Politique de Confidentialité — MoovX

Dernière mise à jour : 17 mai 2026

Version : 1.0

Préambule

La présente Politique de Confidentialité (ci-après « la Politique ») a pour objet d'informer les utilisateurs de la Plateforme MoovX sur la manière dont leurs données personnelles sont collectées, traitées, stockées et protégées.

Cette Politique respecte :

La nouvelle Loi fédérale suisse sur la protection des données (nLPD) entrée en vigueur le 1er septembre 2023 ;
Le Règlement général sur la protection des données (RGPD) de l'Union européenne (Règlement UE 2016/679) ;
L'Ordonnance sur la protection des données (OPDo) suisse.

La nLPD considère les données relatives à la santé comme des données sensibles soumises à des protections renforcées. MoovX traite ce type de données dans le cadre de son activité de coaching fitness et nutrition. La présente Politique détaille les mesures de protection mises en place.

1. Identité du responsable du traitement

Le responsable du traitement des données personnelles est :

Marco Ferreira

Exerçant sous le nom commercial MoovX

Chemin Clair Val 2

1226 Thônex, Canton de Genève, Suisse

Email de contact pour les questions de protection des données : contact@moovx.ch

Note : Le Prestataire n'est pas tenu de désigner un délégué à la protection des données (DPO/CPD) au sens de l'article 10 nLPD ou de l'article 37 RGPD, son activité ne remplissant pas les conditions cumulatives requises (traitement à grande échelle de données sensibles). En cas de questions relatives à la protection des données, le Prestataire répond personnellement aux demandes adressées à contact@moovx.ch.

2. Principes fondamentaux

Le traitement des données personnelles repose sur les principes suivants :

Licéité, loyauté et transparence : les données sont traitées de manière licite, loyale et transparente.
Limitation des finalités : les données sont collectées pour des finalités déterminées, explicites et légitimes.
Minimisation : seules les données nécessaires à la finalité poursuivie sont collectées.
Exactitude : des mesures sont prises pour assurer l'exactitude des données.
Limitation de la conservation : les données ne sont pas conservées plus longtemps que nécessaire.
Intégrité et confidentialité : les données sont protégées par des mesures techniques et organisationnelles appropriées.
Privacy by Design et Privacy by Default : la protection des données est intégrée dès la conception du service, et les paramètres par défaut sont les plus respectueux possible de la vie privée.

3. Données personnelles collectées

3.1 Catégories de données

a) Données d'identification et de compte

Nom, prénom
Adresse email
Mot de passe (stocké sous forme de hash sécurisé, jamais en clair)
Date d'inscription, dernière connexion

b) Données de profil

Âge / date de naissance
Sexe / genre
Taille, poids
Niveau d'activité physique
Objectifs sportifs (perte de poids, prise de muscle, performance, etc.)
Préférences alimentaires, allergies, restrictions (végétarien, etc.)

c) Données sensibles relatives à la santé et au fitness (traitement avec protections renforcées)

Mensurations corporelles (poids, taille, tour de taille, etc.)
Photos de progression (uniquement si l'Utilisateur en upload volontairement)
Performances sportives (séances, charges, temps, répétitions)
Données nutritionnelles (apports caloriques, macronutriments)
Historique d'entraînement et de nutrition

d) Données de paiement

Ces données sont collectées et traitées exclusivement par notre prestataire Stripe Payments Europe Ltd.
Le Prestataire MoovX ne stocke aucune donnée bancaire.
Sont conservés en interne uniquement : montant payé, date du paiement, identifiant Stripe de la transaction, type d'abonnement.

e) Données d'interaction avec Athena

Contenu des conversations avec l'assistant IA Athena
Réponses générées (utilisées pour améliorer la qualité du service)

f) Données techniques

Adresse IP (anonymisée pour les analytics)
Type d'appareil, système d'exploitation, navigateur
Pages visitées, durée des sessions
Cookies (voir Politique de Cookies)

g) Données de communication

Emails échangés avec le support
Préférences de notifications

3.2 Sources des données

Toutes les données sont collectées :

Directement auprès de l'Utilisateur (lors de l'inscription, du remplissage du profil, de l'utilisation de la Plateforme) ;
Automatiquement via l'utilisation de la Plateforme (logs, cookies analytiques après consentement).

Aucune donnée n'est obtenue auprès de tiers ou de courtiers en données.

