1. Ce que couvre ce document
Il couvre l'application BodyPace : le compte, le journal d'entraînement, les mesures corporelles et l'accès que vous ouvrez à un coach. Il n'y a rien d'autre dans l'application aujourd'hui.
Les parties dont nous parlons comme de projets — alimentation, habitudes, santé — n'existent ni dans l'interface ni dans la base de données. Nous ne les décrivons pas ici à l'avance, volontairement : une politique qui promet de traiter ce qui n'existe pas ne protège personne. Quand une section arrivera, ce document changera avant elle, et vous verrez une nouvelle version et une nouvelle date.
Le site bodypace.app est décrit à part, dans la politique de confidentialité du site. Le site ne recueille rien de vous et n'a aucun rapport avec ce que vous écrivez dans l'application.
2. Ce que nous conservons
Uniquement ce sans quoi le dossier ne fonctionne pas. La liste complète est ci-dessous ; l'application ne collecte rien au-delà.
Le compte. Votre adresse e-mail, le nom indiqué à l'inscription et une empreinte de votre mot de passe. Le mot de passe lui-même n'est pas conservé et nous ne pouvons ni le retrouver ni l'afficher — seulement le comparer à ce que vous saisissez. Si vous vous connectez par Google ou Apple, nous n'avons aucun mot de passe : à la place, nous gardons l'identifiant que ces services émettent spécialement pour la connexion à BodyPace. Il ne donne accès ni à votre messagerie ni à votre compte chez eux.
Vérification et connexion. Une marque indiquant que l'adresse est confirmée, un compteur de tentatives échouées, un blocage temporaire après une série d'échecs, ainsi que les empreintes des codes à six chiffres de confirmation et de récupération. Les codes vivent quinze minutes et ne sont pas conservés en clair.
Sessions. Les empreintes des jetons par lesquels l'application confirme que c'est toujours vous. Les jetons eux-mêmes ne sont pas conservés sur le serveur. Chaque renouvellement émet un nouveau jeton et éteint l'ancien ; si l'ancien est présenté de nouveau, toute la chaîne est fermée.
Entraînement. Programmes et modèles de séances, plans pour des jours précis, séances réellement effectuées et leurs séries : charge, répétitions, durée, distance et la mention « facile » ou « difficile ». Plus vos notes sur une séance, un exercice et une série isolée, ainsi que le début et la fin de la séance.
Mesures corporelles. Taille, poids, âge, sexe, niveau d'activité et objectif — les chiffres que vous saisissez vous-même. À côté, l'application calcule et conserve un repère calorique journalier : la formule, le métabolisme de base, le facteur d'activité et le nombre final. C'est de l'arithmétique sur vos propres chiffres, pas un avis médical.
Accès du coach. Qui a accès, quels domaines sont ouverts, dans quel état il est, les dates d'invitation, d'acceptation, de refus et de retrait, la version du consentement que vous avez confirmée et le motif du refus si le coach en a indiqué un.
Technique. Les dates de création et de dernière modification de chaque entrée, une marque indiquant que vous avez vu la présentation initiale, et les journaux ordinaires du serveur — heure de la requête et résultat. Les journaux servent à trouver les pannes et à repérer les tentatives de deviner un mot de passe.
3. À quoi cela sert
Le compte et l'adresse confirmée font que les entrées vous appartiennent et à personne d'autre, et vous permettent de revenir si vous oubliez le mot de passe. Le compteur et le blocage vous protègent de quelqu'un qui le devinerait.
L'entraînement et les mesures sont le contenu de l'application. Nous les conservons pour que vous voyiez votre historique et qu'un coach voie ce que vous lui avez ouvert. Le repère calorique est calculé à partir de vos chiffres et affiché à côté d'eux.
Les données d'accès existent pour que vous voyiez à tout moment qui a quoi, et que vous puissiez le fermer. La version du consentement est conservée pour que, dans un an, vous puissiez relire ce que vous avez accepté au lieu de vous en souvenir.
Les journaux du serveur servent au fonctionnement et à la sécurité : trouver une panne, repérer une série de tentatives. Nous ne les utilisons pas pour dresser un portrait d'utilisateur.
4. Ce que nous ne faisons pas
Cette liste n'est pas une formule de politesse. C'est un ensemble de choses qui n'existent ni dans le code ni dans les projets des prochaines versions.
5. Ce que voit un coach
Rien, tant que vous n'ouvrez pas l'accès. Un coach ne peut pas trouver votre dossier, y jeter un œil ni apprendre qu'il existe — pas avant que vous acceptiez son invitation ou qu'il accepte la vôtre.
Une fois l'accès ouvert, le coach ne voit que les domaines qu'il couvre : l'entraînement et, si vous avez laissé ce domaine ouvert, les mesures corporelles. De vos notes, il ne voit que celles que vous avez rendues visibles pour lui.
