nireo

Politique de confidentialité

Cette page explique quelles données nireo collecte, pourquoi, pendant combien de temps, avec qui elles sont partagées, et comment exercer vos droits.

Dernière mise à jour : 14 octobre 2026

1. Responsable du traitement

Le responsable du traitement est Jacques-Antoine Allard EI, Entrepreneur individuel, régime de la micro-entreprise, éditeur du site nireo.app. Ses coordonnées complètes figurent dans les mentions légales. Pour toute question relative à vos données : contact@nireo.app.

2. Les données que nous collectons

Nous ne collectons que ce que le service utilise réellement, à une exception près, dite plus bas : l'adresse d'une photo de profil que Google transmet avec votre nom, et que nous n'utilisons pas. Rien n'est acheté à un tiers ; les seules données que nous recevons d'un tiers sont celles que vous nous transmettez vous-même en choisissant de vous connecter via un compte Google ou Apple. Le nom ainsi transmis devient votre nom affiché uniquement si vous n'en avez pas déjà choisi un ; vous pouvez le modifier à tout moment depuis votre espace.

Compte (tout utilisateur).

  • Votre adresse e-mail et, si vous en définissez un, votre mot de passe, que Supabase Auth ne conserve que sous forme hachée : personne ne peut le relire, pas même nous. Quand vous en choisissez un nouveau après un oubli, il transite par nos serveurs, le temps d’être transmis à Supabase, sans y être enregistré.
  • Le prénom ou nom que vous choisissez d'afficher.
  • Si vous vous connectez via un compte Google ou Apple : l'identifiant de votre compte chez ce fournisseur, et ce qu'il nous transmet, détaillé plus bas, dans « Avec qui vos données sont partagées ». Si vous vous connectez avec Apple dans l’app sur iPhone ou iPad, nous conservons aussi, chiffré, un jeton qu’Apple nous remet : il ne sert qu’à retirer à nireo l’accès à votre identifiant Apple quand vous supprimez votre compte.
  • Votre rôle sur la plateforme (athlète ou coach) et la date de création du compte.
  • Votre choix pour les e-mails de notification (les recevoir ou non) et le moment du dernier envoi, pour ne pas vous écrire plus d'une fois par heure.
  • L’adresse de notification de votre téléphone, si vous activez les notifications dans l’app : un identifiant que Firebase attribue à l’app sur ce téléphone, avec le type d’appareil (iPhone ou iPad, ou Android) et les dates de son activation et de la dernière ouverture de l’app.

Si vous êtes athlète.

  • Les sports pratiqués, dont votre sport principal.
  • Vos préférences, données au quiz, à l'inscription ou dans « Mes préférences » : niveau, budget indicatif, objectif et sa description libre, créneaux qui vous arrangent, ville.

Nous ne vous demandons aucune information de santé. Le profil athlète comportait un champ libre destiné à signaler une blessure ou une pathologie : il a été retiré du parcours d'inscription. Nous ne pouvons pas pour autant affirmer qu'aucune information de cette nature ne passe par le service : les champs libres (la description de votre objectif, vos messages à un coach) accueillent ce que vous y écrivez. Ce que vous y mettez suit le sort du champ concerné : mêmes lecteurs (section 6), même durée de conservation (section 5). N'y indiquez donc que ce que vous souhaitez partager avec le coach.

Si vous êtes coach.