4. Finalités et bases légales du traitement

| Finalité | Catégories de données | Base légale (RGPD / nLPD) |

|----------|----------------------|----------------------------|

| Création et gestion du compte utilisateur | Identification, profil | Exécution du contrat (art. 6.1.b RGPD) |

| Fourniture des services (programmes, suivi, Athena) | Profil, santé, fitness | Exécution du contrat (art. 6.1.b RGPD) + consentement explicite pour données sensibles (art. 9.2.a RGPD / art. 6 al. 7 nLPD) |

| Traitement des paiements | Données de paiement | Exécution du contrat (art. 6.1.b RGPD) |

| Communication transactionnelle (confirmation, factures, support) | Email | Exécution du contrat |

| Amélioration des services | Données techniques anonymisées, conversations Athena anonymisées | Intérêt légitime (art. 6.1.f RGPD) |

| Statistiques anonymisées (analytics) | Données techniques | Consentement (art. 6.1.a RGPD) |

| Communication commerciale (newsletter) | Email | Consentement opt-in explicite (art. 6.1.a RGPD) |

| Respect des obligations légales (comptabilité, lutte anti-fraude) | Toutes données concernées | Obligation légale (art. 6.1.c RGPD) |

5. Sous-traitants et destinataires des données

MoovX fait appel à plusieurs prestataires techniques agissant en qualité de sous-traitants au sens de l'article 28 du RGPD et de l'article 9 nLPD. Chacun est lié par un contrat de sous-traitance imposant des obligations strictes de confidentialité et de sécurité.

5.1 Liste des sous-traitants

|---------------|---------------|--------------------------|--------------------|

5.2 Transferts hors Suisse / UE

Certains sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés par :

L'adhésion des sous-traitants concernés au EU-US Data Privacy Framework (DPF), mécanisme reconnu par la Commission européenne (décision d'adéquation du 10 juillet 2023) ;
Le complément, le cas échéant, par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne.

Pour les utilisateurs suisses, la Suisse a publié sa propre décision d'adéquation pour le DPF en septembre 2024, permettant les transferts de données depuis la Suisse vers les entreprises US certifiées.

5.3 Cas particulier d'Athena (Anthropic)

Les conversations avec Athena sont transmises à l'API d'Anthropic PBC pour traitement IA. Anthropic s'engage contractuellement à ne pas utiliser les données reçues via l'API pour entraîner ses modèles (politique « zero data retention » disponible sur le site d'Anthropic).

Les Utilisateurs sont invités à ne pas communiquer de données médicales sensibles dans leurs échanges avec Athena (ex : diagnostic médical, traitement, identifiants de santé).

5.4 Aucune vente de données

Le Prestataire ne vend, ne loue, ni ne cède les données personnelles des Utilisateurs à des tiers à des fins commerciales ou publicitaires.

6. Durée de conservation des données

| Type de données | Durée de conservation |

|-----------------|------------------------|

| Données de compte (identification, profil) | Tant que le compte est actif + 30 jours après suppression |

| Données sensibles (santé, photos, mensurations) | Tant que le compte est actif + suppression immédiate à la fermeture du compte |

| Données de paiement (factures, transactions) | 10 ans (obligation légale comptabilité suisse — art. 958f CO) |

| Logs techniques, IPs | 12 mois maximum |

| Conversations Athena | 90 jours (à des fins de support et debug) puis suppression / anonymisation |

| Cookies | Voir Politique de Cookies (durée variable selon le type) |

| Emails support | 3 ans après la dernière interaction |

À l'expiration de ces durées, les données sont soit définitivement supprimées, soit anonymisées de manière irréversible.

7. Droits des personnes concernées

Conformément au RGPD et à la nLPD, l'Utilisateur dispose des droits suivants :

7.1 Droit d'accès (art. 15 RGPD / art. 25 nLPD)

L'Utilisateur peut demander à tout moment quelles données personnelles le concernant sont traitées et obtenir une copie de ces données.

7.2 Droit de rectification (art. 16 RGPD / art. 32 nLPD)

L'Utilisateur peut demander la rectification de données inexactes ou incomplètes. Une grande partie de ces données peut également être modifiée directement depuis son profil.

7.3 Droit à l'effacement (« droit à l'oubli ») (art. 17 RGPD)

L'Utilisateur peut demander la suppression de ses données personnelles, notamment lorsque :

les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées ;
l'Utilisateur retire son consentement ;
les données ont été traitées illicitement.

Note : Certaines données peuvent être conservées au-delà de la demande de suppression en cas d'obligation légale (notamment comptabilité — 10 ans).

7.4 Droit à la limitation du traitement (art. 18 RGPD)

L'Utilisateur peut demander le gel temporaire de certains traitements dans les cas prévus par la loi.

7.5 Droit à la portabilité (art. 20 RGPD / art. 28 nLPD)

L'Utilisateur peut demander à recevoir ses données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV), ou demander leur transmission directe à un autre responsable de traitement, dans la mesure du techniquement possible.

7.6 Droit d'opposition (art. 21 RGPD / art. 30 nLPD)

L'Utilisateur peut s'opposer, à tout moment et pour des raisons tenant à sa situation particulière, au traitement de ses données fondé sur l'intérêt légitime du Prestataire. L'Utilisateur peut également s'opposer à tout moment et sans motif à l'utilisation de ses données à des fins de prospection commerciale.

7.7 Droit de retirer son consentement (art. 7.3 RGPD)

Lorsque le traitement est fondé sur le consentement (cookies analytiques, newsletter, données de santé sensibles), l'Utilisateur peut retirer ce consentement à tout moment, sans que cela n'affecte la licéité du traitement antérieur.

