RGPD

Politique de confidentialité

Dernière mise à jour : 16 septembre 2026

La présente politique décrit comment Altagon collecte et traite vos données à caractère personnel, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ». Elle s'applique au site altagon.fr et à l'application « L'Arène ».

Responsable de traitement

Kylian Haurant / Altagon, entrepreneur individuel, SIREN 920 113 883, SIRET 92011388300028. Adresse : 16 bis rue Pasteur, 94800 Villejuif, France. Contact : contact@altagon.fr (adresse de secours : kylian.haurant@icloud.com). Aucun délégué à la protection des données (DPO) n'est désigné à ce jour ; si une désignation devenait nécessaire, ses coordonnées seraient publiées dans la présente section. Pour toute question relative à vos données, écrivez à contact@altagon.fr.

Données collectées, finalités et bases légales

Demande de Briefing / prospect : identité, email, téléphone, discipline, niveau, message. Finalité : traiter votre demande et vous recontacter. Base légale : mesures précontractuelles et intérêt légitime.

Compte et profil athlète : identité, coordonnées, date de naissance, sexe, pays/ville/fuseau, discipline, niveau, objectifs, fréquence d'entraînement. Finalité : création du compte et individualisation de l'accompagnement. Base légale : exécution du contrat.

Données de suivi de la performance : métriques d'entraînement, réponses aux questionnaires scientifiques, retours de séance, indicateurs de charge et de récupération. Finalité : pilotage et adaptation de l'accompagnement. Base légale : exécution du contrat.

Données relatives à la santé : historique et journal de blessures, protocoles de reprise, poids et données morphologiques, indicateurs de fatigue, de sommeil, de douleur, de stress et d'humeur, réponses aux questionnaires scientifiques (surentraînement, motivation, récupération, anxiété de performance), charge d'entraînement et ressentis d'effort, ainsi que les données éventuellement transmises par un objet connecté que vous choisiriez de relier à votre compte. Finalité : sécuriser et individualiser l'accompagnement. Base légale : consentement explicite (article 9.2.a du RGPD), recueilli par une case distincte non pré-cochée lors de l'inscription, horodaté, versionné et révocable à tout moment.

Ce consentement conditionne l'accès à l'accompagnement, non par choix commercial mais parce que le traitement de ces données est la prestation : un accompagnement de la performance sans indicateurs de charge, de récupération ni de blessure n'a pas d'objet. Vous pouvez le retirer à tout moment en écrivant à contact@altagon.fr ; le retrait ne remet pas en cause la licéité du traitement effectué avant celui-ci, mais il met fin à l'accompagnement, dans les conditions prévues par les conditions générales de vente.

Échanges et documents : messages avec le coach, documents, photos et vidéos que vous déposez. Finalité : communication et suivi. Base légale : exécution du contrat.

Paiement et facturation : formule, montants, historique d'abonnement, factures (les coordonnées bancaires sont traitées directement par Stripe). Finalité : gestion des abonnements et obligations comptables. Base légale : exécution du contrat et obligation légale.

Données techniques et de sécurité : journaux de connexion, tentatives d'authentification, adresses IP (pseudonymisées), journaux d'audit, préférences de consentement. Finalité : sécurité, prévention de la fraude et preuve du consentement. Base légale : intérêt légitime et obligation légale.

Mesure d'audience : pages vues, visites, page d'arrivée, enchaînement des pages au sein d'une visite, temps passé, type d'appareil, provenance générale du trafic, campagne d'origine et actions clés (demande de Briefing, inscription, souscription). Ces éléments sont additionnés en compteurs quotidiens sur nos propres serveurs : aucune adresse IP n'est conservée, aucun profil n'est constitué, aucune donnée n'est transmise à un tiers et aucun suivi n'est réalisé en dehors d'altagon.fr. Finalité : comprendre l'usage du site pour l'améliorer. Base légale : intérêt légitime, dans le cadre du régime d'exemption applicable à la mesure d'audience, avec droit d'opposition exerçable à tout moment depuis « Gérer mes cookies ». L'option « analyse approfondie du parcours », qui repose sur un identifiant conservé dans votre navigateur, relève quant à elle du consentement préalable. Le back-office du coach est exclu de toute mesure.

Analyse automatisée et profilage

Altagon exploite une couche d'analyse automatisée qui agrège vos données de suivi pour produire de nouvelles informations vous concernant : un état consolidé et son historique, un score de disponibilité (« readiness »), une évaluation du risque de blessure calculée à partir de vos ratios de charge d'entraînement, de la monotonie et de la contrainte, des prédictions d'évolution, des recommandations d'ajustement, un graphe de relations entre vos indicateurs, des alertes et un journal des décisions.

Ces résultats sont des données de santé inférées : elles ne sont pas déclarées par vous mais déduites de vos données. Elles sont couvertes par le même consentement (article 9.2.a) et par votre droit d'accès : vous pouvez en demander communication à tout moment. Elles ne relèvent en revanche pas du droit à la portabilité, qui ne porte que sur les données que vous avez vous-même fournies.