  • Votre nom affiché, votre accroche, votre présentation, votre ville.
  • Vos sports, vos spécialités, vos langues et vos diplômes (intitulé, et si vous les indiquez, année d’obtention et organisme).
  • Le niveau jusqu'auquel vous accompagnez vos athlètes, si vous l'indiquez.
  • Vos modes de séance (présentiel, visio ou les deux), si vous les indiquez : ils s'affichent sur votre fiche et sur votre carte dans les résultats de recherche, à côté de votre ville.
  • Votre tarif de référence et vos formules.
  • Le club où vous exercez, si vous l’indiquez (nom et ville), avec la date et le moyen de sa confirmation (un e-mail du club, ou le document de partenariat). Nous n’enregistrons pas sur votre profil l’identité de la personne qui a confirmé pour le club ; son e-mail ou le document reste dans nos échanges avec le club. Il ne s’affiche sur votre fiche qu’une fois confirmé. Comme le reste de votre profil de coach, votre déclaration est publique dès que vous l’enregistrez, et la date et le moyen de sa confirmation dès qu’elle est enregistrée.
  • Votre photo de profil et les visuels que vous déposez, stockés dans un espace de fichiers public : ils sont visibles de tous, y compris des visiteurs non connectés.
  • Vos disponibilités récurrentes et vos périodes d'indisponibilité.
  • Votre délai de réponse, calculé par nous sur vos dix dernières demandes envoyées depuis plus de 24 heures, sans compter celles que l’athlète a retirées sans réponse moins de 24 heures après l’envoi : pour chacune, le temps entre la demande et la première ligne que vous écrivez dans la conversation (un message, ou un geste sur une demande ou une séance : réponse, autre créneau, annulation). Sans ligne de votre part dans les 24 heures, une demande compte « plus de 24 heures ». Nous retenons la valeur du milieu (la plus lente des deux quand leur nombre est pair). Seule sa tranche s’affiche sur votre fiche (« en moins d’une heure », « de 3 h » ou « de 24 h »), avec le nombre de demandes comptées, à partir de cinq demandes et si elle est de moins de 24 heures ; sinon, rien. Nous ne publions ni vos demandes, ni vos messages, ni leurs heures. Vous pouvez vous opposer à cet affichage, à tout moment et sans avoir à donner de raison : depuis votre espace de coach, en éteignant le réglage « Afficher mon délai de réponse sur ma fiche », ou en nous écrivant (section 8). Votre fiche ne montre alors plus cette ligne.
  • Le nombre de vos séances faites (confirmées, et non signalées comme n’ayant pas eu lieu dans les 48 heures suivant leur fin), affiché sur votre fiche.
  • Vos réponses aux avis, publiques sous l’avis, avec leur date.
  • La date de votre déclaration de coach, le statut de votre carte professionnelle d’éducateur sportif (« pas encore transmise » tant que vous n’en avez pas donné le numéro) et, si vous le communiquez, son numéro : traités à la section 3.
  • Vos informations fiscales, demandées avant d’activer les paiements en ligne : en votre nom, vos nom, prénom, date de naissance, numéro fiscal (ou, à défaut, lieu de naissance) et l’adresse de votre résidence principale ; par une société, sa dénomination, son numéro SIREN et l’adresse de son siège ; votre numéro de TVA si vous en avez un. Chaque enregistrement est gardé. Elles ne sont jamais montrées aux athlètes.
  • Vos coordonnées pour vos athlètes, si vous les donnez : l’adresse de votre entreprise, votre téléphone, votre e-mail, le nom et le site de votre médiateur de la consommation.
  • Votre lien de visio, si vous l’indiquez : il ne s’affiche jamais sur votre fiche ; seuls vous et l’athlète d’une séance en visio confirmée avec vous le voyez, sur la page de cette séance et, le jour de la séance, sur l’accueil de l’athlète. Vous pouvez le changer ou le retirer à tout moment ; il est effacé avec votre compte.
  • Votre compte de paiement, si vous activez les paiements : l’identifiant de votre compte Stripe et son état (paiements activés ou non), que nous lisons chez Stripe. Stripe vous demande lui-même, à l’ouverture de ce compte, votre identité, vos coordonnées et votre IBAN : ils restent chez Stripe.
  • Votre abonnement Pro, si vous y souscrivez : son état et son échéance, lus chez Stripe ; votre carte et vos factures d’abonnement sont chez Stripe, dans « Ma carte et mes factures ». Pris dans l’app, il se paie à Apple ou à Google : nous en lisons l’état et l’échéance chez RevenueCat, avec l’identifiant de votre compte nireo.
  • Vos commissions et nos factures : pour chaque commission prélevée sur un paiement, son montant, ce qui en a été rendu, et le numéro, la date et les liens de la facture et des avoirs que nous émettons à votre nom et à votre adresse. Pour les émettre, et pour l’abonnement Pro, nous transmettons à Stripe votre nom (le nom légal de « Tes informations » quand vous l’avez donné, sinon votre nom affiché), votre adresse quand nous la connaissons, votre e-mail et l’identifiant de votre compte nireo.

