Politique de confidentialité

1. Qui nous sommes

CLYMB est une app adaptative de préparation physique pour l'escalade. Le responsable du traitement pour les traitements décrits ici est :

Flexfit Softwareentwicklung, Inhaber: Américo Andrés Munoz Buschmann
Stresemannstr. 72, 10963 Berlin, Allemagne
E-mail : [email protected]

Nous sommes établis en Allemagne. Nous n'avons pas désigné de délégué à la protection des données, car ni l'art. 37 du RGPD ni le § 38 de la loi fédérale allemande sur la protection des données (BDSG) ne nous y obligent : envoie à [email protected] tout ce que tu enverrais à un délégué à la protection des données, et cela parviendra à la personne responsable.

2. Ce que couvre cette politique

• Le site web clymb-app.com (ce site).
• L'app CLYMB : l'app web à l'adresse clymb-290526-claude.web.app et les apps iOS et Android du même nom.

Lorsque les règles diffèrent entre le site et l'app, nous le précisons.

3. Les données que nous collectons

3.1 Si tu te contentes de visiter ce site

Tu n'as pas besoin de compte pour parcourir ce site, et rien ne t'y suit tant que tu n'acceptes pas la mesure d'audience dans la bannière cookies.

Nous n'utilisons sur ce site aucun traceur publicitaire, aucun pixel et aucune technique d'empreinte numérique (fingerprinting). Le seul outil de mesure d'audience est Google Analytics, chargé via Google Tag Manager, et il ne fonctionne que si tu acceptes dans la bannière cookies : tant que tu n'as pas choisi, et si tu refuses, il ne dépose aucun cookie et n'envoie rien à Google. Refuser est aussi simple qu'accepter, et tu peux modifier ton choix à tout moment avec « Gérer les cookies » en bas de page. Nous l'utilisons uniquement pour comprendre comment le site est utilisé afin d'améliorer CLYMB, jamais pour la publicité, le marketing ou le profilage, et nous ne la partageons pas avec des annonceurs. En dehors de cela, nous ne déposons aucun cookie autre que ceux strictement nécessaires décrits dans notre Politique relative aux cookies.

3.2 Si tu crées un compte dans l'app CLYMB

Données de compte — ton adresse e-mail, le nom d'affichage que tu indiques, un identifiant de compte unique et, si tu te connectes avec Google, la photo de profil que Google nous renvoie. Les comptes avec mot de passe génèrent aussi un statut de vérification de l'adresse e-mail. Nous ne voyons ni ne stockons jamais ton mot de passe : l'authentification est assurée par Firebase Authentication.

Si tu utilises Sign in with Apple et choisis de masquer ton adresse e-mail, Apple nous transmet une adresse relais privée à la place de ta véritable adresse. Nous l'utilisons exactement comme n'importe quelle autre adresse, et nous ne cherchons jamais à remonter jusqu'à toi à partir d'elle.

Profil d'entraînement que tu renseignes lors du questionnaire de démarrage (onboarding) — ton objectif d'entraînement et ses détails (comme une date de compétition ou de début de saison, ta discipline ou les points faibles sur lesquels tu veux travailler), ton niveau en escalade, ton expérience en escalade, ta force physique auto-évaluée, ton genre (y compris « Je préfère ne pas répondre ») et ta date de naissance, tous deux facultatifs (si tu ne renseignes pas ta date de naissance, tu confirmes à la place avoir au moins 16 ans), tes zones de blessure, le nombre de jours par semaine où tu veux t'entraîner, lesquels, ta date de début et tes préférences d'entraînement.

Données d'entraînement que l'app génère au fil de ton utilisation — tes niveaux de progression sur chaque échelle de mouvements, ton plan Skills et son calendrier, tes séances terminées, et ce que tu enregistres à chaque séance : séries, répétitions, charge soulevée, temps de maintien en secondes et durée de la séance. L'entraînement des doigts ajoute ton matériel, ta force des doigts mesurée et tes séances doigts.

Données techniques — type d'appareil, version de l'app, ton fuseau horaire, adresse IP et journaux serveur des requêtes API effectuées par ton app.