Ces traitements constituent une aide à la décision et non une décision automatisée au sens de l'article 22 du RGPD : ils ne produisent aucun effet juridique et ne vous affectent pas de manière significative de façon exclusivement automatisée. Trois garde-fous encadrent cette couche : aucune recommandation n'est appliquée à votre programme sans validation humaine de votre coach ; les évaluations de risque brutes ne vous sont pas affichées telles quelles, mais traduites par votre coach en consignes concrètes ; aucun modèle n'est entraîné en croisant les données de plusieurs athlètes. Vous pouvez obtenir des explications sur la logique employée, exprimer votre point de vue et contester une évaluation en écrivant à contact@altagon.fr.

Destinataires et accès

Vos données sont accessibles au coach en charge de votre accompagnement et, de manière strictement limitée, à l'administrateur du service pour la maintenance. Elles ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Les sous-traitants techniques n'y accèdent que pour l'exécution de leurs prestations.

Sous-traitants et hébergement

Nous faisons appel à un nombre volontairement réduit de sous-traitants. Chacun est lié par un accord de traitement conforme à l'article 28 du RGPD.

Hébergement : OVH SAS (France). L'intégralité de l'infrastructure tient sur un serveur unique situé dans le centre de données OVH de Gravelines, en France : l'application, la base de données PostgreSQL et les fichiers et documents que vous déposez. Aucune base de données managée, aucun stockage objet, aucun réseau de diffusion de contenu tiers n'intervient. OVH n'accède pas au contenu de la base : son rôle se limite à la fourniture et à la maintenance de la machine.

E-mails transactionnels : Scaleway (France, Union européenne). Les seuls e-mails que nous envoyons sont fonctionnels : vérification d'adresse, réinitialisation de mot de passe, code d'authentification à deux facteurs, notifications de suivi. Ce prestataire ne reçoit que votre adresse e-mail et le contenu du message ; il n'a accès ni à vos données de santé, ni à votre suivi, ni à la base de données. Aucune donnée n'est transférée hors de l'Union européenne.

Paiement par carte : Stripe, le cas échéant. Lorsque le paiement par carte bancaire est proposé, il est opéré par Stripe, qui agit en qualité de responsable de traitement distinct pour les données bancaires : celles-ci sont saisies sur une page Stripe, selon les normes PCI-DSS, et ne transitent jamais par nos serveurs. Nous ne conservons que la référence de la transaction et le montant. Si le paiement par carte n'est pas activé, aucune donnée n'est transmise à Stripe.

Ce que nous n'utilisons pas. Aucun outil de mesure d'audience tiers, aucun service de collecte d'erreurs applicatives externe, aucune police de caractères ni aucun script chargé depuis un serveur tiers, aucun outil marketing, aucun service d'intelligence artificielle externe. Vos données de santé ne sont transmises à aucun tiers, quel qu'il soit.

Les rendez-vous en visioconférence se tiennent au moyen d'un outil tiers, en dehors de la plateforme Altagon : cet outil n'est pas intégré au site ni à L'Arène, et aucune de vos données n'y est transmise par nos soins. Le service utilisé vous est indiqué dans l'invitation au rendez-vous ; le traitement de vos données par cet outil relève de sa propre politique de confidentialité.

Transferts hors Union européenne

Vos données de santé, votre suivi, vos messages et vos documents sont stockés exclusivement en France, chez OVH, et ne font l'objet d'aucun transfert hors de l'Union européenne. L'acheminement des e-mails fonctionnels est assuré par Scaleway, en France : aucun flux de données ne sort de l'Union européenne.

Si le paiement par carte bancaire est activé, les données de paiement sont traitées par Stripe sous sa propre responsabilité et selon sa propre politique. Vous pouvez obtenir une copie des garanties applicables à tout transfert sur simple demande à contact@altagon.fr.

Durées de conservation

Compte et profil : pendant toute la durée de la relation contractuelle, puis 2 ans après le dernier contact. Un athlète interrompt souvent son accompagnement pour le reprendre une saison plus tard, et redémarrer sans historique reviendrait à repartir de zéro. Métriques, questionnaires, séances et échanges : même durée. Historique et journal de blessures : durée de la relation puis 5 ans, la prévention des récidives supposant de connaître les antécédents sur plusieurs saisons. Résultats de l'analyse automatisée : supprimés en même temps que les données dont ils dérivent.

Demandes de Briefing sans suite : 3 ans après le dernier contact. Facturation et pièces comptables : 10 ans (article L123-22 du Code de commerce). Journaux de connexion et de sécurité : 12 mois. Preuves de consentement : 3 ans après le retrait ou la fin de la relation. Statistiques de fréquentation (compteurs quotidiens agrégés, sans donnée individuelle) : 25 mois. Identifiant de l'option « analyse approfondie », lorsqu'elle est acceptée : 13 mois, sans prolongation automatique.