Vos interactions sur la plateforme.

  • Les demandes de contact envoyées à un coach, avec leur message et leur suite (acceptée, déclinée, retirée, expirée, en attente).
  • Vos conversations et vos messages, ainsi que les pièces jointes que vous y déposez.
  • Les séances réservées : date, durée, lieu ou visio, tarif annoncé, statut, qui l'a annulée ; pour une séance signalée comme n'ayant pas eu lieu, qui l'a signalée et quand.
  • Les avis que vous publiez sur un coach (votre note, votre texte s’il y en a un, la date de la séance concernée, la date de publication et celle de votre dernière modification) sont publics et portent le prénom affiché de leur auteur.
  • Votre code de parrainage personnel et, si vous êtes arrivé par un lien d'invitation, le rattachement à la personne qui vous a invité.

Vos paiements.

  • Les paiements des séances et des carnets : qui paie et qui est payé, le prix et la commission, le moment et l’état du paiement (bloqué, débité, levé, remboursé), la demande expresse et son heure, la rétractation (le nom et le prénom déclarés, et son heure), les remboursements et leur motif, et les identifiants du paiement chez Stripe ; pour un carnet, ses séances et sa validité.
  • Le message que vous écrivez au coach en réservant : il reste avec le paiement jusqu’à ce que votre demande parvienne au coach, puis passe dans votre conversation ; si elle ne part pas (paiement abandonné ou refusé), il est effacé avec la page.
  • Votre carte bancaire : vous la saisissez sur la page de paiement de Stripe ; elle ne nous parvient jamais.
  • Les e-mails de paiement que nous envoyons par notre file (reçus, « Paiement reçu », alertes internes) : lequel, pour quel paiement et quand ; pour un reçu ou un « Paiement reçu », les données qu’il reprenait (le paiement, le coach et ses coordonnées, l’athlète, leurs noms et adresses e-mail), figées quand il est noté envoyé. Un accusé de réception de rétractation part directement, et ne passe par cette file que s’il n’a pas pu partir ; la déclaration qu’il accuse est gardée avec le paiement ou le carnet.
  • Les traces des messages que Stripe nous envoie sur ces paiements et sur l’abonnement Pro (leur identifiant, leur type, le compte Stripe concerné), pour ne traiter chacun qu’une fois.

Données techniques.

  • Des journaux techniques tenus par nos hébergeurs : adresse IP, horodatage, page demandée, type de navigateur. Supabase tient en outre un journal des évènements d'authentification (connexion, demande de réinitialisation), associé à l'adresse IP d'origine.
  • Des cookies de connexion, strictement nécessaires : ils maintiennent votre session ouverte et sécurisent l'échange au moment où vous vous connectez. Ils ne servent à aucune autre fin.
  • Dans l’app, pour les notifications : si vous les activez, un cookie qui dit à nos serveurs quel appareil est ce téléphone (le numéro de sa ligne chez nous, jamais son adresse de notification), pour l’oublier quand vous vous déconnectez ; dans le stockage local de l’app, le fait qu’elles y sont activées, pour ne demander l’adresse de notification à Firebase qu’après votre accord ; si vous touchez « Plus tard », ou refusez la fenêtre du téléphone, ce choix, gardé de même, pour ne plus vous montrer la carte.
  • Les réponses que vous donnez au quiz sans être connecté en tant qu'athlète, gardées dans le stockage local de votre navigateur, sur votre appareil, pour pré-remplir votre inscription. Elles en sont effacées quand vous créez votre compte ou vous connectez sur ce navigateur ; sinon, elles y restent jusqu'à ce que vous vidiez les données de ce site dans votre navigateur. Quand la connexion aboutit sur nos serveurs (lien d'activation ou de réinitialisation du mot de passe, retour de Google ou d’Apple), c'est la page qui suit qui les efface : un cookie qui ne porte aucune information vous concernant, posé à cet instant, le lui demande, et elle le retire ; s'il n'est jamais relu, il expire au bout d'un an.
  • Si vous créez votre compte via Google ou Apple depuis la page d'inscription, un cookie de transit porte ces réponses, et celles du début de l'inscription, jusqu'à votre compte : il n'accompagne que le retour de la connexion, vit dix minutes au plus, et il est effacé dès que la connexion aboutit ou qu'une autre connexion commence. Ces réponses ne remplacent jamais des préférences déjà enregistrées. Dans l’app, avec Google, ou avec Apple sur iPhone ou iPad, ces réponses partent directement avec votre demande de connexion, sans ce cookie.

