Politique de confidentialité

Version 1 · en vigueur depuis le 19/10/2026

POLITIQUE DE CONFIDENTIALITÉ

1. Préambule

Wattson est une application de planification et de suivi d'entraînement sportif. Elle permet à ses utilisateurs de définir un profil athlète, de calculer des zones d'entraînement personnalisées, de générer et suivre des séances, et de synchroniser ces séances avec leur appareil connecté.

La présente politique de confidentialité décrit de manière exhaustive quelles données à caractère personnel sont collectées, pourquoi elles le sont, sur quelle base légale, à qui elles sont transmises, combien de temps elles sont conservées et comment elles sont protégées.

Elle est rédigée conformément au Règlement (UE) 2016/679 du 27 avril 2016 (ci-après le « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

Nous nous engageons à traiter vos données selon les principes de licéité, loyauté et transparence, de minimisation (nous ne collectons que ce qui est strictement nécessaire au service) et de limitation des finalités (vos données ne sont jamais utilisées à d'autres fins que celles décrites ci-dessous).

Engagement fondamental : Wattson n'utilise aucun outil de mesure d'audience, aucun pixel publicitaire, aucun traceur tiers et aucun outil de profilage marketing. Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales, en aucune circonstance.

Une version anglaise de la présente politique est disponible à l'adresse getwattson.io/en/legal/privacy. En cas de divergence d'interprétation, la version française fait foi.

2. Responsable du traitement

Le responsable du traitement au sens de l'article 4.7 du RGPD est :


Dénomination sociale	`Pierre Halloo EI`
Nom commercial	`Wattson`
Forme juridique	`Entrepreneur individuel (EI) sous le régime de la micro-entreprise`
Siège social	`4 rue de la gare, 80710, Quevauvillers, Somme, France`
Numéro SIREN	`890589674`
Numéro SIRET	`89058967400021`
Numéro de TVA intracommunautaire	`FR64890589674`
Directeur de la publication	`Pierre Halloo`
Email de contact général	`support@getwattson.io`
Email dédié à la protection des données	`privacy@getwattson.io`

Délégué à la protection des données (DPO) : La désignation d'un délégué à la protection des données n'est pas obligatoire au regard de l'article 37 du RGPD compte tenu de la nature et de l'échelle de nos traitements. Toute question relative à la protection des données peut être adressée à l'adresse indiquée ci-dessus, qui constitue notre point de contact permanent en la matière.

3. Champ d'application

La présente politique s'applique à l'ensemble des traitements mis en œuvre dans le cadre :

de l'application web Wattson destinée aux athlètes (ci-après « l'Application ») ;
de l'interface d'administration interne de Wattson (ci-après le « Back-office ») ;
de l'API Wattson qui sous-tend ces deux interfaces.

Elle ne s'applique pas aux traitements mis en œuvre par les services tiers auxquels vous choisissez de connecter votre compte (notamment les fabricants d'appareils connectés et les plateformes d'entraînement) ni par nos prestataires de paiement, qui disposent de leurs propres politiques de confidentialité. Ces services sont identifiés aux sections 7.2 et 7.3.

4. Données collectées

4.1 Données que vous nous fournissez directement

Données d'identification et de compte

Prénom, nom
Adresse email
Mot de passe (jamais conservé en clair, voir section 10)
Couleur d'avatar (préférence d'affichage)

Données de profil athlète

Date de naissance
Genre
Poids
Taille
Sport pratiqué, niveau déclaré, unité d'intensité préférée

Données physiologiques et de performance

FTP (Functional Threshold Power)
VMA (vitesse maximale aérobie)
Fréquence cardiaque maximale et fréquence cardiaque de repos

Données d'entraînement

Contenu des séances créées ou planifiées (structure, blocs d'effort, intensités, durées)
Calendrier d'entraînement

Données de facturation

Ces données (nom, adresse de facturation, moyen de paiement) sont saisies par vos soins dans une interface hébergée par notre prestataire de paiement et collectées directement par lui. Elles ne transitent à aucun moment par nos serveurs et ne sont pas stockées dans notre base de données. Nous conservons uniquement les identifiants techniques d'abonnement et de client attribués par ce prestataire, qui nous permettent de savoir quel accès vous est ouvert. Les factures émises, qui comportent votre adresse de facturation, sont établies et archivées par le prestataire ; nous y accédons via son interface pour les besoins comptables et fiscaux décrits en section 9.2.

Préférences de communication

Consentement à la réception de la newsletter
Consentement à la réception de communications marketing

4.2 Données collectées automatiquement

Adresse IP enregistrée au moment de l'acceptation de nos conditions générales, à titre de preuve de consentement, et utilisée pour la limitation du débit (rate limiting) sur les points d'entrée sensibles afin de prévenir les abus
User-Agent (type de navigateur et de système d'exploitation) enregistré dans les mêmes conditions
Horodatage de création, de modification et d'acceptation des documents légaux
Statut du compte : rôle, compte actif, adresse email vérifiée
Adresse IP, User-Agent, identifiant de compte et adresse email, ainsi que le contenu technique d'une requête ayant échoué (message d'erreur, trace d'exécution), transmis en cas de dysfonctionnement ou pour un échantillon des requêtes à notre outil de supervision d'erreurs (voir section 7.2). Les cookies d'authentification et de session en sont systématiquement exclus.

4.3 Données issues de vos appareils et plateformes connectés

Si, et seulement si, vous autorisez explicitement la connexion d'un appareil ou d'un service tiers :

Jetons d'autorisation OAuth (jeton d'accès et jeton de rafraîchissement) chiffrés au repos dans notre base de données
Identifiant de votre compte chez le fournisseur tiers (provider user ID)
Périmètre d'autorisation accordé (scopes)
Statut de synchronisation des séances transmises

Périmètre des autorisations demandées. Wattson demande auprès de chaque plateforme un accès en écriture destiné à y publier vos séances d'entraînement, et un accès en lecture strictement limité aux éléments nécessaires à l'association et à la validation du compte. Nous ne demandons pas, à ce jour, l'accès en lecture aux activités réalisées, aux traces GPS, aux mesures de santé quotidiennes ni aux données de sommeil.

Si nous devions étendre ce périmètre à l'avenir, par exemple pour comparer vos séances planifiées à vos séances réalisées ; la présente politique serait mise à jour préalablement, la nouvelle catégorie de données et sa finalité y seraient décrites, et un nouveau consentement explicite vous serait demandé. Aucune extension de périmètre ne peut prendre effet sur les autorisations déjà accordées sans une nouvelle action de votre part.

4.4 Données que nous ne collectons pas

Par conception, Wattson ne reçoit, ne traite et ne stocke pas :

Vos données de carte bancaire : la saisie s'effectue dans un cadre isolé (iframe) hébergé par notre prestataire de paiement certifié PCI-DSS. Ces données ne transitent à aucun moment par nos serveurs.
Votre adresse de facturation en base de données : elle est transmise directement à notre prestataire de paiement, qui en est le dépositaire (voir section 4.1).
Vos données de géolocalisation : l'Application ne demande à aucun moment l'accès à votre position. La permission correspondante est explicitement bloquée au niveau de l'en-tête Permissions-Policy de nos serveurs web, de même que l'accès à la caméra et au microphone. Wattson ne reçoit par ailleurs aucune trace GPS depuis les plateformes tierces auxquelles vous connectez votre compte, le périmètre d'autorisation demandé ne le permettant pas (voir section 4.3).
Toute donnée de navigation à des fins publicitaires ou statistiques.