En cas de retrait du consentement au traitement des données de santé, ou de demande de suppression de votre part, ces données sont supprimées sans attendre l'échéance ci-dessus, à l'exception de celles que la loi nous impose de conserver (pièces comptables) et des preuves de consentement, qui servent précisément à démontrer que vos choix ont été respectés.

Sauvegardes

Des sauvegardes chiffrées de la base de données et des fichiers déposés sont réalisées quotidiennement, afin de garantir la continuité du service et la récupération en cas d'incident. Elles sont conservées selon un cycle de rotation de 30 jours, puis détruites. Lorsqu'une donnée est supprimée à votre demande, elle disparaît des sauvegardes à l'issue de ce cycle ; les sauvegardes ne sont restaurées qu'en cas de nécessité technique, et cette restauration est journalisée.

Sécurité des traitements

Chiffrement TLS de toutes les communications, mots de passe hachés avec argon2id, authentification à deux facteurs disponible et recommandée, limitation stricte des tentatives de connexion, cloisonnement des accès selon le rôle, validation systématique des données entrantes, journalisation des connexions et des actions sensibles, sauvegardes chiffrées, et principe de minimisation appliqué à chaque champ collecté.

Nous préférons être précis plutôt que rassurants : un chiffrement applicatif supplémentaire (AES-256-GCM) protège les champs les plus sensibles, dont l'historique de blessures que vous saisissez à l'inscription. Il ne couvre pas l'intégralité de vos données de suivi : les métriques quotidiennes doivent rester lisibles par le moteur de calcul pour produire vos courbes et vos indicateurs, et un chiffrement de ces champs rendrait le service inopérant. Ces données restent protégées par l'isolation de la base (accessible uniquement depuis le serveur, jamais exposée sur le réseau), le cloisonnement des accès par rôle, la traçabilité des connexions et des actions d'administration, et le chiffrement des sauvegardes. L'extension du chiffrement applicatif aux réponses aux questionnaires et aux protocoles de reprise est planifiée.

En cas de violation de données

Si une violation de vos données survenait, elle serait notifiée à la CNIL dans les 72 heures suivant sa découverte lorsque le RGPD l'exige, et vous en seriez informé directement et sans délai excessif si elle était susceptible d'engendrer un risque élevé pour vos droits et libertés. S'agissant de données de santé, ce serait le cas dans la plupart des scénarios. L'information vous préciserait la nature de la violation, les données concernées, les conséquences probables et les mesures prises.

Mineurs

Le service est ouvert aux personnes âgées d'au moins 15 ans ; l'âge est vérifié à l'inscription et une date de naissance inférieure à ce seuil bloque la création du compte.

Pour un athlète mineur, l'ouverture de l'accompagnement est subordonnée à une autorisation écrite et signée du ou des titulaires de l'autorité parentale, remise avant l'activation de l'abonnement. Cette autorisation porte à la fois sur l'engagement contractuel, un mineur ne pouvant pas souscrire seul, et sur le traitement des données de santé de l'enfant. Elle est conservée comme preuve pendant la durée de l'accompagnement et 3 ans au-delà. Le titulaire de l'autorité parentale peut la retirer à tout moment en écrivant à contact@altagon.fr, ce qui met fin à l'accompagnement.

Le contenu de l'accompagnement reste échangé directement avec l'athlète mineur, qui dispose de son propre espace et de ses propres droits sur ses données.

Cookies

La gestion des traceurs et de votre consentement est détaillée dans la politique cookies, modifiable à tout moment.

Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment (sans effet rétroactif) et de définir des directives relatives au sort de vos données après votre décès.

Deux droits s'exercent immédiatement depuis les paramètres de L'Arène : la rectification de vos informations de profil, et l'export de vos données personnelles, téléchargeable à tout moment dans un format lisible et réutilisable. Les autres droits s'exercent en écrivant à contact@altagon.fr ; les paramètres de L'Arène comportent également un bouton permettant de demander la suppression de votre compte, qui enregistre votre demande et la transmet à votre coach.

Toute demande est traitée dans un délai d'un mois à compter de sa réception, conformément à l'article 12.3 du RGPD. Ce délai peut être prolongé de deux mois si la demande est complexe ou si plusieurs demandes se cumulent ; vous en seriez alors informé, avec les motifs, dans le premier mois. Nous pouvons être amenés à vérifier votre identité avant de répondre, lorsqu'un doute raisonnable existe : il s'agit de vous protéger contre une demande formulée par un tiers.

La suppression n'est pas toujours totale : les pièces comptables sont conservées jusqu'au terme du délai légal de 10 ans, et les preuves de consentement pendant 3 ans. Les données restantes sont supprimées ou anonymisées. Nous vous indiquons précisément ce qui a été supprimé et ce qui a été conservé, avec le motif.

En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

Modifications

La présente politique peut être mise à jour pour tenir compte des évolutions légales ou du service. La date de dernière mise à jour figure en tête de page ; les modifications substantielles vous sont notifiées.