Ce que nous ne collectons pas. Aucun numéro de carte ni coordonnée bancaire : les athlètes donnent leur carte à Stripe, sur sa page de paiement, et les coachs leur IBAN à Stripe, pour leur compte de paiement ; nous ne les voyons pas. Aucun outil de mesure d'audience ni de publicité n'est installé : ce que nous déposons sur votre appareil se limite à ce qui est décrit ci-dessus (votre connexion, le transport de vos réponses jusqu’à votre compte et le pré-remplissage de votre inscription, puis son effacement, et, dans l’app, ce qui sert aux notifications), que nous considérons comme strictement nécessaire au service que vous demandez. C'est pourquoi aucune bannière de consentement ne vous est demandée.

3. La carte professionnelle d’éducateur sportif

Encadrer une activité physique contre rémunération est une profession réglementée en France (article L. 212-1 du code du sport). En créant son compte, un coach déclare détenir la qualification et la carte professionnelle exigées ; nous conservons la date de cette déclaration. Communiquer le numéro de sa carte professionnelle d’éducateur sportif est facultatif.

  • Pourquoi : vérifier la carte qu’un coach nous communique et le signaler aux athlètes par le badge « Carte pro vérifiée » ; garder la trace de la déclaration du coach.
  • Base légale : l’intérêt légitime de la plateforme et de ses utilisateurs (article 6.1.f du RGPD) à informer les athlètes de la vérification d’une carte, et à conserver la déclaration des coachs.
  • Ce qui est visible : le résultat de la vérification (le badge « Carte pro vérifiée ») et sa date, sur votre fiche, pour une carte vérifiée. Une fois la carte vérifiée, le nom affiché sur votre fiche devient celui sous lequel votre carte est enregistrée (prénom et nom). Le numéro de carte n'est jamais affiché publiquement ni communiqué aux athlètes. La date de votre déclaration n’est ni affichée ni accessible publiquement.
  • Ce que nous conservons : la date de votre déclaration, le statut de votre carte (« pas encore transmise » tant que vous n’en avez pas donné le numéro) et, si vous nous le communiquez, son numéro ; pour une carte vérifiée, la date de la vérification, où nous l’avons faite (par exemple le portail public du ministère des Sports) et le nom sous lequel la carte est enregistrée.
  • Qui la traite : l'éditeur seul. Le numéro n'est transmis à aucun tiers en dehors des sous-traitants listés à la section 6 et du portail public du ministère des Sports, sur lequel nous le saisissons, avec votre nom, pour vérifier la carte.

4. Pourquoi nous traitons ces données, et sur quelle base légale

Chaque finalité a sa propre base légale :