5. Finalités et bases légales des traitements

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale déterminée.

Catégorie de données	Finalité	Base légale (art. 6 RGPD)
Prénom, nom, email	Création et gestion du compte, authentification, communication contractuelle	Exécution du contrat art. 6.1.b
Mot de passe (haché)	Authentification et sécurité du compte	Exécution du contrat art. 6.1.b
Date de naissance, genre, poids, taille	Estimation des seuils physiologiques (FTP, VMA, FC max, FC de réserve) et calcul des zones d'entraînement	Consentement explicite art. 6.1.a et art. 9.2.a (voir section 6)
FTP, VMA, FC max, FC de repos	Génération et calibration des plans d'entraînement personnalisés	Consentement explicite art. 6.1.a et art. 9.2.a (voir section 6)
Sport, niveau, unité d'intensité	Personnalisation de l'interface et des séances proposées	Exécution du contrat art. 6.1.b
Contenu des séances d'entraînement	Fourniture du service de planification et de suivi	Exécution du contrat art. 6.1.b
Jetons OAuth, identifiant fournisseur tiers	Synchronisation des séances avec votre appareil connecté	Consentement art. 6.1.a
Identifiants d'abonnement et de client du prestataire de paiement	Gestion de l'abonnement, accès aux fonctionnalités payantes	Exécution du contrat art. 6.1.b
Factures et pièces comptables (établies et archivées par le prestataire de paiement)	Facturation et conformité fiscale et comptable	Obligation légale art. 6.1.c
Adresse IP, User-Agent (registre de consentement)	Constitution de la preuve d'acceptation des conditions générales	Obligation légale (accountability, art. 5.2) art. 6.1.c
Adresse IP (limitation de débit)	Prévention des abus, des attaques par force brute et des inscriptions automatisées	Intérêt légitime art. 6.1.f
Préférences newsletter / marketing	Envoi de communications non contractuelles	Consentement art. 6.1.a
Statut et rôle du compte	Contrôle des droits d'accès, administration du service	Intérêt légitime art. 6.1.f
Adresse IP, User-Agent, identifiant de compte (supervision d'erreurs)	Diagnostic, correction et prévention des dysfonctionnements techniques ; supervision de la performance du service	Intérêt légitime art. 6.1.f
Cookies d'authentification et de sécurité	Maintien de la session, protection contre les attaques CSRF	Nécessaires à la fourniture du service exemptés de consentement (voir section 12)

Concernant l'intérêt légitime : lorsque nous invoquons cette base légale, nous avons procédé à une mise en balance entre nos intérêts et vos droits et libertés fondamentaux. Les traitements concernés (sécurité du service, administration technique) sont limités à ce qui est strictement nécessaire et ne présentent pas d'impact significatif sur votre vie privée. Vous disposez d'un droit d'opposition (voir section 11).

6. Traitement des données morphologiques et physiologiques

Cette section mérite une attention particulière et fait l'objet d'un engagement renforcé de notre part.

6.1 Nature des données concernées

Wattson collecte votre date de naissance, votre genre, votre poids et votre taille, ainsi que vos valeurs physiologiques (FTP, VMA, fréquence cardiaque maximale et de repos).

6.2 Finalité unique et exclusive

Ces données sont collectées et traitées dans le seul et unique but de :

Estimer vos seuils physiologiques lorsque vous ne les connaissez pas (calcul de FC max théorique, estimation de FTP ou de VMA à partir de vos caractéristiques et de votre niveau déclaré) ;
Calculer vos zones d'entraînement (zones de puissance, d'allure et de fréquence cardiaque) ;
Calibrer l'intensité des séances qui vous sont proposées.

Elles ne sont utilisées pour aucune autre finalité. En particulier, elles ne font l'objet d'aucun profilage commercial, d'aucune analyse statistique agrégée à des fins de recherche ou de développement produit, d'aucun entraînement de modèle algorithmique, d'aucune segmentation marketing, et ne sont jamais transmises à des tiers ; à la seule exception, pour les valeurs physiologiques, de la plateforme de votre appareil connecté si vous avez explicitement autorisé la synchronisation, et uniquement dans la mesure nécessaire à l'exécution correcte des séances sur cet appareil.

6.3 Qualification juridique et base légale

L'article 9.1 du RGPD pose une interdiction de principe du traitement des données concernant la santé. Wattson n'est pas un service de santé, n'établit aucun diagnostic, ne fournit aucun conseil médical et n'a pas vocation à évaluer votre état de santé.

Néanmoins, par principe de précaution, nous considérons que le croisement de ces paramètres est susceptible de recevoir la qualification de donnée concernant la santé au sens de l'article 4.15 du RGPD. Nous appliquons en conséquence le régime protecteur de l'article 9 et fondons ce traitement sur l'exception prévue à l'article 9.2.a le consentement explicite de la personne concernée pour une finalité spécifique.

6.4 Modalités du consentement

En conséquence :

Votre consentement à ce traitement est recueilli de manière distincte de l'acceptation des conditions générales d'utilisation et de vente, au moyen d'une action positive claire et dédiée ;
La finalité vous est présentée en termes explicites au moment du recueil ;
Ce consentement est horodaté et tracé (date, version du texte accepté) afin de satisfaire à notre obligation de démonstration prévue à l'article 7.1 ;
Vous pouvez retirer votre consentement à tout moment, aussi facilement que vous l'avez donné, depuis les paramètres de votre compte. Le retrait entraîne l'effacement des données concernées et la perte des fonctionnalités de personnalisation qui en dépendent, sans remettre en cause la licéité du traitement effectué antérieurement ;
Le refus de consentir ne vous prive pas de l'accès au service, mais rend indisponibles les fonctionnalités de calcul automatique des zones d'entraînement.

6.5 Absence de décision automatisée au sens de l'article 22

Wattson génère automatiquement des propositions de séances et de zones d'entraînement à partir de vos données. Ce traitement ne constitue pas une décision automatisée produisant des effets juridiques ou vous affectant de manière significative de façon similaire au sens de l'article 22 du RGPD : il s'agit d'une aide à la planification sportive que vous restez libre de modifier, d'ignorer ou de ne pas suivre. Vous conservez à tout moment la maîtrise complète de votre calendrier et du contenu de vos séances.

6.6 Avertissement

Wattson n'est pas un dispositif médical. Les valeurs calculées sont des estimations à visée sportive. Elles ne remplacent en aucun cas un avis médical, un test d'effort en laboratoire ou le suivi d'un professionnel de santé. Il vous appartient de vous assurer, auprès d'un médecin, que votre état de santé est compatible avec la pratique sportive et les intensités d'effort proposées.

7. Destinataires de vos données

7.1 Accès internes

Au sein de Wattson, l'accès aux données personnelles est strictement limité aux personnes qui en ont besoin dans l'exercice de leurs fonctions, au moyen d'un contrôle d'accès fondé sur les rôles appliqué côté serveur.