Mesure d'audience, uniquement si tu acceptes — si tu acceptes la mesure d'audience dans l'app, nous mesurons son utilisation avec Google Analytics for Firebase : les écrans que tu ouvres et les fonctionnalités que tu utilises (par exemple les étapes de l'onboarding et les séances d'entraînement commencées ou terminées), avec un identifiant pseudonyme d'instance de l'app, le type d'appareil, le système d'exploitation, la version de l'app et une localisation approximative (pays/région). Elle est désactivée tant que tu n'as pas dit oui. L'app te pose la question à la création de ton compte, avec une case dédiée, facultative, non cochée par défaut et distincte des Conditions générales (les versions précédentes de l'app la posent une fois dans une fenêtre pop-up) ; ton compte est créé de la même façon dans les deux cas. Tu peux l'activer ou la désactiver à tout moment dans Profil. Nous conservons ton choix et sa date avec ton compte, pour qu'il s'applique sur chaque appareil où tu te connectes et que nous puissions prouver ton consentement. Elle n'utilise aucun identifiant publicitaire. Nous l'utilisons uniquement pour repérer les problèmes et améliorer CLYMB, jamais pour la publicité, le marketing ou le profilage, et nous ne la partageons pas avec des annonceurs.

Diagnostic des plantages, uniquement si tu acceptes — la même case facultative de mesure d'audience active aussi Firebase Crashlytics, qui nous signale les plantages de l'app. Un rapport de plantage contient la trace d'appels, un identifiant d'installation Crashlytics et un identifiant d'installation Firebase, le modèle de ton appareil, la version du système d'exploitation, la mémoire vive et l'espace de stockage disponibles, si l'appareil est jailbreaké ou rooté, l'identifiant de bundle et la version de l'app, l'horodatage, l'identifiant de session et si l'app était en arrière-plan. Nous y joignons également ton identifiant de compte, afin de retrouver le rapport qui te concerne quand tu nous écris au sujet d'un plantage. C'est désactivé tant que tu n'as pas dit oui, tu peux le désactiver à tout moment dans Profil, et Google supprime les rapports de plantage au bout de 90 jours. Cela n'utilise aucun identifiant publicitaire et nous ne nous en servons que pour réparer ce qui est cassé.

Ce que nous ne collectons jamais : nous ne demandons ni ne recevons ta localisation, tes contacts, tes photos, l'accès à ta caméra ou à ton micro, les données d'applications de santé (Apple Health / Google Fit), les identifiants publicitaires, ni les données de ta carte de paiement ou de ton compte bancaire (si tu achètes un jour un abonnement, c'est Apple ou Google qui traite le paiement et nous ne voyons jamais ces données). CLYMB n'affiche aucune publicité.

Données d'abonnement — CLYMB est actuellement gratuit. L'app est conçue pour prendre en charge un abonnement payant facultatif et, pour cela, elle utilise RevenueCat. Dans les apps iOS et Android, à chaque connexion, l'app enregistre ton identifiant de compte auprès de RevenueCat afin de vérifier si ton compte dispose d'un abonnement — que tu en achètes un ou non. Avec cet identifiant, RevenueCat reçoit des informations techniques telles que ton type d'appareil, ton système d'exploitation, la version de l'app, ton adresse IP et la date de ta dernière ouverture de l'app. L'app web n'utilise pas RevenueCat. Si tu achètes un abonnement, RevenueCat reçoit aussi le statut de l'abonnement et l'historique d'achats que l'App Store ou Google Play communique à ton sujet (quel produit, quand il a commencé, se renouvelle ou expire, s'il a été remboursé) ainsi que les identifiants de la transaction attribués par la boutique. Nous conservons sur ton compte une copie de ton niveau d'accès actuel (par exemple « free », c'est-à-dire gratuit, ou « Pro ») pour que l'app sache quoi débloquer.

4. Données concernant la santé

Tes zones de blessure, tes réponses sur une blessure si tu choisis l'objectif de revenir après une blessure (quand elle est survenue, si un médecin ou un kiné t'a donné le feu vert, ton niveau de douleur) et tes journaux d'entraînement peuvent constituer des données concernant la santé au sens de l'art. 9 du RGPD. Nous les traitons comme telles.