  • Créer et gérer votre compte : exécution du contrat que constituent les conditions générales d'utilisation (article 6.1.b du RGPD).
  • Vous authentifier via un compte Google ou Apple, si vous choisissez cette option plutôt qu'un mot de passe : exécution du contrat. Avec Apple dans l’app sur iPhone ou iPad, garder le jeton qui permet, à la suppression de votre compte, de retirer à nireo l’accès à votre identifiant Apple : exécution du contrat.
  • Vous proposer des coachs pertinents à partir de votre sport, de votre niveau et de votre budget : exécution du contrat.
  • Montrer votre profil sportif au coach avec lequel vous êtes en relation, sur vos demandes et dans la liste de ses athlètes : exécution du contrat. Votre objectif et sa description, vos créneaux et votre ville l'aident à préparer vos séances, et la ville lui dit si une séance en présentiel est envisageable. Votre objectif, vos créneaux et votre ville ne classent pas les coachs qui vous sont proposés.
  • Publier le profil d’un coach et permettre sa découverte : exécution du contrat conclu avec le coach.
  • Informer les athlètes de la réactivité d’un coach, par son délai de réponse calculé : intérêt légitime des athlètes à choisir un coach qui répond, et de la plateforme (article 6.1.f du RGPD), tempéré par votre droit d’opposition (section 2).
  • Transmettre vos demandes de contact et vos messages, et gérer les séances réservées : exécution du contrat.
  • Le paiement des séances et des carnets au coach, par Stripe, leurs remboursements selon les conditions générales, et l’envoi de leurs reçus et accusés de réception : exécution du contrat.
  • Garder la preuve des contrats conclus en ligne (paiements, carnets, demandes expresses, rétractations, reçus) : obligation légale pour les contrats d’au moins 120 € (code de la consommation, articles L. 213-1 et D. 213-1) ; en deçà, notre intérêt légitime à prouver chaque contrat de la même façon (article 6.1.f du RGPD).
  • Établir et garder les factures de nos commissions : obligation légale (code général des impôts, article 289 ; code de commerce, article L. 123-22).
  • Rappeler à chaque coach, à chaque paiement reçu, où s’informer de ses obligations fiscales et sociales : obligation légale (code général des impôts, article 242 bis).
  • Examiner une séance signalée comme non tenue, et décider de son remboursement : exécution du contrat (conditions générales, article 7).
  • Vous envoyer les e-mails de service (activation du compte, lien de connexion, réinitialisation du mot de passe) : exécution du contrat. Aucun e-mail publicitaire n'est envoyé.
  • Vous prévenir par e-mail de ce que vous n'avez pas encore lu dans vos messages (une demande, une réponse, un message), au plus un e-mail par heure : exécution du contrat. L'e-mail nomme la personne et dit ce qui s'est passé, jamais le texte d'un message. Vous pouvez couper ces e-mails à tout moment, depuis « Mon compte », dans votre espace.
  • Vous prévenir sur votre téléphone, dans l’app, de ce que vous n’avez pas encore lu (une demande, une réponse, un message), si vous l’avez activé : votre consentement, que vous retirez à tout moment en désactivant les notifications dans « Mon compte » ou dans les réglages du téléphone. La notification nomme la personne et dit ce qui s’est passé, jamais le texte d’un message.
  • Vérifier la carte professionnelle qu’un coach nous communique, et garder la trace de sa déclaration : intérêt légitime (section 3).
  • Déclarer chaque année à l’administration fiscale ce que les coachs perçoivent par la plateforme, avec leurs informations fiscales : obligation légale (code général des impôts, articles 1649 ter A et 1649 ter D).
  • Montrer aux athlètes les coordonnées qu’un coach leur donne, avant de payer et dans leur reçu : exécution du contrat conclu avec le coach.
  • Montrer le lien de visio d’un coach à l’athlète d’une séance en visio confirmée avec lui, sur la page de cette séance et, le jour de la séance, sur son accueil : exécution du contrat conclu avec le coach.
  • Afficher les avis sur les profils : intérêt légitime à informer les athlètes, tempéré par votre droit d'opposition.
  • Afficher le nombre de séances faites d’un coach sur sa fiche : intérêt légitime des athlètes à choisir un coach, et de la plateforme (article 6.1.f du RGPD).
  • Traiter les signalements d’avis que vous nous envoyez par e-mail (votre nom, votre adresse, votre explication et l’avis concerné), et écrire à l’auteur d’un avis signalé pour l’examiner, puis lui dire notre décision et ses motifs : obligation légale (règlement (UE) 2022/2065 sur les services numériques, articles 16 et 17).
  • Faire fonctionner le parrainage : intérêt légitime au développement du service. Seul un compteur est visible du parrain, jamais la liste nominative des personnes qu'il a invitées.
  • Assurer la sécurité du service, diagnostiquer les pannes et prévenir les abus, à partir des journaux techniques : intérêt légitime.

Mineurs. Le service n'est pas destiné aux personnes de moins de 15 ans ; un mineur ne peut y avoir de compte qu'avec l'accord de son représentant légal (cf. conditions générales d'utilisation, article 3). Aucune vérification d'âge automatique n'est en place : si vous constatez qu'un compte a été ouvert par un enfant de moins de 15 ans, signalez-le nous et nous le supprimerons.