Le back-office permet à un nombre restreint d'administrateurs disposant du rôle le plus élevé de consulter le registre d'acceptation des documents légaux, qui comporte l'identifiant de l'utilisateur, son adresse IP et son User-Agent au moment de l'acceptation. Cet accès est justifié par la nécessité de pouvoir démontrer le recueil du consentement en cas de contestation ou de contrôle.

Aucun membre de l'équipe Wattson n'a accès à vos mots de passe, qui ne sont conservés que sous forme d'empreinte cryptographique irréversible, ni aux jetons d'autorisation de vos appareils connectés, chiffrés au repos.

7.2 Nos sous-traitants

Les prestataires suivants traitent des données personnelles pour notre compte et sur nos instructions, au sens de l'article 28 du RGPD. Chacun est lié par un accord de traitement des données lui interdisant tout usage des données à des fins propres et lui imposant des garanties de sécurité appropriées.

Prestataire de paiement


Entité cocontractante	Stripe Payments Europe, Limited, Irlande
Finalité	Traitement des paiements, facturation, gestion des abonnements et des moyens de paiement
Données transmises	Prénom, nom, adresse email, adresse de facturation, coordonnées du moyen de paiement (saisies directement chez le prestataire), identifiants d'abonnement
Localisation du traitement	Union européenne (Irlande), avec transferts vers les États-Unis nécessaires à la fourniture du service
Encadrement du transfert	Addendum de transfert de données incorporé au contrat, reposant sur les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914)
Garanties spécifiques	Certification PCI-DSS de niveau 1, vérifiée annuellement par un évaluateur de sécurité qualifié. Chiffrement AES-256 des données au repos et TLS en transit. Les numéros de carte sont chiffrés séparément et conservés dans un coffre-fort de données isolé. Notification des violations de données dans les délais contractuellement prévus.
Sous-traitants ultérieurs	Liste publique tenue à jour et consultable à l'adresse `stripe.com/legal/service-providers`
Contrat conclu	Oui l'accord de traitement des données fait partie intégrante du contrat de services accepté lors de l'ouverture du compte

Ce prestataire agit également comme responsable de traitement indépendant pour certaines finalités qui lui sont propres, notamment la lutte contre la fraude, le respect de ses obligations réglementaires en matière de lutte contre le blanchiment et de connaissance client, ainsi que l'amélioration de ses propres services. Pour ces traitements, sa politique de confidentialité s'applique et nous n'en déterminons ni les finalités ni les moyens.

Prestataire d'acheminement des emails


Entité cocontractante	Plus Five Five, Inc. États-Unis (San Francisco, Californie)
Finalité	Acheminement des emails transactionnels : vérification d'adresse, réinitialisation de mot de passe, notifications relatives au compte
Données transmises	Adresse email, prénom, contenu du message et métadonnées d'acheminement
Localisation du traitement	États-Unis
Encadrement du transfert	Certification au titre du EU-U.S. Data Privacy Framework auprès du Département du Commerce des États-Unis, complétée par les clauses contractuelles types de la Commission européenne
Garanties spécifiques	Soumission aux pouvoirs d'enquête et de sanction de la Federal Trade Commission. Engagement de coopérer avec les autorités européennes de protection des données pour les réclamations non résolues, et possibilité pour la personne concernée de recourir à un arbitrage contraignant. Tests d'intrusion annuels, analyse statique de code, chiffrement en transit et au repos.
Durée de conservation chez le prestataire	Suppression des données dans les 90 jours suivant la résiliation de notre compte
Sous-traitants ultérieurs	Liste publique consultable à l'adresse `resend.com/legal/subprocessors`
Contrat conclu	Oui l'addendum de traitement des données devient contraignant à l'acceptation des conditions de service

Hébergeur de l'infrastructure


Entité cocontractante	Railway Corporation, États-Unis (San Francisco, Californie)
Finalité	Hébergement de l'application et de la base de données, terminaison TLS, sauvegardes
Données transmises	Ensemble des données traitées par le service, en transit et au repos
Localisation du stockage	Région EU West, Amsterdam, Pays-Bas
Accès depuis un pays tiers	L'entité cocontractante étant établie aux États-Unis, un accès à distance depuis les États-Unis par son personnel technique habilité est possible dans le cadre des opérations d'exploitation et de support. Cet accès constitue un transfert au sens du chapitre V du RGPD et est encadré comme indiqué ci-dessous.
Encadrement du transfert	Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), module « responsable de traitement vers sous-traitant », régies par le droit irlandais et relevant des juridictions irlandaises. Recours au Data Privacy Framework lorsque le destinataire du transfert en est certifié.
Garanties spécifiques	Chiffrement de la base de données au repos et chiffrement des données en transit. Isolation logique entre environnements clients. Sauvegardes quotidiennes réparties sur plusieurs sites et régions, avec tests de restauration réguliers. Authentification à deux facteurs obligatoire pour les accès internes. Journalisation exhaustive et analyse des anomalies. Contrôles automatisés de conformité vérifiés en continu.
Sous-traitant ultérieur principal	Google Cloud Platform, qui assure la sécurité physique des centres de données
Sous-traitants ultérieurs	Liste publique consultable à l'adresse `trust.railway.com/item/subprocessors`, avec notification préalable de dix jours avant tout ajout
Contrat conclu	Oui l'accord de traitement des données fait partie intégrante du contrat de services accepté lors de l'ouverture du compte

Outil de supervision des erreurs applicatives


Entité cocontractante	Functional Software GmbH, entité européenne du groupe Sentry, compétente pour les organisations dont la région de traitement des données est fixée sur l'Union européenne, ce qui est le cas de la nôtre. L'identification complète de l'entité, son siège et la région de stockage figurent au contrat de traitement des données en vigueur, dont une copie peut vous être communiquée sur demande.
Finalité	Diagnostic, correction et prévention des dysfonctionnements techniques ; supervision de la performance du service, côté serveur comme au sein de notre application web
Données transmises	Côté serveur : adresse IP, User-Agent et autres en-têtes de requête non sensibles, identifiant de compte et adresse email de l'utilisateur authentifié le cas échéant, message d'erreur et trace d'exécution du code, données de performance technique (temps de réponse, requêtes en base) à l'exclusion des cookies d'authentification et de session et des variables locales du code, systématiquement filtrés avant tout envoi (voir section 10.4). Côté application web : message d'erreur et trace d'exécution du code, URL et temps de chargement/navigation des pages consultées, type de navigateur contrairement au serveur, l'application web ne transmet ni identifiant de compte ni adresse email. L'adresse IP de connexion reste néanmoins visible du prestataire en tant que destinataire technique de la requête réseau, comme pour tout service auquel votre navigateur se connecte.
Localisation du traitement	Région de traitement fixée sur l'Union européenne pour les données d'événements ; États-Unis pour les métadonnées de compte, les journaux d'audit et les échanges avec le support, qui restent hors du périmètre de la région de traitement choisie
Encadrement du transfert	Clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) pour les flux résiduels vers les États-Unis, complétées par la certification de l'entité américaine du groupe au titre de l'EU-U.S. Data Privacy Framework
Garanties spécifiques	Filtrage des cookies d'authentification et de session par une liste de blocage dédiée aux noms utilisés par Wattson, en complément de la liste standard de l'éditeur ; désactivation de la capture des variables locales dans les traces d'exécution ; chiffrement en transit (TLS) et au repos
Durée de conservation chez le prestataire	Durée définie par notre abonnement (90 jours par défaut pour les événements d'erreur, susceptible d'évoluer avec l'offre souscrite) ; suppression de l'ensemble des données à la résiliation du contrat, sauf obligation légale de conservation
Sous-traitants ultérieurs	Liste publique tenue à jour et consultable à l'adresse `sentry.io/legal/subprocessors`, avec flux de notification des modifications
Contrat conclu	Oui le contrat de traitement des données (DPA) est intégré aux conditions de service acceptées à la création de notre organisation