Le coach peut composer et modifier vos programmes et séances à venir et écrire des notes : elles apparaissent dans votre dossier avec son nom et la date. Les entrées passées, il ne peut pas les modifier : le réalisé, c'est vous qui l'écrivez.
L'accès se retire en une étape, sans justification. Ensuite le coach cesse de voir les nouvelles entrées. L'historique reste chez vous en entier — y compris les notes du coach, avec leur auteur.
6. Qui d'autre intervient
Pour que l'application fonctionne, certaines tâches sont assurées par des services extérieurs. La liste complète est ci-dessous. Chacun reçoit exactement ce qu'exige sa tâche, et rien de plus.
Il n'y a aucun autre service dans l'application : ni analyse, ni régie publicitaire, ni système de rapports de plantage.
7. Ce qui reste sur votre appareil
Le journal s'écrit d'abord sur l'appareil et ne part vers le serveur qu'ensuite. C'est volontaire : une série se note dans une salle, où il peut n'y avoir aucun réseau.
Le téléphone contient donc une copie locale de vos entrées, et les clés de session sont dans le stockage sécurisé du système — Keychain sur iOS, Keystore sur Android. Nous n'avons pas accès à ce stockage : il est géré par le système d'exploitation.
Si vous supprimez l'application, la copie locale et les clés de session disparaissent avec elle. Les entrées sur le serveur restent — pour les effacer aussi, il faut supprimer le compte.
8. Combien de temps nous conservons
Les entrées sont conservées tant que le compte existe. Un journal sert parce qu'il se souvient ; effacer l'historique à échéance irait contre ce pour quoi on en tient un.
Les codes de confirmation et de récupération vivent quinze minutes et s'éteignent au premier usage. Une session se renouvelle tant que vous utilisez l'application et se ferme à la déconnexion.
Quand vous supprimez le compte, nous supprimons vos entrées. Des copies peuvent subsister un temps dans les sauvegardes de la base — c'est une propriété de toute sauvegarde ; elles sont écrasées au fil de la rotation et ne servent à rien d'autre qu'à se remettre d'une panne.
Les notes qu'un coach a écrites dans votre dossier sont supprimées avec le dossier. Elles ne restent pas chez le coach.
9. Vos droits
Les données sont les vôtres. Vous pouvez savoir ce qui est conservé à votre sujet, le recevoir sous une forme lisible, corriger ce qui est inexact et tout supprimer avec le compte.
Il n'y a pas encore de boutons d'export et de suppression dans l'application — nous le faisons par courrier. Écrivez à privacy@bodypace.app depuis l'adresse du compte et dites ce dont vous avez besoin. Nous répondons sous trente jours, généralement plus vite.
Retirer l'accès d'un coach ne demande pas de courrier : c'est une étape sur l'écran « Mon coach », immédiate et sans justification.
10. Comment nous protégeons
Les mots de passe sont conservés sous forme d'empreinte produite par Argon2id, un algorithme conçu exactement pour cela. Le mot de passe d'origine ne peut pas en être retrouvé.
Les codes de confirmation et les jetons de session sont eux aussi conservés en empreinte et non en clair : une base tombée en de mauvaises mains ne doit pas livrer d'accès vivants. Les échanges entre l'application et le serveur passent par une connexion protégée.
Les sessions sont conçues pour qu'un vol se voie : chaque renouvellement émet un nouveau jeton et éteint le précédent, et présenter un jeton éteint ferme toute la chaîne.
Rien de tout cela ne rend le système invulnérable, et nous ne le prétendons pas. Si une fuite survient malgré tout, nous préviendrons les personnes concernées et décrirons ce qui s'est passé.
11. Âge
L'application s'adresse aux personnes de seize ans et plus. Nous ne vérifions pas l'âge à l'inscription — on ne peut pas le faire de façon fiable — mais nous ne construisons pas non plus pour des enfants : il n'y a ni contenu pour enfants ni mécanisme de consentement parental.
S'il s'avère qu'un compte appartient à une personne de moins de seize ans, écrivez-nous et nous supprimerons le compte et les entrées.
12. Modifications et contact
Ce document changera : l'application grandit, et chaque nouvelle section change ce que nous conservons. La règle est simple — le document change avant la fonction, pas après.
Chaque version porte sa date dans le titre. Les versions antérieures restent accessibles à leurs propres adresses, pour que vous puissiez relire ce qui était en vigueur au moment où vous avez accepté.
Le responsable n'est pas encore enregistré : le projet n'a pas de personne morale. Dès qu'il y en aura une, son nom et son adresse figureront ici et le document prendra une nouvelle version.
Questions, demandes d'export et de suppression, réclamations — privacy@bodypace.app. Nous répondons par écrit.