5. Durées de conservation

  • Tant que votre compte existe pour les données de compte, de profil, de messagerie et de réservation : elles décrivent une relation en cours.
  • Effacement à la suppression du compte. Vous pouvez supprimer votre compte vous-même, depuis « Supprimer mon compte » dans votre espace (ou la page /supprimer-mon-compte), ou nous le demander par e-mail. Les séances payées à venir et les carnets en cours sont d’abord annulés ou arrêtés, et remboursés, selon les conditions générales ; l’abonnement Pro d’un coach est résilié. Un abonnement Pro pris dans l’app se résilie à part, dans les réglages du téléphone (Apple ou Google) ; nous demandons à RevenueCat d’effacer ce qu’il en garde. Le compte est supprimé dès que ce qui est en cours est réglé, en général en quelques minutes, au plus tard dans un mois ; un e-mail vous le confirme, et nous gardons votre adresse e-mail le temps de vous l’envoyer. Votre photo de profil est effacée avec le compte ; ce que les durées ci-dessous gardent au-delà du compte reste gardé. Si vous utilisiez la connexion avec Apple dans l’app sur iPhone ou iPad, nous demandons d’abord à Apple de retirer à nireo l’accès à votre identifiant Apple, puis nous effaçons le jeton qui le permet ; sans ce jeton (connexion avec Apple sur le site), vous pouvez retirer cet accès vous-même dans les réglages de votre identifiant Apple.
  • Les paiements, les carnets, les demandes expresses, les rétractations et les reçus envoyés : dix ans après la séance, ou après la fin du carnet, même après la suppression du compte. La loi l’impose pour les contrats conclus en ligne d’au moins 120 € (code de la consommation, articles L. 213-1, D. 213-1 et D. 213-2) ; nous appliquons la même durée à tous, pour une seule règle.
  • Vos commissions, et les factures et avoirs que nous émettons : dix ans, même après la suppression du compte (code de commerce, article L. 123-22).
  • Les pages de paiement abandonnées ou refusées (le paiement n’a pas eu lieu), avec le message écrit au coach : 30 jours après l’abandon ou le refus. Les traces des messages de Stripe : 30 jours après leur réception.
  • Votre compte de paiement et votre abonnement Pro : tant que votre compte existe. Stripe garde ce qu’il détient selon sa propre politique de confidentialité.
  • Les informations fiscales des coachs : dix ans après l’année de la déclaration qui les utilise, même après la suppression du compte (code général des impôts, article 1649 ter D). Celles d’un coach qui n’a jamais été payé en ligne sont effacées avec son compte.
  • Les avis que vous avez publiés sont supprimés en même temps que votre compte : ils y sont rattachés, et leur effacement est donc automatique. Sinon, un avis est effacé automatiquement 3 ans après sa publication, avec la réponse du coach.
  • Les signalements d’avis reçus par e-mail sont conservés le temps de les traiter, puis supprimés.
  • Le journal des e-mails de notification (à qui et quand un e-mail est parti, et combien d'éléments il résumait) est effacé au bout de 30 jours : il sert à respecter nos limites d'envoi.
  • L’adresse de notification d’un téléphone est gardée tant que les notifications y sont activées. Elle est effacée quand vous les désactivez, dans « Mon compte » ou dans les réglages du téléphone (l’app le voit à sa prochaine ouverture), quand vous vous déconnectez dans l’app, quand un autre compte se connecte dans l’app sur ce téléphone, quand vous supprimez votre compte, ou quand Firebase nous signale que ce téléphone ne les reçoit plus.
  • Le journal des notifications sur le téléphone (pour qui, et pour quelle ligne de la conversation, une notification est partie) est effacé au bout de 30 jours : il sert à ne jamais envoyer deux fois la même.
  • Les journaux techniques sont conservés par nos hébergeurs selon leurs propres durées de rétention, à des fins de sécurité et de diagnostic. Ils ne sont pas exploités à d'autres fins.
  • Sauvegardes. Les copies de sauvegarde tenues par notre hébergeur de base de données peuvent conserver une donnée effacée quelques jours de plus, le temps de leur rotation.

6. Avec qui vos données sont partagées

Nous ne vendons ni ne louons aucune donnée, et nous ne les communiquons à aucun tiers à des fins publicitaires. Elles sont partagées dans cinq cas seulement.