Cet outil est déployé côté serveur ainsi qu'au sein de notre application web (getwattson.io) ; il pourra l'être, le cas échéant, au sein de toute autre application cliente future selon les mêmes garanties. Aucune donnée physiologique, aucune donnée d'entraînement, aucun identifiant de paiement et aucun jeton d'autorisation tiers ne lui est transmis, et aucun enregistrement de session (Session Replay) n'est réalisé (voir section 7.4).

7.3 Transmissions à des tiers responsables de traitement

Certaines transmissions de données ne relèvent pas de la sous-traitance : le destinataire détermine alors lui-même les finalités et les moyens du traitement, et devient responsable de traitement indépendant pour les données qu'il reçoit.

Fabricants d'appareils et plateformes d'entraînement connectées

Si, et seulement si, vous choisissez explicitement de connecter votre compte Wattson à la plateforme d'un fabricant d'appareil ou à un service tiers d'entraînement, nous transmettons à cette plateforme les données nécessaires à la synchronisation de vos séances : le contenu et les paramètres des séances, ainsi que les valeurs physiologiques nécessaires à leur exécution correcte sur votre appareil.

Point essentiel à comprendre : ces plateformes ne traitent pas ces données pour notre compte. Elles les traitent pour leur propre compte, selon leurs propres finalités et leur propre politique de confidentialité, sur lesquelles Wattson n'a aucun contrôle.

Concrètement, cela signifie que :

La transmission repose sur votre consentement explicite, exprimé par l'autorisation que vous accordez lors du flux de connexion OAuth. Elle n'a jamais lieu sans cette autorisation.
À partir du moment où les données parviennent à la plateforme tierce, c'est sa politique de confidentialité qui s'applique, et non la présente politique. Nous vous invitons à en prendre connaissance avant de connecter votre compte.
Ces plateformes peuvent avoir des pratiques différentes des nôtres, notamment en matière de mesure d'audience, de publicité ciblée ou de partage avec leurs propres partenaires commerciaux ; pratiques auxquelles Wattson ne recourt pas.
Plusieurs de ces fabricants sont établis en dehors de l'Union européenne, principalement aux États-Unis, et transfèrent les données vers leur pays d'établissement.

Révocation d'une connexion

Vous pouvez révoquer une connexion à tout moment, et de deux manières :

Depuis Wattson, dans les paramètres de votre compte. La révocation déclenche un appel de révocation auprès de l'API de la plateforme, puis la suppression immédiate des jetons d'autorisation dans notre base.
Depuis la plateforme tierce elle-même, si celle-ci propose un écran de gestion des applications connectées. Dans ce cas, nous exposons des points d'entrée dédiés (endpoints de désinscription et de modification des autorisations) permettant à la plateforme de nous notifier le retrait. À réception de cette notification, nous supprimons les jetons d'autorisation correspondants et cessons immédiatement toute transmission vers cette plateforme, sans action de votre part.

Dans les deux cas, la révocation ne supprime pas rétroactivement les données déjà transmises à la plateforme : pour cela, vous devez exercer vos droits directement auprès d'elle.

Conservation des données reçues d'une plateforme tierce

Lorsqu'une plateforme tierce nous transmet des données en retour (à ce jour limitées à l'identifiant de compte, au périmètre d'autorisation et au statut de synchronisation), celles-ci sont conservées uniquement pendant la durée de la connexion active et sont supprimées dès la révocation de l'autorisation, par vous-même ou par la plateforme, ou à la suppression de votre compte Wattson. Elles ne sont jamais conservées après la fin de la connexion, ne sont jamais conservées sous forme agrégée ou anonymisée à d'autres fins, et ne sont jamais utilisées pour une finalité autre que la synchronisation de vos séances.

Plateformes actuellement connectables

Plateforme	Entité	Établissement	Politique applicable
Wahoo	Wahoo Fitness, LLC	États-Unis (Atlanta, Géorgie), avec une filiale au Royaume-Uni et une représentation fiscale aux Pays-Bas	`fr-eu.wahoofitness.com/privacy-policy`
Intervals.icu	Intervals.icu Ltd	Royaume-Uni (Londres), avec un représentant UE/UK désigné (Prighter Group) ; données traitées en Allemagne et en Finlande, stockage cloud possible via Google, Backblaze et Wasabi	`intervals.icu/privacy-policy`
Garmin	Garmin Würzburg GmbH (pour les résidents de l’EEE, du Royaume-Uni et de la Suisse)	Allemagne (Würzburg)	`https://www.garmin.com/fr-FR/privacy/connect/policy/`
Suunto	Suunto Oy et plusieurs sociétés affiliées, responsables conjoints du traitement	Finlande (Vantaa), avec d’autres entités en Chine et à Hong Kong	`https://www.suunto.com/fr-fr/Politique-de-Confidentialite/`
COROS	COROS Wearables, Inc.	États-Unis (Irvine, Californie), avec un représentant dans l’UE aux Pays-Bas	`https://coros.com/fr/privacy`

Cette liste est limitative : aucune plateforme ne peut être ajoutée sans mise à jour préalable de la présente politique. Toute nouvelle plateforme connectable donnera lieu à une modification de ce tableau, notifiée dans les conditions de la section 15, et à un recueil de consentement distinct au moment où vous choisirez, ou non, d'activer cette connexion. L'ajout d'une plateforme n'a aucun effet sur les comptes qui ne la connectent pas.

7.4 Absence de traceurs et d'outils d'analyse tiers

Nous confirmons expressément qu'aucun des services suivants n'est intégré à Wattson :

Outils de mesure d'audience ou d'analytique comportementale ;
Pixels ou balises publicitaires ;
Régies publicitaires ou plateformes d'enchères ;
Outils de support conversationnel ou de chat tiers ;
Outils d'enregistrement de session côté client.

La surface de partage de vos données se limite donc strictement aux destinataires listés aux sections 7.2 et 7.3.

7.5 Autres destinataires

Vos données peuvent être communiquées à des autorités administratives ou judiciaires lorsque la loi nous y contraint, sur réquisition régulière, et dans la stricte limite de ce qui est demandé.

Nos sous-traitants se sont contractuellement engagés, en cas de demande d'accès émanant d'une autorité gouvernementale ou d'un service de renseignement du pays où les données sont exportées, à tenter de rediriger cette demande vers nous, à nous en informer dans un délai raisonnable sauf interdiction légale, et à ne procéder à aucune divulgation volontaire.