• Nous les traitons uniquement pour construire et adapter ton plan d'entraînement personnel, et pour te montrer ta propre progression.
• Notre base juridique est ton consentement explicite (art. 9, par. 2, point a) du RGPD). Tu le donnes en cochant la case de consentement à l'étape du questionnaire de démarrage consacrée aux zones de blessure, avant de saisir quoi que ce soit. Cocher cette case est facultatif : si tu la laisses décochée, tu peux quand même utiliser CLYMB, et nous ne collectons simplement pas de zones de blessure.
• Tu peux retirer ce consentement à tout moment, et le retirer est aussi simple que de le donner. Dans l'app, ouvre Profil → Zones de blessure → Effacer : cela supprime les zones de blessure et les réponses sur la blessure que nous détenons ainsi que l'enregistrement de ton consentement. Supprimer ton compte (Profil → Supprimer le compte) efface tout. Tu peux aussi écrire à [email protected]. Le retrait ne compromet pas la licéité du traitement effectué avant ce retrait.
• Nous n'utilisons jamais les données concernant la santé à des fins de publicité, de marketing, de profilage pour le compte de tiers ou d'exploration de données (data mining), et nous ne les vendons ni ne les partageons jamais avec des courtiers en données.

Si tu utilises l'entraînement des doigts, CLYMB te demande ta douleur aux doigts (de 0 à 10) avant et après chaque séance doigts. Ces relevés de douleur sont aussi des données de santé. Nous ne les gardons qu'avec un consentement séparé, donné dans Doigts → Réglages, et le désactiver supprime tous les scores enregistrés. Sans ce consentement, la question fonctionne quand même et rien n'est enregistré.

5. Pourquoi nous utilisons tes données, et sur quelle base juridique

Nous n'envoyons pas d'e-mails marketing, sauf si tu l'as demandé séparément, et nous n'utilisons tes données d'entraînement nulle part pour te cibler avec de la publicité.

6. Ajustement automatisé de ton plan

CLYMB modifie automatiquement ton plan d'entraînement en fonction de ce que tu enregistres — par exemple en te faisant passer au niveau suivant d'une échelle de mouvements après deux séances consécutives en haut de la fourchette prescrite. Il s'agit d'un traitement automatisé, mais il ne produit aucun effet juridique ni aucun effet significatif similaire te concernant au sens de l'art. 22 du RGPD : il modifie seulement l'exercice que l'app te propose ensuite, tu peux toujours modifier toi-même dans l'app la difficulté suggérée, et tu peux nous écrire pour en parler avec un être humain.

CLYMB est un produit de fitness, pas un dispositif médical, et rien de ce qu'il contient ne constitue un avis médical. Il ne diagnostique, ne traite ni ne prévient aucune affection. Si tu es blessé(e), enceinte ou atteint(e) d'une affection médicale, parles-en à un professionnel qualifié avant de t'entraîner.

7. Avec qui nous partageons tes données

Nous ne vendons pas tes données personnelles. Nous ne les partageons pas avec des courtiers en données ni avec des réseaux publicitaires. Nous ne les utilisons pas pour te suivre sur les apps ou les sites web d'autres entreprises.

Nous faisons appel à un petit nombre de sous-traitants, chacun lié par un contrat de sous-traitance et agissant uniquement sur nos instructions :

Autres destinataires. Si tu choisis Sign in with Apple ou Google Sign-In, Apple Inc. ou Google LLC t'authentifie en tant que responsable du traitement distinct, conformément à sa propre politique de confidentialité, et non en tant que notre sous-traitant, et nous renvoie un identifiant et une adresse e-mail.

L'App Store d'Apple et Google Play distribuent nos apps et traitent tout paiement, conformément à leurs propres politiques de confidentialité. Nous ne recevons d'eux que des statistiques agrégées et non identifiantes, ainsi que les événements d'abonnement décrits ci-dessus, via RevenueCat.

8. Où tes données sont stockées, et transferts internationaux

Nous conservons délibérément les données de l'app dans l'UE :

• Tes données de compte, d'entraînement et de séances sont stockées dans Cloud Firestore, dans la multirégion européenne eur3 de Google (Belgique et Pays-Bas).
• L'API qui les traite s'exécute en tant que Cloud Function dans europe-west1 (Belgique), et ses journaux serveur restent dans cette même région.
• Ce site est servi par Firebase App Hosting depuis la région europe-west4 (Pays-Bas) de Google.