Avec les autres utilisateurs, dans la mesure où le service le suppose. Un coach avec lequel vous êtes en relation (parce que vous l'avez contacté, que vous avez une conversation avec lui, ou que vous avez réservé une séance) lit l'intégralité de votre profil athlète : votre sport, votre niveau, votre budget indicatif, votre objectif et sa description libre, vos créneaux et votre ville. Ce partage ne vaut que pour ces coachs-là : ni les autres coachs, ni les autres athlètes, ni le public n'y ont accès. Les profils des coachs et les avis sont, eux, publics. Les coordonnées qu’un coach donne pour ses athlètes sont visibles de toute personne connectée, sur les pages où l’on paie ce coach, et figurent dans les reçus de ses athlètes ; jamais sur sa fiche publique. Le lien de visio qu’un coach enregistre n’est visible que de lui et de l’athlète d’une séance en visio confirmée avec lui, sur la page de cette séance et, le jour de la séance, sur l’accueil de cet athlète ; jamais sur sa fiche publique.

Avec nos sous-traitants, qui agissent sur nos instructions au sens de l'article 28 du RGPD :

Avec Stripe, pour les séances et les carnets. Vous payez une séance ou un carnet sur la page de paiement de Stripe, sur le compte du coach : vous y donnez vous-même à Stripe votre carte et ce que sa page demande. Nous transmettons à Stripe le montant, ce qui est payé (la séance ou le carnet, et le coach) et un identifiant du paiement, jamais votre nom. Pour ce paiement, Stripe agit pour le compte du coach ; pour d’autres fins, comme la prévention de la fraude et ses activités réglementées de paiement, il agit en responsable de traitement, selon sa propre politique de confidentialité. Un coach ouvre son compte de paiement chez Stripe, qui lui demande lui-même ce dont il a besoin ; nous transmettons à Stripe l’identifiant de son compte nireo.

Avec Apple ou Google, et RevenueCat, pour l’abonnement Pro pris dans l’app. Dans l’app, l’abonnement Pro s’achète à Apple ou à Google, qui le vendent : vous leur donnez vous-même votre moyen de paiement, selon leur propre politique de confidentialité. RevenueCat, notre sous-traitant, reçoit d’eux l’état de l’abonnement et nous le transmet, avec l’identifiant de votre compte nireo que nous lui donnons ; ni RevenueCat ni nous ne voyons votre carte.

Avec le fournisseur d'identité que vous choisissez, si vous vous connectez via un compte Google ou Apple. Vous vous authentifiez alors auprès de ce fournisseur, qui applique sa propre politique de confidentialité et apprend, de ce fait, que vous utilisez nireo et à quel moment vous vous y connectez ; nous ne lui transmettons aucune donnée vous concernant, hormis ce qu’il nous a lui-même remis : avec Apple dans l’app sur iPhone ou iPad, le code de votre connexion, contre un jeton que nous conservons chiffré, puis ce jeton, quand vous supprimez votre compte, pour retirer notre accès. Il nous transmet l'identifiant de votre compte chez lui, votre adresse e-mail et votre nom ; Apple ne transmet le nom qu'à votre première connexion, et seulement si vous acceptez de le partager. Google transmet aussi l'adresse de votre photo de profil : nous ne l'utilisons pas, elle n'est ni affichée ni copiée dans votre profil ; Supabase Auth la conserve avec les données de votre compte, et elle est effacée avec lui. Nous ne demandons rien d'autre : ni vos contacts, ni votre agenda, ni vos fichiers. Si l'adresse transmise est celle d'un compte nireo existant, cette connexion ouvre ce compte et y rattache votre identité Google ou Apple. Si vous masquez votre adresse chez Apple, nous recevons une adresse de relais, et les e-mails que nous vous envoyons transitent par le service de relais d'Apple.