En cas d'opération de fusion, d'acquisition ou de cession d'actifs, vos données pourraient être transférées à l'entité repreneuse. Vous en seriez informé préalablement et conserveriez l'intégralité de vos droits, notamment celui de supprimer votre compte avant la réalisation de l'opération.

8. Transferts hors de l'Union européenne

8.1 Principe

Le RGPD encadre strictement les transferts de données personnelles en dehors de l'Espace économique européen. Un tel transfert n'est licite que s'il est couvert par l'un des mécanismes prévus au chapitre V du règlement : une décision d'adéquation de la Commission européenne, des clauses contractuelles types, ou l'un des autres outils prévus par les articles 46 à 49.

Wattson recourt à des prestataires dont une partie des traitements, ou des accès, a lieu aux États-Unis. Chacun de ces transferts est encadré comme indiqué ci-dessous.

8.2 Synthèse des transferts

Destinataire	Rôle	Localisation du traitement et des accès	Mécanisme d'encadrement
Stripe Payments Europe, Limited	Sous-traitant	Irlande (UE), avec transferts vers les États-Unis	Clauses contractuelles types (décision (UE) 2021/914) via l'addendum de transfert de données
Plus Five Five, Inc.	Sous-traitant	États-Unis	EU-U.S. Data Privacy Framework, complété par les clauses contractuelles types
Railway Corporation	Sous-traitant	Stockage en région EU West, Amsterdam, Pays-Bas ; accès à distance possible depuis les États-Unis par le personnel technique de l'entité cocontractante	Clauses contractuelles types (décision (UE) 2021/914), module responsable-vers-sous-traitant
Functional Software GmbH (groupe Sentry)	Sous-traitant	Région de traitement fixée sur l'Union européenne pour les événements ; traitement résiduel de métadonnées de compte aux États-Unis	Clauses contractuelles types (décision (UE) 2021/914), complétées par le Data Privacy Framework pour les flux résiduels vers les États-Unis
Wahoo Fitness, LLC	Responsable de traitement indépendant	États-Unis	À confirmer selon les conditions contractuelles applicables à l'intégration et les flux de données ; consentement explicite requis pour les données transmises, sans que l'article 49(1)(a) constitue automatiquement le mécanisme de transfert applicable
Intervals.icu Ltd	Responsable de traitement indépendant	Royaume-Uni (Londres) ; traitement en Allemagne et en Finlande, avec stockage cloud possible via Google, Backblaze et Wasabi	Décision d'adéquation de la Commission européenne pour le Royaume-Uni (art. 45 du RGPD), sous réserve de son champ d'application et des transferts ultérieurs éventuels
Garmin (Garmin Würzburg GmbH et Garmin International, Inc., selon le flux)	Responsable de traitement indépendant, conformément au contrat du programme Garmin Connect Developer	Données des utilisateurs de l'EEE contrôlées par Garmin Würzburg GmbH ; données susceptibles d'être stockées sur des serveurs aux États-Unis, au Royaume-Uni et/ou en Australie ; traitement par des sociétés affiliées de Garmin	Clauses contractuelles types (décision (UE) 2021/914), module responsable à responsable, prévues par le contrat développeur ; cadre UE–États-Unis de protection des données également mentionné pour les sociétés américaines certifiées
Suunto Oy et sociétés affiliées concernées	Responsable de traitement indépendant (à confirmer selon les conditions de l'intégration API)	Finlande et autres pays de l'EEE pour les données des utilisateurs concernés ; transferts possibles vers des pays tiers, notamment les États-Unis et la Chine	Politique Suunto : décision d'adéquation lorsque applicable, certification EU-U.S. Data Privacy Framework pour les destinataires certifiés et/ou clauses contractuelles types (décision (UE) 2021/914), selon le destinataire et le transfert
COROS Wearables, Inc.	Responsable de traitement indépendant (à confirmer selon les conditions contractuelles de l'API partenaire)	Pour les utilisateurs de l'EEE et du Royaume-Uni, données collectées et stockées sur des serveurs dans l'EEE ; accès ou transferts possibles vers des sociétés affiliées situées hors EEE	Politique COROS : consentement explicite mentionné pour certains transferts vers des sociétés du groupe situées dans des pays sans protection adéquate ; mécanisme exact à confirmer pour les transferts liés à l'API partenaire

8.3 Mesures supplémentaires

En complément des mécanismes juridiques ci-dessus, nos sous-traitants appliquent des mesures supplémentaires techniques et organisationnelles : chiffrement des données au repos et en transit, isolation logique entre environnements, limitation des accès internes selon le principe du moindre privilège, journalisation des accès, et engagement de ne procéder à aucune divulgation volontaire à une autorité étrangère.

Les parties se sont contractuellement engagées à réexaminer conjointement la pertinence de ces transferts si le niveau de protection offert par le pays de destination venait à être remis en cause, et à suspendre les transferts ou à mettre en place des arrangements alternatifs si une autorité de contrôle l'exigeait.

8.4 Transparence

Vous pouvez obtenir une copie des garanties mises en place pour encadrer ces transferts en nous écrivant à l'adresse indiquée en section 2.

Si vous souhaitez éviter tout transfert de vos données d'entraînement vers un responsable de traitement établi hors de l'Union européenne, il vous suffit de ne pas connecter de plateforme tierce : la synchronisation est entièrement facultative et le service reste pleinement fonctionnel sans elle.

9. Durées de conservation

Conformément au principe de limitation de la conservation (article 5.1.e du RGPD), vos données ne sont conservées que pendant la durée strictement nécessaire aux finalités poursuivies.

9.1 Données de compte et de service

Donnée	Durée de conservation	Point de départ du délai
Compte et données de profil (identité, email, préférences)	Durée de la relation contractuelle, puis suppression	Suppression du compte ou terme de la période d'inactivité
Données morphologiques et physiologiques	Durée de la relation contractuelle, ou jusqu'au retrait du consentement	Retrait du consentement, suppression du compte ou terme de la période d'inactivité
Séances d'entraînement et calendrier	Durée de la relation contractuelle, puis suppression	Suppression du compte ou terme de la période d'inactivité
Jetons d'autorisation de plateforme connectée	Jusqu'à révocation de la connexion	Révocation par vos soins, notification de retrait par la plateforme, ou suppression du compte
Identifiant de compte tiers, périmètre d'autorisation, statut de synchronisation	Durée de la connexion active	Révocation de la connexion ou suppression du compte
Compte inactif	3 ans sans aucune connexion, puis suppression définitive	Dernière connexion

Procédure applicable aux comptes inactifs : le délai de suppression court à compter de votre dernière connexion. À l'issue de la deuxième année d'inactivité, vous recevez un message vous informant de la suppression prochaine de votre compte et vous invitant à vous reconnecter si vous souhaitez le conserver. Un rappel est envoyé un mois avant l'échéance des trois ans. Au terme des trois ans, le compte et l'ensemble des données associées sont supprimés définitivement. Toute connexion pendant cette période fait repartir le délai à zéro.

