Politique de confidentialité

Jérôme BUISINE - Entrepreneur individuel (SIRET 822 432 902 00044), dont les coordonnées figurent en en-tête du présent document, est responsable du traitement de vos données personnelles.

Pour toute question relative à vos données : contact@subalpine.it

🩺 Information renforcée sur les données concernant la santé. Les données physiologiques listées ci-dessus (poids, taille, FC max, FC repos, zones cardiaques, fréquence cardiaque mesurée) entrent dans la catégorie particulière des « données concernant la santé » au sens de l'art. 4.15 et de l'art. 9.1 du RGPD (cf. CJUE C-184/20 et délib. CNIL 2019-160). Leur traitement repose exclusivement sur votre consentement explicite (art. 9.2.a RGPD), recueilli au moment de la saisie de votre profil sportif via une case à cocher dédiée, distincte du consentement général aux CGU. Vous pouvez retirer ce consentement à tout moment depuis les paramètres de l'Application : l'effet est l'arrêt immédiat du calcul des recommandations physiologiques et la possibilité d'effacer ces champs. Une Analyse d'Impact relative à la Protection des Données (AIPD) a été conduite pour ce traitement conformément aux lignes directrices CNIL.

Important : StratAlp ne stocke aucune donnée bancaire. Les paiements sont traités intégralement par Stripe (PCI-DSS niveau 1).

Pour en savoir plus sur les cookies et traceurs utilisés, consultez notre Politique de Cookies.

Les services tiers OAuth sont connectés uniquement sur votre initiative et révocables à tout moment depuis les paramètres de l'Application.

Nous ne vendons jamais vos données. Aucune donnée n'est partagée à des fins commerciales avec des tiers.

Système analytics : StratAlp utilise un système de mesure d'audience interne (pas de Google Analytics ni de service tiers). Les adresses IP sont hashées (SHA256) avant stockage.

Suppression de compte (Art. 17 RGPD). Depuis vos paramètres de compte, vous pouvez à tout moment demander la suppression de votre compte. Cette demande déclenche une fenêtre de grâce de 30 jours pendant laquelle votre compte est désactivé mais récupérable :

• vous pouvez annuler la suppression depuis votre compte (action « Restaurer mon compte ») ;
• aucune connexion n'est possible pendant la fenêtre ;
• aucun email marketing ne vous est envoyé.

Au bout des 30 jours, votre compte est effacé automatiquement selon trois trajectoires distinctes :

1. Effacement complet — profil public, paramètres physiologiques, projets de stratégie, modèles d'inventaire personnels, abonnements aux notifications, jetons d'authentification.
2. Anonymisation (les enregistrements restent, le lien à votre identité est rompu) — pages vues et sessions analytiques, audit logs administratifs, traces de modifications éditoriales. Ces données ne sont plus rattachables à une personne identifiable.
3. Conservation pour obligations légales (avec lien à votre identité rompu) — factures, historique d'abonnement, paiements, conservés 10 ans au titre de l'Art. L.123-22 du Code de Commerce. Aucun nouveau traitement n'est effectué après votre départ.

Vos routes publiques : au moment de la demande de suppression, vous choisissez ce qui leur arrive :

• Anonymiser — les routes restent accessibles aux utilisateurs qui les ont enregistrées en favoris, mais sans rattachement à votre identité ;
• Supprimer — les routes disparaissent immédiatement pour tous.

Ce choix est appliqué dès la demande et n'est pas réversible, y compris si vous annulez la suppression de votre compte dans la fenêtre de grâce.

Conformément au RGPD, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données personnelles • Rectification : corriger des données inexactes • Effacement : demander la suppression de vos données • Portabilité : recevoir vos données dans un format structuré (JSON/CSV) • Opposition : vous opposer au traitement fondé sur l'intérêt légitime • Limitation : restreindre le traitement dans certains cas • Retrait du consentement : à tout moment pour les traitements fondés sur le consentement

Pour exercer vos droits, contactez-nous :

Email : contact@subalpine.it Courrier : Jérôme BUISINE, 129 Impasse des Embrunes, 74230 Dingy-Saint-Clair, France

Nous répondons dans un délai de 30 jours maximum. Une pièce d'identité peut être demandée pour vérifier votre identité.

Vous pouvez également exporter vos données directement depuis les paramètres de l'Application.

Conformément à l'article 85 de la Loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée), vous pouvez définir des directives relatives au sort de vos données à caractère personnel après votre décès — directives générales ou particulières, conservation, communication, effacement.

Directives générales. Elles peuvent être enregistrées auprès d'un tiers de confiance numérique certifié par la CNIL. Elles concernent l'ensemble des traitements et s'imposent à l'ensemble des responsables de traitement.

Directives particulières chez StratAlp. Vous pouvez à tout moment définir des directives particulières applicables à vos données chez StratAlp, par email à contact@subalpine.it ou depuis votre espace compte (rubrique « Confidentialité — Directives post-mortem »), en indiquant :

• L'identité d'une personne de confiance chargée de leur exécution (avec son consentement) ; à défaut, vos héritiers seront contactés ; • Les données concernées (compte, profil sportif, projets, routes publiques, etc.) ; • Le sort souhaité : conservation, communication aux héritiers, effacement, anonymisation, transmission à un tiers désigné.

Vous pouvez modifier ou révoquer ces directives à tout moment.

À défaut de directives. En l'absence de directives, vos héritiers peuvent exercer, après production du certificat de décès et d'un acte attestant de leur qualité, les droits d'accès et de rectification dans la mesure nécessaire à l'organisation et au règlement de la succession (clôture du compte, opposition à la poursuite des traitements à finalité commerciale, communication des informations nécessaires).

Décès porté à notre connaissance. Sur production d'un certificat de décès, StratAlp peut clôturer le compte, suspendre les communications et mettre en œuvre les directives reçues. À défaut, le compte est traité comme inactif et soumis aux durées de conservation prévues par l'article 4 de la présente politique.

Contact : contact@subalpine.it

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la CNIL :

Commission Nationale de l'Informatique et des Libertés (CNIL) 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 www.cnil.fr

Nous mettons en œuvre les mesures techniques suivantes pour protéger vos données :

• Authentification : JWT (JSON Web Tokens) avec expiration • Transport : HTTPS obligatoire (TLS 1.2+) • Mots de passe : hashage bcrypt (jamais stockés en clair) • Isolation : chaque utilisateur accède uniquement à ses propres données • Accès : principe du moindre privilège pour l'équipe • Notifications : en cas de violation de données, information sous 72h à la CNIL et aux utilisateurs concernés

Certains sous-traitants sont situés hors UE (principalement USA). Ces transferts sont encadrés par :

• Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne • EU-US Data Privacy Framework (DPF) — décision d'adéquation de la Commission européenne du 10 juillet 2023. Stripe est certifié au DPF (cf. dataprivacyframework.gov), ce qui s'ajoute aux CCT pour les transferts vers les États-Unis • Chiffrement des données en transit et au repos

Firebase (notifications push) est configuré en région EU. L'hébergement principal (OVH) est en France.

Cette politique peut être mise à jour pour refléter les évolutions du service ou de la réglementation. En cas de modification substantielle, les utilisateurs sont informés par email et/ou notification dans l'Application au moins 30 jours avant l'entrée en vigueur de la nouvelle version, ce qui déclenche le recueil d'un nouveau consentement le cas échéant.

Contact : contact@subalpine.it