Trois transferts hors de l'EEE ont bel et bien lieu, et nous ne prétendrons pas le contraire :

• Les enregistrements de compte Firebase Authentication (ton adresse e-mail, ton identifiant de compte et les métadonnées de connexion) et, uniquement si tu acceptes la mesure d'audience, les données de mesure d'audience de l'app (Google Analytics for Firebase) et de ce site (Google Analytics) sont traités par Google sur une infrastructure qui inclut les États-Unis. Les rapports de plantage (Firebase Crashlytics), eux aussi uniquement si tu acceptes, vont plus loin : pour Crashlytics, Google ne propose aucune région de données européenne et peut les traiter partout où il exploite des installations.
• Les données d'abonnement (ton identifiant de compte, ton historique d'achats et le statut de ton abonnement) ainsi que les données techniques associées sont traitées par RevenueCat, Inc. et ses sous-traitants ultérieurs aux États-Unis. Ce transfert repose sur les clauses contractuelles types (art. 46 du RGPD) figurant dans l'avenant relatif au traitement des données (data processing addendum) de RevenueCat.
• Les requêtes adressées à ce site, y compris ton adresse IP, et la vérification Turnstile sur ses formulaires sont traitées par Cloudflare, Inc. sur son réseau mondial, qui comprend les États-Unis. Cloudflare, Inc. est certifiée au titre du cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) (art. 45 du RGPD) et, à titre subsidiaire, les clauses contractuelles types (art. 46 du RGPD) de son avenant relatif au traitement des données s'appliquent.

Le transfert vers Google repose sur la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) (art. 45 du RGPD), au titre duquel Google LLC est certifiée, avec les clauses contractuelles types de la Commission (art. 46) comme garantie subsidiaire, ainsi que sur le chiffrement en transit et au repos. Tu peux nous demander une copie des garanties pertinentes en écrivant à [email protected].

9. Combien de temps nous les conservons

10. Supprimer ton compte

Dans l'app — immédiat, définitif, aucun e-mail nécessaire. Ouvre Profil → Supprimer le compte et confirme. Cela supprime, immédiatement et définitivement :

• ton enregistrement d'authentification (tu ne peux plus te connecter),
• ton profil utilisateur,
• tes niveaux et ton plan d'entraînement,
• ton calendrier Skills,
• ton plan et tes séances doigts,
• tes réponses au questionnaire de démarrage,
• l'intégralité de ton historique d'entraînements et de séances,
• ton enregistrement d'abonnement, y compris ton enregistrement d'abonné chez RevenueCat.

Cette action est irréversible et nous ne pouvons pas restaurer un compte supprimé.

Si tu ne peux pas te connecter, envoie le formulaire de notre page de suppression de compte ou écris à [email protected] depuis l'adresse associée au compte. Il se peut que nous devions vérifier que le compte t'appartient avant d'agir, et nous confirmons la suppression dans un délai de 30 jours — normalement en quelques jours.

11. Tes droits

Si tu te trouves dans l'EEE ou au Royaume-Uni, tu as le droit :

• d'accéder aux données personnelles que nous détenons à ton sujet, et d'en obtenir une copie ;
• de faire rectifier toute donnée inexacte ou incomplète ;
• de faire effacer tes données (« droit à l'oubli ») — voir la section 10 ;
• d'obtenir la limitation de notre traitement dans certains cas ;
• à la portabilité, c'est-à-dire de recevoir les données que tu nous as fournies dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre à un autre responsable du traitement lorsque c'est techniquement possible ;
• de t'opposer, pour des raisons tenant à ta situation particulière, au traitement fondé sur nos intérêts légitimes ;
• de retirer ton consentement à tout moment, lorsque nous nous fondons sur le consentement (y compris pour les données concernant la santé), sans que cela compromette la licéité du traitement effectué avant ce retrait ;
• de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires — voir la section 6.

Pour exercer l'un de ces droits, écris à [email protected]. Nous répondons dans un délai d'un mois, prolongeable de deux mois supplémentaires pour les demandes complexes (nous te préviendrons si c'est le cas). L'exercice de tes droits est gratuit ; nous ne facturons que les demandes manifestement infondées ou excessives, et nous te le dirons au préalable.

Tu as aussi le droit d'introduire une réclamation auprès d'une autorité de contrôle — la Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59-61, 10555 Berlin (l'autorité de protection des données du Land de Berlin), ou l'autorité de protection des données du pays de l'EEE où tu vis, où tu travailles ou où la violation alléguée a eu lieu. Nous aimerions toutefois avoir d'abord l'occasion de régler la question avec toi.