7.8 Droit de ne pas faire l'objet d'une décision automatisée (art. 22 RGPD / art. 21 nLPD)

Les recommandations d'Athena ne constituent pas des « décisions automatisées produisant des effets juridiques » au sens de l'article 22 RGPD. Elles ne sont fournies qu'à titre informatif et ne se substituent pas à un jugement humain. L'Utilisateur peut néanmoins demander une intervention humaine pour toute question soulevée par les recommandations d'Athena.

7.9 Modalités d'exercice des droits

Toute demande d'exercice de ces droits peut être adressée à : contact@moovx.ch

Une réponse est apportée dans un délai maximum de 30 jours à compter de la réception de la demande. Ce délai peut être prolongé de deux mois en cas de demande complexe, avec notification motivée à l'Utilisateur.

L'Utilisateur peut être amené à fournir un justificatif d'identité pour traiter sa demande en toute sécurité.

7.10 Droit d'introduire une réclamation

L'Utilisateur a le droit d'introduire une réclamation auprès d'une autorité de contrôle compétente :

Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT) — https://www.edoeb.admin.ch
France : Commission Nationale de l'Informatique et des Libertés (CNIL) — https://www.cnil.fr
Allemagne : Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) — https://www.bfdi.bund.de
Autres pays UE : autorité de contrôle de l'État membre de résidence (liste complète sur https://edpb.europa.eu)

8. Sécurité des données

Le Prestataire met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données, conformément aux articles 32 RGPD et 8 nLPD.

8.1 Mesures techniques

Chiffrement en transit : TLS 1.3 minimum (HTTPS sur toutes les pages) ;
Chiffrement au repos : AES-256 (Supabase et Vercel) ;
Mots de passe : hachés avec bcrypt (jamais stockés en clair) ;
Authentification : sessions sécurisées (cookies httpOnly, secure, sameSite strict) ;
Isolation des données : Row Level Security (RLS) au niveau base de données — chaque Utilisateur ne peut accéder qu'à ses propres données ;
Headers de sécurité : Content Security Policy (CSP), HTTP Strict Transport Security (HSTS), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy ;
Protection contre les attaques courantes : OWASP Top 10 (XSS, CSRF, SQL injection, etc.) ;
Backups chiffrés : sauvegardes automatiques quotidiennes ;
Idempotency keys sur les opérations de paiement pour éviter les doubles facturations.

8.2 Mesures organisationnelles

Accès aux données limité aux personnes nécessaires (principe du « need-to-know ») ;
Contrats de sous-traitance conformes à l'art. 28 RGPD avec tous les prestataires ;
Suivi régulier des vulnérabilités des dépendances logicielles ;
Plan de réponse aux incidents de sécurité.

8.3 Violation de données

En cas de violation de données présentant un risque pour les droits et libertés des personnes, le Prestataire notifiera l'incident :

au PFPDT et/ou aux autorités UE compétentes dans un délai de 72 heures (art. 24 nLPD / art. 33 RGPD) ;
aux Utilisateurs concernés sans délai si le risque est élevé (art. 24 al. 4 nLPD / art. 34 RGPD).

9. Cookies et technologies similaires

L'utilisation des cookies est détaillée dans la Politique de Cookies, accessible via le bandeau de gestion du consentement présent sur la Plateforme.

Principes clés :

Les cookies strictement nécessaires (authentification, préférences linguistiques, panier) sont déposés sans consentement (base légale : intérêt légitime / exécution du contrat) ;
Les cookies analytiques (Vercel Analytics, Speed Insights) ne sont déposés qu'après consentement explicite (opt-in) ;
Aucun cookie publicitaire / marketing n'est utilisé à ce jour ;
L'Utilisateur peut modifier ses choix à tout moment via le bandeau de gestion accessible en pied de page.

10. Données concernant les mineurs

La Plateforme MoovX est strictement réservée aux personnes âgées de 18 ans révolus. Aucune donnée n'est sciemment collectée auprès de mineurs.

Si vous êtes parent ou tuteur et que vous suspectez qu'un mineur a créé un compte sur la Plateforme, merci de contacter contact@moovx.ch pour que le compte soit supprimé.

11. Modification de la Politique de Confidentialité

Le Prestataire se réserve le droit de modifier la présente Politique à tout moment pour refléter l'évolution de ses pratiques, de la loi ou de ses prestataires. Les modifications substantielles seront notifiées par email aux Utilisateurs avec un préavis minimum de 30 jours avant leur entrée en vigueur.

12. Coordonnées de contact

Pour toute question relative à la présente Politique ou à l'exercice de vos droits :

Marco Ferreira / MoovX

[Adresse à compléter]

1226 Thônex, Canton de Genève, Suisse

Email : contact@moovx.ch

Cette Politique est disponible en français, anglais et allemand. En cas de divergence d'interprétation, la version française fait foi.