9.2 Données de facturation et comptables

Donnée	Durée de conservation	Fondement
Factures et pièces comptables (établies et archivées par le prestataire de paiement, accessibles via son interface)	10 ans à compter de la clôture de l'exercice	Article L. 123-22 du code de commerce
Identifiants d'abonnement et de client chez le prestataire de paiement	Durée de l'abonnement, puis conservation en archivage intermédiaire pour la durée comptable	Obligation légale

Ces données sont, à l'issue de la relation contractuelle, placées en archivage intermédiaire : elles ne sont plus accessibles dans le cadre de l'exploitation courante du service et leur consultation est réservée aux seules personnes ayant à en connaître pour un motif comptable, fiscal ou contentieux.

9.3 Données de sécurité et de preuve

Donnée	Durée de conservation	Fondement
Registre d'acceptation des documents légaux (identifiant, IP, User-Agent, version acceptée)	Durée du contrat, puis 5 ans	Prescription de droit commun, article 2224 du code civil
Preuve du consentement au traitement des données physiologiques	Durée du contrat, puis 5 ans	Obligation de démonstration, article 7.1 du RGPD
Journaux techniques applicatifs	6 mois	Recommandation de la CNIL relative aux journaux d'événements
Données de connexion (au sens de la LCEN)	1 an	Article 6 de la loi n° 2004-575 du 21 juin 2004

Les journaux applicatifs de Wattson sont conçus pour exclure toute donnée personnelle : les en-têtes de requête, les cookies et les corps de requête sont explicitement retirés avant journalisation.

Ce principe s'applique aux journaux techniques internes visés ci-dessus. Il ne s'applique pas aux événements transmis à notre outil de supervision d'erreurs (voir section 7.2), qui constitue un canal distinct dont le contenu, plus étendu par nature puisqu'il vise le diagnostic technique, est décrit et encadré à cette même section, avec une durée de conservation propre à ce prestataire.

9.4 Durées techniques des jetons et sessions

Élément	Durée de vie
Jeton d'accès de session	30 minutes
Jeton de rafraîchissement de session	7 jours, avec rotation à chaque usage
Jeton de réinitialisation de mot de passe	15 minutes, usage unique
Jeton de vérification d'adresse email	60 minutes, usage unique
État de sécurité du flux d'autorisation de plateforme (state OAuth)	10 minutes

9.5 Suppression du compte à votre demande

Lorsque vous supprimez votre compte depuis les paramètres de l'Application :

Les autorisations accordées à vos plateformes connectées sont révoquées auprès de chaque fournisseur tiers, par appel à son point de révocation, avant toute autre opération ;
Votre abonnement est immédiatement résilié auprès du prestataire de paiement ;
Votre compte et l'ensemble des données liées (profil athlète, séances, calendrier, connexions de plateformes, jetons, identifiants de compte tiers) sont effacés définitivement et sans délai de notre base de données, par suppression physique en cascade il ne s'agit pas d'une simple désactivation ;
Seules subsistent les données que nous sommes légalement tenus de conserver : pièces comptables et registre de preuve de consentement, dans les conditions et durées décrites aux sections 9.2 et 9.3.

La suppression étant irréversible, elle est protégée par une confirmation explicite exigeant la saisie manuelle d'un mot de validation.

10. Sécurité des données

Conformément à l'article 32 du RGPD, nous mettons en œuvre les mesures techniques et organisationnelles suivantes.

10.1 Protection des identifiants

Les mots de passe sont hachés au moyen d'Argon2id, algorithme lauréat de la Password Hashing Competition, avec des paramètres de coût élevés (coût temporel de 3, 64 Mo de mémoire, parallélisme de 4). Ils ne sont jamais conservés ni transmis en clair, et sont automatiquement re-hachés si les paramètres de sécurité évoluent.
Une défense contre l'énumération de comptes est en place : la vérification d'un identifiant inexistant déclenche un calcul de hachage factice de durée équivalente, empêchant de déterminer par analyse temporelle si une adresse email est enregistrée.
Les jetons sensibles (rafraîchissement de session, réinitialisation de mot de passe, vérification d'email) sont stockés hachés en SHA-256, jamais en clair.

10.2 Gestion des sessions

Les jetons de session sont transmis dans des cookies HttpOnly, inaccessibles au JavaScript, ce qui les protège contre le vol par injection de script (XSS).
Les jetons de rafraîchissement sont opaques, stockés dans un magasin à durée de vie limitée, soumis à rotation systématique à chaque utilisation, avec détection de rejeu : la réutilisation d'un jeton déjà consommé invalide immédiatement la chaîne de sessions concernée.

10.3 Chiffrement

En transit : l'intégralité des communications est chiffrée en TLS, avec application de la politique HSTS (HTTP Strict Transport Security) imposant le recours exclusif à HTTPS.
Au repos : les jetons d'autorisation de vos plateformes connectées sont chiffrés dans la base de données au moyen d'un chiffrement symétrique authentifié (Fernet, fondé sur AES-128 en mode CBC avec authentification HMAC-SHA256).

10.4 Protection de l'application

Protection CSRF par jeton dédié sur l'ensemble des opérations modifiant l'état.
Politique CORS restrictive, limitant les origines autorisées aux seuls domaines de l'Application et du Back-office.
Limitation de débit (rate limiting) sur les points d'entrée sensibles : authentification, export de données, création d'abonnement, avec identification de l'adresse IP réelle du client.
En-têtes de sécurité HTTP : HSTS, politique de sécurité du contenu (CSP) restrictive n'autorisant que les scripts strictement nécessaires, X-Frame-Options: DENY contre le détournement de clic, Permissions-Policy bloquant l'accès à la géolocalisation, à la caméra et au microphone.
Assainissement systématique de tout contenu éditorial avant affichage, prévenant l'injection de code dans les pages.
Vérification cryptographique de la signature des notifications entrantes de notre prestataire de paiement et des plateformes tierces avant tout traitement.
Filtrage dédié avant transmission à notre outil de supervision d'erreurs : les cookies d'authentification et de session sont exclus par une liste de blocage spécifique aux noms utilisés par Wattson, en complément de la liste standard de l'éditeur, et la capture des variables locales dans les traces d'exécution est désactivée (voir section 7.2).

10.5 Contrôle d'accès et minimisation

Contrôles d'autorisation appliqués côté serveur sur l'ensemble des points d'accès : vérification systématique que l'utilisateur authentifié est bien le propriétaire de la ressource demandée, et vérification du rôle pour les opérations d'administration.
Exclusion des champs sensibles des réponses de l'API : les empreintes de mots de passe et les jetons d'autorisation ne sont exposés dans aucune réponse, en aucune circonstance.
Journalisation sans données personnelles, comme indiqué en section 9.3.

10.6 Limites

Aucun système d'information ne peut garantir une sécurité absolue. Nous nous engageons à mettre en œuvre les mesures appropriées au regard de l'état de l'art, du coût de mise en œuvre et de la nature des données traitées, et à faire évoluer ces mesures en continu.

11. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants.

