La présente politique décrit comment MOVA (Bastien Schulz, entrepreneur individuel) collecte, utilise et protège les données personnelles, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 « Informatique et Libertés ». MOVA est une plateforme de suivi nutrition, sport et bien-être reliant des praticiens (coachs sportifs, diététiciens, nutritionnistes) à des personnes suivies (patients / clients).
1. Responsable de traitement et rôles
Pour les comptes des professionnels (praticiens) et la gestion du Service (inscription, abonnement, facturation, sécurité, support) : l'Éditeur agit en qualité de responsable de traitement.
Pour les données des personnes suivies saisies par ou pour un praticien (dossier de suivi, données de santé) : le praticien est responsable de traitement et l'Éditeur agit en qualité de sous-traitant, dans le cadre d'un accord de traitement des données (art. 28 RGPD — voir la page DPA).
Contact : contact@movahealth.fr — 73 avenue des Chênes, 06800 Cagnes-sur-Mer, France.
2. Données que nous traitons
Selon votre profil et votre usage du Service, nous traitons les catégories de données suivantes :
a) Compte et identité
- Nom, prénom, adresse e-mail, numéro de téléphone, mot de passe (stocké sous forme chiffrée) ;
- Pour les praticiens : profession, numéro SIRET, numéro TVA, n° ADELI / RPPS le cas échéant, lieux d'exercice, informations de profil public.
b) Données de santé et de suivi (personnes suivies)
Ces données relèvent des catégories particulières au sens de l'art. 9 du RGPD et bénéficient d'une protection renforcée :
- Anthropométrie : date de naissance, sexe, taille, poids (initial, minimal, maximal, de forme), IMC, grossesse le cas échéant ;
- Biologie et documents médicaux : bilans biologiques, comptes rendus, imagerie médicale, lettres de spécialistes, prescriptions — téléversés par le praticien ou la personne suivie — et les analyses qui en sont issues ;
- Cycle menstruel : profil de cycle et journal des règles (lorsque la personne active ce suivi) ;
- Douleurs et blessures : zones concernées, niveaux de douleur, questionnaires d'orientation, ressentis, recommandations ;
- Digestion et tolérances : symptômes, aliments déclencheurs, intolérances ;
- Comportement alimentaire et bien-être : humeur, sommeil, énergie, journal alimentaire émotionnel, relation à l'alimentation ;
- Compléments alimentaires : schémas de prise ;
- Nutrition : plans alimentaires, journaux alimentaires, photos de repas, hydratation ;
- Sport et physiologie : séances planifiées et réalisées, fréquence cardiaque, puissance, allure, zones d'intensité, charge d'entraînement, tests physiologiques, prédictions de performance ;
- Objectifs, ressentis et notes de suivi.
c) Communications
- Messagerie entre la personne suivie et son praticien ;
- Conversations avec l'assistant intelligent du Service ;
- Enregistrements audio des consultations et leurs transcriptions, lorsque le praticien active cette fonction pour ses comptes rendus.
d) Abonnement, paiement et facturation
- Formule, historique d'abonnement, factures, montants et statuts de paiement ;
- Les données de carte bancaire sont traitées directement par Stripe et ne sont ni vues ni stockées par l'Éditeur.
e) Données techniques et d'usage
- Journaux de connexion et d'actions, données de sécurité, informations sur l'appareil et le navigateur ;
- Traces de consentement (type, version, date, adresse IP, agent utilisateur) ;
- Jetons d'appareil pour les notifications push, jeton de session pour l'authentification ;
- Données d'usage des fonctions d'intelligence artificielle (volumes, opérations) ;
- Identifiants techniques des intégrations tierces que vous connectez volontairement.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fourniture du Service, gestion des comptes et des accès | Exécution du contrat |
| Abonnement, paiement, facturation | Exécution du contrat / obligation légale |
| Traitement des données de santé des personnes suivies | Pour le compte du praticien (mission de suivi / soins), sur la base du consentement recueilli par le praticien et rappelé lors de l'inscription (art. 9-2 a/h RGPD) |
| Fonctions d'intelligence artificielle (transcription, lecture de documents, résumés, estimations, suggestions) | Exécution du contrat et consentement de la personne suivie |
| Notifications (rappels, messages, alertes) | Exécution du contrat / intérêt légitime |
| Intégrations tierces (agenda, montres et objets connectés, visioconférence) | Consentement (activation volontaire par l'utilisateur) |
| Sécurité, prévention de la fraude, supervision technique | Intérêt légitime |
| Obligations comptables et légales | Obligation légale |
4. Fonctions d'intelligence artificielle
Certaines fonctions du Service reposent sur des modèles d'intelligence artificielle : transcription des consultations, lecture de bilans biologiques et de documents médicaux, reconnaissance des photos de repas, assistant de suivi, génération de résumés et de comptes rendus, suggestions et prédictions. À ce titre, des données de suivi — pouvant inclure des données de santé — sont transmises à nos prestataires d'IA (OpenAI et Anthropic) pour produire le résultat demandé.
