvoirs.

Délais de réponse. Au titre du RGPD, un mois ; pour les demandes complexes ou nombreuses, ce délai peut être prolongé de deux mois supplémentaires, et nous vous en indiquerons le motif. Au titre de la LGPD, immédiatement sous forme simplifiée et sous 15 jours sous forme complète. Au titre du CCPA, accusé de réception sous 10 jours ouvrés et réponse sous 45 jours, prorogeables. L'exercice de vos droits est gratuit ; nous ne pouvons facturer que les demandes manifestement infondées ou excessivement répétitives.

15. Réclamations et autorités de contrôle

Si vous estimez qu'il a été porté atteinte à vos droits, dites-le nous d'abord : nous tenterons de régler la question directement. Indépendamment de cela, vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle :

• Géorgie — Personal Data Protection Service (personaldata.ge), autorité du lieu d'immatriculation du responsable ;
• EEE — l'autorité de protection des données de votre pays de résidence, de votre lieu de travail ou du lieu de la violation alléguée ;
• Brésil — Autorité nationale de protection des données (ANPD) ;
• Royaume-Uni — Information Commissioner's Office (ICO) ;
• Californie — California Privacy Protection Agency ou le bureau du procureur général de l'État.

16. Restrictions d'âge

Trexana est destinée aux personnes âgées de 18 ans et plus. Cette restriction ne découle pas seulement des règles relatives au consentement des mineurs au traitement des données (art. 8 RGPD, art. 14 LGPD, COPPA), mais de la nature du service : l'application fournit une évaluation automatisée et non médicale d'exercices physiques, ce qui, pour une personne de moins de 18 ans, exigerait un contrôle parental et un suivi médical que le service n'assure pas. Nous ne collectons pas sciemment de données de personnes de moins de 18 ans. S'il apparaît qu'un compte appartient à un mineur, nous le supprimerons ainsi que les données associées. Si vous pensez qu'un mineur nous a communiqué des données, écrivez à privacy@trexana.app.

17. Sécurité et violations de données

Nous mettons en œuvre des mesures techniques et organisationnelles proportionnées aux risques du traitement : les données circulent entre l'application et le serveur uniquement via une connexion sécurisée (HTTPS/TLS) ; les mots de passe sont conservés sous forme de hachages cryptographiques et jamais en clair ; l'accès à la base de données de production est limité aux personnes qui en ont besoin et protégé par des identifiants distincts ; les opérations de connexion et de réinitialisation du mot de passe font l'objet d'une limitation de débit ; les codes de réinitialisation sont conservés sous forme de hachages, avec une durée de vie courte et un nombre de tentatives plafonné. Les vidéos et les données de santé ne quittent pas l'appareil, ce qui écarte à lui seul toute une catégorie de risques.

Aucun système n'est parfaitement sûr. En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons l'autorité de contrôle dans les 72 heures suivant sa découverte (art. 33 RGPD) et, lorsque le risque est élevé, nous vous en informerons dans les meilleurs délais, en décrivant la nature de l'incident, ses conséquences probables et les mesures prises. Des notifications équivalentes sont adressées dans un délai raisonnable au titre de la LGPD et de la loi géorgienne sur la protection des données à caractère personnel.

18. Site web : cookies, polices, journaux

Le site trexana.app n'utilise aucun cookie analytique, publicitaire ou de pistage et n'installe aucun traceur. Aucun service d'analyse n'est intégré ; si tel devait être le cas, nous mettrions à jour la présente section avant sa mise en service et, lorsque la loi l'exige, nous solliciterions votre consentement.

Les polices utilisées sur le site sont hébergées sur notre propre domaine et chargées depuis celui-ci. L’ouverture d’une page ne déclenche aucune requête vers un CDN de polices tiers, y compris Google Fonts ; votre adresse IP n’est donc communiquée à aucun tiers à cette fin.

Notre hébergeur conserve des journaux techniques d'accès comprenant l'adresse IP, la date, l'adresse demandée et le type de navigateur. Ces données sont traitées sur le fondement de notre intérêt légitime à maintenir le site disponible et sûr (art. 6, § 1, f) RGPD) et ne servent pas à établir des profils de visiteurs.

La langue choisie sur le site est enregistrée dans le stockage local de votre navigateur. Il s'agit d'un réglage technique nécessaire à l'affichage des pages dans la langue retenue ; il n'est pas communiqué à des tiers et disparaît lorsque vous effacez les données du site dans votre navigateur.

19. Modifications et versions linguistiques

La présente Politique peut être mise à jour, par exemple à l'occasion de nouvelles fonctionnalités ou d'un changement de prestataire. La date d'entrée en vigueur et le numéro de version figurent en haut de la page. Nous annoncerons les modifications substantielles touchant l'étendue des données traitées, les finalités, les destinataires ou vos droits dans l'application ou par courriel au moins 14 jours avant leur entrée en vigueur ; les retouches mineures, telles que des clarifications rédactionnelles ou des corrections de coquilles, prennent effet dès leur publication. Lorsqu'une modification requiert un consentement, nous le solliciterons séparément et avant le début du nouveau traitement.

La présente Politique est publiée en six langues. Toutes les versions sont mises à jour simultanément et concordent quant à leur contenu. En cas de divergence entre les traductions, la version anglaise prévaut.

20. Contact

Pour les questions de protection des données et l'exercice de vos droits : privacy@trexana.app. Pour les questions relatives à l'application et à l'abonnement : support@trexana.app. Les données d'immatriculation complètes du responsable du traitement sont communiquées sur demande.