  • Google : Authentification, si vous choisissez « Continuer avec Google » : nous recevons l'identifiant de votre compte Google, votre adresse e-mail, votre nom et l'adresse de votre photo de profil (que nous n'utilisons pas). Politique de confidentialité de Google (nouvelle fenêtre)
  • Apple : Authentification, si vous choisissez « Continuer avec Apple » : nous recevons l'identifiant de votre compte Apple, votre adresse e-mail (ou une adresse de relais si vous la masquez) et, à la première connexion seulement, votre nom si vous acceptez de le partager. Politique de confidentialité de Apple (nouvelle fenêtre)

Avec l’administration fiscale, pour les coachs payés en ligne : chaque année, au plus tard le 31 janvier, nous lui déclarons leurs informations fiscales et ce qu’ils ont perçu par la plateforme l’année précédente (code général des impôts, article 1649 ter A). Elle peut les transmettre à l’administration d’un autre pays de l’Union européenne ou d’un pays lié à la France par une convention d’échange (article 1649 ter D).

Enfin, nous pouvons être tenus de communiquer des données à une autorité judiciaire ou administrative qui en fait la demande dans les formes légales.

7. Où vos données sont hébergées

L'application est diffusée par Vercel Inc. (440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis). La base de données, les comptes et les fichiers déposés par les coachs sont hébergés par Supabase.

Ces données sont stockées dans la région West EU (Irlande), donc au sein de l'Union européenne. Le siège de Supabase Pte. Ltd. est, lui, situé à Singapour : il figure dans les mentions légales parce que la loi l'impose, mais le siège d'une société et l'emplacement de ses serveurs sont deux choses distinctes : il n'en dit rien.

Cela ne signifie pas qu'aucune donnée ne quitte l'Union : Vercel Inc., qui diffuse l'application, et Resend, qui achemine les e-mails, sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, que ces sous-traitants intègrent à leurs conditions.

Google, qui achemine les notifications sur le téléphone, peut aussi traiter des données aux États-Unis : il s’appuie pour cela sur le cadre de protection des données entre l’Union européenne et les États-Unis (Data Privacy Framework).

RevenueCat, qui suit l’abonnement Pro pris dans l’app, garde ces données aux États-Unis, chez Amazon Web Services : il s’appuie pour cela sur les clauses contractuelles types de la Commission européenne.

Stripe, dont l’entité européenne est établie en Irlande, peut transférer des données vers d’autres pays, dont les États-Unis, avec les garanties que décrit sa politique de confidentialité.

Si vous vous connectez via un compte Google ou Apple, l'authentification a lieu chez ce fournisseur, hors de notre hébergement ; ses propres transferts internationaux relèvent de sa politique de confidentialité, liée plus haut.

Les échanges entre votre navigateur et le service sont chiffrés (HTTPS), et l'accès aux données est cloisonné par compte au niveau de la base elle-même.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

  • Accès : obtenir une copie des données que nous détenons sur vous.
  • Rectification : corriger une donnée inexacte. Vous modifiez vous-même, depuis votre espace, le nom que vous affichez (coach : jusqu’à la vérification de votre carte ; c’est ensuite le nom de la carte, que nous corrigeons sur demande) ; si vous êtes athlète, vos préférences (sport principal, niveau, budget, objectif et sa description, créneaux, ville) dans « Mes préférences » ; si vous êtes coach, votre fiche (tarif, sports, niveau accompagné, photo, accroche, présentation, diplômes, langues, ville, modes de séance, club), votre numéro de carte professionnelle tant qu’elle n’est pas vérifiée et vos disponibilités. Pour toute autre donnée, comme votre adresse e-mail, écrivez à contact@nireo.app.
  • Effacement : supprimer vous-même votre compte, depuis « Supprimer mon compte » dans votre espace, ou nous demander la suppression de votre compte et des données associées, dans les limites de la section 5.
  • Portabilité : recevoir dans un format lisible par machine les données que vous nous avez fournies.
  • Opposition : vous opposer à un traitement fondé sur notre intérêt légitime, pour un motif tenant à votre situation (aucun motif n’est demandé pour l’affichage de votre délai de réponse).
  • Limitation : demander le gel d'un traitement le temps qu'une contestation soit examinée.

Pour exercer ces droits, écrivez à contact@nireo.app. Nous répondons dans un délai d'un mois. Nous pouvons vous demander de confirmer votre identité si un doute raisonnable subsiste.

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés), 3 place de Fontenoy, 75007 Paris, site cnil.fr (nouvelle fenêtre).

9. Modifications

Cette politique évoluera avec le service. Toute modification substantielle sera portée à votre connaissance, et la date de dernière mise à jour figure en haut de cette page.