La fourniture de tes données de compte et d'entraînement n'est pas une obligation légale, mais elle est nécessaire pour utiliser CLYMB : sans elles, nous ne pouvons ni créer de compte ni construire un plan pour toi.

12. Cookies et technologies similaires

Ce site utilise des cookies et un stockage local strictement nécessaires, qui ne requièrent aucun consentement en vertu du § 25, al. 2, n° 2 de la loi allemande sur la protection des données dans les télécommunications et les services numériques (TDDDG), et — uniquement si tu acceptes dans la bannière cookies — les cookies Google Analytics _ga / _ga_<id>, chargés via Google Tag Manager. Rien d'optionnel n'est déposé avant que tu choisisses, refuser est aussi simple qu'accepter, et tu peux modifier ton choix à tout moment avec « Gérer les cookies » en bas de page. Les formulaires de contact et de suppression de compte utilisent Cloudflare Turnstile, qui ne lit des signaux du navigateur et de l'appareil que tant que l'un de ces formulaires est ouvert, afin de distinguer les personnes des robots ; c'est strictement nécessaire pour te fournir de manière sécurisée le formulaire que tu as demandé (§ 25, al. 2, n° 2 TDDDG) et ce n'est jamais utilisé à des fins publicitaires. Base juridique des cookies de mesure d'audience : ton consentement, art. 6, par. 1, point a) du RGPD et § 25, al. 1 TDDDG ; les données de mesure d'audience sont conservées 14 mois. La mesure d'audience sert uniquement à améliorer CLYMB, jamais à la publicité ou au marketing : nous n'utilisons aucun cookie publicitaire ni identifiant publicitaire. L'app enregistre ta session de connexion localement sur ton appareil (dans le stockage du navigateur ou, sur iOS et Android, dans le stockage sécurisé des apps du système d'exploitation) pour que tu n'aies pas à te reconnecter à chaque fois ; c'est indispensable au service. La mesure d'audience de l'app (Google Analytics for Firebase) ne fonctionne que si tu coches la case facultative de mesure d'audience à la création de ton compte ou que tu l'actives plus tard dans Profil, et tu peux retirer ton consentement à tout moment dans Profil. La même case contrôle les rapports de plantage de l'app (Firebase Crashlytics), que l'app envoie depuis ton appareil avec un identifiant d'installation Crashlytics ; ils ne déposent aucun cookie sur ce site. Tous les détails figurent dans notre Politique relative aux cookies.

13. Comment nous protégeons tes données

Toutes les données transitent via HTTPS/TLS et sont chiffrées au repos sur Google Cloud. L'accès à l'API est authentifié par des jetons d'identification Firebase (ID tokens) à courte durée de vie ; chaque requête qui touche à tes données est vérifiée par rapport à l'identité contenue dans le jeton, de sorte qu'un compte ne peut jamais lire ni modifier les données d'un autre. Nous appliquons une politique de sécurité du contenu (Content Security Policy) et des en-têtes de sécurité HTTP, limitons le débit de l'API, maintenons la vérification de l'adresse e-mail pour les comptes avec mot de passe et restreignons l'accès administrateur à un attribut d'administrateur signé (admin claim) détenu par le plus petit nombre de personnes possible. Aucun système n'est parfaitement sûr, mais si une violation de données à caractère personnel porte un jour atteinte à tes droits, nous la notifierons à l'autorité de contrôle compétente dans un délai de 72 heures et t'en informerons directement lorsque la loi l'exige.

14. Enfants

CLYMB ne s'adresse pas aux enfants. Tu dois avoir au moins 16 ans pour créer un compte dans l'EEE et au Royaume-Uni — ou 13 ans, lorsque la loi de ton pays fixe cet âge plus bas et qu'un titulaire de l'autorité parentale y consent. Ailleurs, l'âge minimum est de 13 ans. Si tu penses qu'un enfant nous a communiqué des données personnelles, écris à [email protected] et nous supprimerons le compte.

15. Modifications de cette politique

Nous mettons à jour cette politique lorsque nos pratiques changent. La date d'entrée en vigueur indiquée en haut correspond toujours à la version actuelle. Si une modification a une incidence importante sur tes droits, nous te préviendrons par e-mail ou dans l'app avant son entrée en vigueur.

16. Nous contacter

Flexfit Softwareentwicklung, Inhaber: Américo Andrés Munoz Buschmann
Stresemannstr. 72, 10963 Berlin, Allemagne
[email protected]