11.1 Nature des droits

Droit	Portée
Droit d'accès (art. 15)	Obtenir la confirmation que vos données sont traitées et en recevoir une copie
Droit de rectification (art. 16)	Faire corriger des données inexactes ou compléter des données incomplètes
Droit à l'effacement (art. 17)	Obtenir la suppression de vos données, sous réserve de nos obligations légales de conservation
Droit à la limitation (art. 18)	Obtenir le gel temporaire du traitement, notamment pendant la vérification d'une contestation
Droit à la portabilité (art. 20)	Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement
Droit d'opposition (art. 21)	Vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime
Retrait du consentement (art. 7.3)	Retirer à tout moment votre consentement aux traitements qui en dépendent, sans effet rétroactif sur la licéité des traitements antérieurs
Droit de définir des directives post mortem (art. 85 loi Informatique et Libertés)	Définir des directives relatives au sort de vos données après votre décès

11.2 Droits que vous pouvez exercer directement dans l'Application

Plusieurs de ces droits sont directement actionnables depuis votre compte, sans démarche préalable auprès de nous :

Accès et portabilité un export complet de vos données personnelles au format CSV est disponible à tout moment depuis vos paramètres. Il couvre votre profil, votre profil athlète, vos séances, vos plateformes connectées et l'historique de vos acceptations légales.
Rectification vos données d'identité et de profil athlète sont modifiables directement depuis les paramètres de votre compte.
Effacement la suppression de votre compte est disponible depuis les paramètres et s'exécute immédiatement, dans les conditions décrites en section 9.5.
Retrait du consentement marketing vos préférences de communication sont modifiables à tout moment depuis les paramètres, et chaque email non transactionnel comporte un lien de désinscription.
Retrait du consentement aux données physiologiques disponible depuis les paramètres de votre profil athlète.
Révocation d'une plateforme connectée disponible depuis les paramètres d'intégration, ou depuis la plateforme tierce elle-même (voir section 7.3).

11.3 Modalités d'exercice auprès de nous

Pour les droits qui ne sont pas directement actionnables, ou si vous rencontrez une difficulté, adressez votre demande à :

privacy@getwattson.io 4 rue de la gare, 80710, Quevauvillers, Somme, France

Afin de traiter votre demande, nous devons pouvoir vous identifier. La demande doit donc être formulée depuis l'adresse email associée à votre compte. En cas de doute raisonnable sur votre identité, nous pourrons vous demander un justificatif complémentaire, dont nous ne conserverons aucune copie au-delà du traitement de la demande.

Délai de réponse : nous répondons dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou de demandes nombreuses ; vous en seriez informé dans le mois suivant votre demande, avec indication des motifs de la prolongation.

L'exercice de ces droits est gratuit, sauf demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif.

11.4 Réclamation

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente. En France, il s'agit de la Commission nationale de l'informatique et des libertés (CNIL) :

CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 www.cnil.fr

Si vous résidez dans un autre État membre de l'Union européenne, vous pouvez également saisir l'autorité de contrôle de votre pays de résidence.

12. Cookies et traceurs

12.1 Cookies utilisés

Wattson dépose quatre cookies, tous strictement nécessaires au fonctionnement du service :

Cookie	Finalité	Données contenues	Caractéristiques	Durée
Cookie de jeton d'accès	Maintien de votre session authentifiée	Jeton de session	`HttpOnly`, `Secure`, `SameSite`	30 minutes
Cookie de jeton de rafraîchissement	Renouvellement de la session sans nouvelle saisie d'identifiants	Jeton opaque	`HttpOnly`, `Secure`, `SameSite`	7 jours
Cookie de jeton CSRF	Protection contre les attaques par falsification de requête intersite	Jeton anti-CSRF	`Secure`, `SameSite`	Session
Indicateur d'état de connexion	Permettre à l'interface de savoir si un utilisateur est connecté et d'afficher les éléments d'interface appropriés	Valeur booléenne uniquement, aucune donnée personnelle, aucun identifiant, aucun jeton	`Secure`, `SameSite` (lisible par le JavaScript de l'Application, par nécessité fonctionnelle)	Alignée sur la session

12.2 Absence de consentement requis

Ces cookies sont exclusivement destinés à permettre ou faciliter la communication par voie électronique et sont strictement nécessaires à la fourniture du service de communication en ligne à votre demande, au sens de l'article 82 de la loi Informatique et Libertés transposant la directive 2002/58/CE dite « ePrivacy ».

À ce titre, ils bénéficient de l'exemption de consentement : aucun bandeau de recueil de consentement n'est nécessaire, et aucun n'est affiché.

12.3 Absence de stockage local de données personnelles

Wattson n'utilise ni le stockage local (localStorage) ni le stockage de session (sessionStorage) du navigateur pour y conserver des données personnelles ou des identifiants d'authentification. Ce choix d'architecture réduit significativement la surface d'exposition en cas de compromission par injection de script.

12.4 Gestion des cookies

Vous pouvez configurer votre navigateur pour refuser les cookies. Toutefois, le blocage des cookies décrits ci-dessus empêchera le fonctionnement de l'authentification et rendra le service inutilisable.

13. Mineurs

L'accès à Wattson est réservé aux personnes âgées d'au moins 16 ans.

Ce seuil correspond à l'âge fixé par l'article 8.1 du RGPD à partir duquel un mineur peut valablement consentir seul au traitement de ses données personnelles dans le cadre des services de la société de l'information, dans sa formulation la plus protectrice, applicable dans l'ensemble des États membres de l'Union européenne.

En créant un compte, vous déclarez avoir au moins 16 ans. Nous ne collectons pas sciemment de données concernant des personnes n'ayant pas atteint cet âge. Si vous êtes titulaire de l'autorité parentale et constatez qu'un mineur de moins de 16 ans a créé un compte, contactez-nous à l'adresse indiquée en section 2 : le compte et les données associées seront supprimés sans délai.

Certaines plateformes tierces connectables appliquent leurs propres conditions d'âge, qui peuvent différer des nôtres. Il vous appartient de vous y conformer.

14. Violation de données personnelles

Nous disposons d'une procédure interne de détection, de qualification et de traitement des violations de données personnelles.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à :

Notifier la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD. Si la notification intervient au-delà de ce délai, elle est accompagnée des motifs du retard.
Vous en informer directement, dans les meilleurs délais, lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés (article 34 du RGPD). Cette communication vous décrira en termes clairs et simples la nature de la violation, ses conséquences probables, les mesures prises pour y remédier et les recommandations vous permettant d'en limiter les effets.
Informer sans délai injustifié toute plateforme tierce dont les données ou les jetons d'autorisation seraient concernés par la violation, selon les modalités prévues à son contrat de partenariat.
Documenter toute violation dans un registre interne, y compris celles ne donnant pas lieu à notification, en y consignant les faits, les effets et les mesures correctives adoptées.

15. Modifications de la présente politique

Nous pouvons être amenés à modifier la présente politique de confidentialité, notamment pour tenir compte de l'évolution du service, de nos sous-traitants, des plateformes connectables ou du cadre réglementaire.

Toute modification substantielle vous sera notifiée par email et lors de votre prochaine connexion, dans un délai raisonnable avant son entrée en vigueur. Le numéro de version et la date de mise à jour figurent en tête du document. L'historique des versions successives est conservé et reste consultable à l'adresse indiquée en tête de document.

Lorsque la modification affecte un traitement fondé sur votre consentement notamment l'ajout d'une plateforme connectable ou l'extension d'un périmètre d'autorisation un nouveau consentement vous sera demandé, et l'absence de réponse de votre part n'emportera jamais acceptation.