- Les clés d'accès à ces services sont exclusivement côté serveur et ne sont jamais exposées à votre navigateur ;
- Les résultats produits par l'IA sont fournis à titre indicatif et sont relus et validés par le praticien avant toute exploitation ou communication à la personne suivie ;
- MOVA applique un principe de minimisation des données transmises et recherche, auprès de ses prestataires, la non-réutilisation des données à des fins d'entraînement de leurs modèles ;
- Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé.
5. Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles sont accessibles à l'Éditeur, au(x) praticien(s) qui vous suit / suivent, et aux sous-traitants techniques ci-dessous, dans la stricte limite de leurs missions. Les intégrations marquées « option » ne sont activées que sur votre action explicite.
| Sous-traitant / destinataire | Finalité | Localisation |
|---|---|---|
| Hetzner Online GmbH | Hébergement (serveurs, base de données, fichiers) | Allemagne (UE) |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Paiement, abonnements, facturation, encaissement des praticiens (Connect) | Irlande (UE) / USA |
| OpenAI, L.L.C. | IA : transcription audio, lecture de bilans et documents, reconnaissance des repas, assistant | USA |
| Anthropic, PBC | IA : assistant de suivi, notes de séance, résumés, prédictions | USA |
| Google LLC — Firebase Cloud Messaging | Notifications push sur l'application mobile | USA |
| Google LLC — Google Calendar (option) | Synchronisation de l'agenda du praticien | USA |
| Twilio Inc. (option) | Consultations en visioconférence | USA |
| Functional Software, Inc. (Sentry) | Supervision technique et journalisation des erreurs | USA |
| intervals.icu (option) | Synchronisation des séances et activités d'entraînement | Hors UE |
| Strava / Garmin / COROS (option) | Récupération d'activités depuis les montres et objets connectés | Hors UE |
| Prestataire d'e-mail (Mailgun / Postmark / Amazon SES / SMTP selon configuration) | E-mails transactionnels (rappels, invitations, notifications) | UE / USA selon prestataire |
| Amazon Web Services (si stockage externalisé activé) | Stockage de fichiers | UE (région configurée) |
| Open-Meteo · Météo-France / Opendatasoft · geo.api.gouv.fr | Prévisions et vigilance météo pour les alertes liées à l'effort | UE (Allemagne, France) |
Les services météo et de géocodage ne reçoivent qu'une zone approximative (code postal / département), sans votre identité. Le service Open Food Facts, utilisé pour la reconnaissance de produits, ne reçoit qu'un code-barres, sans donnée personnelle.
6. Transferts hors Union européenne
L'hébergement principal et la base de données sont situés dans l'Union européenne (Hetzner, Allemagne). Certains sous-traitants (Stripe, OpenAI, Anthropic, Google, Twilio, Sentry et certaines montres connectées) sont situés aux États-Unis ou hors UE. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et/ou le Data Privacy Framework, complétés par des mesures de sécurité appropriées. Pour les données de santé transmises aux services d'IA, MOVA met en œuvre une démarche de minimisation et d'encadrement contractuel de ces transferts.
7. Durées de conservation
- Données de compte : pendant la durée de la relation, puis archivage intermédiaire limité avant suppression ;
- Données de facturation : 10 ans (obligation comptable) ;
- Données de santé et de suivi : conservées pendant la relation entre la personne suivie et son praticien ; en fin de relation, restituées ou supprimées selon les instructions du praticien, sous réserve des obligations légales ;
- Enregistrements audio de consultation : conservés le temps de produire la transcription puis, selon le paramétrage du praticien, supprimés ou conservés au dossier ;
- Traces de consentement et journaux d'action : conservés pour des raisons de preuve et de sécurité ;
- Journaux techniques : 6 à 12 mois.
8. Sécurité
L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des échanges (HTTPS/TLS), hébergement dans l'Union européenne, contrôle d'accès et authentification, cloisonnement des données par praticien (chaque praticien n'accède qu'aux personnes qu'il suit), chiffrement des jetons d'intégration, journalisation des actions et sauvegardes régulières. Les clés des services d'IA et de paiement restent côté serveur.
9. Cookies et traceurs
Le site vitrine n'utilise que des cookies strictement nécessaires à son fonctionnement et ne dépose aucun traceur publicitaire ni de mesure d'audience tiers. L'application dépose un jeton de session indispensable à l'authentification. Aucun consentement préalable n'est requis pour ces éléments essentiels.
10. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, du droit de retirer votre consentement à tout moment, et du droit de définir des directives post-mortem. Pour les personnes suivies, ces droits s'exercent en priorité auprès de votre praticien (responsable de traitement), que nous assistons techniquement. Voir la page RGPD pour les modalités.
Exercice des droits et questions : contact@movahealth.fr. Vous pouvez également introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, 75007 Paris — www.cnil.fr.
11. Mineurs
Le suivi d'une personne mineure s'effectue sous la responsabilité de son praticien et avec l'autorisation du/des titulaire(s) de l'autorité parentale, que le praticien est tenu de recueillir.
12. Modifications
La présente politique peut être mise à jour pour refléter l'évolution du Service ou de la réglementation. La date de dernière mise à jour figure en tête de page ; les évolutions substantielles font l'objet d'une information.