16. Contact

Pour toute question relative à la présente politique ou au traitement de vos données personnelles :

privacy@getwattson.io 4 rue de la gare, 80710, Quevauvillers, Somme, France

Annexe technique : À l'attention des fournisseurs d'API tiers

Cette annexe est destinée aux fabricants d'appareils et éditeurs de plateformes évaluant une demande d'accès à leur API. Elle synthétise les engagements de Wattson relatifs aux données obtenues via leurs interfaces. Une version anglaise est disponible à l'adresse getwattson.io/en/legal/privacy_policy.

A.0 Identification de l'organisation


Entité légale	Pierre Halloo EI, entreprise individuelle de droit français
Identifiant national	SIREN 890589674, SIRET 89058967400021
TVA intracommunautaire	FR64890589674
Juridiction	France, Union européenne, soumise au RGPD
Produit	Wattson (`getwattson.io`), application web de planification d'entraînement, payante par abonnement
Contact protection des données	`privacy@getwattson.io`
Contact technique	`support@getwattson.io`

A.1 Nature de l'accès demandé

Wattson demande un accès en écriture afin de transmettre vers la plateforme du fournisseur des séances d'entraînement structurées, créées par l'utilisateur ou générées à partir de son profil, et un accès en lecture limité aux données strictement nécessaires à l'association du compte.

Wattson ne demande pas l'accès en lecture aux activités réalisées, aux traces GPS, aux données de santé quotidiennes, aux données de sommeil ni aux données de cycle. Toute évolution de ce périmètre ferait l'objet d'une demande distincte auprès du fournisseur et d'une mise à jour préalable de la politique de confidentialité, avec recueil d'un nouveau consentement utilisateur.

A.2 Recueil de l'autorisation

La connexion à une plateforme tierce est toujours initiée par une action explicite de l'utilisateur depuis les paramètres de son compte.
Elle s'effectue exclusivement par le flux d'autorisation standard OAuth 2.0 du fournisseur, avec paramètre d'état (state) à durée de vie limitée protégeant contre les attaques par falsification de requête.
Wattson ne demande, ne reçoit et ne stocke jamais les identifiants du compte de l'utilisateur chez le fournisseur.
Seuls les périmètres d'autorisation strictement nécessaires sont demandés.

A.3 Traitement des jetons

Les jetons d'accès et de rafraîchissement sont chiffrés au repos dans la base de données au moyen d'un chiffrement symétrique authentifié.
Ils ne sont jamais exposés dans une réponse de l'API Wattson, ni dans les journaux applicatifs, ni côté client.
Ils ne sont jamais transmis à un tiers, quel qu'il soit y compris à notre outil de supervision d'erreurs (voir A.7).

A.4 Usage des données obtenues

Les données échangées avec la plateforme du fournisseur sont utilisées exclusivement pour la synchronisation des séances d'entraînement de l'utilisateur concerné. Elles ne font l'objet :

d'aucune revente, location ou cession à un tiers ;
d'aucun usage publicitaire ou marketing ;
d'aucune agrégation à des fins statistiques, d'entraînement de modèles algorithmiques ou de développement produit ;
d'aucun croisement avec des données provenant d'autres sources ;
d'aucun transfert vers un pays tiers autre que celui du fournisseur lui-même.

A.5 Révocation et suppression

Wattson prend en charge la révocation dans les deux sens :

Révocation initiée par l'utilisateur depuis Wattson

Disponible à tout moment depuis les paramètres du compte.
Déclenche un appel au point de révocation de l'API du fournisseur, puis la suppression immédiate des jetons dans notre base de données.

Révocation initiée depuis la plateforme du fournisseur

Wattson expose un point d'entrée de désinscription (deregistration endpoint) et un point d'entrée de modification des autorisations (user permissions change endpoint), publiquement accessibles, authentifiés par vérification de signature, répondant en HTTP 200 dans les délais attendus par le fournisseur.
À réception d'une notification de désinscription, Wattson supprime immédiatement les jetons et l'identifiant de compte tiers, marque la connexion comme inactive et cesse toute tentative de transmission vers la plateforme.
À réception d'une notification de modification des autorisations, Wattson met à jour le périmètre stocké et cesse toute opération qui ne serait plus couverte par le périmètre restant.

Suppression du compte Wattson

Déclenche automatiquement la révocation de toutes les autorisations tierces auprès de chaque fournisseur, préalablement à l'effacement des données locales.

A.6 Conservation des données provenant du fournisseur

Les données reçues du fournisseur (identifiant de compte, périmètre d'autorisation, statut de synchronisation, jetons) sont conservées uniquement pendant la durée de la connexion active.
Elles sont supprimées immédiatement à la révocation, quelle qu'en soit l'origine, ou à la suppression du compte Wattson.
Elles ne sont jamais conservées après la fin de la connexion, y compris sous forme agrégée, anonymisée ou pseudonymisée.
Aucune copie n'en est faite en dehors de la base de données de production et de ses sauvegardes chiffrées, dont le cycle de rotation n'excède pas la durée de conservation applicable.

A.7 Sécurité et conformité

Aucun outil d'analytique tiers ni aucun pixel publicitaire n'est intégré à Wattson.
Aucun enregistrement de session côté client (Session Replay) n'est réalisé.
Wattson utilise un outil de supervision d'erreurs (voir section 7.2 de la politique de confidentialité) à des fins exclusives de diagnostic technique. Il est configuré pour exclure les cookies d'authentification et de session (liste de blocage dédiée aux noms utilisés par Wattson) et pour ne jamais capturer les variables locales des traces d'exécution : les jetons d'autorisation que vous nous confiez ne lui sont donc, par construction, jamais transmis.
Les journaux applicatifs excluent par construction les en-têtes, les cookies et les corps de requête.
Les données sont stockées dans l'Union européenne (région EU West, Amsterdam, Pays-Bas). L'entité d'hébergement contractante étant américaine, un accès à distance depuis les États-Unis par son personnel technique habilité est possible et encadré par les clauses contractuelles types de la Commission européenne.
Toutes les communications sont chiffrées en TLS ; les jetons tiers sont chiffrés au repos par chiffrement symétrique authentifié.
Les notifications entrantes du fournisseur font l'objet d'une vérification cryptographique de signature avant tout traitement.
Wattson est établie dans l'Union européenne et soumise au RGPD. Les traitements sont documentés dans un registre tenu conformément à l'article 30.
Un point de contact dédié à la protection des données est publié et joignable.

A.8 Notification d'incident

En cas de violation de données affectant les données ou les jetons issus de votre plateforme, Wattson s'engage à vous en informer sans délai injustifié, par le canal de contact partenaire que vous nous indiquerez, en précisant la nature de l'incident, les identifiants d'utilisateurs concernés, les mesures de confinement prises et le calendrier de remédiation. Wattson procédera par ailleurs à la révocation préventive des jetons concernés.

A.9 Marque et présentation

Wattson s'engage à respecter les directives de marque du fournisseur : usage du nom et du logo conforme aux règles publiées, mention explicite du fournisseur dans l'écran de connexion et dans la documentation utilisateur, absence de toute formulation laissant entendre un partenariat, une approbation ou une affiliation qui n'aurait pas été accordée.